(1)

Informācijas un komunikācijas tehnoloģiju lietošana un atkarība no tām ir kļuvušas par fundamentāliem aspektiem visās saimnieciskās darbības nozarēs un sabiedrībā, ņemot vērā dalībvalstu publiskās pārvaldes iestāžu, uzņēmumu un iedzīvotāju arvien pieaugušo savstarpējo saistību un atkarību, vienlaikus radot iespējamu ievainojamību.

(2)

Savienībā un pasaulē pieaug kiberdrošības incidentu apjoms, biežums un ietekme, tostarp uzbrukumi piegādes ķēdēm nolūkā veikt kiberspiegošanu, izspiedējprogrammu izmantošanu vai darbības traucēšanu. Tie ievērojami apdraud tīklu un informācijas sistēmu darbību. Ņemot vērā strauji mainīgo apdraudējuma ainu, draudoši liela mēroga kiberdrošības incidenti, kas izraisa būtisku pārrāvumu vai kaitējumu kritiskajai infrastruktūrai, prasa labāku Savienības kiberdrošības satvara gatavību. Minētais apdraudējums ir plašāks par Krievijas agresijas karu pret Ukrainu, un tas visdrīzāk saglabāsies, jo pašreizējā ģeopolitiskajā saspīlējumā ir iesaistījušies daudzi aktori. Šādi incidenti var kavēt sabiedrisko pakalpojumu sniegšanu, jo kiberuzbrukumi bieži tiek vērsti pret vietējiem, reģionāliem vai valsts mēroga sabiedriskajiem pakalpojumiem un infrastruktūru, un vietējās iestādes ir īpaši neaizsargātas, tostarp to ierobežoto resursu dēļ. Tie var arī kavēt saimniecisku darbību, tostarp sevišķi kritiskajās nozarēs vai citās kritiskajās nozarēs, radīt būtiskus finansiālus zaudējumus, mazināt lietotāju uzticēšanos, radīt būtisku kaitējumu Savienības ekonomikai un demokrātiskajām sistēmām, kā arī varētu pat radīt veselībai vai dzīvībai bīstamas sekas. Bez tam kiberdrošības incidenti ir neprognozējami, jo tie mēdz rasties un izplatīties strauji, tos neierobežo nekāda ģeogrāfiska platība un tie notiek vienlaicīgi vai vienā mirklī izplatās daudzās valstīs. Tāpēc ir vajadzīga publiskā sektora, privātā sektora, akadēmisko aprindu, pilsoniskās sabiedrības un mediju cieša sadarbība.

(3)

Ir nepieciešams stiprināt rūpniecības un pakalpojumu nozaru konkurētspēju Savienībā visā digitālajā ekonomikā un ir jāatbalsta to digitālā pārveide, nostiprinot digitālā vienotā tirgus kiberdrošību, kā ieteikts trijos dažādos konferences par Eiropas nākotni priekšlikumos. Ir jāpalielina iedzīvotāju, uzņēmumu, tostarp mikrouzņēmumu, mazo un vidējo uzņēmumu un jaunuzņēmumu, un vienību, kuras darbina kritisko infrastruktūru, noturība pret pieaugošajiem kiberdraudiem, kam var būt postoša ietekme uz sabiedrību un tautsaimniecību. Tāpēc ir vajadzīgas investīcijas infrastruktūrā un pakalpojumos un spēju veidošanā, lai attīstītu kiberdrošības prasmes, kas palīdzēs ātrāk atklāt kiberdraudus un incidentus un ātrāk uz tiem reaģēt. Turklāt dalībvalstīm ir vajadzīga palīdzība, lai labāk sagatavotos būtiskiem un liela mēroga kiberdrošības incidentiem un reaģētu uz tiem, un palīdzība, lai uzsāktu atkopšanos no tiem. Ņemot vērā pašreizējās struktūras un cieši sadarbojoties ar tām, Savienībai būtu arī jāpalielina savas spējas minētajās jomās, jo īpaši attiecībā uz datu par kiberdraudiem un incidentiem vākšanu un analīzi.

(4)

Savienība jau ir noteikusi vairākus pasākumus, lai samazinātu kritisko infrastruktūru un vienību ievainojamību un uzlabotu to noturība pret riskiem, jo īpaši Eiropas Parlamenta un Padomes Regulu (ES) 2019/881 (5), Eiropas Parlamenta un Padomes Direktīvas 2013/40/ES (6) un (ES) 2022/2555 (7) un Komisijas Ieteikumu (ES) 2017/1584 (8). Bez tam Padomes 2022. gada 8. decembra ieteikumā par koordinētu Savienības mēroga pieeju kritiskās infrastruktūras noturības stiprināšanai dalībvalstis tiek aicinātas veikt steidzamus un efektīvus pasākumus un sadarboties savā starpā, ar Komisiju un citām attiecīgajām publiskajām iestādēm, kā arī ar attiecīgajām vienībām, lai pamatpakalpojumu sniegšanai iekšējā tirgū izmantoto kritisko infrastruktūru padarītu noturīgāku.

(5)

Augošie kiberdrošības riski un vispārējā sarežģītā apdraudējuma vide, kurā nepārprotami draud strauja incidentu pāriešana no vienas dalībvalsts uz citām un no trešās valsts uz Savienību, prasa solidaritātes pastiprināšanu Savienības līmenī, lai labāk atklātu kiberdraudus un incidentus, tiem sagatavotos, uz tiem reaģētu un atkoptos pēc tiem, jo īpaši stiprinot pašreizējo struktūru spējas. Turklāt Padomes 2022. gada 23. maija secinājumos par Eiropas Savienības pozīcijas izstrādi kiberjautājumos dalībvalstis aicināja Komisiju iesniegt priekšlikumu par jaunu Ārkārtēja stāvokļa reaģēšanas fondu kiberdrošībai.

(6)

Komisijas un Savienības Augstā pārstāvja ārlietās un drošības politikas jautājumos 2022. gada 10. novembrī pieņemtajā Kopīgajā paziņojumā Eiropas Parlamentam un Padomei par ES kiberaizsardzības politiku tika izziņota ES kiberdrošības solidaritātes iniciatīva, kuras mērķi ir stiprināt kopīgas ES kiberapdraudējumu atklāšanas, situāciju apzināšanās un reaģēšanas spējas, veicinot ES drošības operāciju centru (DOC) infrastruktūras izvēršanu, atbalstot ES līmeņa kiberrezervju pakāpenisku izveidi ar pakalpojumiem no uzticamiem privātiem pakalpojumu sniedzējiem un kritisko vienību testēšanu iespējamu ievainojamību atklāšanai, pamatojoties uz ES riska novērtējumiem.

(7)

Ir jāstiprina kiberdraudu un incidentu atklāšana un situācijas apzināšanās visā Savienībā un solidaritāte, uzlabojot dalībvalstu un Savienības gatavību un spējas novērst būtiskus kiberdrošības incidentus un liela mēroga kiberdrošības incidentus un reaģēt uz tiem. Tādēļ Eiropas mērogā būtu jāizveido kibercentru tīkls (“Eiropas kiberdrošības trauksmes sistēma”), lai veidotu koordinētas spējas atklāt apdraudējumu un apzināties situāciju, tādējādi pastiprinot Savienības apdraudējumu atklāšanas un dalīšanās ar informāciju spējas; būtu jāizveido kiberdrošības ārkārtas mehānisms, lai pēc dalībvalstu pieprasījuma palīdzētu tām sagatavoties būtiskiem kiberdrošības incidentiem un liela mēroga kiberdrošības incidentiem, reaģēt uz tiem, mazināt to ietekmi un uzsākt atkopšanos no tiem, un lai palīdzētu citiem lietotājiem reaģēt uz būtiskiem kiberdrošības incidentiem un liela mēroga kiberdrošības incidentiem; un būtu jāizveido Eiropas kiberdrošības incidentu izskatīšanas mehānisms konkrētu būtisku kiberdrošības incidentu vai liela mēroga kiberdrošības incidentu izskatīšanai un novērtēšanai. Darbības, ko veic ievērojot šo regulu, būtu jāveic, pienācīgi ievērojot dalībvalstu kompetences, un tām būtu jāpapildina, nevis jādublē darbības, ko veic CSIRT tīkls, Eiropas Kiberkrīžu sadarbības organizāciju tīkls (EU-CyCLONe) vai Sadarbības grupa (TID sadarbības grupa), kas izveidoti, ievērojot Direktīvu (ES) 2022/2555. Minētās darbības neskar Līguma par Eiropas Savienības darbību (LESD) 107. un 108. pantu.

(8)

Lai šos mērķus sasniegtu, dažās jomās ir jāgroza Eiropas Parlamenta un Padomes Regula (ES) 2021/694 (9). Jo īpaši ar šo regulu būtu jāgroza Regula (ES) 2021/694, lai pievienotu jaunus darbības mērķus, kas saistīti ar Eiropas kiberdrošības trauksmes sistēmu un kiberdrošības ārkārtas mehānismu saskaņā ar programmas “Digitālā Eiropa” (“PDE”) konkrēto mērķi Nr. 3, kura mērķis ir garantēt digitālā vienotā tirgus noturību, veselumu un uzticamību, stiprinātu spējas uzraudzīt kiberuzbrukumus un kiberdraudus un reaģēt uz tiem, kā arī pastiprinātu pārrobežu sadarbību un koordināciju kiberdrošības jomā. Eiropas kiberdrošības trauksmes sistēmai varētu būt svarīga loma, atbalstot dalībvalstis kiberdraudu prognozēšanā un aizsardzībā pret tiem, un ES kiberdrošības rezervēm varētu būt svarīga loma, atbalstot dalībvalstis, Savienības iestādes, struktūras, birojus un aģentūras, kā arī PDE asociētās trešās valstis reaģēšanā uz būtiskiem kiberdrošības incidentiem, liela mēroga kiberdrošības incidentiem un lielam mērogam līdzvērtīgiem kiberdrošības incidentiem un to ietekmes mazināšanā. Minētā ietekme varētu ietvert ievērojamus materiālus vai nemateriālus zaudējumus un nopietnus sabiedriskās drošības un drošuma riskus. Ņemot vērā īpašās funkcijas, kādas varētu būt Eiropas kiberdrošības trauksmes sistēmai un ES kiberdrošības rezervēm, šai regulai būtu jāgroza Regula (ES) 2021/694 attiecībā uz tādu tiesību subjektu dalību, kuri ir iedibināti Savienībā, bet kurus kontrolē no trešām valstīm, gadījumos, ja pastāv reāls risks, ka Savienībā nav pieejami nepieciešamie un pietiekamie rīki, infrastruktūra un pakalpojumi vai tehnoloģijas, lietpratība un spējas, un ieguvumi no šādu subjektu iekļaušanas atsver drošības risku. Būtu jānosaka īpaši nosacījumi, ar kuriem var piešķirt finansiālu atbalstu darbībām, ar ko īsteno ES kiberdrošības trauksmes sistēmu un ES kiberdrošības rezerves, un būtu jānosaka paredzēto mērķu sasniegšanai nepieciešami pārvaldības un koordinācijas mehānismi. Citos Regulas (ES) 2021/694 grozījumos būtu jāiekļauj saskaņā ar jaunajiem darbības mērķiem ierosināto darbību apraksti, kā arī izmērāmi rādītāji minēto darbības mērķu īstenošanas uzraudzībai.

(9)

Lai stiprinātu Savienības spējas reaģēt uz kiberdraudiem un incidentiem, svarīgi ir īstenot sadarbību ar starptautiskām organizācijām, kā arī ar uzticamiem un līdzīgi domājošiem starptautiskajiem partneriem. Minētajā kontekstā ar uzticamiem un līdzīgi domājošiem starptautiskajiem partneriem būtu jāsaprot valstis, kurām ir kopīgi principi, kas ir iedvesmojuši Savienības izveidi, proti, demokrātija, tiesiskums, cilvēktiesību un pamatbrīvību universālums un nedalāmība, cilvēka cieņas neaizskaramība, vienlīdzība un solidaritāte, kā arī Apvienoto Nāciju Organizācijas Statūtu un starptautisko tiesību principu ievērošana un kuras neapdraud Savienības vai tās dalībvalstu būtiskās drošības intereses. Šāda sadarbība varētu būt noderīga arī attiecībā uz darbībām, kas veiktas ievērojot šo regulu, jo īpaši attiecībā uz Eiropas kiberdrošības trauksmes sistēmu un ES kiberdrošības rezervēm. Regulā (ES) 2021/694, ievērojot konkrētus pieejamības un drošības nosacījumus, būtu jāparedz, ka Eiropas kiberdrošības trauksmes sistēmas un ES kiberdrošības rezervju iepirkumu konkursos var piedalīties tiesību subjekti, kurus kontrolē no trešām valstīm, ja ir izpildīti drošības nosacījumi. Novērtējot drošības risku, ko rada iepirkuma procedūras paplašināšana šādā veidā, ir svarīgi ņemt vērā principus un vērtības, kas Savienībai ir kopīgas ar līdzīgi domājošiem starptautiskajiem partneriem, ja minētie principi un vērtības ir saistītas ar būtiskām Savienības drošības interesēm. Turklāt, ja šādas drošības prasības tiek apsvērtas saskaņā ar Regulu (ES) 2021/694, varētu ņemt vērā vairākus elementus, piemēram, subjekta korporatīvo struktūru un lēmumu pieņemšanas procesu, datu un klasificētas vai sensitīvas informācijas drošību un to, ka ir jānodrošina, ka darbības rezultātus nekontrolē vai neierobežo neatbilstīgas trešās valstis.

(10)

Darbību finansēšana atbilstoši šai regulai būtu jānosaka Regulā (ES) 2021/694, kurai arī turpmāk būtu jābūt attiecīgajam pamataktam attiecībā uz darbībām, kuras ietvertas programmas PDE konkrētajā mērķī Nr. 3. Saskaņā ar Regulu (ES) 2021/694 attiecīgajās darba programmās katrai darbībai ir jāparedz īpaši dalības nosacījumi.

(11)

Šai regulai piemēro horizontālos finanšu noteikumus, ko Eiropas Parlaments un Padome pieņēmuši, pamatojoties uz LESD 322. pantu. Minētie noteikumi ir izklāstīti Eiropas Parlamenta un Padomes Regulā (ES, Euratom) 2024/2509 (10) un nosaka jo īpaši Savienības budžeta izveides un izpildes procedūru, kā arī paredz finanšu subjektu atbildības pārbaudes. Noteikumos, kas pieņemti, pamatojoties uz LESD 322. pantu, iekļauts arī vispārējs nosacītības režīms Savienības budžeta aizsardzībai, kā noteikts Eiropas Parlamenta un Padomes Regulā (ES, Euratom) 2020/2092 (11).

(12)

Lai gan novēršanas un gatavības pasākumi ir būtiski, lai uzlabotu Savienības noturību, risinot būtiskus kiberdrošības incidentus, liela mēroga kiberdrošības incidentus un lielam mērogam līdzvērtīgus kiberdrošības incidentus, šādu incidentu rašanās, laiks un apmērs pēc būtības nav prognozējami. Finanšu resursi, kas vajadzīgi, lai nodrošinātu pienācīgu reaģēšanu, katru gadu var ievērojami atšķirties, un tiem vajadzētu būt pieejamiem nekavējoties. Tāpēc budžeta paredzamības principa saskaņošana ar nepieciešamību ātri reaģēt uz jaunām vajadzībām nozīmē, ka jāpielāgo darba programmu finansiālā īstenošana. Līdz ar to ir lietderīgi atļaut pārnest neizlietotās apropriācijas, bet tikai uz nākamo gadu un tikai uz ES kiberdrošības rezervēm un darbībām, kuras atbalsta savstarpējo sadarbību, papildus apropriāciju pārnešanai, kas atļauta, ievērojot Regulas (ES, Euratom) 2024/2509 12. panta 4. punktu.

(13)

Lai efektīvāk novērstu un novērtētu kiberdraudus un incidentus, uz tiem reaģētu un atkoptos pēc tiem, ir nepieciešams attīstīt plašākas zināšanas par kritiskiem aktīviem un infrastruktūru Savienības teritorijā draudošām briesmām, tostarp par to ģeogrāfisko izplatību, savstarpējo saistību un iespējamām sekām kiberuzbrukumu gadījumā, kas skartu minēto infrastruktūru. Proaktīva pieeja kiberdraudu apzināšanai, mazināšanai un novēršanai ietver modernu atklāšanas spēju uzlabošanu. Eiropas kiberdrošības trauksmes sistēmai būtu jāsastāv no vairākiem sadarbīgiem pārrobežu kibercentriem, no kuriem katrs apvieno trīs vai vairākus valstu kibercentrus. Minētajai infrastruktūrai būtu jākalpo valstu un Savienības kiberdrošības interesēm un vajadzībām, izmantojot jaunākās tehnoloģijas nozīmīgu, attiecīgā gadījumā anonimizētu datu un informācijas progresīvai vākšanai, un analīzes rīkus, uzlabojot kiberapdraudējuma koordinētas atklāšanas un pārvaldības spējas un nodrošinot stāvokļa apzināšanos reāllaikā. Minētajai infrastruktūrai būtu jāpalīdz uzlabot pozīcija kiberjautājumos, palielinot datu un informācijas atklāšanu, apkopošanu un analīzi, nolūkā novērst kiberdraudus un incidentus un tādējādi papildināt un atbalstīt Savienības vienības un tīklus, kas ir atbildīgi par kiberkrīžu pārvarēšanu Savienībā, jo īpaši EU-CyCLONe.

(14)

Dalība Eiropas kiberdrošības trauksmes sistēmā dalībvalstīm ir brīvprātīga. Katrai dalībvalstij valsts līmenī jānorīko viena vienība, kuras uzdevums ir attiecīgajā dalībvalstī koordinēt kiberdraudu atklāšanas darbības. Minētajiem valstu kibercentriem vajadzētu darboties kā uzziņas avotam un valsts līmeņa vārtejai dalībai Eiropas kiberdrošības trauksmes sistēmā un vajadzētu nodrošināt, ka informācija par kiberapdraudējumu no publiskām un privātām vienībām tiek efektīvi un racionalizēti nodota un vākta valsts līmenī. Valstu kibercentri varētu stiprināt publisko un privāto vienību sadarbību un dalīšanos ar informāciju un varētu arī atbalstīt nozīmīgo datu un informācijas apmaiņu ar attiecīgajām nozaru un starpnozaru kopienām, tostarp attiecīgajiem nozares informācijas apmaiņas un analīzes centriem (ISAC). Publisko un privāto vienību ciešai un koordinētai sadarbībai ir vissvarīgākā nozīme Savienības kibernoturības stiprināšanā. Šāda sadarbība ir īpaši vērtīga saistībā ar dalīšanos ar kiberdraudu izlūkdatiem, lai uzlabotu aktīvu kiberaizsardzību. Šādas sadarbības un dalīšanās ar informāciju ietvaros valstu kibercentri varētu pieprasīt un saņemt konkrētu informāciju. Šī regula neparedz minētajiem valstu kibercentriem ne pienākumu, ne pilnvaras prasīt šādu informācijas pieprasījumu izpildi. Attiecīgā gadījumā un saskaņā ar Savienības un valstu tiesību aktiem pieprasītā vai saņemtā informācija varētu ietvert telemetrijas, sensoru un reģistrēšanas datus no vienībām, piemēram, pārvaldītiem drošības pakalpojumu sniedzējiem, kas darbojas sevišķi kritiskajās nozarēs vai citās kritiskajās nozarēs minētajā dalībvalstī, lai veicinātu iespējamu kiberdraudu un incidentu ātru atklāšanu agrīnā posmā, tādējādi uzlabojot situācijas apzināšanos. Ja valsts kibercentrs nav kompetentā iestāde, ko attiecīgā dalībvalsts izraudzījusies vai izveidojusi, ievērojot Direktīvas (ES) 2022/2555 8. panta 1. punktu, ir būtiski, lai tas koordinētu savu darbību ar minēto kompetento iestādi attiecībā uz šādu datu pieprasījumiem un saņemšanu.

(15)

Eiropas kiberdrošības trauksmes sistēmā būtu jāizveido vairāki pārrobežu kibercentri. Minētajos pārrobežu kibercentros būtu jāapvieno valstu kibercentri no vismaz trim dalībvalstīm, lai nodrošinātu, ka no pārrobežu apdraudējuma atklāšanas un dalīšanās ar informāciju un pārvaldības būtu pilnīgs ieguvums. Pārrobežu kibercentru vispārīgajam mērķim vajadzētu būt stiprināt spējas analizēt, novērst un atklāt kiberdraudus un atbalstīt kvalitatīvu izlūkdatu par kiberdraudiem sagatavošanu, jo īpaši uzticamā un drošā vidē daloties ar nozīmīgu un attiecīgā gadījumā anonimizētu informāciju, no dažādiem publiskiem vai privātiem avotiem, kā arī uzticamā un drošā vidē daloties ar modernākiem rīkiem un koplietojot tos un kopīgi attīstot atklāšanas, analīzes un novēršanas spējas. Pārrobežu kibercentriem būtu jānodrošina jaunas papildu spējas, izmantojot un savstarpēji papildinot esošos DOC un CSIRT, kā arī citus attiecīgus dalībniekus, tostarp CSIRT tīklu.

(16)

Dalībvalstij, kuru pēc uzaicinājuma izteikt ieinteresētību izraudzījies Eiropas Industriālo, tehnoloģisko un pētniecisko kiberdrošības kompetenču centrs (ECCC), kas izveidots ar Eiropas Parlamenta un Padomes Regulu (ES) 2021/887 (12), lai tā izveidotu valsts kibercentru vai uzlabotu tā spējas, kopā ar ECCC būtu jāiegādājas attiecīgie rīki, infrastruktūra vai pakalpojumi. Šādai dalībvalstij vajadzētu būt tiesīgai saņemt dotāciju rīku vai infrastruktūras ekspluatācijai. Mitināšanas konsorcijam, kuru veido vismaz trīs dalībvalstis un kuru ir izraudzījies ECCC pēc uzaicinājuma izteikt ieinteresētību, lai izveidotu vai uzlabotu pārrobežu kibercentra spējas, kopā ar ECCC būtu jāiegādājas attiecīgie rīki, infrastruktūra vai pakalpojumi. Mitināšanas konsorcijam vajadzētu būt tiesīgam saņemt dotāciju rīku un infrastruktūras ekspluatācijai vai pakalpojumu sniegšanai. Iepirkuma procedūra attiecīgo rīku, infrastruktūras vai pakalpojumu iegādei būtu kopīgi jāveic ECCC un attiecīgajām dalībvalstu līgumslēdzējām iestādēm, kas atlasītas pēc šādiem uzaicinājumiem izteikt ieinteresētību. Šādam iepirkumam būtu jāatbilst Regulas (ES, Euratom) 2024/2509 168. panta 2. punktam un ECCC finanšu noteikumiem. Tāpēc privātām struktūrām nevajadzētu būt tiesīgām piedalīties uzaicinājumos izteikt ieinteresētību par rīku, infrastruktūras vai pakalpojumu kopīgu iegādi ar ECCC vai saņemt dotācijas šo rīku un infrastruktūru ekspluatācijai vai pakalpojumu sniegšanai. Tomēr dalībvalstīm vajadzētu būt iespējai iesaistīt privātas vienības savu valstu kibercentru un pārrobežu kibercentru izveidē, uzlabošanā un darbībā citos veidos, ko tās uzskata par piemērotiem, saskaņā ar Savienības un valstu tiesību aktiem. Privātas vienības arī varētu būt tiesīgas saņemt Savienības finansējumu, ievērojot Regulu (ES) 2021/887, lai sniegtu atbalstu valstu kibercentriem.

(17)

Lai uzlabotu kiberdraudu atklāšanu un situācijas apzināšanos Savienībā, dalībvalstij, kas pēc uzaicinājuma izteikt ieinteresētību ir izraudzīta izveidot valsts kibercentru vai uzlabot tā spējas, būtu jāapņemas pieteikties dalībai pārrobežu kibercentrā. Ja dalībvalsts nav pārrobežu kibercentra dalībniece divu gadu laikā no dienas, kad ir iegādāti rīki, infrastruktūra vai pakalpojumi vai dienas, kad tā saņem dotācijas finansējumu, atkarībā no tā, kas ir ātrāk, tai nevajadzētu būt tiesīgai piedalīties turpmākās Savienības atbalsta darbībās Eiropas kiberdrošības trauksmes sistēmas ietvaros, lai uzlabot savas valsts kibercentra spējas. Šādos gadījumos dalībvalstu vienības joprojām varētu piedalīties uzaicinājumos iesniegt priekšlikumus citās PDE jomās vai citās Savienības finansēšanas programmās, tostarp uzaicinājumos par kiberatklāšanas un dalīšanās ar informāciju spējām, ar noteikumu, ka minētās vienības atbilst minētajās programmās noteiktajiem atbilstības kritērijiem.

(18)

Saskaņā ar Direktīvu (ES) 2022/2555 CSIRT apmainās ar informāciju CSIRT tīklā. Eiropas kiberdrošības trauksmes sistēmai būtu jāizveido jauna spēja, kas papildina CSIRT tīklu, palīdzot veidot Savienības situācijas apzināšanos un tādējādi ļaujot stiprināt CSIRT tīkla spējas. Pārrobežu kibercentriem būtu jākoordinē CSIRT tīkls un cieši jāsadarbojas ar to. Tiem būtu jārīkojas, apkopojot datus un daloties ar nozīmīgu un attiecīgā gadījumā anonimizētu informāciju par kiberdraudiem no publiskām un privātām vienībām, šādu datu un informācijas vērtību paaugstinot ar ekspertīzēm, kopīgi iegādātu infrastruktūru un modernākajiem rīkiem un veicinot Savienības tehnoloģisko suverenitāti, tās atvērto stratēģisko autonomiju, konkurētspēju un noturību, kā arī Savienības spēju attīstību.

(19)

Pārrobežu kibercentriem būtu jādarbojas kā centrālajiem punktiem, kuros iespējams plaši apkopot attiecīgus datus un kiberdraudu izlūkdatus, un jānodrošina iespēja izplatīt informāciju par apdraudējumu lielā un daudzveidīgā dalībnieku kopā, piemēram, datorapdraudējuma reaģēšanas vienībām (CERT), CSIRT, ISAC un kritiskās infrastruktūras operatoriem. Mitināšanas konsorcija dalībniekiem konsorcija nolīgumā būtu jānorāda attiecīgā informācija, ar ko jādalās starp attiecīgā pārrobežu kibercentra dalībniekiem. Informācija, ar ko apmainās starp pārrobežu kibercentra dalībniekiem, varētu ietvert, piemēram, datus no tīkliem un sensoriem, apdraudējuma izlūkdatu plūsmas, aizskāruma rādītājus un kontekstualizētu informāciju par incidentiem, kiberdraudiem, gandrīz notikušiem incidentiem, ievainojamībām, paņēmieniem un procedūrām, apdraudētāju taktiku, apdraudējuma dalībniekiem specifisku informāciju, kiberdrošības brīdinājumus un ieteikumus par kiberdrošības rīku konfigurāciju kiberuzbrukumu atklāšanai. Turklāt pārrobežu kibercentriem būtu arī savstarpēji jānoslēdz sadarbības nolīgumi. Šādiem sadarbības nolīgumiem jo īpaši būtu jāprecizē dalīšanās ar informāciju principi un sadarbspēja. To klauzulās par sadarbspēju, jo īpaši dalīšanās ar informācijas formātos un protokolos, būtu jāvadās pēc sadarbspējas pamatnostādnēm, kuras izdevusi ar Regulu (ES) 2019/881 izveidotā Eiropas Savienības Kiberdrošības aģentūra (ENISA), un tāpēc tās būtu jāizmanto par sākumpunktu. Minētās pamatnostādnes būtu jāizdod ātri, lai nodrošinātu, ka pārrobežu kibercentri tās var ņemt vērā agrīnā posmā. Tajās būtu jāņem vērā starptautiskie standarti un paraugprakse, kā arī visu izveidoto pārrobežu kibercentru darbība.

(20)

Pārrobežu kibercentriem un CSIRT tīklam būtu cieši jāsadarbojas, lai nodrošinātu darbību sinerģiju un papildināmību. Minētajā nolūkā tiem būtu jāvienojas par sadarbības un dalīšanās ar nozīmīgu informāciju procesuālo kārtību. Tas varētu ietvert dalīšanos ar nozīmīgu informāciju par kiberdraudiem un būtiskiem kiberdrošības incidentiem un to, ka ar CSIRT tīklu dalās ar pieredzi attiecībā uz modernākajiem rīkiem, jo īpaši mākslīgo intelektu un datu analīzes tehnoloģiju, ko izmanto pārrobežu kibercentros.

(21)

Kopīga situācijas apzināšanās attiecīgo iestāžu vidū ir nepieciešams priekšnoteikums visas Savienības gatavībai un koordinācijai būtiskos kiberdrošības incidentos un liela mēroga kiberdrošības incidentos. Lai atbalstītu liela mēroga kiberdrošības incidentu un krīžu koordinētu pārvaldību operatīvā līmenī un nodrošinātu regulāru nozīmīgas informācijas apmaiņu starp dalībvalstīm un Savienības iestādēm, struktūrām, birojiem un aģentūrām, Direktīva (ES) 2022/2555 izveidoja EU-CyCLONe. Direktīva (ES) 2022/2555 izveidoja arī CSIRT tīklu, lai veicinātu ātru un efektīvu operatīvo sadarbību starp visām dalībvalstīm. Lai nodrošinātu situācijas apzināšanos un stiprinātu solidaritāti, apstākļos, kad pārrobežu kibercentri iegūst informāciju, kas saistīta ar iespējamu vai notiekošu liela mēroga kiberdrošības incidentu, tiem būtu jāsniedz attiecīga informācija CSIRT tīklam un agrīns brīdinājums EU-CyCLONe. Atkarībā no situācijas informācija, kas jānodod jo īpaši varētu ietvert tehnisku informāciju, informāciju par uzbrucēja vai potenciālā uzbrucēja būtību un motīviem un augstāka līmeņa netehnisku informāciju par iespējamu vai notiekošu liela mēroga kiberdrošības incidentu. Minētajā sakarā būtu pienācīgi jāievēro princips “nepieciešamība zināt” un tas, ka nodotā informācija var būt sensitīva. Direktīvā (ES) 2022/2555 ir arī atkārti uzsvērti Komisijas pienākumi Savienības civilās aizsardzības mehānismā (UCPM), kas izveidots ar Eiropas Parlamenta un Padomes Lēmumu Nr. 1313/2013/ES (13), un tās pienākums sniegt analītiskus ziņojumus ES integrētajiem krīzes situāciju politiskās reaģēšanas mehānismiem (IPCR mehānismi), ievērojot Padomes Īstenošanas lēmumu (ES) 2018/1993 (14). Ja pārrobežu kibercentri dalās ar EU-CyCLONe un CSIRT tīklu ar nozīmīgu informāciju un agrīniem brīdinājumiem, kas saistīti ar iespējamu vai notiekošu liela mēroga kiberdrošības incidentu, ir ļoti svarīgi, lai dalīšanās ar minēto informāciju notiktu minētajos tīklos ar dalībvalstu iestādēm, kā arī ar Komisiju. Minētajā sakarā Direktīva (ES) 2022/2555 paredz, ka EU-CyCLONe mērķis ir atbalstīt liela mēroga kiberdrošības incidentu un krīžu koordinētu pārvaldību operatīvā līmenī un nodrošināt regulāru dalīšanos ar nozīmīgu informāciju starp dalībvalstīm un Savienības iestādēm, struktūrām, birojiem un aģentūrām. EU-CyCLONe uzdevumi ietver kopīgu situācijas apzināšanos attiecībā uz šādiem incidentiem un krīzēm. Ir ārkārtīgi svarīgi, lai EU-CyCLONe saskaņā ar minēto mērķi un tās uzdevumiem nodrošinātu, ka šāda informācija nekavējoties tiek sniegta attiecīgo dalībvalstu pārstāvjiem un Komisijai. Minētajā nolūkā ir ļoti svarīgi, lai EU-CyCLONe reglamentā tiktu iekļauti attiecīgi noteikumi.

(22)

Vienībām, kuras piedalās Eiropas kiberdrošības trauksmes sistēmā, būtu jānodrošina augsta līmeņa spēja savā starpā sadarboties, tostarp attiecīgā gadījumā attiecībā uz datu formātu, taksonomiju, datu apstrādi un datu analīzes rīkiem. Tām būtu arī jānodrošina droši sakaru kanāli, lietojumprogrammu slāņa minimālais drošības līmenis, situācijas apzināšanās infopanelis un rādītāji. Pieņemot vienotu taksonomiju un izstrādājot stāvokļa ziņojuma veidni konstatēto kiberdraudu cēloņu un risku aprakstīšanai, būtu jāņem vērā paveiktais darbs saistībā ar Direktīvas (ES) 2022/2555 īstenošanu.

(23)

Lai uzticamā un drošā vidē nodrošinātu plašu nozīmīgu datu un informācijas apmaiņu par kiberdraudiem no dažādiem avotiem, vienībām, kuras piedalās Eiropas kiberdrošības trauksmes sistēmā, vajadzētu būt apgādātām ar modernākajiem un ļoti drošiem rīkiem, iekārtām un infrastruktūru, un tām būtu jānodrošina augsti kvalificēts personāls. Tam būtu jāļauj uzlabot kolektīvās atklāšanas spējas un laikus brīdināt iestādes un attiecīgās vienības, it īpaši – izmantojot jaunākās mākslīgā intelekta un datu analīzes tehnoloģijas.

(24)

Vācot, analizējot un daloties ar nozīmīgiem datiem un informāciju un ar to apmainoties, Eiropas kiberdrošības trauksmes sistēmai būtu jāstiprina Savienības tehnoloģiskā suverenitāte un atvērtā stratēģiskā autonomija kiberdrošības, konkurētspējas un noturības jomā. Kvalitatīvu kūrētu datu apkopošana varētu arī veicināt progresīvu mākslīgā intelekta un datu analīzes tehnoloģiju attīstību. Augstas kvalitātes datu efektīvā apkopošanā būtiska nozīme joprojām ir cilvēka veiktai pārraudzībai un, minētajā nolūkā, kvalificētam darbaspēkam.

(25)

Lai gan Eiropas kiberdrošības trauksmes sistēma ir civils projekts, kiberaizsardzības kopienai varētu būt labums no spēcīgākām civilpersonu spējām atklāt apdraudējumu un apzināties situāciju, kuras izstrādātas kritiskās infrastruktūras aizsardzībai.

(26)

Informācijas koplietošanai Eiropas kiberdrošības trauksmes sistēmas dalībnieku starpā būtu jāatbilst spēkā esošajām juridiskajām prasībām un jo īpaši Savienības un valstu datu aizsardzības tiesību aktiem, kā arī Savienības konkurences noteikumiem, kas reglamentē informācijas apmaiņu. Tādā mērā, kādā nepieciešama personas datu apstrāde, informācijas saņēmējam būtu jāīsteno tehniski un organizatoriski pasākumi, kas sargā datu subjektu tiesības un brīvības, un dati jāiznīcina, tiklīdz tie vairs nav nepieciešami norādītajam mērķim, un jāinformē vienība, kas datus dara pieejamus, ka dati ir iznīcināti.

(27)

Konfidencialitātes un informācijas drošības saglabāšana ir ārkārtīgi svarīga visiem trim šīs regulas pīlāriem – lai veicinātu dalīšanos ar informāciju vai apmaiņu ar to Eiropas kiberdrošības trauksmes sistēmas kontekstā, lai saglabātu to vienību intereses, kuras piesakās uz atbalstu saskaņā ar kiberdrošības ārkārtas mehānismu, vai lai nodrošinātu, ka ziņojumi saskaņā ar Eiropas kiberdrošības incidentu izskatīšanas mehānismu var sniegt noderīgu pieredzi, negatīvi neietekmējot incidentu skartās vienības. Dalībvalstu un vienību dalība minētajos mehānismos ir atkarīga no uzticības attiecībām starp to komponentiem. Ja informācija ir konfidenciāla, ievērojot Savienības vai valstu noteikumus, dalīšanās vai apmaiņa ar to saskaņā ar šo regulu būtu jāierobežo līdz tādai, kas ir būtiska un samērīga ar dalīšanās vai apmaiņas mērķi. Minētajā informācijas nodošanā vai apmaiņā būtu arī jāievēro minētās informācijas konfidencialitāte, tostarp jāaizsargā attiecīgo vienību drošība un komerciālās intereses. Informācijas nodošana vai apmaiņa, ievērojot šo regulu, varētu notikt, izmantojot vienošanās par informācijas neizpaušanu vai norādījumus par informācijas izplatīšanu, piemēram, gaismas signālu protokolu (GSP). GSP ir jāsaprot kā līdzeklis, ar ko sniedz informāciju par jebkādiem ierobežojumiem attiecībā uz tālāku informācijas izplatīšanu. To izmanto gandrīz visās CSIRT un dažos ISAC. Papildus minētajām vispārīgajām prasībām attiecībā uz Eiropas kiberdrošības trauksmes sistēmu mitināšanas konsorciju nolīgumos būtu jāparedz īpaši noteikumi par informācijas nodošanas nosacījumiem attiecīgajā pārrobežu kiberdrošības centrā. Minētajos nolīgumos jo īpaši varētu prasīt, lai informācijas nodošana notiktu tikai saskaņā ar Savienības un valstu tiesību aktiem.

(28)

Attiecībā uz ES kiberdrošības rezervju izmantošanu ir jāparedz īpaši konfidencialitātes noteikumi. Atbalsts tiks pieprasīts, novērtēts un sniegts krīzes apstākļos un attiecībā uz vienībām, kas darbojas sensitīvās nozarēs. Lai ES kiberdrošības rezerves darbotos efektīvi, ir svarīgi, lai lietotāji un vienības varētu bez kavēšanās dalīties ar visu informāciju, kas ir vajadzīga, lai katra vienība varētu piedalīties pieprasījumu novērtēšanā un atbalsta izmantošanā, un nodrošināt piekļuvi šādai informācijai. Attiecīgi šai regulai būtu jāparedz, ka visa šāda informācija ir jāizmanto vai ar to jādalās tikai tad, ja tas nepieciešams ES kiberdrošības rezervju darbībai, un ka informācija, kas ir konfidenciāla vai klasificēta saskaņā ar Savienības un valstu tiesību aktiem, ir jāizmanto un ar to jādalās tikai saskaņā ar minētajiem tiesību aktiem. Turklāt lietotājiem vajadzētu būt iespējai attiecīgā gadījumā izmantot dalīšanās ar informāciju protokolus, piemēram, GSP, lai sīkāk precizētu ierobežojumus. Lai gan lietotājiem šajā ziņā ir rīcības brīvība, ir svarīgi, lai šādu ierobežojumu piemērošanā tiktu ņemtas vērā iespējamās sekas, jo īpaši attiecībā uz pieprasīto pakalpojumu novēlotu novērtēšanu vai sniegšanu. Lai nodrošinātu ES kiberdrošības rezervju efektīvu darbību, ir svarīgi paredzēt, lai līgumslēdzēja iestāde pirms pieprasījuma iesniegšanas izskaidrotu lietotājam minētās sekas. Minētie aizsardzības pasākumi attiecas tikai uz ES kiberdrošības rezervju pakalpojumu pieprasīšanu un sniegšanu un neietekmē informācijas apmaiņu citos kontekstos, piemēram, ES kiberdrošības rezervju iepirkuma procesos.

(29)

Ņemot vērā to, ka dalībvalstis skar aizvien lielāks kiberincidentu risks un skaits, ir jāizveido krīzes atbalsta instruments, proti, kiberdrošības ārkārtas mehānisms, lai uzlabotu Savienības noturību pret būtiskiem kiberdrošības incidentiem, liela mēroga kiberdrošības incidentiem un lielam mērogam līdzvērtīgiem kiberdrošības incidentiem un dalībvalstu darbības papildinātu ar ārkārtas finansiālu atbalstu būtiskāko dienestu gatavībai, reaģēšanai uz incidentiem un sākotnējas atkopšanās pasākumiem. Tā kā pilnīga atkopšanās pēc incidenta ir visaptverošs process, kura mērķis ir atjaunot incidenta skartās vienības darbību tādā stāvoklī, kāds bija pirms incidenta, un tas varētu būt ilgs process, kas saistīts ar ievērojamām izmaksām, tādēļ atbalsts no ES kiberdrošības rezervēm būtu jāattiecina tikai uz atkopšanās procesa sākumposmu, kā rezultātā tiktu atjaunotas sistēmu pamatfunkcijas. Kiberdrošības ārkārtas mehānismam būtu jānodrošina ātra un efektīva palīdzība noteiktos apstākļos un ar skaidriem nosacījumiem un jādod iespēja rūpīgi uzraudzīt un izvērtēt, kā resursi izmantoti. Lai gan pienākums incidentus un krīzes novērst, tām sagatavoties un uz tām reaģēt pirmām kārtām ir dalībvalstīm, kiberdrošības ārkārtas mehānisms veicina solidaritāti starp dalībvalstīm saskaņā ar Līguma par Eiropas Savienību (LES) 3. panta 3. punktu.

(30)

Kiberdrošības ārkārtas mehānismam būtu jāparedz tāds atbalsts dalībvalstīm, kas papildina pašu dalībvalstu pasākumus un resursus, kā arī citas pastāvošās atbalsta iespējas, kad jāreaģē uz būtiskiem kiberdrošības incidentiem un liela mēroga kiberdrošības incidentiem un sākotnēji jāatkopjas pēc tiem, piemēram, pakalpojumus, ko sniedz ENISA saskaņā ar tās pilnvarām, koordinētu reaģēšanu un CSIRT tīkla palīdzību, EU-CyCLONe sniegto seku mazināšanas atbalstu, kā arī dalībvalstu savstarpējo palīdzību, tostarp – LES 42. panta 7. punkta kontekstā – pastāvīgās strukturētās sadarbības (PESC) kiberdrošības ātrās reaģēšanas vienību, kas izveidotas, ievērojot Padomes Lēmumu (KĀDP) 2017/2315, (15) atbalstu. Tam būtu jāapmierina vajadzība nodrošināt, ka ir pieejami specializēti līdzekļi, lai atbalstītu gatavību šādiem incidentiem, reaģēšanu uz tiem un atkopšanos pēc tiem visā Savienībā un PDE asociētajās trešās valstīs.

(31)

Šī regula neskar procedūras un regulējumu, kuru mērķis ir koordinēt Savienības līmeņa reaģēšanu krīzēs, jo īpaši Direktīvu (ES) 2022/2555, Savienības civilās aizsardzības mehānismu, kas izveidots ar Eiropas Parlamenta un Padomes Lēmumu Nr. 1313/2013/ES (16), IPCR mehānismus un Komisijas Ieteikumu (ES) 2017/1584 (17). Kiberdrošības ārkārtas mehānisma atbalsts var papildināt palīdzību, ko sniedz kopīgajā ārpolitikā un drošības politikā un kopīgajā drošības un aizsardzības politikā, tostarp izmantojot kiberdrošības ātrās reaģēšanas vienības, ņemot vērā Kiberdrošības ārkārtas mehānisma civilo raksturu. Atbalsts, ko sniedz saskaņā ar kiberdrošības ārkārtas mehānismu, var papildināt darbības, kuras tiek īstenotas LES 42. panta 7. punkta sakarā, tostarp palīdzību, ko viena dalībvalsts sniedz citai dalībvalstij, vai veidot daļu no Savienības un dalībvalstu kopīgās reakcijas vai LESD 222. pantā minētajos apstākļos. Attiecīgā gadījumā šīs regulas īstenošana būtu jākoordinē arī ar kiberdiplomātijas rīkkopas pasākumu īstenošanu.

(32)

Saskaņā ar šo regulu sniegtajai palīdzībai būtu jāatbalsta un jāpapildina dalībvalstu līmenī veiktās darbības. Tālab būtu jānodrošina cieša sadarbība un apspriešanās starp Komisiju, ENISA, dalībvalstīm, un attiecīgā gadījumā ECCC. Pieprasot kiberdrošības ārkārtas mehānisma atbalstu, dalībvalstīm būtu jāsniedz attiecīga informācija, kas pamato atbalsta nepieciešamību.

(33)

Direktīva (ES) 2022/2555 prasa dalībvalstīm izraudzīties vai izveidot vienu vai vairākas kiberkrīzes pārvaldības iestādes un nodrošināt, ka tām ir pietiekami resursi savu uzdevumu efektīvai un lietderīgai pildīšanai. Tā arī prasa dalībvalstīm apzināt spējas, līdzekļus un procedūras, ko var izmantot krīzes gadījumā, kā arī pieņemt valsts plānu reaģēšanai uz liela mēroga kiberdrošības incidentu un krīzi, kurā ir izklāstīti liela mēroga kiberdrošības incidentu un krīžu pārvaldības mērķi un kārtība. Dalībvalstīm arī jāizveido viena vai vairākas CSIRT, kurām uzticēti incidentu risināšanas pienākumi saskaņā ar skaidri definētu procesu un aptverot vismaz nozares, apakšnozares un vienību veidus, kas ir minētās direktīvas darbības jomā, un jānodrošina, ka tām ir pietiekami resursi savu uzdevumu faktiskai izpildei. Šī regula neskar Komisijas funkciju nodrošināt, ka dalībvalstis pilda Direktīvā (ES) 2022/2555 noteiktos pienākumus. Kiberdrošības ārkārtas mehānismam būtu jāpalīdz veikt darbības, kuru mērķis ir pastiprināt gatavību, kā arī darbības reaģēšanai uz incidentu, lai mazinātu būtisku kiberdrošības incidentu un liela mēroga kiberdrošības incidentu ietekmi, atbalstītu sākotnēju atkopšanos pēc tiem vai atjaunotu to pakalpojumu būtiskākās funkcijas, kurus sniedz vienības, kas darbojas sevišķi kritiskajās nozarēs vai vienības, kuras darbojas citās kritiskajās nozarēs.

(34)

Lai gatavības darbību ietvaros veicinātu konsekventu pieeju un stiprinātu drošību visā Savienībā un tās iekšējā tirgū, būtu jāsniedz atbalsts, tostarp izmantojot mācības un apmācību, koordinētai tādu vienību kiberdrošības testēšanai un novērtēšanai, kuras darbojas sevišķi kritiskajās nozarēs, kas apzinātas, ievērojot Direktīvu (ES) 2022/2555. Minētajā nolūkā Komisijai pēc apspriešanās ar ENISA, TID sadarbības grupu un EU-CyCLONe regulāri būtu jānosaka attiecīgās nozares vai apakšnozares, kurām vajadzētu būt tiesīgām saņemt finansiālu atbalstu koordinētai gatavības testēšanai Savienības līmenī. Nozares vai apakšnozares būtu jāizraugās no Direktīvas (ES) 2022/2555 I pielikumā uzskaitītajām sevišķi kritiskajām nozarēm. Koordinētās gatavības testēšanas pamatā vajadzētu būt kopīgiem riska scenārijiem un metodikai. Nozaru atlasē un riska scenāriju izstrādē būtu jāņem vērā attiecīgie Savienības mēroga riska novērtējumi un riska scenāriji, tostarp vajadzība izvairīties no dublēšanās, piemēram, riska izvērtēšana un riska scenāriji, kurus izmantot aicināts Padomes secinājumos par Eiropas Savienības pozīcijas kiberjautājumos izstrādi, ko veic Komisija, Savienības Augstais pārstāvis ārlietās un drošības politikas jautājumos (“Augstais pārstāvis”) un TID sadarbības grupa, sadarbībā ar attiecīgām civilām un militārām struktūrām un aģentūrām un izveidotiem tīkliem, to vidū EU-CyCLONe, kā arī sakaru tīklu un infrastruktūru riska novērtējums, kas pieprasīts Nevēras kopīgajā ministru aicinājumā un ko veic TID sadarbības grupa ar Komisijas un ENISA atbalstu un sadarbībā ar Eiropas Elektronisko sakaru regulatoru iestādi, kas izveidota ar Eiropas Parlamenta un Padomes Regulu (ES) 2018/1971 (18), Savienības līmeņa koordinēti kritiski svarīgu piegādes ķēžu drošības riska novērtējumi, kas veicami, ievērojot Direktīvas (ES) 2022/2555 22. pantu, un digitālās darbības noturības testēšana, kā paredzēts Eiropas Parlamenta un Padomes Regulā (ES) 2022/2554 (19). Nozaru atlasē būtu jāņem vērā arī Padomes ieteikums par koordinētu Savienības mēroga pieeju kritiskās infrastruktūras noturības stiprināšanai.

(35)

Turklāt kiberdrošības ārkārtas mehānismam būtu jāsniedz atbalsts citām gatavības darbībām un jāatbalsta gatavība citās nozarēs, uz kurām neattiecas koordinēta gatavības testēšana vienībām, kuras darbojas sevišķi kritiskajās nozarēs, vai vienībām, kas darbojas citās kritiskajās nozarēs. Minētās darbības varētu ietvert dažādus valstu gatavības pasākumu veidus.

(36)

Ja dalībvalstis saņem dotācijas gatavības darbību atbalstam, vienības, kas darbojas sevišķi kritiskajās nozarēs, var brīvprātīgi piedalīties minētajās darbībās. Laba prakse ir tāda, ka pēc šādām darbībām iesaistītās vienības izstrādā sanācijas plānu, lai īstenotu visus izrietošos ieteikumus par konkrētiem pasākumiem maksimāla labuma gūšanai no gatavības darbības. Lai gan ir svarīgi, lai dalībvalstis kā daļu no darbībām pieprasītu iesaistītajām vienībām izstrādāt un īstenot šādus sanācijas plānus, šī regula neparedz dalībvalstīm ne pienākumu, ne pilnvaras nodrošināt šādu pieprasījumu izpildi. Šādi pieprasījumi neskar prasības vienībām un kompetento iestāžu uzraudzības pilnvaras saskaņā ar Direktīvu (ES) 2022/2555.

(37)

Kiberdrošības ārkārtas mehānismam arī būtu jāsniedz atbalsts reaģēšanas uz incidentiem darbībām, lai mazinātu būtisku kiberdrošības incidentu, liela mēroga kiberdrošības incidentu un lielam mērogam līdzvērtīgu kiberdrošības incidentu ietekmi, atbalstītu sākotnēju atkopšanos vai atjaunotu būtiskāko dienestu darbību. Attiecīgā gadījumā tam būtu jāpapildina UCPM, lai nodrošinātu visaptverošu pieeju reaģēšanai uz incidentu ietekmi uz iedzīvotājiem.

(38)

Kiberdrošības ārkārtas mehānismam būtu jāatbalsta tehniskā palīdzība, ko viena dalībvalsts sniedz citai dalībvalstij, kuru skāris būtisks kiberdrošības incidents vai liela mēroga kiberdrošības incidents, tostarp palīdzība, ko sniedz CSIRT, kā minēts Direktīvas (ES) 2022/2555 11. panta 3. punkta f) apakšpunktā. Būtu jāļauj dalībvalstīm, kuras sniedz šādu palīdzību, iesniegt pieprasījumus segt izmaksas, kas saistītas ar ekspertu vienību nosūtīšanu savstarpējai palīdzībai. Attiecināmajās izmaksās varētu iekļaut kiberdrošības ekspertu ceļa, uzturēšanās un dienas naudas izdevumus.

(39)

Ņemot vērā privāto uzņēmumu būtisko lomu liela mēroga kiberdrošības incidentu un lielam mērogam līdzvērtīgu kiberdrošības incidentu atklāšanā, gatavībā tiem un reaģēšanā uz tiem, ir svarīgi atzīt, cik vērtīga ir brīvprātīga pro bono sadarbība ar šādiem uzņēmumiem, kad tie piedāvā pakalpojumus bez atlīdzības liela mēroga kiberdrošības incidentu un lielam mērogam līdzvērtīgu kiberdrošības incidentu un krīžu gadījumos. ENISA sadarbībā ar EU-CyCLONe varētu uzraudzīt šādu pro bono iniciatīvu attīstību un veicināt to atbilstību kritērijiem, kas saskaņā ar šo regulu piemērojami uzticamiem pārvaldītu drošības pakalpojumu sniedzējiem, tostarp attiecībā uz privātu uzņēmumu uzticamību, to pieredzi, kā arī spēju drošā veidā rīkoties ar sensitīvu informāciju.

(40)

Kiberdrošības ārkārtas mehānisma ietvaros, lai atbalstītu reaģēšanas darbības un sāktu atkopšanās darbības gadījumos, kad notiek būtiski kiberdrošības incidenti, liela mēroga kiberdrošības incidenti vai lielam mērogam līdzvērtīgi kiberdrošības incidenti, kas skar dalībvalstis, Savienības iestādes, struktūras, birojus vai aģentūras vai PDE asociētās trešās valstis, būtu pakāpeniski jāveido ES kiberdrošības rezerves, kas sastāv no uzticamu pārvaldītu drošības pakalpojumu sniedzēju pakalpojumiem. ES kiberdrošības rezervēm būtu jānodrošina pakalpojumu pieejamība un gatavība. Tāpēc tajās būtu jāiekļauj pakalpojumi, kas ir iepriekš nolīgti, tostarp, piemēram, spējas, kas ir pastāvīgā gatavībā un izmantojamas īsā laikā. Pakalpojumiem no ES kiberdrošības rezervēm būtu jāpalīdz valstu iestādēm papildus darbībām valsts līmenī sniegt palīdzību skartajām vienībām, kuras darbojas sevišķi kritiskajās vai vienībām, kuras darbojas citās kritiskajās nozarēs. Ar līdzīgiem nosacījumiem pakalpojumiem no ES kiberdrošības rezervēm vajadzētu būt izmantojamiem arī Savienības iestāžu, struktūru, biroju un aģentūru atbalstam. ES kiberdrošības rezerves varētu arī palīdzēt stiprināt rūpniecības un pakalpojumu konkurētspēju Savienībā visā digitālajā ekonomikā, kas ietver arī mikrouzņēmumus un mazos un vidējos uzņēmumus, kā arī jaunuzņēmumus, un to darīt, cita starpā stimulējot investīcijas pētniecībā un inovācijā. Iepērkot ES kiberdrošības rezervēm paredzētos pakalpojumus, ir svarīgi ņemt vērā ENISA Eiropas kiberdrošības prasmju satvaru. Pieprasot atbalstu no ES kiberdrošības rezervēm, lietotājiem savā pieteikumā būtu jāiekļauj atbilstoša informācija par skarto vienību un iespējamo ietekmi, informācija par pieprasīto pakalpojumu no rezervēm un atbalstu, kas skartajai vienībai sniegts valsts līmenī, ko būtu jāņem vērā, novērtējot pieteikuma iesniedzēja pieprasījumu. Lai nodrošinātu papildināmību ar citiem skartajai vienībai pieejamā atbalsta veidiem, pieprasījumā būtu jāiekļauj arī informācija, ja tāda ir pieejama, par spēkā esošu līgumisku vienošanos attiecībā uz reaģēšanas uz incidentiem un sākotnējas atkopšanās pakalpojumiem, kā arī par apdrošināšanas līgumiem, kas potenciāli aptver šāda veida incidentu.

(41)

Lai nodrošinātu Savienības finansējuma efektīvu izmantošanu, iepriekš nolīgtie pakalpojumi saskaņā ar ES kiberdrošības rezervēm būtu atbilstoši attiecīgajam līgumam jāpārveido par gatavības pakalpojumiem, kas saistīti ar incidentu novēršanu un reaģēšanu uz tiem, ja minētie iepriekš nolīgtie pakalpojumi netiek izmantoti reaģēšanai uz incidentiem laikā, uz kādu tie ir iepriekš nolīgti. Minētajiem pakalpojumiem vajadzētu būt savstarpēji papildinošiem un nebūtu jādublē ECCC pārvaldītās gatavības darbības.

(42)

Pieprasījumi saņemt atbalstu no ES kiberdrošības rezervēm, ko dalībvalstu kiberkrīžu pārvaldības iestādes un CSIRT vai CERT-EU iesniedz Savienības iestāžu, struktūru, biroju un aģentūru vārdā, būtu jāizvērtē līgumslēdzējai iestādei. Minētā līgumslēdzēja iestāde ir ENISA, ja tai ir uzticēta ES kiberdrošības rezervju darbības nodrošināšana un pārvaldība. Atbalsta pieprasījumi no PDE asociētajām trešām valstīm būtu jāizvērtē Komisijai. Lai atvieglotu atbalsta pieprasījumu iesniegšanu un novērtēšanu, ENISA varētu izveidot drošu platformu.

(43)

Ja tiek saņemti vairāki paralēli pieprasījumi, tie būtu jāsakārto prioritārā secībā saskaņā ar šajā regulā noteiktajiem kritērijiem. Ņemot vērā šīs regulas vispārīgos mērķus, minētajiem kritērijiem būtu jāietver incidenta apmērs un smagums, skartās vienības veids, incidenta iespējamā ietekme uz skartajām dalībvalstīm un lietotājiem, incidenta iespējamais pārrobežu raksturs un izplatīšanās risks, kā arī pasākumi, ko lietotājs jau ir veicis, lai sekmētu reaģēšanu un sākotnēju atkopšanos. Ņemot vērā minētos mērķus un to, ka dalībvalstu lietotāju pieprasījumi ir paredzēti vienīgi tam, lai visā Savienībā atbalstītu vienības, kuras darbojas sevišķi kritiskajās nozarēs vai vienības, kuras darbojas citās kritiskajās nozarēs, ir lietderīgi piešķirt augstāku prioritāti dalībvalstu lietotāju pieprasījumiem, ja minēto kritēriju rezultātā divi vai vairāki pieprasījumi tiek novērtēti kā līdzvērtīgi. Tas neskar nekādus pienākumus, kas dalībvalstīm var būt saskaņā ar attiecīgajiem mitināšanas nolīgumiem, proti, veikt pasākumus, lai aizsargātu Savienības iestādes, struktūras, birojus un aģentūras un palīdzētu tām.

(44)

Komisijai vajadzētu būt vispārējai atbildībai par ES kiberdrošības rezervju īstenošanu. Ņemot vērā plašo pieredzi, ko ENISA guvusi kiberdrošības atbalsta darbībā, ENISA ir vispiemērotākā aģentūra ES kiberdrošības rezervju īstenošanai. Tāpēc Komisijai ES kiberdrošības rezervju darbības nodrošināšana un pārvaldība būtu jāuztic ENISA vai nu daļēji, vai, ja Komisija to uzskata par lietderīgu, pilnībā. Pilnvarojums būtu jāīsteno saskaņā ar piemērojamajiem noteikumiem, kas paredzēti Regulā (ES, Euratom) 2024/2509, un jo īpaši uz to būtu jāattiecina attiecīgie iemaksu nolīguma parakstīšanas nosacījumi. Jebkuri ES kiberdrošības rezervju darbības un administrēšanas aspekti, kas nav uzticēti ENISA, būtu tieši jāpārvalda Komisijai, tostarp pirms iemaksu nolīguma parakstīšanas.

(45)

Dalībvalstīm vajadzētu būt svarīgai lomai ES kiberdrošības rezervju izveidē, ieviešanā un pēcieviešanā. Tā kā Regula (ES) 2021/694 ir attiecīgais pamatakts darbībām, ar kurām īsteno ES kiberdrošības rezerves, darbības saskaņā ar ES kiberdrošības rezervēm būtu jāparedz attiecīgajās darba programmās, kas minētas Regulas (ES) 2021/694 24. pantā. Ievērojot minētā panta 6. punktu, minētās darba programmas Komisijai jāpieņem ar īstenošanas aktiem saskaņā ar pārbaudes procedūru. Turklāt Komisijai saskaņoti ar TID sadarbības grupu būtu jānosaka ES kiberdrošības rezervju prioritātes un attīstība.

(46)

Līgumiem, kas noslēgti saistībā ar ES kiberdrošības rezervēm, nebūtu jāietekmē uzņēmumu savstarpējās attiecības un pastāvošās saistības starp skarto vienību vai lietotājiem un pakalpojumu sniedzēju.

(47)

Lai izvēlētos privātos pakalpojumu sniedzējus pakalpojumu sniegšanai saistībā ar ES kiberdrošības rezervēm, ir nepieciešams noteikt minimālo kritēriju un prasību kopumu, kas būtu jāiekļauj uzaicinājumā iesniegt piedāvājumus, lai atlasītu minētos pakalpojumu sniedzējus, tādējādi nodrošinot, ka tiek apmierinātas dalībvalstu iestāžu, vienību, kuras darbojas sevišķi kritiskajās nozarēs, un vienību, kuras darbojas citās kritiskajās nozarēs, vajadzības. Lai risinātu dalībvalstu īpašās vajadzības, līgumslēdzējai iestādei, iepērkot pakalpojumus saistībā ar ES kiberdrošības rezervēm, attiecīgā gadījumā būtu jāizstrādā atlases kritēriji un prasības papildus tiem, kas noteikti šajā regulā. Ir svarīgi veicināt tādu mazāku pakalpojumu sniedzēju līdzdalību, kuri darbojas reģionālā un vietējā līmenī.

(48)

Izvēloties pakalpojumu sniedzējus iekļaušanai ES kiberdrošības rezervēs, līgumslēdzējai iestādei būtu jācenšas nodrošināt, ka ES kiberdrošības rezerves kopumā ietver pakalpojumu sniedzējus, kas spēj apmierināt lietotāju valodas prasības. Šajā nolūkā līgumslēdzējai iestādei pirms konkursa specifikāciju sagatavošanas būtu jānoskaidro, vai potenciālajiem ES kiberdrošības rezervju lietotājiem ir īpašas valodas prasības, lai ES kiberdrošības rezervju atbalsta pakalpojumus varētu sniegt kādā no Savienības institūciju vai dalībvalstu oficiālajām valodām, ko lietotājs vai skartā vienība varētu saprast. Ja ES kiberdrošības rezervju atbalsta pakalpojumu sniegšanai lietotājam ir vajadzīga vairāk nekā viena valoda un minētie pakalpojumi konkrētajam lietotājam ir iegādāti minētajās valodās, lietotājam ES kiberdrošības rezervju atbalsta pieprasījumā vajadzētu būt iespējai norādīt, kurā no šīm valodām pakalpojumi būtu jāsniedz saistībā ar konkrēto incidentu, kas ir pieprasījuma pamatā.

(49)

Atbalstot ES kiberdrošības rezervju izveidi, ir svarīgi, lai Komisija pieprasītu ENISA sagatavot kandidātu kiberdrošības sertifikācijas shēmu pārvaldītiem drošības pakalpojumiem, ievērojot Regulu (ES) 2019/881, jomās, uz kurām attiecas kiberdrošības ārkārtas mehānisms.

(50)

Lai atbalstītu šīs regulas mērķus veicināt kopīgu stāvokļa apzināšanos, uzlabot Savienības noturību un sekmēt spēju efektīvi reaģēt uz būtiskiem kiberdrošības incidentiem un liela mēroga kiberdrošības incidentiem, Komisijai vai EU-CyCLONe vajadzētu būt iespējai lūgt ENISA ar CSIRT tīkla atbalstu un attiecīgo dalībvalstu piekrišanu izskatīt un novērtēt kiberdraudus, zināmas ļaunprātīgi izmantojamas ievainojamības un seku mazināšanas darbības konkrēta būtiska kiberdrošības incidenta vai liela mēroga kiberdrošības incidenta sakarā. Pēc incidenta izskatīšanas un novērtēšanas ENISA sadarbībā ar attiecīgo dalībvalsti, attiecīgajām ieinteresētajām personām, tostarp privātā sektora, Komisijas un citu attiecīgo Savienības iestāžu, struktūru, biroju un aģentūru pārstāvjiem, būtu jāsagatavo incidenta pārskata ziņojums. Pamatojoties uz sadarbību ar ieinteresētajām personām, ieskaitot privāto sektoru, pārskata ziņojumam par konkrētiem incidentiem vajadzētu būt vērstam uz to, lai pēc incidenta novērtētu tā cēloņus, ietekmi un seku mazinājumu. Īpaša uzmanība būtu jāpievērš ieguldījumam un pieredzei, ar ko dalās pārvaldīto drošības pakalpojumu sniedzēji, kuri atbilst visaugstākās profesionālās godprātības, objektivitātes un nepieciešamo tehnisko zināšanu nosacījumiem, kā noteikts šajā regulā. Ziņojums būtu jāiesniedz EU-CyCLONe, CSIRT tīklam un Komisijai, un būtu jāizmanto to darbā un ENISA darbā. Ja incidents ir saistīts ar PDE asociētu trešo valsti, Komisijai ziņojums būtu jāiesniedz arī Augstajam pārstāvim.

(51)

Ņemot vērā kiberdrošības uzbrukumu neparedzamību un to, ka tie mēdz neaprobežoties ar noteiktu ģeogrāfisku apgabalu un tiem ir augsts izplatīšanās risks, kaimiņvalstu noturības stiprināšana un to spēja efektīvi reaģēt uz būtiskiem kiberdrošības incidentiem un liela mēroga kiberdrošības incidentiem veicina visas Savienības, jo īpaši tās iekšējā tirgus un rūpniecības, aizsardzību kopumā. Šādas darbības varētu vēl vairāk veicināt Savienības kiberdiplomātiju. Tāpēc PDE asociētajām trešām valstīm vajadzētu būt iespējai pieprasīt atbalstu no ES kiberdrošības rezervēm visā to teritorijā vai tās daļā, ja tas ir paredzēts nolīgumā, ar kuru nosaka šīs trešās valsts asociāciju ar PDE. Savienībai būtu jāatbalsta finansējums PDE asociētajām trešām valstīm atbilstīgi attiecīgajām šīm valstīm paredzētajām partnerībām un finansēšanas instrumentiem. Atbalstam būtu jāaptver pakalpojumi, kas paredzēti reaģēšanai uz būtiskiem kiberdrošības incidentiem vai lielam mērogam līdzvērtīgiem kiberdrošības incidentiem un sākotnējas atkopšanās pasākumiem.

(52)

Šīs regulas nosacījumi ES kiberdrošības rezervēm un uzticamiem pārvaldītas drošības pakalpojumu sniedzējiem būtu jāpiemēro, sniedzot atbalstu PDE asociētajām trešām valstīm. PDE asociētajām trešām valstīm vajadzētu būt iespējai pieprasīt atbalstu no ES kiberdrošības rezervēm, ja vienības, kuras ir skartas un kurām tās pieprasa atbalstu no ES kiberdrošības rezervēm, ir vienības, kas darbojas sevišķi kritiskajās nozarēs vai vienības, kas darbojas citās kritiskajās nozarēs, un ja atklātie incidenti rada būtiskus darbības traucējumus vai tiem varētu būt plašāka ietekme Savienībā. PDE asociētajām trešām valstīm vajadzētu būt tiesīgām saņemt atbalstu tikai tad, ja nolīgums, kas nosaka to asociēšanu ar PDE, īpaši paredz šādu atbalstu. Turklāt šādām trešām valstīm vajadzētu palikt atbalsttiesīgām tikai tik ilgi, kamēr tiek izpildīti trīs kritēriji. Pirmkārt, trešai valstij būtu pilnībā jāievēro attiecīgie minētā nolīguma noteikumi. Otrkārt, ņemot vērā ES kiberdrošības rezervju papildinošo raksturu, trešai valstij būtu vajadzējis pašai veikt atbilstošus pasākumus, lai sagatavotos būtiskiem kiberdrošības incidentiem vai lielam mērogam līdzvērtīgiem kiberdrošības incidentiem. Treškārt, atbalsta sniegšanai no ES kiberdrošības rezervēm vajadzētu atbilst Savienības politikai attiecībā uz minēto valsti un vispārējām attiecībām ar to, kā arī citiem Savienības politikas virzieniem drošības jomā. Saistībā ar novērtējumu par atbilstību šim trešajam kritērijam Komisijai būtu jāapspriežas ar Augsto pārstāvi par to, lai šāda atbalsta piešķiršana tiktu saskaņota ar kopējo ārpolitikas un drošības politiku.

(53)

Atbalsta sniegšana PDE asociētajām trešām valstīm var ietekmēt attiecības ar trešām valstīm un Savienības drošības politiku, tostarp kopējās ārpolitikas un drošības politikas un kopējās drošības un aizsardzības politikas kontekstā. Tādēļ ir lietderīgi Padomei piešķirt īstenošanas pilnvaras atļaut un precizēt laikposmu, kurā šādu atbalstu var sniegt. Padomei būtu jārīkojas, pamatojoties uz Komisijas priekšlikumu un pienācīgi ņemot vērā Komisijas novērtējumu par minētajiem trim kritērijiem. Tas pats būtu jāattiecina uz atjaunošanu un priekšlikumiem grozīt vai atcelt šādus aktus. Ja Padome izņēmuma kārtā uzskata, ka attiecībā uz trešo kritēriju apstākļi ir būtiski mainījušies, Padomei vajadzētu būt iespējai rīkoties pēc savas iniciatīvas grozīt vai atcelt īstenošanas aktu, negaidot Komisijas priekšlikumu. Šādu būtisku izmaiņu gadījumā, visticamāk, būs jārīkojas steidzami un tām būs īpaši svarīga ietekme uz attiecībām ar trešām valstīm, tādēļ tām nebūs nepieciešams iepriekšējs un detalizēts Komisijas novērtējums. Turklāt Komisijai attiecībā uz pieprasījumiem par atbalsta sniegšana PDE asociētajām trešām valstīm un par šādām trešām valstīm piešķirtā atbalsta īstenošanu būtu jāsadarbojas ar Augsto pārstāvi. Komisijai būtu arī jāņem vērā ENISA sniegtie viedokļi par šādiem pieprasījumiem un atbalstu. Komisijai būtu jāinformē Padome par pieprasījumu novērtējuma rezultātiem, tostarp par attiecīgiem šajā sakarībā paustiem apsvērumiem, un par sniegtajiem pakalpojumiem.

(54)

Komisijas 2023. gada 18. aprīļa paziņojumā par Kiberprasmju akadēmiju atzīts kvalificētu speciālistu trūkums. Šādas prasmes ir vajadzīgas šīs regulas mērķu sasniegšanai. Savienībā ir steidzami vajadzīgi profesionāļi ar tādām prasmēm un kompetencēm, kas vajadzīgas, lai novērstu, atklātu un aizkavētu kiberuzbrukumus un aizsargātu Savienību, tostarp tās kritiski vissvarīgāko infrastruktūru, pret šādiem uzbrukumiem un nodrošinātu tās noturību. Minētajā nolūkā ir svarīgi veicināt sadarbību starp ieinteresētajām personām, tostarp privāto sektoru, akadēmiskajām aprindām un publisko sektoru. Vienlīdz svarīgi ir radīt sinerģiju visās Savienības teritorijās attiecībā uz investīcijām izglītībā un apmācībā, lai veicinātu aizsardzības pasākumu izveidi nolūkā novērst intelektuālā darbaspēka emigrāciju vai prasmju trūkuma palielināšanos dažos reģionos vairāk nekā citos. Ir steidzami jānovērš kiberdrošības prasmju trūkums, īpašu uzmanību pievēršot kiberdrošības darbaspēka dzimumu nevienlīdzības mazināšanai, lai veicinātu sieviešu klātbūtni un līdzdalību digitālās pārvaldības izveidē.

(55)

Lai veicinātu inovāciju digitālajā vienotajā tirgū, ir svarīgi stiprināt pētniecību un inovāciju kiberdrošības jomā, lai sekmētu dalībvalstu noturības uzlabošanu un Savienības atvērto stratēģisko autonomiju, kas abi ir šīs regulas mērķi. Sinerģija ir būtiska, lai stiprinātu sadarbību un koordināciju starp dažādām ieinteresētajām personām, tostarp privāto sektoru, pilsonisko sabiedrību un akadēmiskajām aprindām.

(56)

Šai regulai būtu jāņem vērā apņemšanās, kas izklāstīta Eiropas Parlamenta, Padomes un Komisijas 2022. gada 26. janvāra kopīgajā deklarācijā “Eiropas Deklarācija par digitālajām tiesībām un principiem digitālajai desmitgadei” aizsargāt Savienības demokrātiju, cilvēku, uzņēmumu un publisko iestāžu intereses pret kiberdrošības riskiem un kibernoziedzību, tostarp datu aizsardzības pārkāpumiem un identitātes zādzību vai manipulācijām.

(57)

Lai papildinātu dažus nebūtiskus šīs regulas elementus, būtu jādeleģē Komisijai pilnvaras saskaņā ar LESD 290. pantu precizēt to reaģēšanas pakalpojumu veidus un skaitu, kas vajadzīgi ES kiberdrošības rezervēm. Ir īpaši būtiski, lai Komisija, veicot sagatavošanas darbus, rīkotu atbilstīgas apspriešanās, tostarp ekspertu līmenī, un lai minētās apspriešanās tiktu rīkotas saskaņā ar principiem, kas noteikti 2016. gada 13. aprīļa Iestāžu nolīgumā par labāku likumdošanas procesu (20). Jo īpaši, lai deleģēto aktu sagatavošanā nodrošinātu vienādu dalību, Eiropas Parlaments un Padome visus dokumentus saņem vienlaicīgi ar dalībvalstu ekspertiem, un minēto iestāžu ekspertiem ir sistemātiska piekļuve Komisijas ekspertu grupu sanāksmēm, kurās notiek deleģēto aktu sagatavošana.

(58)

Lai nodrošinātu vienādus nosacījumus šīs regulas īstenošanai, būtu jāpiešķir īstenošanas pilnvaras Komisijai, lai papildus noteiktu detalizētu kārtību ES kiberdrošības rezervju atbalsta pakalpojumu piešķiršanai. Minētās pilnvaras būtu jāizmanto saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) Nr. 182/2011 (21).

(59)

Neskarot Līgumos paredzētos noteikumus par Savienības gada budžetu, Komisijai, kad tā novērtējot ENISA budžeta un personāla vajadzības, būtu jāņem vērā pienākumi, kas izriet no šīs regulas.

(60)

Komisijai būtu regulāri jāizvērtē šajā regulā paredzētie pasākumi. Pirmais šāds izvērtējums būtu jāveic pirmajos divos gados pēc šīs regulas spēkā stāšanās dienas un pēc tam vismaz reizi četros gados, ņemot vērā daudzgadu finanšu shēmas, kas pieņemta ievērojot LESD 312. pantu, pārskatīšanas grafiku. Komisijai būtu jāiesniedz Eiropas Parlamentam un Padomei progresa ziņojums. Lai novērtētu dažādos nepieciešamos elementus, tostarp Eiropas kiberdrošības trauksmes sistēmā nodotās informācijas apjomu, Komisijai būtu jābalstās tikai uz informāciju, kas ir viegli pieejama vai sniegta brīvprātīgi. Ņemot vērā ģeopolitiskās norises un mērķi nodrošināt šajā regulā noteikto pasākumu nepārtrauktību un turpmāku attīstību pēc 2027. gada, ir svarīgi, lai Komisija novērtētu vajadzību daudzgadu finanšu shēmā 2028.–2034. gadam paredzēt atbilstīgus budžeta līdzekļus.

(61)

Ņemot vērā to, ka šīs regulas mērķus, proti, stiprināt rūpniecības un pakalpojumu konkurētspēju Savienībā visā digitālajā ekonomikā un veicināt Savienības tehnoloģisko suverenitāti un atvērtu stratēģisko autonomiju kiberdrošības jomā, nevar pietiekami labi sasniegt atsevišķās dalībvalstīs, bet darbības mēroga vai iedarbības dēļ tos var labāk sasniegt Savienības līmenī, Savienība var pieņemt pasākumus saskaņā ar LES 5. pantā noteikto subsidiaritātes principu. Saskaņā ar minētajā pantā noteikto proporcionalitātes principu šajā regulā paredz vienīgi tos pasākumus, kas ir vajadzīgi minēto mērķu sasniegšanai,