EURÓPSKA KOMISIA

V Štrasburgu20. 1. 2026

COM(2026) 11 final

2026/0011(COD)

Návrh

NARIADENIE EURÓPSKEHO PARLAMENTU A RADY

o Agentúre Európskej únie pre kybernetickú bezpečnosť (ENISA), európskom rámci certifikácie kybernetickej bezpečnosti a bezpečnosti dodávateľského reťazca IKT a o zrušení nariadenia (EÚ) 2019/881 (akt o kybernetickej bezpečnosti 2)

(Text s významom pre EHP)

{SEC(2026) 11 final} - {SWD(2026) 11 final} - {SWD(2026) 12 final}

DÔVODOVÁ SPRÁVA

1.KONTEXT NÁVRHU

•Dôvody a ciele návrhu

V tejto súvislosti existujú štyri hlavné problémy, ktoré sa majú v tejto navrhovanej revízii aktu o kybernetickej bezpečnosti riešiť: i) nesúlad medzi politickým rámcom Únie v oblasti kybernetickej bezpečnosti a potrebami zainteresovaných strán v čoraz nepriateľskejšom prostredí hrozieb; ii) pozastavenie vykonávania európskeho rámca certifikácie kybernetickej bezpečnosti (ECCF); iii) zložitosť a rozmanitosť politík súvisiacich s kybernetickou bezpečnosťou, ktoré majú vplyv na úroveň kybernetickej bezpečnosti Únie, a iv) zvyšovanie sa bezpečnostných rizík v dodávateľských reťazcoch IKT.

Na základe hlavných zistených problémov sú dva všeobecné ciele intervencie zamerané na zvýšenie spôsobilostí a odolnosti v oblasti kybernetickej bezpečnosti a predchádzanie fragmentácii jednotného trhu:

·prispievaním k posilneniu riadenia kybernetickej bezpečnosti v Únii a pomáhaním zabezpečiť, aby príslušné inštitúcie, orgány a iné zainteresované strany boli lepšie pripravené koordinovane a účinne predchádzať kybernetickobezpečnostným hrozbám, odhaľovať ich a reagovať na ne, a

·podporovaním vývoja, vykonávania a zavádzania spoločných nástrojov kybernetickej bezpečnosti Únie, ako sú schémy certifikácie, a poskytovaním harmonizovaných rámcov, ktorými sa buduje dôvera a interoperabilita medzi členskými štátmi.

Tieto všeobecné ciele reagujú na kľúčové výzvy identifikované vo vymedzení problému. Zodpovedajú celkovému politickému cieľu posilniť riadenie kybernetickej bezpečnosti v Únii a podporiť rozvoj bezpečného, odolného a konkurencieschopného digitálneho jednotného trhu.

Na dosiahnutie uvedených všeobecných cieľov sa touto intervenciou sledujú tieto špecifické ciele:

·na riešenie nesúladu medzi politickým rámcom Únie v oblasti kybernetickej bezpečnosti a potrebami zainteresovaných strán:

·špecifický cieľ 1: vytvoriť kapacity na účinné vykonávanie politík Únie v oblasti kybernetickej bezpečnosti a nepretržitú operačnú spoluprácu, ktorá umožní štruktúrovanejšiu spoluprácu medzi členskými štátmi;

·špecifický cieľ 2: vyvíjať a implementovať prostriedky a mechanizmy na účinnú podporu a riešenie potrieb členských štátov, priemyslu a ďalších zainteresovaných strán;

·na riešenie obmedzeného využívania a účinnosti ECCF:

·špecifický cieľ 3: vytvoriť predpoklady na rýchlejšie poskytovanie schém certifikácie kybernetickej bezpečnosti na základe potrieb trhu rozšírením rozsahu pôsobnosti ECCF, zabezpečením účinnej údržby a agilných postupov a zvýšením transparentnosti;

·na riešenie roztriešteného prostredia dodržiavania predpisov a zložitosti horizontálnych a sektorových rámcov:

·špecifický cieľ 4: vytvoriť mechanizmy a podmienky na uľahčenie dodržiavania požiadaviek kybernetickej bezpečnosti, čím sa dosiahne ich súdržnejšie a účinnejšie vykonávanie;

·na riešenie rizík kybernetickej bezpečnosti v dodávateľskom reťazci:

·špecifický cieľ 5: odstrániť riziká kritických dodávateľských reťazcov IKT, ktoré predstavujú subjekty usadené v tretích krajinách, ktoré vzbudzujú obavy v oblasti kybernetickej bezpečnosti, alebo kontrolované subjektmi z takýchto krajín (vysokorizikoví dodávatelia), a znížiť kritické závislosti vytvorením koherentného a účinného rámca na úrovni EÚ na riešenie bezpečnostných rizík dodávateľského reťazca IKT.

Revízia aktu o kybernetickej bezpečnosti patrí do pôsobnosti Programu regulačnej vhodnosti a efektívnosti (REFIT). Výrazne prispieva k zvýšeniu prehľadnosti, odstráneniu neefektívnosti a zosúladeniu postupov v právnych rámcoch. Revíziou aktu o kybernetickej bezpečnosti sa prispieva k riadnemu fungovaniu vnútorného trhu a zároveň sa zabezpečuje bezpečnosť a strategická autonómia Únie.

Konkrétne sa v nej navrhuje úplná reforma mandátu Agentúry Európskej únie pre kybernetickú bezpečnosť (ENISA), ktorá by poskytla účinnú podporu pri vykonávaní politiky a pridanú hodnotu v podobe podpory operačnej spolupráce medzi členskými štátmi.

Keďže Únia čelí narastajúcim kybernetickobezpečnostným rizikám a výzvam, cieľom návrhu je zvýšiť objem finančných a ľudských zdrojov agentúry ENISA, aby sa odzrkadlilo jej posilnené poslanie, úlohy a jej rozhodujúce postavenie pri obrane digitálneho ekosystému Únie a aby sa agentúre ENISA umožnilo účinne plniť úlohy zverené týmto návrhom.

Revízia takisto pomôže odstrániť roztrieštené postupy, zlepší sa ňou koordinácia a zároveň sa dlhodobo znížia náklady na dodržiavanie predpisov a prevádzku. Zrušením súčasného aktu o kybernetickej bezpečnosti a zavedením reformovaného ECCF návrh prináša účinnejší a efektívnejší nástroj, ktorým sa podporuje dôvera medzi podnikmi, širokou verejnosťou a verejnými orgánmi, ako aj uľahčuje dodržiavanie príslušných právnych predpisov Únie. Zvyšuje sa ním efektívnosť revíziou modelu riadenia a podporou predvídateľnejších, koherentnejších a agilnejších certifikačných postupov, ktoré umožňujú rýchlejší vývoj a implementáciu schémy.

Väčšou synergiou s príslušnými existujúcimi právnymi rámcami Únie sa podporí certifikácia ako nástroj na dodržiavanie predpisov pre podniky a zníži sa administratívne zaťaženie orgánov posudzovania zhody, ktoré pôsobia v rámci viacerých právnych predpisov v oblasti kybernetickej bezpečnosti. Okrem toho sa v návrhu rozšírením rozsahu pôsobnosti ECCF a umožnením vypracovania schémy úrovne kybernetickej bezpečnosti subjektov znižujú náklady na dodržiavanie predpisov v prípade subjektov, na ktoré sa vzťahujú príslušné právne predpisy Únie v oblasti kybernetickej bezpečnosti, počnúc subjektmi, na ktoré sa vzťahuje smernica NIS 2. Týmto prístupom sa výrazne zjednodušia regulačné povinnosti pre subjekty, na ktoré sa vzťahujú viaceré požiadavky na dodržiavanie predpisov, a zabezpečí sa efektívnejšie využívanie zdrojov vo všetkých vnútroštátnych orgánoch. Okrem tejto revízie je cieľom návrhu smernice, ktorou sa zavádzajú cielené zmeny smernice NIS 2, zjednodušiť dodržiavanie a zabezpečiť zjednodušené a jednotné vykonávanie konkrétnych aspektov rámca kybernetickej bezpečnosti, a to aj pokiaľ ide o rozsah pôsobnosti, vymedzenie pojmov, nahlasovanie ransomvéru a dohľad nad subjektmi poskytujúcimi cezhraničné služby.

Novým nariadením sa vytvára aj harmonizovaný rámec na riešenie netechnických rizík ovplyvňujúcich dodávateľské reťazce IKT, čím sa znižuje súčasná roztrieštenosť prístupov v členských štátoch. Tieto aspekty spoločne predstavujú podstatné zjednodušenie a modernizáciu právneho rámca Únie pre kybernetickú bezpečnosť, ktorý je plne v súlade so zásadami jasnosti, účinnosti a digitálnej pripravenosti programu REFIT.

•Súlad s existujúcimi ustanoveniami v tejto oblasti politiky

 Únia rozšírila svoje právne a politické nástroje prijatím viacerých právnych nástrojov a politických opatrení: i) smernica NIS 2 slúži na posilnenie kybernetickej bezpečnosti kritickej infraštruktúry; ii) opatrenia týkajúce sa fyzickej bezpečnosti sú vymedzené v jej „sesterskej smernici“, smernici o odolnosti kritických subjektov (CER); iii) aktom o kybernetickej odolnosti sa zvyšuje kybernetická bezpečnosť produktov; iv) aktom o kybernetickej solidarite sa vytvárajú spôsobilosti reakcie v rámci celej EÚ; v) kybernetickou koncepciou EÚ 7 sa podporuje spolupráca na úrovni EÚ v oblasti krízového riadenia, v rámci ktorej Komisia a vysoká predstaviteľka zohrávajú kľúčovú úlohu pri príprave na rozsiahle kybernetické bezpečnostné incidenty a pri reakcii na ne; vi) súborom nástrojov EÚ pre kybernetickú bezpečnosť 5G (ďalej len „súbor nástrojov pre 5G“) sa podporuje kybernetická bezpečnosť v sieťach 5G; vii) Európsky akčný plán pre kybernetickú bezpečnosť nemocníc a poskytovateľov zdravotnej starostlivosti 8 pomáha zlepšiť ich kybernetickú bezpečnosť a viii) Akadémia zručností v oblasti kybernetickej bezpečnosti 9 rieši rastúci problém nedostatku odborníkov v oblasti kybernetickej bezpečnosti.

•Súlad s ostatnými politikami Únie

2.PRÁVNY ZÁKLAD, SUBSIDIARITA A PROPORCIONALITA

•Právny základ

•Subsidiarita (v prípade inej ako výlučnej právomoci)

Opatrenia, na ktoré sa vzťahuje navrhované nariadenie, ponúkajú jasnú pridanú hodnotu tým, že sa nimi podporuje harmonizácia, právna zrozumiteľnosť a koordinované reakcie na výzvy v oblasti kybernetickej bezpečnosti.

•Proporcionalita

•Výber nástroja

3.VÝSLEDKY HODNOTENÍ EX POST, KONZULTÁCIÍ SO ZAINTERESOVANÝMI STRANAMI A POSÚDENÍ VPLYVU

•Hodnotenia ex post/kontroly vhodnosti existujúcich právnych predpisov

·Relevantnosť: Význam agentúry ENISA v oblasti kybernetickej bezpečnosti podčiarkuje jej schopnosť reagovať na vyvíjajúce sa potreby zainteresovaných strán a prispôsobovať sa meniacemu sa prostrediu. Hoci spokojnosť zainteresovaných strán je vo všeobecnosti pozitívna, existujú príležitosti na zvýšenie vplyvu agentúry ENISA. Dá sa to dosiahnuť zlepšením podpory a zviditeľnením rôznych odvetví, najmä malých a stredných podnikov (MSP), ktoré často zápasia s požiadavkami kybernetickej bezpečnosti. Nevyhnutná je lepšia organizácia zdrojov a jasnejšia koordinácia s vnútroštátnymi orgánmi. Zmenou priorít činností a optimalizáciou existujúcich zdrojov sa agentúra ENISA lepšie prispôsobí dynamickým potrebám európskeho prostredia kybernetickej bezpečnosti.

Pokiaľ ide o ECCF, napriek jeho sľubným predpokladom sa stále považuje za rámec, ktorý má väčší potenciál ako praktický vplyv, keďže nedávno začala fungovať len jedna schéma certifikácie. Rámec je navrhnutý tak, aby sa bezproblémovo integroval s ostatnými právnymi aktmi Únie s cieľom zjednodušiť postupy a uľahčiť cezhraničný obchod. Jeho význam sa zdôrazňuje v oblastiach s vysokou úrovňou záruky, ako sú cloudové služby a infraštruktúry 5G.

·Účinnosť: Agentúra ENISA úspešne splnila svoj mandát a dosiahla takmer všetky plánované výstupy, pričom preukázala flexibilitu a odolnosť počas kríz, ako napríklad pandémia ochorenia COVID-19 a ruská útočná vojna proti Ukrajine. Na zvýšenie efektívnosti je však potrebné lepšie stanovovanie priorít, jasné zameranie a strategické prideľovanie zdrojov. Na prispôsobenie sa vyvíjajúcim sa požiadavkám kybernetickej bezpečnosti a minimalizáciu oneskorení je nevyhnutný agilnejší prístup k internému riadeniu.

Cieľom ECCF bolo harmonizovať certifikáciu kybernetickej bezpečnosti v celej Únii, ale narazilo sa na značné problémy vrátane procedurálnych obmedzení a roztrieštenosti, ktoré viedli k oneskoreniam a neefektívnosti, ako napríklad oneskorenie pri prijímaní európskej schémy certifikácie kybernetickej bezpečnosti založenej na spoločných kritériách (EUCC). Vonkajšie faktory, ako napríklad geopolitické napätie a pandémia ochorenia COVID-19, ešte viac skomplikovali dosiahnutie cieľov ECCF a zdôraznili potrebu prispôsobiteľných opatrení a konzistentného prideľovania zdrojov medzi zainteresovanými stranami s cieľom dosiahnuť jednotnosť a účinnosť certifikácie kybernetickej bezpečnosti. Napriek týmto prekážkam sa dosiahli pozitívne výsledky – najmä v oblasti zvyšovania povedomia členských štátov o význame a zložitosti certifikácie kybernetickej bezpečnosti.

·Efektívnosť: Agentúra ENISA fungovala efektívne v rámci svojho maticového organizačného rámca, ktorým sa podporovala spolupráca a určovanie priorít pri plnení úloh. Agentúra ENISA však čelila výzvam pri plnení rastúcich požiadaviek a obsadzovaní špecializovaných pozícií, čo sa ešte zhoršilo v dôsledku celosvetového nedostatku odborníkov v oblasti IT, čo viedlo k oneskoreniam a veľkému pracovnému zaťaženiu. Na riešenie týchto problémov by agentúra ENISA mohla optimalizovať svoju internú pracovnú silu a efektívne prerozdeliť zdroje, čo dokazujú strategické úpravy, ako napríklad presun zdrojov na opatrenie na podporu kybernetickej bezpečnosti v roku 2022. Zlepšenie rozpočtového riadenia a zníženie administratívnych výdavkov by navyše ešte viac zlepšilo prevádzkovú efektívnosť agentúry.

Účinnosť ECCF bola kritizovaná z dôvodu predĺženia lehôt na prijatie schém certifikácie kybernetickej bezpečnosti a súvisiacej zložitosti, pričom prvá schéma bola prijatá až začiatkom roka 2024, takmer päť rokov po prijatí aktu o kybernetickej bezpečnosti. K oneskoreniu prispeli politické a technické problémy, ako napríklad diskusie o dátovej suverenite a ťažkosti s premenou návrhov na právne akty. Politické výzvy a technické požiadavky bránia pokroku, ako je to vidieť v prípade schémy EÚ na certifikáciu cloudových služieb (EUCS) a schémy EÚ pre 5G. Napriek týmto neefektívnostiam priniesol rámec niekoľko pozitívnych aspektov. Naďalej je však potrebné zlepšiť zapojenie zainteresovaných strán a vnútorné riadenie, aby sa zabezpečilo optimálne fungovanie a strategický prínos.

·Súdržnosť: Súdržnosť agentúry ENISA je podporovaná významným zapojením zainteresovaných strán a zosúladením s najnovšími legislatívnymi rámcami. Na zlepšenie súdržnosti a prideľovania zdrojov je však nevyhnutné zlepšiť súčinnosť s inými orgánmi Únie, ako je Európske centrum priemyselných, technologických a výskumných kompetencií v oblasti kybernetickej bezpečnosti (ECCC), a vnútroštátnymi orgánmi. Okrem toho je potrebné zdokonaliť vnútornú komunikáciu a riadenie zdrojov v rámci agentúry ENISA, ako aj transparentnú interakciu so súkromnými zainteresovanými stranami. Jasným vymedzením úloh agentúry ENISA v súlade s aktom o kybernetickej odolnosti a smernicou NIS 2 sa zlepší efektívnosť aj regulačná konzistentnosť.

Pokiaľ ide o ECCF, úplný súlad s ostatnými legislatívnymi nástrojmi Únie vrátane smernice NIS 2 a aktu o kybernetickej odolnosti je rozhodujúci na zabezpečenie jednotného prístupu ku kybernetickej bezpečnosti. Hoci ECCF je s týmito legislatívnymi opatreniami teoreticky v súlade, jeho integrácia v reálnom svete je naďalej zložitá a vyžaduje si dôkladný dohľad. Významnou skúškou v tomto ohľade bude vykonávanie prijatej schémy EUCC v rámci aktu o kybernetickej odolnosti.

·Pridaná hodnota EÚ: Agentúra ENISA významne prispela k ekosystému kybernetickej bezpečnosti Únie podporou spolupráce a zosúladením postupov. Jej úloha pri uľahčovaní vnútroštátneho úsilia a poskytovaní informácií o vznikajúcich hrozbách bola veľmi dôležitá. Kritika zo strany zainteresovaných strán zo súkromného sektora, že je potrebná individuálnejšia podpora, však poukazuje na potrebu lepšieho zapojenia zainteresovaných strán a spolupráce v odvetví. Strategické opätovné posúdenie riadenia zdrojov by agentúre ENISA umožnilo lepšie sa prispôsobiť vyvíjajúcim sa výzvam v oblasti kybernetickej bezpečnosti a efektívnejšie slúžiť rôznym zainteresovaným stranám. Cieľom ECCF bolo zaviesť harmonizované certifikačné procesy, ale čelil problémom pri vykonávaní kvôli predĺženým lehotám a roztrieštenosti. Pridaná hodnota ECCF bola obmedzená v dôsledku nedostatkov pri dosahovaní jeho cieľov a jeho nedostatočnej účinnosti. Napriek týmto výzvam sa v rámci ECCF zlepšila harmonizácia medzi členskými štátmi a vytvorili sa lepšie možnosti spolupráce, najmä vytvorením fór spolupráce zainteresovaných strán, ako je európska skupina pre certifikáciu kybernetickej bezpečnosti (ECCG).

•Konzultácie so zainteresovanými stranami

V rokoch 2023 až 2025 sa uskutočnilo niekoľko konzultácií so zainteresovanými stranami v súvislosti s hodnotením aktu o kybernetickej bezpečnosti aj s revíziou aktu o kybernetickej bezpečnosti, ako sa uvádza ďalej.

–V roku 2023 sa uskutočnilo 65 rozhovorov (52 z nich bolo zameraných viac na agentúru ENISA a 13 najmä na ECCF), uskutočnil sa prieskumný program, na ktorý prišlo 209 odpovedí (z toho 70 o ECCF), ukončila sa verejná konzultácia a zorganizovali sa dva semináre – jeden o analýze SWOT (silné a slabé stránky, príležitosti a hrozby) s 26 účastníkmi a jeden o odporúčaniach so 70 účastníkmi. Cieľom týchto činností bolo konkrétne zhromaždiť názory zainteresovaných strán a vyhodnotiť vplyv, účinnosť a efektívnosť agentúry ENISA. Záverečná správa zo štúdie na podporu hodnotenia Agentúry Európskej únie pre kybernetickú bezpečnosť (ENISA) a európskeho rámca certifikácie kybernetickej bezpečnosti, ktorú pre Komisiu vypracovali spoločnosti PwC, Intellera Consulting a PPMI (2024), bola dokončená v decembri 2024. 

–V roku 2025 Komisia zverejnila výzvu na predkladanie podkladov. Zainteresované strany boli predovšetkým vyzvané, aby predložili písomné príspevky vrátane pozičných dokumentov, technických správ alebo pripomienok ku konkrétnym návrhom reforiem.  Celkovo bolo prijatých 184 jednotlivých príspevkov od širokého spektra kategórií zainteresovaných strán vrátane priemyselných združení, firiem zaoberajúcich sa kybernetickou bezpečnosťou, MSP, akademických inštitúcií a organizácií verejného záujmu.

–V období od apríla do júna 2025 Komisia zorganizovala verejnú konzultáciu v rámci revízie aktu o kybernetickej bezpečnosti a dostala 193 odpovedí. Konzultácia pozostávala z 38 otázok, uzavretých aj otvorených, ktoré sa týkali mandátu agentúry ENISA, ECCF, bezpečnosti dodávateľského reťazca IKT a zjednodušenia.

–Cielené konzultácie (rozhovory): S vybranými zainteresovanými stranami sa uskutočnila séria pološtruktúrovaných rozhovorov. Boli medzi nimi zástupcovia agentúry ENISA, ako aj vnútroštátne orgány verejnej správy, ktoré vytvorili alebo spravujú vnútroštátne oznamovacie platformy. Rozhovory sa zameriavali na úlohu a kapacitu agentúry ENISA, operačné fungovanie ECCF, praktické výzvy pri zosúlaďovaní certifikačných procesov na vnútroštátnej úrovni a na úrovni Únie, oznamovacie zaťaženie a prekážky pri vykonávaní. Tieto diskusie poskytli kvalitatívne poznatky, ktoré obohatili interpretáciu výsledkov verejnej konzultácie a podporili spresnenie možností politiky.

–Konzultácie so zástupcami členských štátov v rámci pracovnej skupiny Rady 19 a v rámci dvojstranných diskusií, počas ktorých mohli členské štáty vyjadriť svoje názory na revíziu aktu o kybernetickej bezpečnosti.

–Cielené konzultácie [skupiny ECCF – ECCG, skupina zainteresovaných strán pre certifikáciu kybernetickej bezpečnosti (SCCG)]: Komisia v úlohe predsedu oboch skupín predstavila aktuálny stav revízie aktu o kybernetickej bezpečnosti na zasadnutiach ECCG 12. marca a 3. júla 2025 a na zasadnutí SCCG 17. marca 2025. Okrem toho boli prostredníctvom dotazníkov zozbierané doplňujúce odborné stanoviská členov ECCG.

·mandát a operačná úloha agentúry ENISA vrátane podpory členských štátov a odborných znalostí v oblasti vznikajúcich technológií;

·účinnosť európskeho rámca certifikácie kybernetickej bezpečnosti vrátane procesov riadenia a vývoja;

·zložitosť a roztrieštenosť povinností v oblasti kybernetickej bezpečnosti s dôrazom na oznamovacie zaťaženie a potenciálne zjednodušenie;

·primeranosť požiadaviek pre MSP a možnosť diferencovaných ciest k dodržiavaniu predpisov a

·spoločenské a hospodárske vplyvy harmonizovaných pravidiel kybernetickej bezpečnosti vrátane vplyvu na spotrebiteľov, práva, inovácie a konkurencieschopnosť.

•Posúdenie vplyvu

Konečný návrh politiky sa neodchyľuje od možností posúdených v posúdení vplyvu.

Možnosti riešenia nesúladu politického rámca Únie v oblasti kybernetickej bezpečnosti a potrieb zainteresovaných strán v čoraz nepriateľskejšom prostredí

Možnosti pre ECCF

Možnosť B.1: Objasnenie rozsahu pôsobnosti, prvkov a cieľov ECCF a zavedenie mechanizmu údržby – touto možnosťou by sa zabezpečil nový mechanizmus údržby schém po ich prijatí, ktorý by zaviedla agentúra ENISA.

Možnosť B.2: Reforma ECCF revíziou jeho postupov a rozšírením rozsahu pôsobnosti s cieľom uľahčiť zjednodušenie dodržiavania právnych predpisov – touto možnosťou by sa zrušil akt o kybernetickej bezpečnosti a nahradil by sa novým nariadením. Pri možnosti B.1 by sa navyše zrevidovali postupy týkajúce sa žiadostí o schémy, ich vývoja a prijímania s cieľom zlepšiť zodpovednosť a účinnosť.

Možnosť B.3: Reforma ECCF podľa možnosti B.2 a zavedenie povinnej certifikácie úrovne kybernetickej bezpečnosti – táto možnosť by vychádzala z možnosti B.2, ale jej cieľom je ďalej zvýšiť vplyv rámca zavedením povinnej certifikácie kľúčových subjektov s ohľadom na konkrétne rizikové scenáre namiesto toho, aby sa spoliehala len na dobrovoľnú certifikáciu subjektov.

Možnosti zjednodušenia

Možnosť C.1: Prijatie prístupu založeného na právne nezáväzných nástrojoch a nelegislatívnych nástrojoch vrátane využitia existujúcich splnomocnení (prijatie vykonávacích aktov podľa článku 21 ods. 5 a článku 23 ods. 11 smernice NIS 2) – v tejto možnosti sa predpokladá prijatie vykonávacích aktov s využitím existujúcich splnomocnení podľa smernice NIS 2 s cieľom zabezpečiť vyšší stupeň harmonizácie opatrení na riadenie rizík kybernetickej bezpečnosti, prahových hodnôt na nahlasovanie incidentov, ako aj typu informácií, formátov a postupu oznamovania. Predpokladá sa aj prijatie súboru usmernení na zvýšenie právnej istoty a harmonizovaného vykonávania.

Možnosť C.2: Cielená intervencia – ďalšie zjednodušenie dodržiavania príslušného legislatívneho rámca Únie pre kybernetickú bezpečnosť – táto možnosť zahŕňa obmedzenú intervenciu zmenami aktu o kybernetickej bezpečnosti a smernice NIS 2 s cieľom zjednodušiť konkrétne aspekty rámca kybernetickej bezpečnosti vrátane úprav rozsahu pôsobnosti, maximálnej harmonizácie vykonávacích aktov, preukazovania dodržiavania predpisov prostredníctvom certifikácie a prijatia súboru usmernení, ako sa predpokladá v rámci možnosti C.1.

Možnosť D.1: Prístup k riešeniu rizík kybernetickej bezpečnosti pre dodávateľské reťazce IKT na základe právne nezáväzných nástrojov – v tejto možnosti by sa nepredpokladala regulačná intervencia na úrovni EÚ. Komisia by namiesto toho zvýšila počet koordinovaných posúdení rizík a dobrovoľných súborov nástrojov.

Možnosť D.2: Regulačná intervencia ad hoc kodifikujúca súbor nástrojov pre 5G – touto možnosťou by sa kodifikovali opatrenia súboru nástrojov pre 5G. Zaviedla by sa povinnosť členských štátov zabezpečiť, aby sa v kľúčových aktívach siete nepoužívali komponenty od vysokorizikových dodávateľov.

Táto kombinácia ponúka vyváženú reakciu na identifikované politické výzvy a výrazne zvyšuje účinnosť, efektívnosť a súdržnosť v celej Únii.

Zároveň sa očakáva, že zefektívnenie a zníženie povinností týkajúcich sa dodržiavania predpisov prinesie podnikom v priebehu piatich rokov úspory nákladov vo výške až 15,3 miliardy EUR. Zlepšenie celkovej úrovne kybernetickej bezpečnosti a technologickej suverenity Únie a stimulovanie inovácií a konkurencieschopnosti by okrem toho prinieslo značné výhody pre širokú verejnosť, verejné orgány a podniky. Očakáva sa, že z dlhodobého hľadiska to do značnej miery vykompenzuje počiatočné výdavky.

Znížením fragmentácie trhu a harmonizáciou regulačných požiadaviek sa uprednostňovanými možnosťami posilňuje rovnosť v hospodárskej súťaži v celej Únii a podnikom sa poskytujú jasnejšie cesty k dodržiavaniu predpisov a inováciám.

•Regulačná vhodnosť a zjednodušenie

•Základné práva

Legislatívny návrh sa posudzoval na základe jeho potenciálu posilniť alebo ohroziť základné práva a podporiť rovnosť a dôveru s osobitným dôrazom na spoločenské vplyvy a práva vrátane súkromia, ochrany údajov a schopnosti jednotlivcov pochopiť, uplatňovať a presadzovať svoje práva.

Rozšírenie mandátu agentúry ENISA prispeje k väčšej kybernetickej odolnosti celého hospodárstva a spoločnosti vo všeobecnosti, čo povedie k lepšej ochrane súkromia a osobných údajov ľudí. Návrhom sa takisto podporí vzdelávanie a odborná príprava v oblasti kybernetickej bezpečnosti, keďže sa v ňom objasňuje úloha agentúry ENISA pri rozvoji zručností pre pracovnú silu v oblasti kybernetickej bezpečnosti.

Okrem toho ECCF zvýši dôveru širokej verejnosti a podnikov v Únii v certifikované riešenia IKT, ktoré sa využívajú v každodennom živote. Zavedenie ďalších schém by tento vplyv ešte zvýšilo.

4.VPLYV NA ROZPOČET

5.ĎALŠIE PRVKY

•Plány vykonávania, spôsob monitorovania, hodnotenia a podávania správ

•Vysvetľujúce dokumenty (v prípade smerníc)

•Podrobné vysvetlenie konkrétnych ustanovení návrhu

Hlava II: ENISA (AGENTÚRA EURÓPSKEJ ÚNIE PRE KYBERNETICKÚ BEZPEČNOSŤ)

Komisia môže vo forme vykonávacích aktov identifikovať kľúčové aktíva IKT, ktoré používajú na výrobu výrobkov a poskytovanie služieb typy subjektov uvedené v prílohe I a prílohe II k smernici (EÚ) 2022/2555. V článku 102 sa ďalej podrobne uvádzajú prvky, ktoré sa majú zohľadniť pri identifikácii kľúčových aktív IKT. V článku 103 sa stanovujú potenciálne zmierňujúce opatrenia v dodávateľskom reťazci IKT. Komisia môže prostredníctvom vykonávacích aktov rozhodnúť, že subjekty pôsobiace v odvetviach s vysokou úrovňou kritickosti a v iných kritických odvetviach musia podliehať osobitným zmierňujúcim opatreniam, ktoré sú podrobnejšie uvedené v danom článku.

Komisia vo forme vykonávacích aktov vypracuje zoznamy vysokorizikových dodávateľov relevantných pre zákazy stanovené vo vykonávacích aktoch prijatých v súlade s článkom 103 ods. 1, článkom 103 ods. 7 alebo pre zákaz uvedený v článku 110 ods. 1 po vykonaní posúdenia sídla, vlastníctva a kontroly. Mala by sa poradiť s dotknutými dodávateľmi a príslušnými orgánmi (článok 104).

Subjekt usadený v tretej krajine, ktorá vzbudzuje obavy z hľadiska kybernetickej bezpečnosti a ktorá je určená v súlade s článkom 100, alebo kontrolovaný subjektmi z takejto krajiny môže požiadať o povolenie poskytovať komponenty IKT v kľúčových aktívach IKT subjektov typu uvedeného v prílohách I a II k smernici (EÚ) 2022/2555 a zúčastňovať sa na verejnom obstarávaní v súvislosti s poskytovaním takýchto komponentov IKT. V článku 105 sa uvádza, čo by mala žiadosť obsahovať a aký je postup pri takejto výnimke. V článku 106 sa stanovujú práva na obhajobu dotknutého subjektu. Komisia musí viesť verejne prístupný register rozhodnutí o výnimkách (článok 107). V článkoch 108 a 109 sa stanovujú pravidlá dôvernosti a poplatky súvisiace s postupom udeľovania výnimiek.

V kapitole II sa stanovuje uplatňovanie rámca dôveryhodného dodávateľského reťazca IKT na mobilné, pevné a satelitné elektronické komunikačné siete, čím sa zabezpečí súlad s navrhovaným aktom o digitálnych sieťach.

Kľúčové aktíva IKT pre mobilné, pevné a satelitné elektronické komunikačné siete sú uvedené v prílohe II. Prechodné obdobie postupného vyraďovania komponentov IKT od vysokorizikových dodávateľov pre kľúčové aktíva IKT mobilnej elektronickej komunikačnej siete nesmie presiahnuť 36 mesiacov od nadobudnutia účinnosti tohto nariadenia. Prechodné obdobia pre pevné a satelitné elektronické komunikačné siete stanoví Komisia na základe vykonávacích aktov. Komisia je splnomocnená prijať delegovaný akt na zmenu určených kľúčových aktív IKT a prechodných období vrátane budúcich mobilných generácií (článok 110). V článku 111 sa stanovuje, že poskytovatelia mobilných, pevných a satelitných elektronických komunikačných sietí nemôžu v žiadnej forme používať, inštalovať ani integrovať komponenty IKT od vysokorizikových dodávateľov a nemôže im byť udelené všeobecné ani individuálne oprávnenie.

Príslušné orgány, dohľad a presadzovanie práva, súdna právomoc, právo na obhajobu (kapitola III)

V kapitole III sa ďalej stanovujú pravidlá týkajúce sa príslušných orgánov, dohľadu, presadzovania práva a súdnej právomoci. 

V článkoch 112 až 114 sa stanovujú právomoci, prostriedky a povinnosti členských štátov pri zabezpečovaní vykonávania a presadzovania ustanovení hlavy IV. Členské štáty musia určiť jeden alebo viac príslušných orgánov, ktoré sa oznámia Komisii. V článku 113 sa stanovuje, že Komisia vytvorí sieť pre spoluprácu príslušných orgánov členských štátov a Komisie s cieľom uľahčiť dodržiavanie predpisov, zatiaľ čo v článku 114 sa špecifikujú opatrenia v oblasti dozoru a presadzovania práva, ktoré sú príslušné orgány oprávnené prijať. Sankcie v prípade porušenia ustanovení hlavy IV sú uvedené v článku 115. V článku 116 sa podrobne uvádza možnosť vzájomnej pomoci členských štátov v prípade, že subjekty vykonávajú cezhraničné činnosti alebo sa ich kľúčové aktíva IKT nachádzajú vo viacerých členských štátoch. V článku 117 sa stanovujú pravidlá súdnej právomoci a teritoriality.

2026/0011 (COD)

Návrh

NARIADENIE EURÓPSKEHO PARLAMENTU A RADY

o Agentúre Európskej únie pre kybernetickú bezpečnosť (ENISA), európskom rámci certifikácie kybernetickej bezpečnosti a bezpečnosti dodávateľského reťazca IKT a o zrušení nariadenia (EÚ) 2019/881 (akt o kybernetickej bezpečnosti 2)

(Text s významom pre EHP)

EURÓPSKY PARLAMENT A RADA EURÓPSKEJ ÚNIE,

so zreteľom na Zmluvu o fungovaní Európskej únie, a najmä na jej článok 114,

so zreteľom na návrh Európskej komisie,

po postúpení návrhu legislatívneho aktu národným parlamentom,

so zreteľom na stanovisko Európskeho hospodárskeho a sociálneho výboru 24 ,

so zreteľom na stanovisko Výboru regiónov 25 ,

konajúc v súlade s riadnym legislatívnym postupom,

keďže:

(1) Od prijatia nariadenia Európskeho parlamentu a Rady (EÚ) 2019/881 26 , prešlo geopolitické, technologické a politické prostredie významnými zmenami. Počet kybernetických bezpečnostných incidentov, či už spôsobených zlyhaním systému, ľudskou chybou, zlomyseľnými činmi alebo prírodnými javmi, prudko vzrástol a kybernetické útoky sú čoraz sofistikovanejšie, pričom postihujú kľúčové subjekty, podniky a širokú verejnosť. Ekosystém počítačovej kriminality sa rozšíril a jeho ústredným prvkom je využívanie ransomvéru. Zintenzívnili sa incidenty v dodávateľskom reťazci, či už spôsobené páchateľmi trestnej činnosti s cieľom získať finančný zisk alebo štátnymi aktérmi na účely narušenia, špionáže, dezinformácie alebo vedenia vojny. V rámci širšej hybridnej stratégie sa incidenty vyplývajúce zo škodlivých kybernetických činností a zlyhaní systémov šíria ďalej, narúšajú základné služby, podkopávajú dôveru v inštitúcie a ovplyvňujú spoločenskú a obrannú pripravenosť Únie. Ukázalo sa, že takéto incidenty môžu mať vplyv na hospodársku činnosť, finančnú stabilitu a životy ľudí. Zraniteľnosť kritickej civilnej infraštruktúry a systémov zároveň predstavuje riziko pre obranné spôsobilosti, ak sú na nich závislé.

(2)Súčasne majú vznikajúce technológie, ako je umelá inteligencia a kvantová výpočtová technika, rušivý vplyv na kybernetickú bezpečnosť a kybernetickú obranu. Menia nástroje obrany a taktiku protivníkov, predstavujú hrozby pre kybernetickú bezpečnosť a kybernetickú obranu a zároveň ponúkajú možnosti technologického pokroku. Hoci môžu prispieť ku kybernetickej bezpečnosti zlepšeným odhaľovaním hrozieb alebo automatizovaou reakciou na incidenty, zároveň zvyšujú celkový priestor na útoky na organizácie, sú potenciálnym cieľom manipulácie a môžu narušiť dlhodobú životaschopnosť bezpečnostných opatrení, ako je napríklad šifrovanie.

(3)S cieľom riešiť tento vývoj Únia posilnila svoje právne a politické nástroje. Smernicou Európskeho parlamentu a Rady (EÚ) 2022/2555 27 sa posilňuje kybernetická bezpečnosť kritickej infraštruktúry a dopĺňa ju smernica Európskeho parlamentu a Rady (EÚ) 2022/2557 28 pre fyzickú bezpečnosť. Nariadením Európskeho parlamentu a Rady (EÚ) 2024/2847 29 sa zvyšuje kybernetická bezpečnosť produktov s digitálnymi prvkami. Nariadením Európskeho parlamentu a Rady (EÚ) 2025/38 30 sa buduje schopnosť reakcie na úrovni celej Únie a odporúčaním Rady zo 6. júna 2025 týkajúcim sa koncepcie EÚ pre riadenie kybernetických kríz 31 (ďalej len „odporúčanie o kybernetickej koncepcii“) sa podporuje spolupráca na úrovni Únie v oblasti krízového riadenia. Súbor nástrojov EÚ pre kybernetickú bezpečnosť 5G 32 predstavuje prvý krok smerom ku koordinovanému prístupu k zabezpečeniu sietí 5G na úrovni Únie. Oznámenie Komisie o Akadémii zručností v oblasti kybernetickej bezpečnosti 33 sa zaoberá rastúcim problémom nedostatku talentov v oblasti kybernetickej bezpečnosti. Okrem toho bol rámec kybernetickej bezpečnosti posilnený právnymi predpismi pre jednotlivé odvetvia, najmä nariadením Európskeho parlamentu a Rady (EÚ) 2022/2554 34 pre finančný sektor, delegovaným nariadením Komisie (EÚ) 2024/1366 35 pre pododvetvie elektrickej energie, delegovaným nariadením Komisie (EÚ) 2022/1645 36 a vykonávacím nariadením Komisie (EÚ) 2023/203 37 (PART-IS), ako aj príslušnými pravidlami bezpečnostnej ochrany letectva stanovenými v nariadení Komisie (EÚ) 2019/1583 38 pre pododvetvie leteckej dopravy a ďalšími politickými dokumentmi, ako napríklad oznámenie Komisie o akčnom pláne EÚ pre kybernetickú bezpečnosť nemocníc a poskytovateľov zdravotnej starostlivosti 39 . Subjekty Únie sú posilnené aj nariadením Európskeho parlamentu a Rady (EÚ, Euratom) 2023/2841 40 , v ktorom sa stanovujú opatrenia zamerané na dosiahnutie vysokej spoločnej úrovne kybernetickej bezpečnosti v rámci inštitúcií, orgánov, úradov a agentúr Únie. V tomto posilnenom právnom rámci pre kybernetickú bezpečnosť sa ďalej špecifikovali úlohy agentúry ENISA.

(4)V tejto súvislosti a ako sa uvádza v ProtectEU: európskej stratégii vnútornej bezpečnosti 41 , Stratégii únie pripravenosti 42 , zabezpečenie pripravenosti, bezpečnosti a odolnosti spoločnosti a hospodárstva Únie si vyžaduje silnú európsku koordináciu, dôveru a výmenu informácií medzi zainteresovanými stranami, spoľahlivé rámce na zaistenie bezpečnosti produktov IKT, služieb IKT a procesov IKT a riadených bezpečnostných služieb, ako aj rast a posilnenie pracovnej sily v oblasti kybernetickej bezpečnosti. Ďalej sa v nich vyzýva na posilnenie dodávateľských reťazcov IKT zabezpečením európskej technologickej suverenity nad kľúčovými aktívami, čo by zvýšilo odolnosť Únie a mohlo by byť prínosom pre úsilie v oblasti kybernetickej obrany. Okrem toho sa v oznámení o posilnení hospodárskej bezpečnosti EÚ 43 ako prioritné ciele uvádzajú potreby zabrániť prístupu k citlivým informáciám a údajom, ktoré by mohli ohroziť hospodársku bezpečnosť EÚ, a predchádzať narušeniam kritickej infraštruktúry EÚ, ktoré majú vplyv na hospodárstvo EÚ, a zmierňovať ich. Uznáva sa, že v tejto súvislosti zohrávajú zásadnú úlohu účinné opatrenia v oblasti kybernetickej bezpečnosti.

(5)Rozsiahle kybernetické bezpečnostné incidenty, ktoré majú vplyv na kritickú infraštruktúru, digitálne služby alebo základné spoločenské funkcie, môžu mať vplyv na obyvateľstvo, čo si vyžaduje koordinované opatrenia v oblasti civilnej ochrany a krízového riadenia na úrovni Únie. V súlade s prístupom zohľadňujúcim všetky nebezpečenstvá, ktorý je zakotvený v Európskej stratégii únie pripravenosti a v rozhodnutí č. 1313/2013/EÚ o mechanizme Únie v oblasti civilnej ochrany by sa opatrenia týkajúce sa situačného povedomia, reakcie na incidenty a cvičení podľa tohto nariadenia mali začleniť do krízového riadenia Únie, najmä prostredníctvom Koordinačného centra pre reakcie na núdzové situácie (ERCC).

(6)Tento návrh je v súlade s [návrhom smernice, ktorou sa dopĺňa [revízia nariadenia (EÚ) 2019/881] a mení smernica (EÚ) 2022/2555, pokiaľ ide o zjednodušenie vykonávania opatrení na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v celej Únii], ako aj s [návrhom nariadenia o zjednodušení digitálnych právnych predpisov (súhrnný balík opatrení v digitálnej oblasti) 44 , v ktorom sa stanovuje povinnosť agentúry ENISA vytvoriť jednotné kontaktné miesto pre nahlasovanie incidentov, prostredníctvom ktorého si subjekty môžu súčasne plniť svoje povinnosti týkajúce sa nahlasovania incidentov podľa viacerých právnych aktov, a je nimi doplnený.

(7)Nariadením Európskeho parlamentu a Rady (ES) č. 460/2004 45 sa zriadila agentúra ENISA s cieľom prispieť k zabezpečeniu vysokej a účinnej úrovne sieťovej a informačnej bezpečnosti v Únii a k vybudovaniu kultúry sieťovej a informačnej bezpečnosti v prospech občanov, spotrebiteľov, podnikov a verejnej správy. Mandát agentúry ENISA bol trikrát predĺžený, kým jej bol nariadením (EÚ) 2019/881 udelený trvalý mandát. S cieľom lepšie reagovať na potreby vyplývajúce z vývoja prostredia hrozieb a technologického prostredia, najmä pokiaľ ide o operačnú spoluprácu a zvýšenú potrebu odborníkov v oblasti kybernetickej bezpečnosti, by sa mal mandát agentúry ENISA ďalej posilniť. V záujme právnej istoty by sa nariadenie (EÚ) 2019/881 malo nahradiť.

(8)Vo vyvíjajúcom sa prostredí hrozieb, v ktorom sú kybernetické bezpečnostné incidenty čoraz závažnejšie, je zabezpečenie dôvery jednotlivcov, verejných orgánov a podnikov pri každodennom používaní technológií ešte dôležitejšie ako kedykoľvek predtým. Zvýšenie dôvery môže uľahčiť posilnená celoúnijná certifikácia ECCF, ktorou sa zabezpečia spoločné požiadavky kybernetickej bezpečnosti a hodnotiace kritériá naprieč vnútroštátnymi trhmi a odvetviami. V novom rámci by sa mali stanoviť hlavné horizontálne požiadavky na európske schémy certifikácie kybernetickej bezpečnosti a umožniť, aby sa európske certifikáty kybernetickej bezpečnosti a EÚ vyhlásenia o zhode uznávali a používali vo všetkých členských štátoch. Pritom by sa mal stanoviť postup a rámec riadenia, ktorý umožní včasný a predvídateľný vývoj a udržiavanie európskych schém certifikácie kybernetickej bezpečnosti. Európske schémy certifikácie kybernetickej bezpečnosti by sa mali uplatňovať jednotne vo všetkých členských štátoch, aby sa zabezpečilo harmonizované vykonávanie požiadaviek kybernetickej bezpečnosti, vyrovnali sa podmienky a zabránilo sa tzv. nakupovaniu certifikátov na základe rôznych úrovní prísnosti v rôznych členských štátoch. Agentúra ENISA by mala zohrávať kľúčovú úlohu pri zabezpečovaní vývoja schém prostredníctvom technických špecifikácií a pri zabezpečovaní technickej aktualizácie týchto schém. Okrem toho by mal rámec v záujme účinného uspokojovania potrieb trhu poskytovať možnosť certifikácie opatrení na riadenie rizík kybernetickej bezpečnosti určených subjektom a uľahčovať súlad s inými platnými právnymi predpismi Únie v oblasti kybernetickej bezpečnosti. Zosúladenie s platnými právnymi predpismi Únie, ako je nariadenie (EÚ) 2024/2847 a smernica (EÚ) 2022/2555, je nevyhnutné na to, aby európske schémy certifikácie kybernetickej bezpečnosti prispeli k zníženiu záťaže podnikov v oblasti dodržiavania predpisov, zvýšili svoju atraktívnosť a posilnili kybernetickú odolnosť Únie.

(9)Poslaním agentúry ENISA by mala byť podpora členských štátov a subjektov Únie pri dosahovaní vysokej úrovne kybernetickej bezpečnosti, odolnosti a dôvery v Únii. Na tento účel by agentúra ENISA mala pôsobiť ako referenčný bod pre poradenstvo a odborné znalosti v oblasti kybernetickej bezpečnosti a jej práca by sa mala sústrediť predovšetkým na štyri kľúčové oblasti kybernetickej bezpečnosti na úrovni Únie. Po prvé, agentúra ENISA by mala podporovať členské štáty pri dôslednom vykonávaní politiky a právnych predpisov Únie týkajúcich sa kybernetickej bezpečnosti a pomáhať členským štátom činnosťami budovania kapacít, aby neustále zlepšovali svoje kapacity v oblasti pripravenosti, odolnosti a reakcie. Po druhé, agentúra ENISA by mala prispievať k operačnej spolupráci na úrovni Únie, medzi členskými štátmi a k zlepšeniu spoločného situačného povedomia o kybernetických hrozbách a incidentoch medzi členskými štátmi a subjektmi Únie. Treťou kľúčovou oblasťou by mala byť certifikácia a normalizácia kybernetickej bezpečnosti a štvrtou by malo byť zavedenie Akadémie zručností v oblasti kybernetickej bezpečnosti, ktorá by mala prispieť k rozvoju prosperujúcej európskej pracovnej sily v oblasti kybernetickej bezpečnosti, ktorej zručnosti by mali byť prenosné medzi členskými štátmi.

(10)Nariadením (EÚ, Euratom) 2023/2841, ktorým sa stanovujú opatrenia na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v inštitúciách, orgánoch, úradoch a agentúrach Únie, sa stanovuje mandát tímu CERT-EU a tento tím sa ustanovuje ako služba kybernetickej bezpečnosti pre inštitúcie, orgány, úrady a agentúry Únie s cieľom prispievať k bezpečnosti neutajovaného prostredia IKT subjektov Únie tým, že im poskytuje poradenstvo v oblasti kybernetickej bezpečnosti, podporuje ich pri prevencii, odhaľovaní, riešení, zmierňovaní incidentov, reakcii na ne a obnove po nich a pôsobí ako ich koordinačné centrum pre výmenu informácií o kybernetickej bezpečnosti a reakciu na incidenty. Úlohou tímu CERT-EU je okrem toho ponúkať subjektom Únie príslušné služby v oblasti kybernetickej bezpečnosti. Agentúra ENISA by v rámci svojho poslania mala takisto podporovať subjekty Únie. Mala by tak robiť najmä prostredníctvom štruktúrovanej spolupráce s tímom CERT-EU v oblasti budovania kapacít, operačnej spolupráce a dlhodobých strategických analýz kybernetických hrozieb. V relevantných prípadoch môže agentúra ENISA využiť štruktúrovanú spoluprácu s tímom CERT-EU v oblasti služieb alebo podpory kybernetickej bezpečnosti agentúry ENISA, ktoré môžu mať pre subjekty Únie pridanú hodnotu, a to koordinovaným spôsobom s cieľom zabezpečiť synergie úsilia tímu CERT-EU.

(11)Jednou z hlavných úloh agentúry ENISA by mala byť podpora členských štátov pri jednotnom vykonávaní politiky a práva Únie v oblasti kybernetickej bezpečnosti, najmä pokiaľ ide o smernicu (EÚ) 2022/2555, nariadenie (EÚ) 2024/2847 a nariadenie (EÚ) 2025/38. S cieľom pomôcť dosiahnuť konzistentné a účinné vykonávanie acquis Únie v oblasti kybernetickej bezpečnosti by agentúra ENISA mala na tento účel vydávať technické usmernenia a správy, poskytovať poradenstvo a najlepšie postupy a uľahčovať výmenu najlepších postupov medzi príslušnými orgánmi. Agentúra ENISA okrem toho posudzuje stav kybernetickej bezpečnosti v Únii a na tento účel prijíma správu v súlade s článkom 18 smernice (EÚ) 2022/2555. Agentúra ENISA by mala byť takisto schopná reagovať na žiadosti členských štátov a v náležitých prípadoch subjektov Únie o poradenstvo a pomoc v záležitostiach, na ktoré sa vzťahuje mandát agentúry ENISA.

(12)S cieľom stimulovať spoluprácu medzi verejným a súkromným sektorom a v rámci súkromného sektora, najmä na podporu ochrany kritickej infraštruktúry, by agentúra ENISA mala podporovať výmenu informácií v rámci sektorov a medzi nimi, najmä v sektoroch uvedených v prílohách I a II k smernici (EÚ) 2022/2555, a informácií týkajúcich sa produktov s digitálnymi prvkami, ktoré patria do rozsahu pôsobnosti nariadenia (EÚ) 2024/2847. Takáto podpora môže mať podobu poskytovania najlepších postupov a usmernení k dostupným nástrojom a postupom, ako aj poskytovania usmernení k tomu, ako riešiť regulačné problémy súvisiace so zdieľaním informácií, napríklad uľahčením zriadenia sektorových stredísk pre výmenu a analýzu informácií (ISAC).

(13)S cieľom podporovať a uľahčovať strategickú spoluprácu a výmenu informácií by agentúra ENISA mala prispievať k práci skupiny pre spoluprácu zriadenej smernicou (EÚ) 2022/2555 (ďalej len „skupina pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti“), a to najmä poskytovaním odborných znalostí, poradenstva a uľahčovaním výmeny najlepších postupov, okrem iného v súvislosti s cezhraničnými závislosťami, pokiaľ ide o riziká a incidenty. Agentúra ENISA by mala prispievať aj k práci skupiny pre európsku spoluprácu v oblasti digitálnej identity zriadenej nariadením Európskeho parlamentu a Rady (EÚ) č. 910/2014 46 , európskej skupiny pre certifikáciu kybernetickej bezpečnosti a skupiny pre administratívnu spoluprácu (ADCO) zriadenej nariadením (EÚ) 2024/2847.

(14)Verejným jadrom otvoreného internetu, najmä jeho hlavnými protokolmi a infraštruktúrou, ktoré sú celosvetovým verejným statkom, sa zabezpečuje základná funkčnosť internetu ako celku a jeho bežná prevádzka. Agentúra ENISA by v rámci svojho mandátu mala podporovať bezpečnosť a odolnosť verejného jadra otvoreného internetu a stabilitu jeho fungovania, okrem iného vrátane bezpečného zavádzania a prevádzky kľúčových protokolov (najmä systému doménových mien, protokolu BGP a internetového protokolu verzie 6) a prevádzky systému doménových mien (ako je prevádzka všetkých domén najvyššej úrovne), a to presadzovaním najlepších postupov, usmernení a spolupráce v súlade so zavedenými globálnymi mechanizmami správy internetu, v ktorých je zapojených viacero zainteresovaných strán, a príslušnými úlohami a povinnosťami príslušných medzinárodných technických a prevádzkových orgánov.

(15)Agentúra ENISA pôsobí ako referenčný bod pre poradenstvo a odborné znalosti v oblasti kybernetickej bezpečnosti. Na žiadosť Komisie by jej preto agentúra ENISA mala pomáhať prostredníctvom odborných znalostí, technického poradenstva, informácií, analýz vrátane štúdií uskutočniteľnosti, stanovísk a prípravných prác týkajúcich sa akejkoľvek konkrétnej záležitosti v oblasti kybernetickej bezpečnosti s cieľom prispievať k tvorbe politiky Komisie a uľahčiť jej monitorovanie vykonávania právnych predpisov Únie v oblasti kybernetickej bezpečnosti.

(16)Podobne by agentúra ENISA mala vzhľadom na svoje odborné znalosti pomáhať členským štátom v ich úsilí vybudovať a zdokonaľovať spôsobilosti a pripravenosť na predchádzanie kybernetickým hrozbám a incidentom, ich odhaľovanie a reakciu na ne, ako aj vo vzťahu k bezpečnosti sietí a informačných systémov. Agentúra ENISA by mala najmä podporovať rozvoj a posilňovanie jednotiek pre riešenie počítačových bezpečnostných incidentov (ďalej len „CSIRT“) stanovených v smernici (EÚ) 2022/2555, aby jednotky CSIRT dosiahli v rámci Únie vysoký spoločný stupeň pokročilosti.

(17)Agentúra ENISA podporuje a mala by naďalej podporovať členské štáty pri vypracúvaní a vykonávaní usmernení pre ich národné stratégie kybernetickej bezpečnosti, čím by prispela k prijatiu a vykonávaniu stratégií kybernetickej bezpečnosti vo všetkých členských štátoch. Agentúra ENISA by mala podporovať šírenie takýchto stratégií prostredníctvom interaktívnej mapy národných stratégií kybernetickej bezpečnosti a mala by ďalej sledovať pokrok v ich vykonávaní, a to aj poskytovaním podpory pri vypracúvaní kľúčových ukazovateľov výkonnosti v tejto súvislosti.

(18)Nariadením (EÚ, Euratom) 2023/2841 sa Medziinštitucionálnej rade pre kybernetickú bezpečnosť uložila úloha podporovať subjekty Únie pri zvyšovaní úrovne ich kybernetickej bezpečnosti a tímu CERT-EU sa uložilo prispievať k bezpečnosti neutajovaného prostredia IKT všetkých subjektov Únie. Agentúra ENISA by na základe svojich skúseností v oblasti kybernetickej bezpečnosti mala podporovať Medziinštitucionálnu radu pre kybernetickú bezpečnosť a tím CERT-EU pri plnení ich úloh v súlade s nariadením (EÚ, Euratom) 2023/2841, a to aj prispievaním k analýze kybernetických hrozieb, situačnému povedomiu, kybernetickobezpečnostným cvičeniam, koordinácii reakcie na incidenty a výmene know-how a najlepších postupov.

(19)Na základe odborných znalostí agentúry ENISA a s cieľom doplniť spôsobilosti vnútroštátnych verejných orgánov a orgánov Únie by agentúra ENISA mala poskytovať odbornú prípravu s využitím európskeho rámca zručností v oblasti kybernetickej bezpečnosti (ECSF) ako základu, najmä na podporu účinného vykonávania politiky, operačnej spolupráce a zvyšovania informovanosti.

(20)S cieľom zabezpečiť súčinnosť s Európskym centrom priemyselných, technologických a výskumných kompetencií v oblasti kybernetickej bezpečnosti (ECCC) a sieťou národných koordinačných centier zriadenou podľa nariadenia Európskeho parlamentu a Rady (EÚ) 2021/887 47 , by ich agentúra ENISA mala podporovať výmenou informácií o súčasných a vznikajúcich rizikách a kybernetických hrozbách vrátane rizík a hrozieb týkajúcich sa informačných a komunikačných technológií.

(21)V Stratégii únie pripravenosti sa zdôrazňuje, že digitálna gramotnosť, ktorá spočíva v získaní základných digitálnych zručností, je nevyhnutná na posilnenie odolnosti občanov voči potenciálnym krízam. Ako sa však zdôrazňuje v oznámení Komisie o únii zručností 48 , takmer polovica dospelej populácie nemá základné digitálne zručnosti napriek tomu, že ich vyžaduje viac ako 90 % pracovných miest. S cieľom zabezpečiť, aby súčasná a potenciálna budúca pracovná sila mala potrebné zručnosti v rýchlo sa vyvíjajúcom digitálnom prostredí, a prispieť k rozvoju európskeho fondu talentov v oblasti kybernetickej bezpečnosti by agentúra ENISA mala podporovať aktivity zamerané na zvyšovanie povedomia o kybernetickej bezpečnosti, ktorých cieľom je prilákať talenty a pomôcť informovať o vzdelaní a zručnostiach potrebných v oblasti kybernetickej bezpečnosti, ako je napríklad Európska výzva v oblasti kybernetickej bezpečnosti. V tejto súvislosti by agentúra ENISA mala koordinovať súťaže v oblasti kybernetickej bezpečnosti, podujatia typu „capture the flag“ a podobné praktické cvičenia ako prostriedok rozvoja zručností v oblasti kybernetickej bezpečnosti a posilňovania budovania kapacít v celej Únii. Agentúra ENISA by mala pri vykonávaní činností na zvyšovanie informovanosti zabezpečiť, aby tieto činnosti reagovali na potreby vnútroštátnych orgánov verejnej správy a subjektov Únie, ako aj na potreby podnikov, najmä MSP, a vzdelávacích inštitúcií a inštitúcií poskytujúcich odbornú prípravu, a to zachovaním praktických rámcov a školení, ako je napríklad zvyšovanie informovanosti v skratke. Agentúra ENISA by mala ďalej vypracúvať praktické a realizovateľné usmernenia na podporu vykonávania politiky a právnych predpisov Únie v oblasti kybernetickej bezpečnosti. Agentúra ENISA by sa mala takisto usilovať o to, aby poskytovala relevantné informácie o platných schémach certifikácie, napríklad poskytovaním usmernení a odporúčaní.

(22)Na podporu podnikov pôsobiacich v odvetví kybernetickej bezpečnosti, používateľov riešení kybernetickej bezpečnosti a na zabezpečenie účinného vykonávania hlavy III tohto nariadenia by agentúra ENISA mala vytvoriť a udržiavať „monitor trhu“ tak, že bude pravidelne analyzovať hlavné trendy na trhu kybernetickej bezpečnosti a šíriť o nich informácie, a to na strane dopytu, ako aj ponuky. Okrem toho by agentúra ENISA mala na podporu používateľov rezervy EÚ na účely kybernetickej bezpečnosti zriadenej podľa nariadenia (EÚ) 2025/38 pripraviť mapovanie služieb, ktoré títo používatelia potrebujú, a dostupnosti takýchto služieb podľa uvedeného nariadenia.

(23)Kybernetické hrozby sú globálnym problémom. Na zlepšenie kybernetickej bezpečnosti je potrebná užšia medzinárodná spolupráca vrátane vymedzenia spoločných noriem správania a spoločných prístupov. Na tento účel by agentúra ENISA mala podporovať spoluprácu Únie s tretími krajinami so zameraním na krajiny, ktoré sú kandidátmi na pristúpenie k Únii, a s medzinárodnými organizáciami, ako je NATO, a v náležitých prípadoch poskytovať Komisii a príslušným subjektom Únie potrebné odborné znalosti a analýzy. Činnosti agentúry ENISA v medzinárodnej oblasti by mali byť vždy v súlade s prioritami Únie.

(24)S cieľom pomôcť dosiahnuť vysokú úroveň kybernetickej bezpečnosti v Únii by agentúra ENISA mala podporovať operačnú spoluprácu medzi členskými štátmi v spolupráci s tímom CERT-EU, medzi subjektmi Únie a medzi zainteresovanými stranami. Na tento účel by sa mala úloha agentúry ENISA posilniť. Agentúra ENISA by sa mala stať členom siete jednotiek CSIRT a prispievať k výmene a analýze informácií v sieti. Agentúra ENISA by mala ďalej presadzovať a podporovať spoluprácu medzi príslušnými jednotkami CSIRT v prípade incidentov, útokov alebo narušení sietí alebo infraštruktúry, ktoré jednotky CSIRT spravujú alebo chránia. Aktívna podpora agentúry ENISA pre prácu siete jednotiek CSIRT a Európskej siete styčných organizácií pre kybernetické krízy (EU-CyCLONe) by mala umožniť týmto sieťam pokračovať v posilňovaní úrovne ich vyspelosti. Úloha agentúry ENISA pri podpore takejto spolupráce zahŕňa boj proti hrozbám pre bezpečnosť a integritu demokratických inštitúcií, volieb a iných procesov a kritickej infraštruktúry, od ktorej závisia, v súlade s oznámením Európsky štít na ochranu demokracie: opora silných a odolných demokracií 49 .

(25)Na podporu budovania kapacít, operačnej spolupráce a dlhodobých strategických analýz kybernetických hrozieb by agentúra ENISA mala využívať dostupné technické a operačné odborné znalosti tímu CERT-EU formou štruktúrovanej spolupráce, napríklad prostredníctvom osobitných dohôd.

(26)S cieľom posilniť kybernetickú bezpečnosť v celej Únii a zabezpečiť rýchlu a účinnú reakciu na kybernetické hrozby by agentúra ENISA mala podporovať členské štáty na ich žiadosť, a to aj poskytovaním poradenstva pri zlepšovaní ich spôsobilostí predchádzať incidentom, odhaľovať ich, reagovať na ne a zotavovať sa z nich, uľahčovaním technického riešenia významných incidentov v zmysle smernice (EÚ) 2022/2555, najmä podporou dobrovoľného zdieľania technických riešení medzi členskými štátmi, alebo zabezpečením analýzy kybernetických hrozieb a incidentov. Agentúra ENISA by takisto mala pomáhať sieti EU-CyCLONe pri príprave správ pre politickú úroveň Únie a členských štátov.

(27)Aby sa znížilo vystavenie vonkajšiemu zasahovaniu, manipulácii dodávateľského reťazca a exfiltrácii strategických údajov, mala by agentúra ENISA v rámci siete jednotiek CSIRT a siete EU-CyCLONe využívať nástroje bezpečnej komunikácie. Na základe odporúčania o kybernetickej koncepcii by takéto nástroje mali poskytovať právnické osoby, ktoré sú usadené alebo sa považujú za usadené v Únii a sú pod kontrolou členských štátov alebo ich štátnych príslušníkov.

(28)S cieľom prispieť k pripravenosti a reakcii na úrovni Únie v prípade rozsiahlych kybernetických bezpečnostných incidentov a kríz by agentúra ENISA mala vykonávať činnosti zamerané na situačné povedomie v oblasti kybernetickej bezpečnosti.

(29) Prístup k overeným a spoľahlivým spravodajským informáciám o kybernetických hrozbách v reálnom čase je kľúčový pre budovanie spoločného situačného povedomia v Únii. Agentúra ENISA, Komisia, tím CERT-EU a Európske centrum boja proti počítačovej kriminalite (EC3) pri Europole už vytvorili archívy spravodajských informácií o kybernetických hrozbách, ktoré sú prispôsobené ich špecifickým potrebám. Agentúra ENISA a ostatné príslušné subjekty Únie by mali dobrovoľne spolupracovať na vtváraní archívov overených a spoľahlivých spravodajských informácií o kybernetických hrozbách v reálnom čase a usilovať sa o synergie s cieľom zabezpečiť úspory z rozsahu a posilniť správne finančné riadenie. Táto práca by mala zahŕňať aj sektorové subjekty Únie, ako je napríklad Agentúra EÚ pre vesmírny program. Mali by zdieľať len odvodené analýzy, trendy a taktiky, techniky a postupy, nie prvotné zdroje, a mali by rešpektovať nezávislosť subjektov pri riadení ich životného cyklu spravodajských informácií o kybernetických hrozbách v súlade s ich mandátmi a pravidlami potreby poznať.

(30)S cieľom prispieť k včasnej a koordinovanej reakcii by agentúra ENISA mala byť schopná vydávať včasné varovania pred potenciálnymi alebo prebiehajúcimi významnými alebo rozsiahlymi incidentmi alebo kybernetickými hrozbami potenciálnej cezhraničnej povahy pre dotknutú jednotku alebo dotknuté jednotky CSIRT a v náležitých prípadoch sieť jednotiek CSIRT a sieť EU-CyCLONe, najmä vo vzťahu k subjektom uvedeným v prílohách I a II k smernici (EÚ) 2022/2555. Informácie v takýchto včasných varovaniach môžu zahŕňať verejne známe zraniteľnosti a to, či sa týkajú produktov s digitálnymi prvkami, na ktoré sa vzťahuje nariadenie (EÚ) 2024/2847, ako aj techniky a postupy, indikátory kompromitácie, nepriateľské taktiky, informácie špecifické pre aktéra hrozby a odporúčania týkajúce sa zmierňujúcich opatrení.

(31) Aby sa zachovala dôvera a neohrozilo sa zdieľanie informácií, je dôležité, aby agentúra ENISA používala viditeľné označenia, ktoré naznačujú, do akej miery sa dokument alebo informácie, ktoré vytvorila alebo získala, môžu ďalej zdieľať. Podobne by agentúra ENISA mala používať dokumenty alebo informácie, ktoré dostane na účely vykonávania svojich činností, s výhradou prípadných obmedzení prostredníctvom viditeľného označenia týkajúceho sa ďalšieho šírenia týchto informácií.

(32)S cieľom pomôcť zvýšiť informovanosť o ukazovateľoch kybernetických hrozieb a odporúčaniach týkajúcich sa zmierňujúcich opatrení by agentúra ENISA mala sprístupniť službu včasného varovania subjektom pôsobiacim v odvetviach uvedených v prílohách I a II k smernici (EÚ) 2022/2555. Takéto všeobecné, dobrovoľné včasné varovania by mali byť prínosom najmä pre MSP a mali by sa poskytovať v strojovo čitateľnom formáte, ktorý by bol verejne dostupný. V každom prípade je takáto dobrovoľná služba oddelená od akýchkoľvek verejno-súkromných partnerstiev, ktoré agentúra ENISA môže vytvoriť alebo už vytvorila, a nesúvisí s nimi.

(33)Na podporu spoločného situačného povedomia Únie v oblasti kybernetickej bezpečnosti by mala agentúra ENISA v úzkej spolupráci s členskými štátmi vypracúvať pravidelné podrobné technické situačné správy o kybernetickej bezpečnosti v EÚ, ktoré sa týkajú incidentov a kybernetických hrozieb a ktoré vychádzajú z verejne dostupných informácií, jej vlastných analýz a správ, ktoré jej poskytli jednotky CSIRT členských štátov alebo národné jednotné kontaktné miesta pre bezpečnosť sietí a informačných systémov (ďalej len „jednotné kontaktné miesta“) stanovené v smernici (EÚ) 2022/2555, v oboch prípadoch na dobrovoľnom základe, ako aj Europol a tím CERT-EU. Táto správa by sa mala sprístupniť Rade, Európskej službe pre vonkajšiu činnosť, sieti EU-CyCLONe, sieti jednotiek CSIRT, Komisii a Europolu.

(34)S cieľom zlepšiť spoločné situačné povedomie zainteresovaných strán o prostredí kybernetických hrozieb a incidentov by agentúra ENISA mala analyzovať trendy v oblasti kybernetických hrozieb a incidentov. Malo by to zahŕňať pravidelnú analýzu zameranú na odvetvia s vysokou úrovňou kritickosti a iné kritické odvetvia uvedené v prílohách I a II k smernici (EÚ) 2022/2555 vrátane odvetvia zdravotníctva, energetiky a dopravy. Takáto analýza by mala zahŕňať úrovne vyspelosti odvetví a okrem iného identifikovať možné výzvy špecifické pre dané odvetvie. V relevantných prípadoch a s cieľom identifikovať účinky na dodávateľský reťazec by analýza mala preukázať kybernetické hrozby a trendy týkajúce sa kategórií výrobkov, na ktoré sa vzťahuje nariadenie (EÚ) 2024/2847. Agentúra ENISA by mala rozvíjať odborné znalosti v oblasti kybernetickej bezpečnosti infraštruktúr a ich kritických závislostí v dodávateľskom reťazci, najmä s cieľom podporiť odvetvia uvedené v prílohách I a II k smernici (EÚ) 2022/2555 a vykonávanie nariadenia (EÚ) 2024/2847. Na tento účel by agentúra ENISA mala v náležitých prípadoch spolupracovať aj s inými príslušnými subjektmi Únie.

(35)Na lepšie pochopenie výziev v oblasti kybernetickej bezpečnosti musí agentúra ENISA ďalej analyzovať súčasné a vznikajúce technológie a poskytovať tematické posúdenia očakávaného spoločenského, právneho, hospodárskeho a regulačného vplyvu technologických inovácií na kybernetickú bezpečnosť. S cieľom zabezpečiť ľahší prístup verejnosti k informáciám o kybernetickobezpečnostných rizikách a možných nápravných opatreniach môže agentúra ENISA poskytovať príslušné informácie na svojom webovom sídle, a to užívateľsky prívetivým a dobre štruktúrovaným spôsobom.

(36)Posilnená úloha agentúry ENISA pri zvyšovaní situačného povedomia, analýze hrozieb a poskytovaní technického poradenstva prispeje k posilneniu kolektívneho úsilia v oblasti kybernetickej bezpečnosti v súvislosti s produktmi s digitálnymi prvkami a podporí vykonávanie nariadenia (EÚ) 2024/2847. V súlade s nariadením (EÚ) 2024/2847 môže agentúra ENISA navrhnúť orgánom dohľadu nad trhom spoločné činnosti na kontrolu zhody produktov s digitálnymi prvkami a určiť kategórie produktov s digitálnymi prvkami, v prípade ktorých sa môžu organizovať kontrolné akcie. Informácie vyplývajúce z analýzy kybernetických hrozieb a včasných varovaní by mali posilniť podporu, ktorú agentúra ENISA poskytuje týmto orgánom, a prispieť k účinnému presadzovaniu nariadenia (EÚ) 2024/2847 s cieľom predchádzať účinkom kybernetických útokov na dodávateľský reťazec na celom vnútornom trhu a zlepšiť celkovú pripravenosť Únie.

(37)Ransomvérové útoky predstavujú pre Úniu významnú kybernetickobezpečnostnú hrozbu. Agentúra ENISA by mala v záujme zvýšenia kybernetickej bezpečnosti Únie a boja proti ransomvéru rozvíjať spôsobilosti situačného povedomia a na podporu reakcie na incidenty a obnovu po nich. Pri poskytovaní pomoci jednotlivým kľúčovým a dôležitým subjektom pri reakcii na ransomvérový útok a pri zotavovaní sa z neho by agentúra ENISA mala úzko spolupracovať s Europolom a v náležitých prípadoch s jednotkami CSIRT alebo príslušnými orgánmi, a tak čerpať z osvedčených skúseností Europolu v boji proti trestnej činnosti súvisiacej s ransomvérom. Takáto pomoc by mala dopĺňať činnosti jednotiek CSIRT podporujúce reakciu na incidenty. V záujme dosiahnutia synergií v práci proti ransomvéru by agentúra ENISA mala zriadiť asistenčné pracovisko a na tento účel by mohla spojiť príslušné spôsobilosti a služby na boj proti ransomvéru a zabezpečiť ľahkú dostupnosť informácií, usmernení a nástrojov, ktoré môžu pomôcť kľúčovým a dôležitým subjektom reagovať na ransomvérový incident a zotaviť sa z neho.

(38)Agentúra ENISA by mala poskytovať technické odborné znalosti a podporu Komisii pri príprave ročného priebežného programu kybernetickobezpečnostných cvičení na úrovni Únie v súlade s odporúčaním o kybernetickej koncepcii s cieľom pripraviť sa na kybernetické krízy, otestovať úroveň kybernetickej bezpečnosti subjektov, ktoré sa na takýchto cvičeniach zúčastňujú, a minimalizovať duplicitu úsilia. Agentúra ENISA by mala napríklad poskytnúť poradenstvo o vhodných typoch cvičení, ako sú simulačné a hybridné cvičenia alebo cvičenia za reálnych podmienok, ako aj o cieľoch, scenároch a účasti.

(39)Prístup k správnym a včasným informáciám o zraniteľnostiach a spoľahlivé riadenie zraniteľností sú nevyhnutné na zabezpečenie vysokej úrovne kybernetickej bezpečnosti na vnútornom trhu. Z tohto dôvodu by agentúra ENISA mala viesť európsku databázu zraniteľností podľa smernice (EÚ) 2022/2555 a vytvoriť spoločnú kapacitu služieb Únie na riadenie zraniteľností, čím sa zabezpečí odolná a udržateľná úroveň služieb a zníži sa riziko ich narušenia. Na tento účel by agentúra ENISA mala preskúmať možnosti prehĺbenia štruktúrovanej spolupráce s programami, registrami alebo databázami podobnými európskej databáze zraniteľností, aby sa predišlo duplicite úsilia a aby sa v náležitých prípadoch hľadala komplementárnosť na medzinárodnej úrovni. Agentúra ENISA by okrem toho mala podporovať viacstranné koordinované zverejňovanie informácií o zraniteľnostiach na úrovni Únie a poskytovať služby s pridanou hodnotou, ako sú poradenstvo o zraniteľnostiach, hodnotenie závažnosti a zoznamy produktov, ako aj poskytovať rozšírený európsky katalóg známych zneužívaných zraniteľností s cieľom pomôcť subjektom pri ich riadení zraniteľností.

(40)Úloha agentúry ENISA pri rozvoji ECCF by mala byť kľúčovým aspektom jej mandátu. Agentúra ENISA by mala poskytovať svoje technické odborné znalosti počas celého životného cyklu európskych schém certifikácie kybernetickej bezpečnosti. Vzhľadom na budúcu schému by agentúra ENISA mala identifikovať existujúce normy alebo technické špecifikácie, ktoré môžu byť základom takejto schémy, a v náležitých prípadoch sama navrhnúť samotné technické špecifikácie, na ktoré sa možno v schéme odvolávať. Agentúra ENISA by mala byť zodpovedná za vypracovanie kandidátskej schémy na základe žiadosti Komisie. V prípade už zavedených schém by mala byť za ich údržbu zodpovedná agentúra ENISA. Agentúra ENISA by pritom mala prispievať k budovaniu a rozvoju certifikačného ekosystému, v rámci ktorého sa bude vyhľadávať spätná väzba členských štátov a súkromných zainteresovaných strán a posilňovať ich certifikačné kapacity. Sem by mala patriť aj prevádzka špecializovaného webového sídla o certifikácii, na ktorom by boli voľne a verejne prístupné príslušné informácie týkajúce sa prijatých schém vrátane certifikátov a vyhlásení o zhode.

(41)S cieľom podporiť vykonávanie príslušných právnych predpisov Únie by agentúra ENISA mala formovať súčasný stav kybernetickej bezpečnosti poskytovaním technických špecifikácií na podporu vykonávania príslušných právnych predpisov Únie, a to aj vzhľadom na potenciálne odkazovanie na tieto špecifikácie v európskych schémach certifikácie kybernetickej bezpečnosti. Agentúra ENISA by mala takisto monitorovať tvorbu a vývoj noriem príslušnými normalizačnými orgánmi s cieľom sledovať normalizačné trendy na európskej a celosvetovej úrovni a v prípade potreby tieto normy formovať účasťou na činnostiach normalizačných organizácií, a to aj prostredníctvom vypracúvania príspevkov, a vedením týchto činností. Agentúra ENISA by pritom mala zostať nestranná. Môže napríklad nastať situácia, keď by sa agentúra ENISA mala stiahnuť z príslušných činností v normalizačných orgánoch, ak je agentúra ENISA požiadaná o posúdenie európskych noriem, ktoré si vyžiadala Komisia na podporu právnych predpisov Únie. Agentúra ENISA by sa nemala podieľať na príprave noriem, ktorých posudzovaním je poverená.

(42)S cieľom podporiť vykonávanie politík Únie a prípravu potenciálnych normalizačných činností by agentúra ENISA mala prispievať k vývoju a hodnoteniu kryptografických algoritmov, najmä v oblasti postkvantovej kryptografie. V tejto súvislosti môže agentúra ENISA na žiadosť Komisie a na základe dohody o príspevku, ako sa vymedzuje v nariadení Európskeho parlamentu a Rady (EÚ, Euratom) 2024/2509 50 , v prípade kryptografických algoritmov zaviesť proces získavania a hodnotenia algoritmov príslušnými zainteresovanými stranami, najmä kryptografickou, akademickou a výskumnou komunitou, ako aj výrobcami, jednotkami CSIRT, vnútroštátnymi orgánmi pre certifikáciu kybernetickej bezpečnosti a príslušnými orgánmi podľa smernice (EÚ) 2022/2555. Ak agentúra ENISA prispieva k zavádzaniu takýchto procesov, mala by podporovať spoluprácu medzi príslušnými zainteresovanými stranami a vykonávať organizačné aspekty. Tento proces by mal byť formálny, otvorený, transparentný a inkluzívny, vrátane konzultácií s príslušnými zainteresovanými stranami o návrhu minimálnych požiadaviek a hodnotiaceho procesu a hodnotiacich kritérií, najmä pokiaľ ide o bezpečnosť a výkon hodnotení.

(43)Na podporu vykonávania činností posudzovania zhody podľa európskych schém certifikácie kybernetickej bezpečnosti a iných príslušných právnych predpisov Únie môže agentúra ENISA poskytovať príslušné technické testovacie nástroje na podporu členských štátov, podnikov a orgánov posudzovania zhody pri činnostiach hodnotenia. Cieľom takýchto nástrojov by malo byť vytvorenie synergií na úrovni Únie a efektívne fungovanie postupov posudzovania zhody s cieľom uspokojiť potreby členských štátov a potreby trhu. Takéto potreby môžu vzniknúť napríklad v oblasti bezpečnosti už v štádiu návrhu na podporu podnikov vrátane malých a stredných podnikov pri ich vykonávacom úsilí v kontexte nariadenia 2024/2847. V tejto súvislosti by agentúra ENISA mala vyberať poplatky na pokrytie príslušných nákladov súvisiacich so zriadením, návrhom, vývojom, údržbou a aktualizáciou potrebných softvérových a hardvérových kapacít pre takéto testovacie nástroje.

(44)S cieľom podporiť členské štáty v ich úsilí o riešenie nedostatku odborníkov v oblasti kybernetickej bezpečnosti a rastúcej potreby kvalifikovanej, rôznorodej (aj pokiaľ ide o rodovú vyváženosť) a pružnej pracovnej sily a umožniť mobilitu a pripravenosť pracovnej sily v členských štátoch by agentúra ENISA mala vychádzať zo zásad a práce, ktoré sa začali v rámci Akadémie zručností v oblasti kybernetickej bezpečnosti. Agentúra ENISA by mala najmä vytvoriť európsky rámec zručností v oblasti kybernetickej bezpečnosti (ďalej len „ECSF“) ako spoločný rámec pre profily rol odborníkov v oblasti kybernetickej bezpečnosti. Agentúra ENISA by mala ďalej podporovať členské štáty pri riešení rodových rozdielov v úlohách v oblasti kybernetickej bezpečnosti. Tento prístup je v súlade s víziou načrtnutou v oznámení Komisie o únii zručností a prispel by k jej cieľom. Malo by sa ďalej skúmať zavedenie značky kvality pre európske osvedčenia o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti.

(45)ECSF by mal byť praktickým a flexibilným nástrojom, ktorý sa bude používať na dobrovoľnom základe a ktorý poskytne spoločné chápanie a terminológiu príslušných rol a súvisiacich úloh, zručností a vedomostí, ktoré sa väčšinou vyžadujú na pozíciách v oblasti kybernetickej bezpečnosti, s cieľom podporiť identifikáciu kritických súborov zručností vrátane prierezových zručností potrebných pre pracovnú silu a umožniť poskytovateľom vzdelávania vrátane spoločností, inštitúcií vysokoškolského vzdelávania alebo poskytovateľov odborného vzdelávania a prípravy navrhovať programy a pomôcť tvorcom politík rozvíjať iniciatívy na riešenie nedostatku zručností. Keďže má potenciál byť používaný ako referenčný rámec na uznávanie zručností, mal by byť interoperabilný aj s európskou klasifikáciou zručností a povolaní (ESCO), aby sa podporili oddelenia ľudských zdrojov pri pochopení požiadaviek na plánovanie zdrojov, nábor a kariérny rozvoj na podporu potrieb kybernetickej bezpečnosti. Zatiaľ čo v DigComp 3.0 sa opisujú vedomosti, zručnosti a postoje, ktoré sú potrebné na získanie digitálnych kompetencií pre každodenný život, účasť v spoločnosti, prácu a vzdelávanie a môžu ich využívať dospelí aj deti, ECSF ponúka jednoduchý rámec, v ktorom sa identifikujú roly v oblasti kybernetickej bezpečnosti a súvisiace úlohy, vedomosti a zručnosti potrebné na ich vykonávanie. V tejto súvislosti je zameraný na špecializované publikum v oblasti kybernetickej bezpečnosti, od súčasných alebo potenciálnych odborníkov v oblasti kybernetickej bezpečnosti, cez vzdelávacie inštitúcie až po zamestnávateľov. Rámcom ECSF by sa mal takisto podporovať rozvoj európskych osvedčení o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti tým, že bude kľúčovým nástrojom používaným na tvorbu schém, ktorý umožní vznik nových účastníkov trhu a podporí hospodársku súťaž na trhu v spoločnom rámci. ECSF by sa mal pravidelne vyhodnocovať a aktualizovať, aby sa zabezpečilo, že primerane zodpovedá potrebám trhu práce v oblasti kybernetickej bezpečnosti, technologickému a politickému vývoju. Agentúra ENISA by mala podporovať zavádzanie ECSF členskými štátmi a subjektmi Únie a v rámci nich a poskytovať primeranú podporu, ak je takáto pomoc potrebná.

(46)Zručnosti a kvalifikácie v oblasti kybernetickej bezpečnosti by mali byť porovnateľné, transparentné a dôveryhodné na celom vnútornom trhu. Na tento účel by sa mali európskymi osvedčeniami o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti 51 podporovať zamestnávatelia vrátane MSP a startupov pri efektívnom nábore skutočných alebo potenciálnych odborníkov v oblasti kybernetickej bezpečnosti v rámci členských štátov a medzi nimi v súlade s cieľmi stanovenými v oznámení o únii zručností. S cieľom zabezpečiť konzistentné vykonávanie vo všetkých členských štátoch by mali byť európske osvedčenia o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti založené na spoločnom chápaní zručností potrebných na splnenie týchto cieľov na úrovni Únie a mali by ich poskytovať poskytovatelia, ktorým agentúra ENISA udelila autorizáciu na základe spoločného súboru kritérií. Tento prístup by mal byť v súlade s cieľmi budúcej iniciatívy na zaistenie prenosnosti zručností a mal by k nim prispievať.

(47)Cieľom vývoja európskych schém osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti by malo byť doplnenie opatrení členských štátov tým, že sa verejným orgánom a hospodárskym subjektom ponúkne možnosť využívať európsky mechanizmus osvedčovania v súlade s podpornou právomocou Únie v oblasti vzdelávania a odbornej prípravy, ako sa uvádza v článku 6 písm. e), článku 165 ods. 1 a článku 166 ods. 1 ZFEÚ. Tieto schémy spolu s prácou Akadémie zručností v oblasti kybernetickej bezpečnosti môžu takisto predstavovať základ pre programy vysokoškolského vzdelávania, ako sú sektorové európske diplomy, a rozvoj mikrokreditov. Cieľom európskych schém osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti by preto nemala byť harmonizácia právnych predpisov v členských štátoch, ale skôr by sa mali považovať za nástroj a príležitosť, ktorú môžu členské štáty a hospodárske subjekty chcieť využiť a podporiť.

(48)Agentúra ENISA by mala zabezpečiť, aby sa európske schémy osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti naďalej približovali potrebám trhu a aby vychádzali zo skúseností verejných aj súkromných poskytovateľov individuálnych certifikácií vrátane členských štátov, inštitúcií vysokoškolského vzdelávania, inštitúcií odborného vzdelávania a prípravy a podnikov. Agentúra ENISA by mala s Komisiou konzultovať stanovenie priorít európskych schém osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti, pričom by mala náležite zohľadniť vykonávanie politiky a potreby trhu.

(49)S cieľom zabezpečiť súlad medzi ECSF a schémami by revízia profilu roly ECSF mala automaticky spustiť hodnotenie vhodnosti súvisiacej európskej schémy alebo schém osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti, čo môže viesť k ich preskúmaniu.

(50)Vzhľadom na rôznorodosť profilov rol v oblasti kybernetickej bezpečnosti a súvisiacich úloh, zručností a vedomostí môže byť v jednotlivých európskych schémach osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti potrebné prispôsobiť posudzovanie jednotlivcov a metódy posudzovania. Každou schémou by sa malo zabezpečiť, aby sa posúdenie požadovaných zručností jednotlivca z hľadiska vzdelávacích výstupov, v náležitých prípadoch vrátane hodnotenia úrovne odbornej spôsobilosti, systematicky hodnotilo na základe profilu roly ECSF alebo jeho podskupiny. Metódy posudzovania môžu zahŕňať prvky, ako sú testovanie teoretických vedomostí, praktická skúška, predbežné podmienky a partnerské hodnotenie. Skúsenosti jednotlivcov by sa mali náležite zohľadniť.

(51)S cieľom zabezpečiť jednotné vykonávanie európskych schém osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti, najmä pokiaľ ide o posúdenie jednotlivcov, by agentúra ENISA mala zabezpečiť povinnú odbornú prípravu pre pracovníkov zodpovedných za vykonávanie posúdenia jednotlivcov. Takíto pracovníci by mali mať skúsenosti v oblasti kybernetickej bezpečnosti, ktoré by mohli preukázať držaním európskeho osvedčenia o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti pre profil roly, v prípade ktorého vykonávajú posúdenie, a to na úrovni odbornej spôsobilosti minimálne rovnocennej s úrovňou odbornej spôsobilosti osôb, ktoré posudzujú.

(52)Úlohou autorizovaných poskytovateľov osvedčení je osvedčiť vedomosti a kompetencie jednotlivca, aby bol schopný vykonávať jednu z rol ECSF, a poskytnúť záruku zamestnávateľom v celej Únii. Keďže na uistenie o kvalite zručností a kompetencií osôb, ktoré získavajú európske osvedčenie o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti, by prihliadali aj zamestnávatelia, ktorí prevádzkujú kritickú infraštruktúru Únie, autorizovaní poskytovatelia, ktorí osvedčujú úroveň zručností a kompetencií, by mali byť dôveryhodní z hľadiska kybernetickej bezpečnosti a nemali by podliehať neprípustnému vplyvu tretej krajiny, ktorá môže vzbudzovať obavy z hľadiska kybernetickej bezpečnosti. Preto by subjekty usadené v tretej krajine, ktorá vzbudzuje obavy z hľadiska kybernetickej bezpečnosti a ktorá je určená v súlade s týmto nariadením, alebo kontrolované takouto treťou krajinou, subjektom usadeným v takejto tretej krajine alebo štátnym príslušníkom takejto tretej krajiny (vysokorizikoví dodávatelia) v súlade s týmto nariadením nemali byť oprávnení stať sa autorizovanými poskytovateľmi európskych osvedčení o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti podľa hlavy II oddielu 4.

(53) S cieľom zabezpečiť, aby osoby, ktoré sú držiteľmi európskeho osvedčenia o zručnostiach v oblasti kybernetickej bezpečnosti, mohli toto osvedčenie ľahko používať a zdieľať a aby sa takéto osvedčenie mohlo používať vo všetkých členských štátoch, by autorizovaní poskytovatelia osvedčení mali zabezpečiť, aby sa na žiadosť danej osoby vydávali elektronické osvedčenia európskych osvedčení o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti do európskej peňaženky digitálnej identity (peňaženka EUDI) zriadenej nariadením (EÚ) č. 910/2014. Autorizovaní poskytovatelia osvedčení by sa mali považovať za poskytovateľov dôveryhodných služieb a mali by podliehať režimu dohľadu a zodpovednosti stanovenému v nariadení (EÚ) č. 910/2014. Schéma osvedčovania atribútov používaná podľa vykonávacieho nariadenia Komisie (EÚ) 2025/1569 52 by mala byť zaregistrovaná v katalógu schém osvedčovania atribútov stanovenom v uvedenom vykonávacom nariadení.

(54)S cieľom prispieť k rozvoju pracovnej sily v oblasti kybernetickej bezpečnosti a k prenosnosti zručností v rámci Únie by agentúra ENISA mala európske schémy osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti a zoznam autorizovaných poskytovateľov osvedčení sprístupniť verejnosti prostredníctvom osobitného webového sídla.

(55)Agentúra ENISA by sa mala spravovať a prevádzkovať so zreteľom na zásady spoločného prístupu k decentralizovaným agentúram Únie, ktoré 19. júla 2012 prijali Európsky parlament, Rada a Komisia 53 . Odporúčania v spoločnom prístupe by sa mali v náležitých prípadoch odraziť aj v pracovných programoch agentúry ENISA, jej hodnoteniach a jej praxi v oblasti podávania správ a administratívy.

(56)Aby správna rada mohla účinne vykonávať svoje funkcie, najmä pri riadení celkového smerovania činností agentúry ENISA a stanovovaní jej strategických priorít, je nevyhnutné, aby sa skladala zo zástupcov členských štátov a Komisie na vysokej úrovni. Na tento účel by mal každý členský štát vymenovať za člena správnej rady vedúceho príslušného vnútroštátneho orgánu tohto členského štátu zodpovedného za kybernetickú bezpečnosť určeného podľa článku 8 ods. 1 smernice (EÚ) 2022/2555.

(57)S cieľom zabezpečiť, aby náhradníci v správnej rade mohli primerane plniť svoje úlohy, by členské štáty mali vymenovať náhradníkov, ktorí majú primerané odborné znalosti a skúsenosti. Pokiaľ ide o náhradníkov, Komisia a členské štáty by sa mali usilovať o dosiahnutie vyváženého zastúpenia mužov a žien v správnej rade a mali by obmedziť ich fluktuáciu, aby sa zabezpečila kontinuita práce správnej rady.

(58)Aby mohla agentúra ENISA účinne plniť svoje poslanie, mala by správna rada zložená zo zástupcov členských štátov a Komisie stanoviť všeobecné smerovanie činnosti agentúry ENISA vrátane jej strategických priorít a zabezpečiť, aby agentúra vykonávala svoje úlohy v súlade s týmto nariadením. Správna rada by mala mať potrebné právomoci na zostavovanie rozpočtu a overovanie jeho plnenia, prijatie vhodných rozpočtových pravidiel, stanovenie transparentných pracovných postupov rozhodovania agentúry ENISA, prijatie jednotného programového dokumentu agentúry ENISA, prijatie vlastného rokovacieho poriadku, menovanie výkonného riaditeľa, rozhodovanie o predĺžení a ukončení jeho funkčného obdobia a rozhodovanie o vytvorení funkcie zástupcu výkonného riaditeľa, a ak sa takáto funkcia vytvorí, o jeho vymenovaní, ako aj o predĺžení a ukončení jeho funkčného obdobia. Každú osobu, ktorá v rámci agentúry ENISA vykonáva výkonnú funkciu, by preto mala vymenovať správna rada. Správna rada by mala byť zodpovedná aj za vymenovanie alebo odvolanie členov odvolacej rady, ako aj za stanovenie pravidiel na predchádzanie konfliktom záujmov v tejto súvislosti alebo ich riešenie.

(59)S cieľom pomôcť zabezpečiť, aby agentúra ENISA stanovila svoje strategické priority a aby ich udržiavala v aktuálnom stave, by mala správna rada usporiadať aspoň jedno zasadnutie ročne venované strategickým prioritám agentúry ENISA. S cieľom zabezpečiť, aby boli zasadnutia správnej rady efektívne a aby ich účastníci boli dobre informovaní, môže správna rada na svoje zasadnutia prizvať akúkoľvek osobu, ktorej názor by mohol byť relevantný a zaujímavý vzhľadom na prerokúvané témy, aby poskytla svoje poznatky, odborné znalosti alebo rady. Takáto osoba by bola ad hoc pozorovateľom bez hlasovacieho práva.

(60)Pokiaľ sa v tomto nariadení nestanovuje inak, správna rada by mala prijímať rozhodnutia absolútnou väčšinou hlasov svojich členov s hlasovacím právom. Vzhľadom na dôležitosť rozpočtových a personálnych záležitostí, najmä záležitostí týkajúcich sa ročného rozpočtu, výročnej správy o činnosti, stratégie boja proti podvodom, vykonávacích predpisov, ktorými sa vykonáva služobný poriadok, vymenovania výkonného riaditeľa, zástupcu výkonného riaditeľa a účtovníka, následných opatrení v nadväznosti na zistenia Európskeho úradu pre boj proti podvodom (OLAF) a Európskej prokuratúry (EPPO) a prijatia rozpočtových pravidiel agentúry ENISA, by mala správna rada prijímať takéto rozhodnutia len vtedy, ak zástupca Komisie hlasuje kladne. Na účely prijatia rozhodnutia o prijatí konečného jednotného programového dokumentu po zohľadnení stanoviska Komisie by sa malo vyžadovať kladné hlasovanie zástupcu Komisie len o prvkoch rozhodnutia, ktoré sa netýkajú ročného a viacročného pracovného programu agentúry ENISA.

(61)K efektívnej činnosti správnej rady by mala prispievať výkonná rada. V rámci prípravných prác spojených s rozhodnutiami správnej rady by výkonná rada mala podrobne skúmať relevantné informácie a dostupné možnosti, radiť a ponúkať riešenia na prípravu rozhodnutí správnej rady. Mala by takisto pomáhať výkonnému riaditeľovi a radiť mu pri vykonávaní rozhodnutí správnej rady.

(62)V záujme bezproblémového fungovania agentúry ENISA je nevyhnutné, aby bol jej výkonný riaditeľ vymenovaný na základe zásluh a zdokumentovaných administratívnych a riadiacich schopností, ako aj na základe spôsobilosti a skúseností v oblasti kybernetickej bezpečnosti. Výkonný riaditeľ by mal vykonávať svoje povinnosti úplne nezávisle. Správna rada by mala vymenovať výkonného riaditeľa zo zoznamu kandidátov pripraveného Komisiou na základe otvoreného a transparentného postupu, v rámci ktorého sa rešpektuje zásada rodovej rovnováhy.

(63) Výkonný riaditeľ by mal po predchádzajúcej konzultácii s Komisiou pripraviť návrh jednotného programového dokumentu agentúry ENISA a prijať všetky potrebné opatrenia na zabezpečenie riadneho vykonávania uvedeného jednotného programového dokumentu. Výkonný riaditeľ by mal vypracovať výročnú správu, ktorej súčasťou bude plnenie ročného pracovného programu agentúry ENISA a ktorá sa predloží správnej rade, vypracovať návrh výkazu odhadov príjmov a výdavkov agentúry ENISA a plniť rozpočet. Výkonný riaditeľ by okrem toho mal mať možnosť zriadiť ad hoc pracovné skupiny zamerané na osobitné záležitosti, najmä vedeckej, technickej, právnej či sociálno-ekonomickej povahy. Zriadenie ad hoc pracovnej skupiny sa považuje za potrebné najmä v súvislosti s vypracovaním konkrétnej kandidátskej európskej schémy certifikácie kybernetickej bezpečnosti (ďalej len „kandidátska schéma“). Zriadenie ad hoc pracovnej skupiny by mohlo byť potrebné aj pre činnosti údržby v súvislosti s konkrétnymi prijatými európskymi schémami certifikácie kybernetickej bezpečnosti. Mali by sa takisto zriadiťad hoc pracovné skupiny, ktoré by vypracúvali a udržiavali európske schémy osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti a pomáhali agentúre pri riadení, vykonávaní a vývoji ECSF. Výkonný riaditeľ by mal zabezpečiť, aby sa členovia ad hoc pracovných skupín vyberali podľa najprísnejších požiadaviek na odbornosť, s cieľom zabezpečiť rodovú rovnováhu a primeranú rovnováhu medzi verejnými správami členských štátov, subjektmi Únie a súkromným sektorom vrátane príslušného odvetvia, používateľmi a akademickými expertmi v oblasti sieťovej a informačnej bezpečnosti, ako aj akademickými expertmi v oblasti produktov s digitálnymi prvkami, a to podľa konkrétnej tematiky.

(64)Správna rada môže rozhodnúť o vytvorení funkcie zástupcu výkonného riaditeľa, ktorý bude pomáhať výkonnému riaditeľovi, ak sa správna rada domnieva, že takáto funkcia je potrebná na zabezpečenie alebo zachovanie bezproblémového fungovania agentúry ENISA. Pri rozhodovaní o vytvorení tejto funkcie môže správna rada zohľadniť stanovisko výkonného riaditeľa.

(65)Agentúra ENISA by mala mať poradnú skupinu s cieľom zabezpečiť pravidelný dialóg so súkromným sektorom, spotrebiteľskými organizáciami a inými príslušnými zainteresovanými stranami. Poradná skupina agentúry ENISA zriadená správnou radou na návrh výkonného riaditeľa by sa mala zameriavať na otázky dôležité pre zainteresované strany a mala by na ne upriamovať pozornosť agentúry ENISA. Poradná skupina agentúry ENISA by mala byť konzultovaná najmä v súvislosti s návrhom ročného pracovného programu agentúry ENISA. Zloženie poradnej skupiny agentúry ENISA a úlohy zverené tejto skupine by mali zabezpečiť dostatočné zastúpenie zainteresovaných strán pri práci agentúry ENISA. Na zastúpenie v poradnej skupine agentúry ENISA by mali byť oprávnení zástupcovia vnútroštátnych orgánov a orgánov Únie v oblasti presadzovania práva, ochrany údajov a dohľadu nad trhom.

(66)Žiadatelia, ktorí sa chcú stať autorizovanými poskytovateľmi osvedčení alebo obnoviť svoju autorizáciu, by mali mať prístup k potrebným opravným prostriedkom, ak sú ovplyvnení rozhodnutiami prijatými agentúrou ENISA. Preto by sa mal zaviesť vhodný odvolací mechanizmus, aby bolo možné napadnúť príslušné rozhodnutia agentúry ENISA pred odvolacou radou, ktorej rozhodnutia môžu byť predmetom súdneho preskúmania Súdneho dvora Európskej únie v súlade so zmluvami. Požiadavka vyčerpať odvolacie konanie v rámci agentúry ENISA pred podaním žaloby na Súdny dvor Európskej únie sa vzťahuje len na osoby, ktoré majú aktívnu legitimáciu pred odvolacou radou.

(67)S cieľom zaručiť úplnú autonómiu a nezávislosť agentúry ENISA a umožniť jej plnenie úloh by sa agentúre ENISA mal poskytnúť dostatočný a nezávislý rozpočet financovaný predovšetkým z príspevku Únie, ale aj z príspevkov tretích krajín, ktoré sa zúčastňujú na práci agentúry ENISA, a z poplatkov, ktoré platia autorizovaní poskytovatelia osvedčení a orgány posudzovania zhody, ktoré sa zúčastňujú na schémach a vydávajú európske certifikáty kybernetickej bezpečnosti a EÚ vyhlásenia o zhode. Hostiteľský členský štát a akýkoľvek iný členský štát by mali mať možnosť dobrovoľne prispievať do rozpočtu agentúry ENISA. Žiadny príspevok, či už finančný alebo vecný, ktorý agentúra ENISA dostane od členských štátov, tretích krajín alebo iných subjektov či osôb, by nemal ohroziť jej nezávislosť a nestrannosť. Na príspevok Únie a všetky ďalšie dotácie hradené zo všeobecného rozpočtu Únie by sa mal uplatňovať rozpočtový postup Únie. Dvor audítorov by mal vykonávať audit účtov agentúry ENISA v záujme transparentnosti a zodpovednosti. Aby sa agentúra mohla zúčastňovať na všetkých relevantných budúcich projektoch, mala by mať možnosť získavať granty.

(68)S cieľom zabezpečiť schopnosť agentúry ENISA reagovať na dopyt po činnostiach, ktoré vykonáva, najmä pokiaľ ide o rozhodnutia o autorizácii poskytovateľov na poskytovanie európskych osvedčení o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti a pokiaľ ide o udržiavanie európskych schém certifikácie kybernetickej bezpečnosti a testovacích nástrojov, by agentúra ENISA mala mať právomoc vyberať poplatky. Poplatky spojené so spracovaním žiadostí o udelenie autorizácie na poskytovanie osvedčení by mali byť primerane stanovené tak, aby dostatočne prispievali k pokrytiu odhadovaných nákladov na vývoj a udržiavanie európskych schém osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti a na hodnotenie toho, či sú a naďalej budú plnené požiadavky a povinnosti na získanie a udržanie autorizácie na poskytovanie osvedčení. Poplatky spojené s nákladmi na vydávanie a obnovovanie autorizácií autorizovaným poskytovateľom osvedčení by mali zahŕňať náklady spojené s hodnoteniami, ktoré vykonáva agentúra ENISA alebo sa vykonávajú pod jej dozorom. Poplatky spojené s účasťou v európskych schémach certifikácie kybernetickej bezpečnosti a za vydávanie certifikátov v rámci týchto schém by mali byť primerane stanovené tak, aby dostatočne prispievali k pokrytiu odhadovaných nákladov na udržiavanie týchto schém. Úhrada takýchto poplatkov by mala notifikovaným orgánom posudzovania zhody a v náležitých prípadoch držiteľom certifikátov v rámci schémy umožniť účasť na takýchto činnostiach, ako aj na príslušných činnostiach budovania kapacít a propagačných činnostiach na podporu výmeny najlepších postupov a podporu zavádzania schém a certifikovaných riešení.

(69)S cieľom zabezpečiť proporcionalitu, transparentnosť a právnu istotu by sa poplatky mali stanoviť transparentným a spravodlivým spôsobom. V týchto nákladoch by sa mali zohľadniť všetky výdavky agentúry ENISA, ktoré sa vzťahujú na zamestnancov zapojených do činností podliehajúcich poplatkom, najmä pomerný príspevok zamestnávateľa do dôchodkového systému a náklady súvisiace s odvolacou radou. Poplatky nesmú viesť k zbytočnému finančnému alebo administratívnemu zaťaženiu žiadateľov. Na zaplatenie poplatkov by sa mali stanoviť primerané lehoty.

(70)Treba zaviesť súbor ukazovateľov na meranie pracovného zaťaženia, efektívnosti a účinnosti agentúry v súvislosti s činnosťami financovanými z poplatkov. So zreteľom na tieto ukazovatele by agentúra mala prispôsobiť svoje personálne plánovanie a riadenie zdrojov súvisiacich s poplatkami, aby bola schopná primerane reagovať na takýto dopyt a na akékoľvek výkyvy v príjmoch z poplatkov.

(71)Na to, aby sa mohlo identifikovať a správne riadiť riziko skutočného alebo vnímaného konfliktu záujmov, agentúra ENISA by mala mať zavedené pravidlá týkajúce sa predchádzania konfliktom záujmov a ich riadenia. Agentúra ENISA by mala takisto uplatňovať pravidlá týkajúce sa prístupu k dokumentom, ako sa stanovuje v nariadení Európskeho parlamentu a Rady (ES) č. 1049/2001 54 . Na spracúvanie osobných údajov agentúrou ENISA by sa malo vzťahovať nariadenie Európskeho parlamentu a Rady (EÚ) 2018/1725 55 . Agentúra ENISA by mala dodržiavať ustanovenia platné pre subjekty Únie, ako aj vnútroštátne právne predpisy o manipulácii s informáciami, najmä s citlivými neutajovanými skutočnosťami a utajovanými skutočnosťami Európskej únie.

(72)Pri plnení svojich úloh môže mať agentúra ENISA prístup k citlivým informáciám, ako sú napríklad informácie o kybernetických hrozbách a incidentoch. Preto je pre agentúru ENISA nevyhnutné zachovávať dôvernosť informácií, s ktorými pracuje. V súlade s článkom 339 Zmluvy o fungovaní Európskej únie (ZFEÚ) by najmä úradníci a ostatní zamestnanci agentúry ENISA nemali zverejňovať žiadne informácie, na ktoré sa vzťahuje povinnosť zachovávať služobné tajomstvo, najmä informácie o podnikoch, ich obchodných vzťahoch alebo nákladových zložkách, a to ani po skončení výkonu svojej funkcie.

(73)Aby agentúra ENISA mohla v plnej miere dosiahnuť svoje ciele, mala by spolupracovať s príslušnými dozornými orgánmi Únie a s ďalšími príslušnými orgánmi v Únii, príslušnými subjektmi Únie, vrátane tímu CERT-EU, EC3 v Europole, ECCC, Európskej obrannej agentúry (EDA), Agentúry Európskej únie pre vesmírny program (EUSPA), Orgánu európskych regulátorov pre elektronické komunikácie (BEREC), Agentúry Európskej únie na prevádzkové riadenie rozsiahlych informačných systémov v priestore slobody, bezpečnosti a spravodlivosti (eu-LISA), Európskej centrálnej banky (ECB), Európskeho orgánu pre bankovníctvo (EBA), Európskeho výboru pre ochranu údajov, Agentúry Európskej únie pre spoluprácu regulačných orgánov v oblasti energetiky (ACER), Agentúry Európskej únie pre bezpečnosť letectva (EASA) a všetkých ďalších subjektov Únie angažovaných v otázkach kybernetickej bezpečnosti. Agentúra ENISA by mala takisto udržiavať kontakty s príslušnými orgánmi podľa smernice (EÚ) 2022/2555, orgánmi dohľadu nad trhom a orgánmi zodpovednými za ochranou údajov s cieľom vymieňať si know-how a najlepšie postupy, a mala by poskytovať poradenstvo o otázkach kybernetickej bezpečnosti, ktoré môžu ovplyvniť ich prácu.

(74)Europol zohráva dôležitú úlohu pri predchádzaní počítačovej kriminalite a boji proti nej vrátane počítačovej kriminality súvisiacej s incidentmi v oblasti sieťovej a informačnej bezpečnosti. S cieľom vytvoriť synergie medzi príslušnými úlohami jednotlivých agentúr by agentúra ENISA mala spolupracovať s Europolom, najmä vo forme výmeny informácií o trendoch v technikách, požiadavkách a vplyvoch ransomvérových útokov. Takáto spolupráca môže spočívať aj v identifikácii najčastejších druhov ransomvéru zameraných na subjekty uvedené v prílohách I a II k smernici (EÚ) 2022/2555 s cieľom podporiť kľúčové a dôležité subjekty pri reakcii na incidenty a obnove po nich.

(75)Na podporu operačnej spolupráce a spoločného situačného povedomia o kybernetických hrozbách a incidentoch je nevyhnutné, aby agentúra ENISA spolupracovala so zainteresovanými stranami, najmä so spoločnosťami a organizáciami zo súkromného sektora, s ktorými môže nadviazať verejno-súkromné partnerstvá.

(76)V záujme účinného plnenia cieľov uvedených v tomto nariadení môže agentúra ENISA spolupracovať najmä s akademickými inštitúciami, ktoré majú výskumné iniciatívy v príslušných oblastiach, a vytvoriť vhodné kanály pre vstupy spotrebiteľských a iných organizácií.

(77)Vzhľadom na to, že kybernetické hrozby a incidenty nemajú hranice, úroveň kybernetickej bezpečnosti a pripravenosti tretích krajín môže mať vplyv na subjekty v Únii. Agentúra ENISA by preto mala byť schopná poskytovať činnosti budovania kapacít vrátane odbornej prípravy, budovania kapacít, twinningových činností v tretích krajinách, a najmä prispôsobené činnosti budovania kapacít pre krajiny, ktoré sú kandidátmi na pristúpenie k Únii, alebo iné partnerské krajiny v súlade s prioritami Únie. Takéto činnosti by sa mali vykonávať na základe osobitnej žiadosti o poskytnutie primeranej podpory s prihliadnutím na priority Únie a mali by sa vykonávať formou osobitných opatrení vrátane dohôd o príspevku, ako sa uvádza v nariadení (EÚ, Euratom) 2024/2509. Cieľom európskeho rámca certifikácie kybernetickej bezpečnosti je chrániť pred kybernetickými hrozbami, ako sú zlomyseľne zneužité zraniteľnosti kybernetickej bezpečnosti alebo kybernetické bezpečnostné incidenty, ktoré ovplyvňujú funkčnosť (dizajn a prevádzku) produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb alebo úrovne kybernetickej bezpečnosti subjektov. Zameraním sa na technické riziká súvisiace s produktmi IKT, službami IKT, procesmi IKT, riadenými bezpečnostnými službami alebo úrovňou kybernetickej bezpečnosti subjektov by mal ECCF dopĺňať rámec bezpečnosti dodávateľských reťazcov IKT, ktorého cieľom je zabezpečiť harmonizovaný prístup na úrovni Únie na riešenie netechnických rizík v odvetviach s vysokou úrovňou kritickosti a v iných kritických odvetviach.

(78)Členské štáty by mali mať k dispozícii európsku certifikáciu kybernetickej bezpečnosti v súvislosti s verejným obstarávaním v súlade so smernicou Európskeho parlamentu a Rady 2014/24/EÚ 56 .

(79)S cieľom zjednodušiť dodržiavanie predpisov subjektmi by mal ECCF poskytovať možnosť certifikovať ich stav kybernetickej bezpečnosti. Subjekty, najmä tie, ktoré poskytujú viacero druhov služieb vo viacerých členských štátoch, môžu čeliť rôznym povinnostiam súvisiacim s kybernetickou bezpečnosťou a bezpečnosťou údajov podľa horizontálnych nástrojov, ako je nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 57  a smernica Európskeho parlamentu a Rady (EÚ) 2022/2555 58 , ako aj podľa sektorových nástrojov. S cieľom zefektívniť vykonávanie celkového regulačného rámca kybernetickej bezpečnosti a uľahčiť jeho dodržiavanie by malo byť možné, aby právne predpisy Únie umožňovali subjektom preukázať súlad s požiadavkami na riadenie rizík kybernetickej bezpečnosti vo forme európskeho certifikátu kybernetickej bezpečnosti. Príslušná schéma by mohla prispieť k zefektívneniu požiadaviek na dodržiavanie predpisov vyplývajúcich z rôznych regulačných nástrojov bez toho, aby boli dotknuté ich osobitné požiadavky na certifikáciu. Takéto zjednodušujúce opatrenia majú potenciál znížiť administratívne zaťaženie a uvoľniť zdroje na posilnenie operatívnej pripravenosti subjektov v kritických odvetviach Únie v oblasti kybernetickej bezpečnosti.

(80)Európska certifikácia požiadaviek na riadenie rizík kybernetickej bezpečnosti vypracovaná v rámci ECCF by mala subjektom umožniť preukázať súlad s príslušnými právnymi predpismi Únie, ak schéma pokrýva príslušné právne požiadavky stanovené v takomto akte a ak sa to v nej uvádza. Na tomto základe sa môže v právnom akte Únie stanoviť aj predpoklad zhody s týmito požiadavkami. Takéto schémy by mohli prispieť k zlepšeniu súdržného vykonávania požiadaviek kybernetickej bezpečnosti vyplývajúcich z právnych predpisov Únie s cieľom vyrovnať podmienky v členských štátoch a znížiť záťaž spojenú s dodržiavaním predpisov.

(81)Európsky rámec certifikácie kybernetickej bezpečnosti by mal poskytovať možnosť certifikovať procesy IKT, ktoré sú vymedzené ako súbor činností vykonávaných pri navrhovaní, vývoji, dodávke alebo údržbe produktu IKT alebo služby IKT. Príkladom procesu IKT je profil ochrany, ako sa uvádza vo vykonávacom nariadení Komisie (EÚ) 2024/482 59 . Ďalším príkladom procesu IKT je súbor činností, ktoré výrobca vykonáva s cieľom bezpečne navrhnúť a vyvinúť produkt IKT, vrátane fyzických, logických, procedurálnych, personálnych a iných bezpečnostných opatrení, ktoré sú potrebné na ochranu dôvernosti a integrity návrhu a zavedenie produktu IKT v jeho vývojovom prostredí. Certifikácia takýchto činností sa často označuje ako „certifikácia miesta“ v kontexte certifikačného procesu podľa vykonávacieho nariadenia Komisie (EÚ) 2024/482.

(82)Vymedzenie pojmu „riadené bezpečnostné služby“ v tomto nariadení by malo byť v súlade s vymedzením pojmu „poskytovateľ riadených bezpečnostných služieb“ v smernici (EÚ) 2022/2555. Uvedené služby spočívajú vo vykonávaní činností súvisiacich s riadením rizika kybernetickej bezpečnosti ich zákazníkov alebo v poskytovaní pomoci pri týchto činnostiach a nadobúdajú čoraz väčší význam pri prevencii a zmierňovaní incidentov. V súlade s tým sa poskytovatelia týchto služieb považujú za kľúčové alebo dôležité subjekty patriace do odvetvia s vysokou úrovňou kritickosti podľa smernice (EÚ) 2022/2555. Poskytovatelia riadených bezpečnostných služieb zohrávajú osobitne dôležitú úlohu pri pomoci subjektom v ich úsilí o predchádzanie incidentom, odhaľovanie incidentov, reakciu na ne alebo zotavenie sa z nich, a to v takých oblastiach, ako je reakcia na incidenty, penetračné testovanie, bezpečnostné audity a poradenstvo. Aj samotní poskytovatelia riadených bezpečnostných služieb však boli cieľom kybernetických útokov a predstavujú osobitné riziko z dôvodu ich úzkeho zapojenia do činnosti ich zákazníkov. Je preto potrebné, aby kľúčové a dôležité subjekty v zmysle smernice (EÚ) 2022/2555 venovali výberu poskytovateľov riadených bezpečnostných služieb zvýšenú pozornosť.

(83)Európske schémy certifikácie kybernetickej bezpečnosti sú dôležité pre širokú komunitu zainteresovaných strán, ako sú poskytovatelia riešení IKT, orgány posudzovania zhody a používatelia. Na podporu širokého zapojenia zainteresovaných strán by sa malo aspoň raz ročne organizovať Európske zhromaždenie pre certifikáciu v oblasti kybernetickej bezpečnosti (ďalej len „zhromaždenie“) s cieľom podporiť spoluprácu medzi Komisiou, agentúrou ENISA, členskými štátmi a príslušnými zainteresovanými stranami. Bude zohrávať kľúčovú úlohu pri identifikácii a riešení nových výziev v oblasti kybernetickej bezpečnosti a strategických priorít v oblasti certifikácie a pri zabezpečovaní toho, aby schémy certifikácie uľahčovali bezpečnú integráciu digitálnych technológií a zodpovedali potrebám používateľov. Zhromaždenie by malo podporovať vedúce postavenie Únie v certifikačných činnostiach a podporovať schopnosť certifikačného rámca poskytovať dôveru podnikom, verejným orgánom a verejnosti.

(84)Komisia by mala viesť špecializované webové sídlo, aby zabezpečila transparentnosť zverejňovaním aktuálnych informácií o pokroku pri vykonávaní ECCF. Webové sídlo by malo obsahovať informácie týkajúce sa pripravovaných certifikačných schém, strategických priorít pre pripravované certifikačné schémy, žiadostí adresovaných agentúre ENISA o vypracovanie kandidátskych schém certifikácie a informácie o prijatí certifikačných schém. Webové sídlo Komisie doplní webové sídlo agentúry ENISA o európskych schémach certifikácie kybernetickej bezpečnosti, ktoré by malo ponúkať komplexné informácie o technickej príprave kandidátskych schém a o udržiavaní schém so zameraním na vydané európske certifikáty kybernetickej bezpečnosti a EÚ vyhlásenia o zhode.

(85)S cieľom posilniť dialóg medzi inštitúciami Únie a prispieť k formálnemu, otvorenému, transparentnému a inkluzívnemu konzultačnému procesu by Komisia mala pri hodnotení tohto nariadenia zohľadniť prvky vyplývajúce z názorov Európskeho parlamentu, Rady a Európskeho zhromaždenia pre certifikáciu v oblasti kybernetickej bezpečnosti.

(86)Štúdie uskutočniteľnosti vypracované agentúrou ENISA by mali pomôcť pri príprave plánovania a rozvoja schém certifikácie kybernetickej bezpečnosti. Štúdie by mali zahŕňať názory príslušných zainteresovaných strán a zosúladiť budúce schémy certifikácie s prebiehajúcimi posudzovacími činnosťami v oblasti výskumu, vývojova a technologií, pričom by sa mal uznať najmä prínos výskumných iniciatív Únie a členských štátov. Takéto štúdie môžu pomôcť identifikovať dostupné normy a technické špecifikácie. Mali by sa vykonávať na žiadosť Komisie alebo v súlade so strategickými prioritami Únie, aby sa zabezpečilo, že pri žiadostiach o schémy a ich vypracúvaní sa primerane zohľadní a zapracuje vyvíjajúce sa technologické prostredie a potreby kybernetickej bezpečnosti.

(87)Návrh kandidátskej schémy a jej pokrytie bezpečnostných cieľov a prvkov by malo byť primerané predmetu a rozsahu objektu certifikácie. Napríklad v schéme certifikácie cloudových služieb by sa preto mohla pozornosť venovať bezpečnostným cieľom, ktoré sú relevantné pre služby IKT a organizačnú bezpečnosť. Ďalším príkladom je bezpečnostný cieľ týkajúci sa nezahrnutia známych zraniteľností, ktoré možno zneužiť, ktorý pravdepodobne nebude relevantný pre certifikáciu procesov IKT.

(88)S cieľom zabezpečiť, aby sa európske schémy certifikácie kybernetickej bezpečnosti vykonávali harmonizovaným spôsobom vo všetkých členských štátoch, je potrebné stanoviť pravidlá pre udržiavanie schém. Činnosti údržby sú potrebné aj na zabezpečenie aktuálnosti schém a ich podpornej dokumentácie, najmä v oblasti kybernetickej bezpečnosti, kde sa prostredie hrozieb a technológie neustále vyvíjajú. Schémy certifikácie by preto mali byť navrhnuté a udržiavané tak, aby sa predišlo riziku ich rýchleho zastarania. Činnosti údržby by mali zvyčajne zahŕňať vypracovanie a aktualizáciu podpornej dokumentácie vrátane technických špecifikácií a usmernení, ako aj identifikáciu noriem alebo technických špecifikácií, ktoré sú pre schému relevantné. Súčasťou činností údržby by mala byť aj analýza fungovania schémy, jej prípadných nedostatkov a potrebné zlepšenia. Okrem toho by činnosti údržby mali zahŕňať výmenu informácií medzi členskými štátmi, pokiaľ ide o vykonávanie schém a príspevky k mechanizmom partnerského preskúmania a partnerského hodnotenia.

(89)Vzhľadom na technickú povahu činností údržby by agentúra ENISA mala tieto činnosti riadiť v spolupráci s Komisiou a s podporou európskej skupiny pre certifikáciu kybernetickej bezpečnosti (ECCG) a jej príslušnej podskupiny pre údržbu. Zriadenie podskupiny ECCG pre údržbu umožňuje zhromažďovať technické príspevky a poznatky z členských štátov s cieľom harmonizovať prístupy.

(90)Činnosti údržby by mali zahŕňať interakcie s príslušnými skupinami zainteresovaných strán s cieľom zabezpečiť, aby schémy zostali relevantné pre trh a aktuálne, a to aj prostredníctvom výmeny a prijímania technických príspevkov. Takýmito skupinami zainteresovaných strán môžu byť normalizačné organizácie, orgány posudzovania zhody, predajcovia, používatelia, verejné orgány alebo obchodné združenia. Špecifiká jednotlivých schém vrátane ich príslušných technických fór a odvetví naznačujú, že by malo byť možné zhromažďovať technické príspevky rôznymi spôsobmi v závislosti od schémy. V prípade niektorých schém by agentúra ENISA mala mať možnosť spoľahnúť sa na ad hoc pracovnú skupinu, ktorá združuje odborníkov z verejnej správy členských štátov, subjektov Únie a súkromného sektora. Technické príspevky by mohli pochádzať aj od stredísk ISAC alebo normalizačných organizácií. Agentúra ENISA by mala analyzovať, ktorý formát je pre každú schému najvhodnejší, a do každej kandidátskej schémy zahrnúť stratégiu údržby.

(91)Európske schémy certifikácie kybernetickej bezpečnosti by sa mali opierať o normy alebo technické špecifikácie, najmä pokiaľ ide o vymedzenie bezpečnostných požiadaviek a metodík hodnotenia. Agentúra ENISA by mala mať možnosť navrhovať technické špecifikácie na podporu vypracovania a údržby schém, najmä ak chýbajú výstupy od normalizačných organizácií alebo nie sú vhodné na splnenie cieľov schémy. V rámci procesu prípravy návrhu by mala agentúre ENISA pomáhať ECCG a v náležitých prípadoch ad hoc pracovná skupina zriadená pre príslušnú schému. Agentúra ENISA by sa mala snažiť získať príspevky aj od skupín zainteresovaných strán. Okrem toho by agentúra ENISA mala zvážiť prijatie na trhu, ako aj európske a medzinárodné normy. Vzhľadom na kvalitu technických špecifikácií a ciele schémy by Komisia mala mať možnosť odkazovať v európskej schéme certifikácie kybernetickej bezpečnosti na technické špecifikácie vypracované agentúrou ENISA.

(92)Technické špecifikácie vypracované agentúrou ENISA, na ktoré sa v schéme odkazuje, by sa mali sprístupniť na webovom sídle agentúry ENISA o európskych schémach certifikácie kybernetickej bezpečnosti, aby k nim mali prístup všetky zainteresované strany. V niektorých špecifických prípadoch by však zverejnenie na webovom sídle mohlo predstavovať riziko pre kybernetickú bezpečnosť certifikovaných produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb alebo úroveň kybernetickej bezpečnosti subjektov, a tým aj pre verejnú bezpečnosť. Technické špecifikácie by napríklad mohli obsahovať presné informácie o nových grafoch útoku, ktorých verejná dostupnosť by umožnila ich využitie škodlivými aktérmi. Tento typ informácií by sa mal šíriť v obmedzenom rozsahu na základe potreby poznať príslušným zainteresovaným stranám, ako sú vnútroštátne orgány pre certifikáciu kybernetickej bezpečnosti, orgány posudzovania zhody a certifikovaní predajcovia. Vzhľadom na ich obmedzené šírenie by sa na takéto technické špecifikácie nemalo odkazovať v európskych schémach certifikácie kybernetickej bezpečnosti, a preto by mali mať nezáväzný charakter.

(93)Schémy certifikácie úrovne kybernetickej bezpečnosti by mali byť navrhnuté modulárnym spôsobom s cieľom umožniť preukázanie súladu a predpoklad zhody s príslušnými požiadavkami kybernetickej bezpečnosti stanovenými v iných právnych predpisoch Únie, ak sa v týchto právnych predpisoch takáto možnosť stanovuje. Predpoklad zhody s požiadavkami týchto právnych aktov preto nadobudne účinnosť ako možná cesta na preukázanie súladu len vtedy, ak sa príslušnými právnymi aktami takýto predpoklad zhody umožňuje. Podrobnosti takejto schémy, konkrétne účel, ciele alebo prvky, sa preto budú pravdepodobne líšiť od podrobností iných schém. Schémy certifikácie úrovne kybernetickej bezpečnosti subjektov by sa mali vypracovať predovšetkým na to, aby sa zabezpečilo posudzovanie nepretržitého súladu subjektu s právnymi predpismi Únie. Nie je preto nevyhnutné, aby schémy certifikácie úrovne kybernetickej bezpečnosti zahŕňali všetky prvky európskych schém certifikácie kybernetickej bezpečnosti, ako sú napríklad úrovne záruky, čo by sa malo zohľadniť v pravidlách schém.

(94)Rámec pre certifikáciu úrovne kybernetickej bezpečnosti v ECCF umožňuje vytvoriť schému, ktorou sa subjektom poskytujúcim služby vo viacerých členských štátoch umožní preukázať splnenie povinností v oblasti riadenia rizík kybernetickej bezpečnosti stanovených v smernici Európskeho parlamentu a Rady 2022/2555. Na tomto základe môžu subjekty vďaka možnosti preukázať súlad využívať súdržnejšie a menej zaťažujúce prístupy dozoru na celom vnútornom trhu. Vývoj takejto schémy certifikácie by sa mal uľahčiť prijatím vykonávacích aktov podľa smernice (EÚ) 2022/2555. Schéma certifikácie úrovne kybernetickej bezpečnosti môže preukázať súlad s požiadavkami prostredníctvom profilov rozšírenia, ak členský štát prijal alebo zachoval ustanovenia zabezpečujúce vyššiu úroveň kybernetickej bezpečnosti v súlade so smernicou (EÚ) 2022/2555. Na tomto základe môže subjekt poskytujúci služby vo viacerých členských štátoch preukázať súlad so všetkými príslušnými profilmi rozšírenia formou jediného európskeho certifikátu kybernetickej bezpečnosti.

(95)Bezpečnostné ciele a bezpečnostné požiadavky stanovené v európskych schémach certifikácie kybernetickej bezpečnosti by mali byť z hľadiska bezpečnosti produktov v súlade so základnými požiadavkami kybernetickej bezpečnosti stanovenými v prílohe I k nariadeniu (EÚ) 2024/2847. Táto súdržnosť je potrebná na zabezpečenie toho, aby výrobcovia, ktorých výrobky patria do rozsahu pôsobnosti nariadenia (EÚ) 2024/2847, nemuseli pri certifikácii svojich výrobkov v rámci európskej schémy certifikácie kybernetickej bezpečnosti čeliť protichodným požiadavkám. Okrem toho konzistentnosť požiadaviek uľahčuje predpoklad zhody podľa článku 27 nariadenia (EÚ) 2024/2847, podľa ktorého výrobcovia produktov s digitálnymi prvkami, ktoré boli certifikované v rámci európskej schémy certifikácie kybernetickej bezpečnosti, môžu za určitých podmienok využívať predpoklad zhody so základnými požiadavkami na kybernetickú bezpečnosť stanovenými v prílohe I k uvedenému nariadeniu.

(96)V rámci európskej schémy certifikácie kybernetickej bezpečnosti by malo byť možné špecifikovať profil rozšírenia stanovením dodatočných alebo špecifických požiadaviek pre prípady použitia vrátane dodatočných spôsobilostí, ako sú rozšírené funkcie produktov, špecializované ponuky služieb alebo aktív, optimalizované procesy a pokročilé bezpečnostné opatrenia. Keďže profily rozšírenia nezodpovedajú konkrétnej úrovni záruky, mali by podrobne opisovať svoj účel vrátane riešených bezpečnostných hrozieb. Profily rozšírenia sú určené najmä na preukázanie súladu s osobitnými normami a regulačnými požiadavkami, v náležitých prípadoch vrátane požiadaviek, pokiaľ ide o dodatočné opatrenia na riadenie rizík kybernetickej bezpečnosti, ktoré stanovil členský štát v súlade so zásadou minimálnej harmonizácie podľa smernice (EÚ) 2022/2555.

(97)Bez toho, aby bol dotknutý všeobecný systém partnerského preskúmania, ktorý sa má zaviesť vo všetkých vnútroštátnych orgánoch pre certifikáciu kybernetickej bezpečnosti v rámci ECCF, by malo byť možné zahrnúť do európskych schém certifikácie kybernetickej bezpečnosti mechanizmus partnerského hodnotenia orgánov, ktoré vydávajú európske certifikáty kybernetickej bezpečnosti pre produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby a úroveň kybernetickej bezpečnosti subjektov, najmä tých orgánov, ktoré v rámci týchto schém vydávajú certifikáty s úrovňou záruky „vysoká“. Medzi takéto orgány by mali patriť aj certifikačné orgány vnútroštátnych orgánov pre certifikáciu kybernetickej bezpečnosti, ktoré vydávajú certifikáty na úrovni záruky „vysoká“. ECCG by mala podporovať implementáciu takýchto mechanizmov partnerského hodnotenia. Takýmito partnerskými hodnoteniami, ktoré môžu zahŕňať mechanizmy odvolania, by sa malo posudzovať najmä to, či dotknuté orgány vykonávajú svoje úlohy harmonizovane.

(98)Krízy, ako sú vojny, prírodné katastrofy a pandémie, môžu mať negatívny vplyv na certifikačné činnosti. V krízových scenároch tohto druhu nemusí byť napríklad možné zaistiť bezpečnosť lokality z dôvodu zničenia infraštruktúry, kybernetických útokov, nedostupnosti personálu a neprístupnosti lokality. V rámci európskej schémy certifikácie kybernetickej bezpečnosti by sa preto mali stanoviť dočasné pravidlá týkajúce sa kontinuity certifikačných činností počas takýchto scenárov.

(99)Prenos technických kandidátskych schém do vykonávacích aktov si vyžaduje komplexné technické a právne znalosti a môže spôsobiť značnú administratívnu záťaž. Okrem toho niektoré prvky európskych schém certifikácie kybernetickej bezpečnosti, ako napríklad riadenie zraniteľnosti alebo podmienky, za ktorých sa takéto značky alebo označenia môžu používať, sú medziodvetvové a môžu ťažiť z harmonizovaných referenčných ustanovení. S cieľom zabezpečiť kvalitu prijatých európskych schém certifikácie kybernetickej bezpečnosti a znížiť záťaž podnikov spojenú s dodržiavaním predpisov by Komisia mala byť splnomocnená na prijatie vzorových ustanovení, ktoré sa vzťahujú na určité prvky európskych schém certifikácie kybernetickej bezpečnosti.

(100)S cieľom zabezpečiť konzistentnosť európskeho rámca certifikácie kybernetickej bezpečnosti by sa v rámci európskej schémy certifikácie kybernetickej bezpečnosti malo umožniť špecifikovať úrovne záruky pre európske certifikáty kybernetickej bezpečnosti a EÚ vyhlásenia o zhode vydané v rámci danej schémy. Európsky certifikát kybernetickej bezpečnosti by mal odkazovať na jednu z úrovní záruky: „základná“, „významná“ alebo „vysoká“, zatiaľ čo EÚ vyhlásenie o zhode by sa malo vzťahovať len na úroveň záruky „základná“. Úrovne záruky by mali uvádzať zodpovedajúcu prísnosť a hĺbku hodnotenia produktu IKT, služby IKT, procesu IKT, riadenej bezpečnostnej služby alebo úrovne kybernetickej bezpečnosti subjektu a mali by byť charakterizované odkazom na súvisiace technické špecifikácie, normy a postupy vrátane technických kontrol, ktorých účelom je predchádzať incidentom alebo ich zmierňovať. Medzi rôznymi sektorovými oblasťami, v ktorých sa uplatňuje certifikácia, by jednotlivé úrovne záruky by mali byť konzistentné.

(101)Výber vhodnej certifikácie a súvisiacich bezpečnostných požiadaviek zo strany používateľov európskych certifikátov kybernetickej bezpečnosti by mal vychádzať z analýzy rizík spojených s používaním produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb alebo kontextu certifikácie subjektov. Úroveň záruky by preto mala zodpovedať úrovni rizika spojeného s plánovaným použitím produktu IKT, služby IKT, procesu IKT, riadených bezpečnostných služieb alebo operačným prostredím a charakterom subjektu, ktorého úroveň kybernetickej bezpečnosti je predmetom certifikácie.

(102)V prípade úrovne záruky „základná“ by sa hodnotenie malo riadiť aspoň týmito zložkami záruky: hodnotenie by malo zahŕňať aspoň preskúmanie technickej dokumentácie produktu IKT, služby IKT, procesu IKT, riadenej bezpečnostnej služby alebo úrovne kybernetickej bezpečnosti subjektu orgánom posudzovania zhody. Ak certifikácia zahŕňa procesy IKT, technické preskúmanie by sa malo vzťahovať aj na proces navrhovania, vývoja a údržby produktu IKT, služby IKT, riadenej bezpečnostnej služby alebo úrovne kybernetickej bezpečnosti subjektu. Ak sa v európskej schéme certifikácie kybernetickej bezpečnosti stanovuje posúdenie zhody samohodnotením, malo by stačiť, že výrobca alebo poskytovateľ produktov IKT, služieb IKT, procesov IKT alebo riadených bezpečnostných služieb alebo subjekt, ktorého úroveň kybernetickej bezpečnosti podlieha certifikácii, vykonal posúdenie súladu produktu IKT, služby IKT, procesu IKT, riadenej bezpečnostnej služby alebo úrovne kybernetickej bezpečnosti subjektu s certifikačnou schémou samohodnotením.

(103)Pri úrovni záruky „významná“ by sa hodnotenie malo okrem požiadaviek úrovne záruky „základná“ riadiť aspoň overením súladu bezpečnostných funkcií produktu IKT, služby IKT, procesu IKT, riadenej bezpečnostnej služby alebo úrovne kybernetickej bezpečnosti subjektu s ich technickou dokumentáciou.

(104)Pri úrovni záruky „vysoká“ by sa hodnotenie malo okrem požiadaviek úrovne záruky „významná“ riadiť aspoň skúškou účinnosti, ktorou sa posúdi odolnosť bezpečnostných funkcií proti zložitým kybernetickým útokom, ktoré sú vedené osobami s významnými zručnosťami a zdrojmi. Činnosti posudzovania zhody by sa pre úroveň záruky „vysoká“ alebo v prípade, že je schéma navrhnutá tak, aby preukázala súlad a zabezpečila predpoklad zhody s inými právnymi predpismi Únie, mali vykonávať v Európskom hospodárskom priestore. Táto požiadavka je odôvodnená skutočnosťou, že posudzovacie činnosti, ktoré sa uskutočňujú mimo Európskeho hospodárskeho priestoru, spôsobujú ďalšie hrozby pre kybernetickú bezpečnosť, najmä duševné vlastníctvo hodnotených produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb alebo subjektov. Napríklad by sa pri prekračovaní hraníc tretej krajiny mohol kontrolovať zdrojový kód produktu IKT, čo predstavuje riziko pre duševné vlastníctvo. Okrem toho testovacie laboratóriá zriadené v tretích krajinách nepôsobia v prostredí, ktorého sa týkajú opatrenia kybernetickej bezpečnosti predpísané právnymi predpismi EÚ, ako je smernica (EÚ) 2022/2555 alebo nariadenie (EÚ) 2024/2847. Napríklad testovacie laboratórium sa môže spoliehať na poskytovateľa cloudových služieb tretej strany, ktorý nedodržiava požiadavky kybernetickej bezpečnosti podľa smernice (EÚ) 2022/2555. Napriek tomu by mala existovať možnosť stanoviť v certifikačnej schéme mechanizmy výnimiek, napríklad v súvislosti s certifikáciou miesta alebo v iných prípadoch, keď činnosti posudzovania zhody nemožno primerane vykonávať v Európskom hospodárskom priestore.

(105)V niektorých prípadoch môžu byť potrebné rôzne prístupy na splnenie bezpečnostných cieľov danej úrovne záruky, aby sa zohľadnili špecifiká produktu IKT, služby IKT, procesu IKT, riadených bezpečnostných služieb alebo úrovne kybernetickej bezpečnosti subjektov. S cieľom umožniť detailnejší prístup by malo byť možné v európskej schéme certifikácie kybernetickej bezpečnosti špecifikovať jednu alebo viacero úrovní hodnotenia zodpovedajúcich jednej z úrovní záruky. Umožní to vývoj schém, v ktorých viaceré úrovne hodnotenia určené na rôzne účely budú zodpovedať úrovni bezpečnosti spojenej s konkrétnou úrovňou záruky.

(106)Malo by byť možné, aby európske schémy certifikácie kybernetickej bezpečnosti stanovovali, aby sa posúdenie zhody vykonávalo na výhradnú zodpovednosť výrobcu alebo poskytovateľa produktov IKT, služieb IKT, procesov IKT alebo riadených bezpečnostných služieb alebo subjektu, ktorého úroveň kybernetickej bezpečnosti je certifikovaná („posúdenie zhody samohodnotením“). V takýchto prípadoch by malo stačiť, aby výrobca, poskytovateľ alebo subjekt, ktorého úroveň kybernetickej bezpečnosti je certifikovaná, sám vykonal všetky kontroly s cieľom zabezpečiť, aby produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby alebo úroveň kybernetickej bezpečnosti subjektu boli v súlade s európskou schémou certifikácie kybernetickej bezpečnosti. Posúdenie zhody samohodnotením by sa malo považovať za vhodné pre produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby alebo úroveň kybernetickej bezpečnosti subjektu, ktoré sú málo zložité, predstavujú nízke riziko pre verejnosť a majú jednoduchý dizajn alebo jednoduché výrobné mechanizmy.

(107)Ak sa v európskej schéme certifikácie kybernetickej bezpečnosti umožňuje posúdenie zhody samohodnotením aj certifikácia produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb alebo úrovne kybernetickej bezpečnosti subjektov, v takomto prípade by mala certifikačná schéma poskytovať jasné a zrozumiteľné prostriedky pre spotrebiteľov alebo iných používateľov na rozlíšenie medzi samohodnotenými produktmi IKT, službami IKT, procesmi IKT, riadenými bezpečnostnými službami alebo úrovňou kybernetickej bezpečnosti subjektov a takými, ktoré sú certifikované treťou stranou.

(108)Výrobca alebo poskytovateľ produktov IKT, služieb IKT, procesov IKT alebo riadených bezpečnostných služieb alebo subjekty, ktorých úroveň kybernetickej bezpečnosti je certifikovaná, by mali mať možnosť vydať a podpísať EÚ vyhlásenie o zhode ako súčasť postupu posudzovania zhody. EÚ vyhlásenie o zhode je dokument, v ktorom sa uvádza, že konkrétny produkt IKT, služba IKT, proces IKT, riadená bezpečnostná služba alebo úroveň kybernetickej bezpečnosti subjektu spĺňajú požiadavky európskej schémy certifikácie kybernetickej bezpečnosti. Vydaním a podpísaním EÚ vyhlásenia o zhode výrobca alebo poskytovateľ produktov IKT, služieb IKT, procesov IKT alebo riadených bezpečnostných služieb alebo subjekt, ktorého úroveň kybernetickej bezpečnosti je certifikovaná, preberá zodpovednosť za súlad produktu IKT, služby IKT, procesu IKT, riadenej bezpečnostnej služby alebo úrovne kybernetickej bezpečnosti subjektu s bezpečnostnými požiadavkami európskej schémy certifikácie kybernetickej bezpečnosti. Kópia EÚ vyhlásenia o zhode by sa mala predložiť vnútroštátnemu orgánu pre certifikáciu kybernetickej bezpečnosti a agentúre ENISA.

(109)Výrobcovia alebo poskytovatelia produktov IKT, služieb IKT, procesov IKT alebo riadených bezpečnostných služieb alebo subjekty, ktorých úroveň kybernetickej bezpečnosti je certifikovaná, by mali príslušnému vnútroštátnemu orgánu pre certifikáciu kybernetickej bezpečnosti sprístupniť EÚ vyhlásenie o zhode, technickú dokumentáciu a všetky ostatné relevantné informácie týkajúce sa zhody s európskou schémou certifikácie kybernetickej bezpečnosti počas obdobia stanoveného v príslušnej európskej schéme certifikácie kybernetickej bezpečnosti a v súlade s platnými právnymi predpismi Únie. V technickej dokumentácii by mali byť uvedené požiadavky uplatniteľné v rámci schémy v rozsahu relevantnom na posúdenie zhody samohodnotením. Technická dokumentácia by mala byť zostavená tak, aby umožnila posúdiť, či produkt IKT, služba IKT, proces IKT alebo riadená bezpečnostná služba, alebo úroveň kybernetickej bezpečnosti subjektu spĺňa požiadavky uplatniteľné v rámci schémy.

(110)Európske certifikáty kybernetickej bezpečnosti a EÚ vyhlásenia o zhode by mali pomôcť používateľom robiť informované rozhodnutia. Príslušné informácie by sa preto mali uverejňovať na webovom sídle, ktoré spravuje agentúra ENISA. K produktom IKT, službám IKT a procesom IKT, ktoré boli certifikované alebo pre ktoré bolo vydané EÚ vyhlásenie o zhode, by navyše mali byť pripojené štruktúrované informácie prispôsobené očakávanej technickej úrovni používateľa, ktorému sú určené. Všetci používatelia by mali mať prístup k informáciám o referenčnom čísle certifikačnej schémy, vydávajúcom orgáne alebo subjekte a v náležitých prípadoch o úrovni záruky alebo by mali mať možnosť získať kópiu európskeho certifikátu kybernetickej bezpečnosti. Uvedené informácie by sa mali pravidelne aktualizovať a sprístupňovať na špecializovanom webovom sídle o európskych schémach certifikácie kybernetickej bezpečnosti. Okrem toho by sa v záujme zabezpečenia nepretržitej dostupnosti malo od výrobcov a poskytovateľov vyžadovať, aby príslušnému certifikačnému orgánu oznámili, ak sa zmení umiestnenie online informácií alebo v relevantných prípadoch fyzických informácií.

(111)Posudzovanie zhody je proces hodnotenia, či boli splnené špecifikované požiadavky týkajúce sa produktu IKT, služby IKT, procesu IKT, riadených bezpečnostných služieb alebo subjektu. Tento postup vykonáva nezávislá tretia strana, ktorá nie je výrobcom ani poskytovateľom produktov IKT, služieb IKT, procesov IKT alebo riadených bezpečnostných služieb, ktoré sa certifikujú, ani subjektom, ktorého úroveň kybernetickej bezpečnosti sa posudzuje. Po úspešnom hodnotení produktu IKT, služby IKT, procesu IKT, riadenej bezpečnostnej služby alebo úrovne kybernetickej bezpečnosti subjektu by sa mal vydať európsky certifikát kybernetickej bezpečnosti. Európsky certifikát kybernetickej bezpečnosti by sa mal považovať za potvrdenie, že hodnotenie bolo vykonané správne.

(112)Prísne oddelenie činností dozoru a certifikácie je dôležité, aby sa zabránilo skresleniam a interferenciám, ktoré môžu vzniknúť v situáciách, keď subjekt vykonávajúci dozor nad trhom zároveň súťaží na tom istom trhu. Preto by si činnosti, pri ktorých vnútroštátne orgány pre certifikáciu kybernetickej bezpečnosti iba vykonávajú svoju úlohu dozoru, ako napríklad udeľovanie predchádzajúceho súhlasu s vydaním certifikátu, nemali vyžadovať ďalšie vnútorné oddelenie od ostatných činností dozoru. Patrí sem napríklad situácia, keď vnútroštátny orgán pre certifikáciu kybernetickej bezpečnosti aktívne zhromažďuje informácie počas celého procesu certifikácie, ktorý vykonávajú súkromné orgány posudzovania zhody, a potom vydáva svoje stanovisko k vydaniu certifikátu týmito orgánmi (ďalej len „model predchádzajúceho schválenia“).

(113)V európskych schémach certifikácie kybernetickej bezpečnosti by sa mali špecifikovať podmienky, za ktorých môže byť potrebné opätovne certifikovať produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby alebo úroveň kybernetickej bezpečnosti subjektu alebo za ktorých môže byť potrebné obmedziť rozsah konkrétneho európskeho certifikátu kybernetickej bezpečnosti. Okrem toho by sa v rámci európskych schém certifikácie kybernetickej bezpečnosti mali zohľadňovať všetky možné nepriaznivé účinky akýchkoľvek následne zistených zraniteľností alebo nezhôd týkajúcich sa certifikovaného produktu IKT, služby IKT, procesu IKT, riadenej bezpečnostnej služby alebo úrovne kybernetickej bezpečnosti subjektu, pokiaľ ide o súlad s bezpečnostnými požiadavkami tohto certifikátu.

(114)Kľúčovú úlohu pri zabezpečovaní spoľahlivej kybernetickej bezpečnosti a zlepšovaní prístupu podnikov na trh zohráva harmonizácia. Naopak, roztrieštenosť a nedostatočné vzájomné uznávanie certifikátov predstavujú významné prekážky pre plynulý tok údajov, čím sa zvyšujú prevádzkové náklady v odvetví Únie. Na zmiernenie týchto výziev je nevyhnutné zabrániť roztrieštenosti rozsahu bezpečnostných kontrol, ako aj metód posudzovania zhody v celej Únii.

(115)Členské štáty by mali pred prijatím nových vnútroštátnych schém certifikácie kybernetickej bezpečnosti pre produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby alebo úroveň kybernetickej bezpečnosti subjektov v dostatočnom predstihu informovať Komisiu a ECCG s cieľom pomôcť Komisii a ECCG zhodnotiť vplyv novej vnútroštátnej schémy certifikácie kybernetickej bezpečnosti na riadne fungovanie vnútorného trhu a vzhľadom na možný strategický záujem požiadať o európsku schému certifikácie kybernetickej bezpečnosti.

(116)Existencia odkazov vo vnútroštátnych právnych predpisoch na vnútroštátne normy, ktorých účinnosť sa skončila v dôsledku nadobudnutia účinnosti európskej schémy certifikácie kybernetickej bezpečnosti, môže byť zdrojom nejasností. Členské štáty by preto mali v náležitých prípadoch prijatie európskej schémy certifikácie kybernetickej bezpečnosti premietnuť do svojich vnútroštátnych právnych predpisov.

(117)S cieľom uľahčiť rast spoľahlivého vnútorného trhu a zároveň vytvoriť partnerstvá s tretími krajinami by sa mal proces certifikácie zavedený v rámci ECCF vykonávať spôsobom, ktorý uľahčuje medzinárodné uznávanie, vzájomné uznávanie a zosúladenie s medzinárodnými normami.

(118)S cieľom ďalej uľahčovať obchod a uznávajúc, že dodávateľské reťazce IKT sú medzinárodné, môže Únia v súlade s článkom 218 ZFEÚ uzatvárať dohody o vzájomnom uznávaní týkajúce sa európskych certifikátov kybernetickej bezpečnosti. Komisia by mala byť splnomocnená prijímať vykonávacie akty na jednostranné uznávanie rovnocennosti certifikátov tretích krajín s európskymi certifikátmi kybernetickej bezpečnosti. Malo by byť možné stanoviť osobitné podmienky pre takéto uznávanie certifikátov tretích krajín.

(119)S cieľom dosiahnuť rovnocenné vykonávanie rámca v celej Únii, uľahčiť vzájomné uznávanie a podporovať celkovú akceptáciu európskych certifikátov kybernetickej bezpečnosti a EÚ vyhlásení o zhode je potrebné zaviesť systém partnerského preskúmania medzi vnútroštátnymi orgánmi pre certifikáciu kybernetickej bezpečnosti. Partnerské preskúmanie by sa malo vzťahovať na postupy pre dozor nad súladom produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb a úrovne kybernetickej bezpečnosti subjektov s európskymi certifikátmi kybernetickej bezpečnosti, pre monitorovanie povinností výrobcov alebo poskytovateľov produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb a certifikovaných subjektov, ktoré vykonávajú posúdenie zhody samohodnotením, pre monitorovanie orgánov posudzovania zhody, ako aj primeranosti odborných znalostí personálu orgánov, ktoré vydávajú certifikáty pre úroveň záruky „vysoká“. Agentúra ENISA by sa mala zúčastňovať na partnerských preskúmaniach ako pozorovateľ a podporovať organizáciu mechanizmu partnerského preskúmania a partnerských preskúmaní, a to aj vypracovaním príslušných usmerňujúcich dokumentov a vzorov v spolupráci s Komisiou a ECCG. Agentúra ENISA by takisto mala na svojom webovom sídle pre európske schémy certifikácie kybernetickej bezpečnosti zverejniť informácie o harmonograme partnerských preskúmaní a zoznam partnersky preskúmaných vnútroštátnych orgánov pre certifikáciu kybernetickej bezpečnosti, pre ktoré harmonogram platí. Vykonávacím nariadením Komisie (EÚ) 2025/2540 60 prijatým na základe nariadenia (EÚ) 2019/881, sa stanovuje plán partnerských preskúmaní, ktorý sa využíva pri prijatých európskych schémach certifikácie kybernetickej bezpečnosti. Je potrebné zabezpečiť, aby partnerské preskúmania pokračovali. Komisii by sa však malo umožniť vo vykonávacích aktoch v prípade potreby stanoviť nový plán pre partnerské preskúmania na obdobie najmenej piatich rokov a stanoviť kritériá a metodiky fungovania systému partnerského preskúmania.

(120) Po prijatí európskej schémy certifikácie kybernetickej bezpečnosti by výrobcovia alebo poskytovatelia produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb alebo subjekty, ktorých úroveň kybernetickej bezpečnosti je predmetom certifikácie, mali mať možnosť predložiť žiadosti o certifikáciu svojich produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb alebo úrovne kybernetickej bezpečnosti orgánu posudzovania zhody podľa vlastného výberu kdekoľvek v Únii. Orgány posudzovania zhody by mali byť akreditované vnútroštátnym akreditačným orgánom, ak spĺňajú požiadavky stanovené v tomto nariadení a v náležitých prípadoch požiadavky stanovené Komisiou v súlade s týmto nariadením. Systém stanovený v tomto nariadení by sa mal doplniť systémom akreditácie stanoveným v nariadení Európskeho parlamentu a Rady (ES) č. 765/2008 61 .

(121) Orgány posudzovania zhody, ktoré boli akreditované alebo notifikované podľa existujúcich právnych predpisov Únie, najmä nariadenia (EÚ) 2024/2847 alebo vykonávacieho nariadenia (EÚ) 2024/482, môžu mať spôsobilosti, ktoré sú relevantné pre novo prijaté európske schémy certifikácie kybernetickej bezpečnosti. S cieľom predísť zbytočnej finančnej a administratívnej záťaži je vhodné vytvoriť synergie pre akreditáciu orgánov posudzovania zhody podľa tohto nariadenia. Preto by sa mali akreditačné požiadavky schém stanoviť tak, aby boli čo najviac zosúladené s požiadavkami týkajúcimi sa notifikovaných orgánov stanovenými v nariadení (EÚ) 2024/2847 a akreditačnými požiadavkami podľa vykonávacieho nariadenia (EÚ) 2024/482. Okrem toho by orgány posudzovania zhody, ktoré sa podrobujú procesu akreditácie podľa tohto nariadenia, mali mať možnosť opierať sa o predchádzajúce výsledky hodnotenia ich spôsobilostí podľa iných právnych predpisov Únie, kedykoľvek sa akreditačné požiadavky prekrývajú.

(122)S cieľom uľahčiť harmonizované služby posudzovania zhody v celej Únii by malo byť možné stanoviť v európskej schéme certifikácie kybernetickej bezpečnosti dodatočné alebo osobitné požiadavky na orgány posudzovania zhody. V kontexte certifikácie by sa autorizácia mala chápať ako rozhodnutie vnútroštátneho orgánu pre certifikáciu kybernetickej bezpečnosti o tom, že orgán posudzovania zhody spĺňa osobitné alebo dodatočné požiadavky stanovené v európskej schéme certifikácie kybernetickej bezpečnosti na vykonávanie konkrétnej činnosti posudzovania zhody.

(123)Ak sa v európskej schéme certifikácie kybernetickej bezpečnosti stanovujú dodatočné alebo osobitné požiadavky v súlade s týmto nariadením, vnútroštátne orgány pre certifikáciu kybernetickej bezpečnosti by mali orgánom posudzovania zhody udeliť autorizáciu na vykonávanie úloh v rámci takejto schémy. S cieľom vyhnúť sa viacnásobnému udeľovaniu autorizácií, zlepšiť akceptáciu a uznávanie rozhodnutí o udelení autorizácie a vykonávať efektívne monitorovanie autorizovaných orgánov posudzovania zhody by orgány posudzovania zhody mali žiadať o autorizáciu vnútroštátny orgán pre certifikáciu kybernetickej bezpečnosti toho členského štátu, v ktorom sú usadené. Je však potrebné zabezpečiť, aby mal orgán posudzovania zhody možnosť požiadať o autorizáciu v inom členskom štáte v prípade, že v jeho členskom štáte nie je žiadny vnútroštátny orgán pre certifikáciu kybernetickej bezpečnosti alebo keď vnútroštátny orgán pre certifikáciu kybernetickej bezpečnosti nie je spôsobilý poskytovať požadované služby udeľovania autorizácie. V takýchto prípadoch by sa mala zabezpečiť primeraná spolupráca a výmena informácií medzi vnútroštátnymi orgánmi pre certifikáciu kybernetickej bezpečnosti. Komisia by mala byť splnomocnená na prijímanie vykonávacích aktov, v ktorých sa stanovujú postupy udeľovania autorizácií vrátane cezhraničnej spolupráce v oblasti udeľovania autorizácií.

(124)S cieľom zabezpečiť úroveň ochrany požadovanú pre produkt IKT, službu IKT, proces IKT, riadenú bezpečnostnú službu alebo úroveň kybernetickej bezpečnosti subjektu je nevyhnutné, aby subdodávatelia a dcérske spoločnosti orgánov posudzovania zhody pri vykonávaní úloh posudzovania zhody spĺňali rovnaké požiadavky ako notifikované orgány posudzovania zhody. Orgán posudzovania zhody by preto mal mať príslušnú kompetenciu a mal by byť schopný overiť, či jeho subdodávatelia spĺňajú uplatniteľné požiadavky.

(125)Notifikujúci orgán by mal primerane posúdiť rozsah, v akom má orgán posudzovania zhody v úmysle spoliehať sa na subdodávateľov usadených mimo Únie alebo mať prístup k personálu alebo zariadeniam mimo členského štátu notifikácie. Verejný orgán členského štátu by mal mať možnosť rozhodnúť, že nemôže prevziať celkovú zodpovednosť ako vnútroštátny orgán pre certifikáciu kybernetickej bezpečnosti za takéto usporiadanie, a stiahnuť alebo obmedziť rozsah notifikácie.

(126)Na účely hodnotenia požiadaviek kybernetickej bezpečnosti produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb alebo úrovne kybernetickej bezpečnosti subjektov by vnútroštátne orgány pre certifikáciu kybernetickej bezpečnosti mali notifikovať akreditované orgány posudzovania zhody Komisii a ostatným členským štátom. Notifikácia akreditovaných a v náležitých prípadoch autorizovaných orgánov posudzovania zhody znamená, že týmto orgánom možno dôverovať pri vykonávaní hodnotiacich a certifikačných činností v súlade s týmto nariadením a európskou schémou certifikácie kybernetickej bezpečnosti, čo prispieva k celkovej reputácii európskej certifikácie kybernetickej bezpečnosti. Preto je nevyhnutné zabezpečiť, aby orgány posudzovania zhody, ktoré boli notifikované, plnili svoje požiadavky a povinnosti v priebehu času a aby sa zoznam notifikovaných orgánov posudzovania zhody aktualizoval.

(127)Vo vykonávacom nariadení Komisie (EÚ) 2024/3143 62 prijatom podľa nariadenia (EÚ) 2019/881 sa stanovujú okolnosti, formáty a postupy notifikácie orgánov posudzovania zhody, ktoré sa využívajú v rámci prijatých európskych schém certifikácie kybernetickej bezpečnosti. Preto je potrebné zabezpečiť, aby notifikačné činnosti pokračovali. Komisia by však mala byť splnomocnená prijímať vykonávacie akty s cieľom upraviť tieto okolnosti, postupy a formáty notifikácie orgánov posudzovania zhody. V tejto súvislosti by sa Komisia mala opierať o skúsenosti získané v súvislosti s existujúcimi schémami a usilovať sa o zosúladenie s inými príslušnými právnymi predpismi a rámcami Únie, najmä s nariadením (EÚ) 2024/2847 a novým legislatívnym rámcom, s cieľom znížiť záťaž súvisiacu s dodržiavaním predpisov pre orgány posudzovania zhody pôsobiace na základe rôznych právnych nástrojov.

(128) Dodávateľské reťazce informačných a komunikačných technológií (IKT) pozostávajú z prepojeného súboru zdrojov a procesov medzi hospodárskymi subjektmi. Dodávateľské reťazce IKT zohrávajú kľúčovú úlohu pri udržiavaní spoločenskej stability a podpore hospodárskej činnosti v celej Únii. Zohrávajú takisto rozhodujúcu úlohu pri vytváraní digitálnej infraštruktúry v Únii a podporuje sa nimi fungovanie spoločnosti a hospodárstva Únie. Dodávateľské reťazce IKT umožňujú výrobu, produkciu, distribúciu a údržbu služieb IKT, systémov IKT a produktov IKT, ktoré sú základom rôznych kritických a veľmi kritických odvetví vrátane zdravotníctva, financií, dopravy, telekomunikácií, energetiky a colníctva. Bezpečnosť dodávateľských reťazcov IKT týchto kritických odvetví môže mať vplyv aj na bezpečnosť obrannej a vojenskej infraštruktúry, ak sa táto infraštruktúra spolieha na civilné kritické odvetvia a ich dodávateľské reťazce IKT. Podľa správy o stave kybernetickobezpečnostných hrozieb, ktorú vydala agentúra ENISA [ENISA Threat Landscape 2025 (ENISA, Panoráma hrozieb v roku 2025)] 63 , však útoky na dodávateľské reťazce patria medzi päť hlavných hrozieb pre kybernetickú bezpečnosť, z čoho vyplýva, že útočníci aktívne využívajú nepriame cesty prostredníctvom externých poskytovateľov a závislostí od tretích strán. Narušenie dodávateľských reťazcov IKT môže brániť realizácii ekonomických aktivít na vnútornom trhu, spôsobovať finančné straty, narúšať dôveru používateľov a spôsobovať značné škody spoločnosti a hospodárstvu Únie. Pripravenosť a účinnosť v oblasti kybernetickej bezpečnosti sú preto pre riadne fungovanie vnútorného trhu dôležitejšie ako kedykoľvek predtým.

(129)Okrem technických rizík, ktoré sa riešia v smernici Európskeho parlamentu a Rady (EÚ) 2022/55 64 , nariadení Európskeho parlamentu a Rady (EÚ) 2024/2847 65  a európskom rámci certifikácie kybernetickej bezpečnosti stanovenom nariadením (EÚ) 2019/881, sú dodávateľské reťazce IKT čoraz viac vystavené rizikám netechnickej povahy. Takéto netechnické riziká môžu súvisieť s jurisdikciou, ktorej dodávateľ určitých komponentov podlieha, ale nie sú obmedzené len na ňu, najmä ak sa tretia krajina alebo aktéri hrozieb kontrolovaní z tejto krajiny dopúšťajú ekonomickej špionáže, vykonávajú škodlivé kybernetické činnosti alebo kampane proti Únii alebo jej členským štátom alebo sa dopúšťajú nezodpovedného správania štátu v kybernetickom priestore. Netechnické riziká môžu súvisieť aj so skrytými zraniteľnosťami alebo zadnými vrátkami alebo s možnými systémovými narušeniami dodávok, najmä v prípade odkázanosti na určitého dodávateľa technológie alebo závislosti od dodávateľa. Spínače núdzového zastavenia by sa napríklad mohli použiť na negatívne ovplyvnenie dostupnosti komunikačných sietí a elektrických sietí.

(130)V spoločnom oznámení o posilnení hospodárskej bezpečnosti EÚ 66 sa zdôraznilo riziko, že tretie krajiny získajú prístup k citlivým informáciám a údajom v Únii alebo jej členských štátoch, a to buď v dôsledku priemyselnej špionáže, dodávok hardvéru alebo softvéru používaného v určitých výrobkoch, alebo v dôsledku vlastníctva a kontroly určitých podnikov, ktoré majú citlivé informácie a údaje. Zdôraznilo sa aj riziko narušenia kritickej infraštruktúry Únie – vrátane kritickej dopravy, vesmírnych systémov, energetickej a komunikačnej infraštruktúry, najmä tých, ktoré sú označené za strategické pre vojenskú mobilitu – zahraničnými aktérmi, čo by mohlo viesť ku kaskádovým účinkom na hospodárstvo Únie. K narušeniu by mohlo dôjsť fyzickými, kybernetickými alebo hybridnými útokmi vrátane sabotáže celých zariadení alebo ich častí či čiastkových komponentov. Narušenia by mohli byť takisto spojené s dodávateľskými reťazcami IKT, ktoré sú základom kritických komponentov alebo služieb pre kritické infraštruktúry.

(131)V reakcii na výzvy, ktoré pre bezpečnosť dodávateľského reťazca IKT predstavujú netechnické riziká, niektoré členské štáty prijali regulačné opatrenia vrátane označenia vysokorizikových dodávateľov, zatiaľ čo iné členské štáty tak pravdepodobne urobia. Mohlo by to viesť k ďalším rozdielom vo vnútroštátnych prístupoch a v konečnom dôsledku k vyššej zraniteľnosti niektorých členských štátov s možnými vedľajšími účinkami v celej Únii. Preto je potrebné zosúladiť určité aspekty súvisiace s netechnickými kybernetickobezpečnostnými rizikami pre dodávateľský reťazec IKT. Takáto intervencia na úrovni Únie je opodstatnená aj vzhľadom na potrebu zabezpečiť vysokú úroveň kybernetickej bezpečnosti v celej Únii. Cieľom ustanovení o bezpečnosti dodávateľského reťazca IKT je odstrániť takéto veľké rozdiely medzi členskými štátmi, najmä stanovením pravidiel pre mechanizmy posudzovania rizík v oblasti bezpečnosti dodávateľského reťazca IKT na úrovni Únie a minimálnych noriem ochrany pred rizikami dodávateľského reťazca IKT.

(132)Na zníženie kritických závislostí a zraniteľností je potrebné vytvoriť rámec dôveryhodného dodávateľského reťazca IKT, ktorý by sa mal zaoberať netechnickými rizikami súvisiacimi s vysokorizikovými dodávateľmi a závislosťami v odvetviach s vysokou úrovňou kritickosti a v iných kritických odvetviach. Preto je potrebné vytvoriť objektívny, na rizikách založený, nadčasový a technologicky neutrálny rámec na úrovni Únie, v ktorom by sa identifikovali kľúčové aktíva IKT a stanovil by sa súbor primeraných zmierňujúcich opatrení na riešenie rizík.

(133)Kybernetickobezpečnostné riziká vrátane rizík súvisiacich so závislosťou od vysokorizikových dodávateľov možno pozorovať vo viacerých kritických dodávateľských reťazcoch IKT v Únii vrátane detekčných zariadení, prepojených a automatizovaných vozidiel, systémov dodávok a skladovania elektrickej energie, systémov dodávok vody, bezpilotných lietadiel a systémov na boj proti bezpilotným lietadlám, služieb cloud computingu, zdravotníckych pomôcok, monitorovacích zariadení, vesmírnych služieb a polovodičov. Napríklad zraniteľnosti v bezpečnostných detekčných zariadeniach by mohli umožniť prístup do systémov IKT, čo by umožnilo škodlivým aktérom manipulovať so skenermi takým spôsobom, aby sa zakázané predmety dostali cez bezpečnostné kontrolné stanovište bez toho, aby boli odhalené, čo by mohlo mať katastrofálne následky.

(134)Toto nariadenie by nemalo brániť členským štátom prijímať alebo ponechať v platnosti ustanovenia na zaistenie vyššej úrovne kybernetickej bezpečnosti, pokiaľ ide o bezpečnosť dodávateľského reťazca IKT, ak nie sú takéto ustanovenia v rozpore s povinnosťami členských štátov stanovenými v práve Únie. Takéto ustanovenia môžu napríklad zahŕňať uloženie prísnejších zmierňujúcich opatrení, pokiaľ ide o kľúčové aktíva IKT.

(135)S cieľom identifikovať potenciálne kybernetickobezpečnostné riziká, ktoré ovplyvňujú konkrétne dodávateľské reťazce IKT, môže skupina pre spoluprácu zriadená článkom 14 smernice (EÚ) 2022/2555 (ďalej len „skupina pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti“) posudzovať konkrétne dodávateľské reťazce IKT formou koordinovaných posúdení bezpečnostných rizík na úrovni Únie. Koordinované posúdenia bezpečnostných rizík na úrovni Únie by sa mali okrem iného zaoberať hlavnými aktérmi hrozieb, hlavnými hrozbami a zraniteľnosťami, ktoré ovplyvňujú kľúčové aktíva IKT. V rámci koordinovaných posúdení bezpečnostných rizík na úrovni Únie by sa mal vypracovať zoznam rizikových scenárov a zoznam opatrení na zmiernenie rizík. Koordinované posúdenia bezpečnostných rizík na úrovni Únie by sa mali dokončiť do šiestich mesiacov. V prípade osobitnej naliehavosti by malo byť možné lehoty skrátiť.

(136)V prípadoch, keď má Komisia dostatočný dôvod domnievať sa, že existuje významná kybernetická hrozba pre bezpečnosť Únie súvisiaca s kritickými dodávateľskými reťazcami IKT a že by mohlo byť potrebné prijať opatrenie na zachovanie riadneho fungovania vnútorného trhu, mala by bezodkladne konzultovať s členskými štátmi potrebu zmierňujúcich opatrení a vykonať posúdenie bezpečnostného rizika, pričom zohľadní konzultácie s členskými štátmi.

(137)Ak sa na základe posúdenia bezpečnostných rizík, ktoré vykonala skupina pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti alebo Komisia, ukáže, že konkrétna tretia krajina predstavuje vážne a štrukturálne netechnické kybernetickobezpečnostné riziká pre dodávateľské reťazce IKT, Komisia by mala overiť hrozbu, ktorú táto krajina predstavuje. Komisia môže iniciovať takéto overovanie aj na základe iných zdrojov, ako je verejné vyhlásenie v mene Únie alebo členského štátu v reakcii na prípady nezodpovedného správania štátu v kybernetickom priestore, ktoré viedlo ku kybernetickému bezpečnostnému incidentu. Pri posudzovaní úrovne ohrozenia by Komisia mala zohľadniť také prvky, ako je existencia zákonov alebo postupov v tretej krajine, v ktorých sa vyžaduje, aby subjekty podliehajúce jej súdnej právomoci nahlasovali informácie o zraniteľnostiach softvéru alebo hardvéru orgánom tejto tretej krajiny skôr, ako sa zistí, že tieto zraniteľnosti boli zneužité. Ďalším relevantným prvkom je absencia účinných súdnych prostriedkov nápravy a nezávislých a demokratických kontrolných mechanizmov, ktoré môžu napraviť obavy o bezpečnosť, vrátane existujúcich postupov, podložených informácií o incidentoch aktérov hrozieb pôsobiacich z územia danej krajiny, ktorí vykonávajú škodlivé kybernetické činnosti alebo kampane, a nedostatočná schopnosť alebo ochota tretej krajiny spolupracovať s Komisiou alebo členskými štátmi pri riešení rizika vyplývajúceho z pôsobenia takýchto aktérov hrozieb. Komisia by mala zohľadniť aj informácie vyplývajúce z koordinovaných posúdení bezpečnostných rizík na úrovni Únie alebo zo správ vydaných členskými štátmi alebo medzinárodnými organizáciami, ako je NATO.

(138)Na účely tohto nariadenia by sa pojem kontroly mal chápať ako schopnosť vykonávať rozhodujúci vplyv na právnickú osobu priamo alebo nepriamo prostredníctvom jednej alebo viacerých sprostredkovateľských právnych subjektov. Kontrola subjektov z tretej krajiny, ktorá vzbudzuje obavy z hľadiska kybernetickej bezpečnosti, by sa mala stanoviť aj v situáciách, keď má takýto subjekt výkonné riadiace štruktúry v tejto krajine.

(139)Únia by nemala financovať projekty, na ktorých sa podieľajú vysokorizikoví dodávatelia, čo by ohrozilo bezpečnosť Únie a narušilo jej záujmy a dôveryhodnosť. Vysokorizikoví dodávatelia určení podľa tohto nariadenia by preto nemali byť oprávnení zúčastňovať sa na žiadnych programoch a nástrojoch financovania Únie vykonávaných v rámci priameho a nepriameho riadenia v súlade s článkom 136 nariadenia (EÚ/Euratom) 2024/2509 a osobitnými odvetvovými pravidlami Únie, ako aj na žiadnych činnostiach financovania Únie vykonávaných v rámci zdieľaného riadenia, a to aj v rámci budúceho viacročného finančného rámca, v súvislosti s poskytovaním komponentov IKT alebo komponentov, ktoré zahŕňajú komponenty IKT, ktoré sa majú používať v určených kľúčových aktívach IKT. Implementujúci partneri Únie, ako napríklad skupina Európskej investičnej banky a národné podporné banky a inštitúcie, by sa mali zdržať podpory projektov, ktoré sú v rozpore s uvedeným princípom, a to aj v operáciách na vlastné riziko.

(140)Verejné obstarávanie môže byť pre verejné orgány silným nástrojom, ktorý prispeje k inovatívnejšiemu, udržateľnejšiemu a konkurencieschopnejšiemu hospodárstvu a k strategickému vynakladaniu verejných prostriedkov. Verejné obstarávanie týkajúce sa dodávateľských reťazcov IKT by sa nemalo využívať v prospech dodávateľov, ktorí ohrozujú bezpečnosť kritickej infraštruktúry Únie. Vysokorizikoví dodávatelia určení podľa tohto nariadenia by preto nemali byť oprávnení zúčastňovať sa na verejnom obstarávaní týkajúcom sa poskytovania komponentov IKT alebo komponentov, ktoré zahŕňajú komponenty IKT, ktoré sa majú používať v určených kľúčových aktívach IKT.

(141)Certifikácia kybernetickej bezpečnosti zohráva úlohu pri posilňovaní celkovej bezpečnosti a boji proti kybernetickým hrozbám a slúži ako kritérium dôvery. Táto dôvera by sa mohla narušiť, ak by osvedčenia o zručnostiach v oblasti kybernetickej bezpečnosti poskytovali vysokorizikoví dodávatelia, ktorí by preto nemali byť oprávnení uchádzať sa o to, aby sa stali autorizovanými poskytovateľmi akýchkoľvek osvedčení Únie o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti. Podobne je takisto vhodné vylúčiť vysokorizikových dodávateľov z možnosti získať certifikáciu kybernetickej bezpečnosti v rámci ECCF a stať sa akreditovanými orgánmi posudzovania zhody na vydávanie takýchto certifikátov.

(142)Normy kybernetickej bezpečnosti zohrávajú rozhodujúcu úlohu v oblasti bezpečnosti a dôveryhodnosti digitálnych infraštruktúr. Je potrebné prijať vhodné opatrenia na zabezpečenie normalizácie v oblasti kybernetickej bezpečnosti. Zapojenie subjektov usadených v krajinách, ktoré boli v súlade s týmto nariadením určené ako krajiny, ktoré vzbudzujú obavy z hľadiska kybernetickej bezpečnosti pre dodávateľský reťazec IKT, alebo kontrolovaných z týchto krajín môže viesť k ovplyvňovaniu noriem kybernetickej bezpečnosti spôsobom, ktorý narúša ich bezpečnosť a dôveryhodnosť.

(143)Na základe výsledkov posúdenia bezpečnostných rizík môže Komisia prostredníctvom vykonávacích aktov určiť, ktoré aktíva IKT by sa mali považovať za kľúčové aktíva IKT vzhľadom na ich kritickosť a mali by sa na ne vzťahovať osobitné zmierňujúce opatrenia. Samotná existencia možnosti pripojenia aktíva by mala postačovať na zváženie jeho kybernetickobezpečnostného rizika.

(144)Ak je to potrebné na zabezpečenie vysokej úrovne kybernetickej bezpečnosti, kybernetickej odolnosti a dôvery v Únii, môžu sa zmierňujúce opatrenia uplatňovať na subjekty v súvislosti s ich dodávateľským reťazcom IKT, a najmä s určenými kľúčovými aktívami IKT. Navrhované zmierňujúce opatrenia by mali vychádzať z posúdenia potenciálnych rizík a závislostí vrátane potenciálneho hospodárskeho a spoločenského vplyvu takýchto opatrení na dotknuté subjekty pôsobiace vo vysokokritických alebo iných kritických odvetviach, a najmä na MSP. Hospodársky vplyv by sa mal zamerať na náklady na vykonanie zmierňujúcich opatrení vrátane trvania životného cyklu príslušných komponentov kľúčových aktív IKT v prípade, že opatrenia zahŕňajú výmenu dodávateľov. Mala by sa posúdiť aj dostupnosť alternatívnych dodávateľov na trhu, aby sa zabezpečilo nepretržité poskytovanie služieb.

(145)Keďže zmierňujúce opatrenia by mohli mať potenciálne obmedzujúci účinok na medzinárodný obchod s tovarom a službami, mali by byť primerané a cielené na dosiahnutie legitímneho cieľa zabezpečiť kybernetickú bezpečnosť dodávateľských reťazcov IKT vo vzťahu k subjektom typu uvedeného v prílohách I a II k smernici (EÚ) 2022/2555 v súlade s medzinárodnými záväzkami Únie.

(146)Používanie, inštalácia alebo akýkoľvek iný druh integrácie komponentov poskytovaných vysokorizikovými dodávateľmi do prevádzky kľúčových aktív IKT môžu byť spojené s rizikami následného prenosu údajov do tretej krajiny. Riziká môže predstavovať najmä nedostatočná úroveň ochrany údajov v tretej krajine, napríklad z hľadiska ochrany základných práv, duševného vlastníctva alebo obchodného tajomstva, alebo nezákonný prístup k týmto údajom a ich využívanie na možné budúce narušenie dodávateľského reťazca a špionážne účely. Na zmiernenie takýchto rizík sa môžu uplatňovať obmedzenia týkajúce sa prenosu určitých typov údajov do tretích krajín.

(147)Dôležité zraniteľnosti vyplývajú z nedostatočnej rozmanitosti zariadení používaných subjektmi typu uvedeného v prílohách I a II k smernici (EÚ) 2022/2555. Závislosť od jediného dodávateľa vytvára závislosť od konkrétneho zariadenia alebo riešenia. Nedostatočná rozmanitosť dodávateľov zvyšuje celkovú zraniteľnosť kritickej infraštruktúry, najmä ak subjekty získavajú komponenty IKT používané v citlivých aktívach IKT od dodávateľa, ktorý predstavuje vysoký stupeň rizika. Závislosť takisto výrazne ovplyvňuje odolnosť na vnútroštátnej úrovni a úrovni Únie a vytvára jednotlivé body zlyhania. Na zmiernenie takýchto rizík sa môžu uplatniť požiadavky mať v prípade konkrétnych kľúčových aktív IKT viac ako jedného dodávateľa.

(148)Aj subjekty Únie môžu používať kľúčové aktíva vymedzené v tomto nariadení. Preto by sa aj na ne mali vzťahovať pravidlá stanovené v tomto nariadení týkajúce sa bezpečnosti dodávateľského reťazca IKT. Aby sa zabezpečilo zohľadnenie špecifík subjektov Únie, je dôležité pri vykonávaní koordinovaných posúdení bezpečnostných rizík na úrovni Únie zvážiť netechnické riziká vyplývajúce z dodávateľských reťazcov IKT v súvislosti so subjektmi Únie.

(149)Za výnimočných okolností, ktoré odôvodňujú okamžitú intervenciu s cieľom zachovať riadne fungovanie vnútorného trhu, a ak existujú jasné dôkazy, ktoré dávajú Komisii dostatočný dôvod domnievať sa, že používanie komponentov IKT od konkrétneho dodávateľa alebo komponentov, ktoré obsahujú takéto komponenty IKT, predstavuje významnú kybernetickobezpečnostnú hrozbu pre hospodárske alebo spoločenské činnosti najmenej troch členských štátov, môže Komisia po intenzívnej konzultácii s členskými štátmi navrhnúť zákaz používania, inštalácie alebo integrácie takýchto komponentov od tohto dodávateľa v prípade typov subjektov uvedených v prílohách I a II k smernici (EÚ) 2022/2555.

(150)S cieľom zabezpečiť proporcionalitu uplatňovaných opatrení môžu subjekty usadené v tretej krajine, ktorá vzbudzuje obavy z hľadiska kybernetickej bezpečnosti a ktorá je určená v súlade s týmto nariadením, alebo kontrolované takouto treťou krajinou, subjektom usadeným v takejto tretej krajine alebo štátnym príslušníkom takejto tretej krajiny požiadať o výnimku zo zákazu poskytovať subjektom typu uvedeného v prílohách I a II k smernici (EÚ) 2022/2555 komponenty IKT alebo komponenty, ktoré obsahujú komponenty IKT, na ich použitie, inštaláciu alebo integráciu do kľúčových aktív IKT tohto subjektu a zúčastňovať sa na postupoch verejného obstarávania organizovaných v súlade s právnymi predpismi, ktorými sa transponujú smernice Európskeho parlamentu a Rady 2014/24/EÚ 67 a 2014/25/EÚ 68 , v súvislosti s poskytovaním komponentov IKT alebo komponentov, ktoré zahŕňajú komponenty IKT, ktoré sa majú používať v určených kľúčových aktívach IKT. Na tento účel by mal subjekt jasnými dôkazmi preukázať, že uplatňuje účinné opatrenia na riešenie netechnických rizík a zabezpečenie toho, aby nedochádzalo k prípadnému neprimeranému zasahovaniu zo strany tretej krajiny, ktorá vzbudzuje obavy z hľadiska kybernetickej bezpečnosti.

(151)Elektronické komunikačné siete tvoria základ pre široký rad služieb, ktoré sú nevyhnutné pre fungovanie vnútorného trhu a zachovanie a fungovanie dôležitých spoločenských a hospodárskych funkcií, ako sú energetika, doprava, bankovníctvo, zdravotníctvo, obrana, ako aj priemyselných riadiacich systémov. Preto sú tieto siete s vysokou úrovňou kritickosti atraktívnym cieľom pre všetky typy kybernetických útokov a hybridných hrozieb, pre narušenia, špionáž, zhromažďovanie spravodajských informácií, ako aj pre podvody a finančnú trestnú činnosť. V posúdení rizík skupiny pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti týkajúcom sa kybernetickej bezpečnosti a odolnosti európskych komunikačných infraštruktúr a sietí sa identifikovalo niekoľko rizík a hrozieb strategického významu z hľadiska Únie, ako sú napríklad wiperové/ransomvérové útoky, útoky na dodávateľský reťazec, prieniky do sietí a distribuované útoky na vyradenie služby (útoky DDoS).

(152)Vzhľadom na prepojenie a vzájomnú závislosť medzi rôznymi vnútroštátnymi elektronickými komunikačnými sieťami je potrebné, aby všetky členské štáty prijali vhodné opatrenia na zaistenie bezpečnosti svojich sietí. Z rovnakých dôvodov je potrebné zaviesť účinný právny rámec na úrovni Únie, v ktorom by sa pozornosť venovala aj netechnickým rizikám a komplexne by sa ním zabezpečila bezpečnosť prepojených elektronických komunikačných sietí.

(153)Najmä kybernetická bezpečnosť sietí 5G je pre Úniu strategicky dôležitá, keďže tieto siete tvoria základ pre široký rad služieb, ktoré majú zásadný význam pre fungovanie vnútorného trhu, a sú kľúčové aj pri vytváraní našej obrannej pripravenosti, a to aj v súvislosti s vojenskou mobilitou. Siete 5G sú schopné poskytovať spoľahlivé ultrarýchle pripojenie, napríklad na zdieľanie údajov a informácií, detekciu dronov a koordináciu na bojisku v reálnom čase.

(154)Zavádzanie 5G spočíva predovšetkým v nesamostatných sieťach, kde je na technológiu 5G modernizovaná len rádiová prístupová sieť, zatiaľ čo zvyšok siete stále využíva existujúcu základnú sieť 4G. Nesamostatné siete 5G vychádzajú predovšetkým z už existujúcej infraštruktúry, čo znamená, že bezpečnosť budúcich sietí 5G je do určitej miery daná už existujúcim sieťovým vybavením a konfiguráciou tohto vybavenia. Preto by sa zmierňujúce opatrenia mali vzťahovať aj na siete 4G, na ktoré sa zavádzanie 5G spolieha.

(155)S cieľom riešiť dôležité bezpečnostné výzvy v sieťach 5G členské štáty v rámci skupiny pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti spolu s Komisiou a agentúrou ENISA vykonali koordinované posúdenie bezpečnostných rizík sietí 5G na úrovni Únie, pričom preskúmali technické aj netechnické riziká. V tomto posúdení sa identifikovalo niekoľko rizík vrátane možného zasahovania zo strany tretích krajín alebo subjektov z tretích krajín prostredníctvom dodávateľského reťazca a aktíva sa rozdelili do kategórií podľa ich kritickosti. Toto posúdenie by sa malo považovať za základ na vymedzenie kľúčových aktív IKT pre komunikačné siete 5G.

(156)Na zmiernenie rizík identifikovaných v koordinovanom posúdení bezpečnostných rizík sietí 5G na úrovni Únie prijala skupina pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti súbor nástrojov EÚ pre kybernetickú bezpečnosť 5G, v ktorom sú stanovené strategické a technické opatrenia. Hoci väčšina členských štátov má právne rámce, ktoré umožňujú obmedzenie alebo vylúčenie vysokorizikových dodávateľov, ako sa odporúča v súbore nástrojov pre 5G, vykonávanie týchto rámcov nie je jednotné. To má za následok, že značný počet lokalít 5G v celej Únii je zásobovaný vysokorizikovými dodávateľmi, ako sa uvádza v oznámení Komisie o vykonávaní súboru nástrojov pre 5G 69 . Táto situácia zraniteľnosti vrátane strategickej závislosti a potenciálneho vystavenia vplyvu tretích krajín, čo by mohlo ovplyvniť aj budúcu infraštruktúru 6G vybudovanú na existujúcich sieťach 5G. Roztrieštené vykonávanie odporúčaných opatrení súboru nástrojov pre 5G, najmä pokiaľ ide o rozsah obmedzení týkajúcich sa vysokorizikových dodávateľov, viedlo k rozdielom medzi členskými štátmi, čo má za následok nerovnaké podmienky, ktoré rozdeľujú vnútorný trh a oslabujú celkovú bezpečnosť siete. Európsky dvor audítorov upozornil na tieto rozdiely a varoval, že absencia koordinovaného prístupu narúša fungovanie vnútorného trhu. Pretrvávajúca závislosť od vysokorizikových dodávateľov predstavuje vážne riziko pre bezpečnosť kritickej infraštruktúry v Únii a mohla by narušiť dôveru vo vnútorný trh, keďže nejednotná úroveň bezpečnosti môže spotrebiteľov a podniky odradiť od toho, aby sa spoliehali na produkty a služby založené na 5G v celej Únii. Preto je nevyhnutné prijať opatrenia na úrovni Únie, aby sa zabezpečil harmonizovaný prístup k bezpečnosti sietí 5G.

(157)Na účely stanovenia obdobia postupného vyraďovania kľúčových aktív IKT pevných a satelitných elektronických komunikačných sietí by Komisia mala vykonať posúdenie, v ktorom náležite zohľadní mieru bezpečnostných rizík spojených s každým konkrétnym kľúčovým aktívom IKT pevných a satelitných sietí, životnosť príslušných komponentov a hospodársky vplyv, ktorý by odstránenie týchto komponentov malo na príslušných prevádzkovateľov. Na základe výsledkov tohto posúdenia môže Komisia zvážiť stanovenie rôznych období postupného vyraďovania pre jednotlivé kľúčové aktíva IKT a ich integrálne prvky.

(158)Na účely účinného dozoru nad dodržiavaním povinností týkajúcich sa poskytovateľov mobilných, pevných a satelitných elektronických komunikačných sietí a ich presadzovania by príslušné orgány podľa tohto nariadenia mali zabezpečiť úzku spoluprácu s príslušnými orgánmi podľa [návrhu aktu o digitálnych sieťach]. Národné regulačné orgány alebo v náležitých prípadoch iné príslušné orgány pre rádiové frekvenčné spektrum by mali na žiadosť príslušného orgánu určeného podľa tohto nariadenia odobrať práva uvedené v článku 9 a článku 20 [návrhu aktu o digitálnych sieťach], ak poskytovateľ verejných elektronických komunikačných sietí nedodržiava povinnosti podľa tohto nariadenia vrátane toho, ak poskytovateľ v lehote stanovenej v súlade s týmto nariadením postupne nevyradí komponenty IKT od vysokorizikových dodávateľov alebo komponenty, ktoré obsahujú takéto komponenty IKT, z prevádzky kľúčových aktív IKT.

(159)Vzhľadom na rozdiely vo vnútroštátnych riadiacich štruktúrach by členské štáty mali určiť alebo zriadiť jeden alebo viacero príslušných orgánov zodpovedných za opatrenia dozoru a presadzovania práva podľa tohto nariadenia.

(160)Príslušné orgány by mali poskytovať podporu subjektom typu uvedeného v prílohách I a II k smernici (EÚ) 2022/2555 pri plnení ich povinností podľa tohto nariadenia. Na tento účel by Komisia mala posúdiť, či dodávatelia, na ktorých sa môžu vzťahovať osobitné zákazy, sú usadení v tretej krajine, ktorá vzbudzuje obavy z hľadiska kybernetickej bezpečnosti, alebo sú kontrolovaní takouto treťou krajinou alebo subjektom usadeným v takejto tretej krajine alebo štátnym príslušníkom takejto tretej krajiny. Príslušné orgány by mali úzko spolupracovať s Komisiou a ostatnými príslušnými orgánmi v rámci siete zriadenej podľa tohto nariadenia. Na základe posúdenia Komisie by príslušné orgány mali zdieľať relevantné informácie týkajúce sa vysokorizikových dodávateľov s príslušnými subjektmi typu uvedeného v prílohách I a II k smernici (EÚ) 2022/2555. Od subjektov sa neočakáva, že budú overovať, či je dodávateľ pod zahraničnou kontrolou, ale môžu sa plne spoliehať na informácie získané od príslušných orgánov. Príslušné orgány by mali zabezpečiť, aby sa týmto subjektom neukladala zbytočná administratívna záťaž.

(161)S cieľom zabezpečiť účinné dodržiavanie by sa v tomto nariadení mali stanoviť opatrenia v oblasti dozoru a presadzovania práva, prostredníctvom ktorých môžu príslušné orgány vykonávať dozor nad subjektmi typu uvedeného v prílohách I a II k smernici (EÚ) 2022/2555. Ak príslušné orgány vykonávajú svoje úlohy v oblasti dozoru a presadzovania práva vo vzťahu k týmto subjektom, nemali by prekračovať rámec toho, čo je nevyhnutné, a mali by byť primerané zisteným rizikám.

(162)Aby bolo presadzovanie dodržiavania predpisov účinné a konzistentné v celej Únii, je potrebné stanoviť právomoci na presadzovanie, ktoré môžu príslušné orgány vykonávať v prípade porušenia povinností stanovených v tomto nariadení. Pri výkone týchto právomocí na presadzovanie dodržiavania predpisov by príslušné orgány mali náležite zohľadniť viacero faktorov, vrátane povahy, závažnosti a trvania porušenia, spôsobenej hmotnej alebo nehmotnej ujmy, toho, či bolo porušenie úmyselné alebo z nedbanlivosti, opatrení prijatých na zabránenie alebo zmiernenie hmotnej alebo nehmotnej ujmy, miery zodpovednosti alebo akýchkoľvek relevantných predchádzajúcich porušení, miery spolupráce s príslušným orgánom a akýchkoľvek ďalších priťažujúcich alebo poľahčujúcich faktorov. Opatrenia presadzovania práva vrátane sankcií by mali byť primerané a ich ukladanie by malo podliehať primeraným procesným zárukám v súlade so všeobecnými zásadami práva Únie a Charty základných práv Európskej únie vrátane práva na účinný prostriedok nápravy a na spravodlivý proces, prezumpcie neviny a práva na obhajobu.

(163)Je dôležité stanoviť aj právomoc ukladať pravidelné penále s cieľom prinútiť subjekt typu uvedeného v prílohách I alebo II k smernici (EÚ) 2022/2555, aby ukončil porušovanie tohto nariadenia v súlade s predchádzajúcim rozhodnutím príslušného orgánu.

(164) S cieľom zabezpečiť účinné presadzovanie povinností stanovených v tomto nariadení by mal mať každý príslušný orgán právomoc uložiť sankcie alebo požiadať o ich uloženie.

(165)Na účely uloženia sankcií subjektu typu uvedeného v prílohách I a II k smernici (EÚ) 2022/2555, ktorý je podnikom, by sa ako podnik mal rozumieť podnik v súlade s článkami 101 a 102 ZFEÚ. Ak sa pokuta ukladá osobe, ktorá nie je podnikom, príslušný orgán by mal pri rozhodovaní o primeranej výške sankcií zohľadniť všeobecnú úroveň príjmov v členskom štáte, ako aj majetkové pomery danej osoby. Členské štáty by mali určiť, či a v akom rozsahu by sa sankcie mali uplatňovať na orgány verejnej moci. Uloženie sankcie by nemalo mať vplyv na uplatňovanie iných právomocí príslušných orgánov.

(166)S cieľom zabezpečiť jednotné podmienky vykonávania tohto nariadenia by sa mali na Komisiu preniesť vykonávacie právomoci, pokiaľ ide o prijímanie vykonávacích aktov, ktorými sa stanovujú podrobné pravidlá týkajúce sa poplatkov vyberaných agentúrou ENISA, vykonávacích aktov, ktorými sa stanovuje európska schéma certifikácie kybernetickej bezpečnosti pre produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby alebo úroveň kybernetickej bezpečnosti subjektov, vykonávacích aktov, ktorými sa stanovujú spoločné zásady a referenčné ustanovenia určené na stanovenie prvkov v rámci európskych schém certifikácie kybernetickej bezpečnosti, vykonávacích aktov, ktorými sa stanovujú postupy pre modely predchádzajúceho schválenia alebo všeobecného delegovania, vykonávacích aktov o uznávaní certifikátov kybernetickej bezpečnosti tretej krajiny alebo medzinárodnej organizácie za rovnocenné s európskymi certifikátmi kybernetickej bezpečnosti, vykonávacích aktov, ktorými sa stanovuje plán partnerského preskúmania, vykonávacích aktov, ktorými sa stanovujú postupy udeľovania autorizácií orgánom posudzovania zhody vrátane cezhraničnej spolupráce, vykonávacích aktov na stanovenie okolností, formátov a postupov pre notifikácie orgánov posudzovania zhody, vykonávacích aktov, ktorými sa tretia krajina určuje ako krajina, ktorá vzbudzuje obavy z hľadiska kybernetickej bezpečnosti pre dodávateľské reťazce IKT, vykonávacích aktov, ktorými sa určujú kľúčové aktíva IKT používané na výrobu výrobkov alebo poskytovanie služieb subjektmi typu uvedeného v prílohách I a II k smernici (EÚ) 2022/2555, vykonávacích aktov, ktorými sa stanovuje, že subjekty pôsobiace v odvetviach s vysokou úrovňou kritickosti a v iných kritických odvetviach podliehajú osobitným zmierňujúcim opatreniam, a ktorými sa určujú lehoty na postupné vyradenie komponentov IKT poskytovaných vysokorizikovými dodávateľmi alebo komponentov, ktoré zahŕňajú takéto komponenty IKT, vykonávacích aktov, ktorými sa bližšie určujú podmienky týkajúce sa výnimky pre subjekty usadené v tretej krajine alebo kontrolované subjektmi z tretej krajiny, ktorá vzbudzuje obavy z hľadiska kybernetickej bezpečnosti, ako aj prijímanie vykonávacích aktov, ktorými sa stanovujú podrobné pravidlá týkajúce sa poplatkov vyberaných Komisiou. Uvedené právomoci by sa mali vykonávať v súlade s nariadením Európskeho parlamentu a Rady (EÚ) č. 182/2011 a mal by sa využiť postup preskúmania. S cieľom zabezpečiť jednotné podmienky vykonávania tohto nariadenia by sa mali na Komisiu preniesť vykonávacie právomoci aj v súvislosti so zostavením zoznamu vysokorizikových dodávateľov relevantných v prípade určitých opatrení stanovených v tomto nariadení.

(167)Je potrebné, aby európske schémy certifikácie kybernetickej bezpečnosti odrážali najnovší technologický vývoj, nové súvisiace hrozby a prijímanie nových právnych predpisov Únie, v ktorých sa stanovuje preukazovanie súladu a predpoklad zhody s príslušnými požiadavkami kybernetickej bezpečnosti uvedenými v týchto právnych predpisoch prostredníctvom európskej certifikácie kybernetickej bezpečnosti. Preto by sa na Komisiu mala delegovať právomoc prijímať akty v súlade s článkom 290 ZFEÚ s cieľom doplniť alebo zmeniť bezpečnostné ciele, ktoré sledujú európske schémy certifikácie kybernetickej bezpečnosti. Podobne by sa v záujme rámca dôveryhodného dodávateľského reťazca IKT mala na Komisiu delegovať právomoc prijímať akty v súlade s článkom 290 ZFEÚ s cieľom zmeniť prílohu II k tomuto nariadeniu, aby sa prispôsobila technologickému vývoju. Je osobitne dôležité, aby Komisia počas prípravných prác uskutočnila príslušné konzultácie, a to aj na úrovni expertov, a aby tieto konzultácie vykonávala v súlade so zásadami stanovenými v Medziinštitucionálnej dohode z 13. apríla 2016 o lepšej tvorbe práva. Predovšetkým v záujme rovnakého zastúpenia pri príprave delegovaných aktov by sa všetky dokumenty mali Európskemu parlamentu a Rade doručovať v rovnakom čase ako expertom z členských štátov, a experti Európskeho parlamentu a Rady by mali mať systematicky prístup na zasadnutia skupín expertov Komisie, ktoré sa zaoberajú prípravou delegovaných aktov.

(168)Činnosť agentúry ENISA by sa mala pravidelne a nezávisle vyhodnocovať. Toto hodnotenie by sa malo vzťahovať na plnenie cieľov agentúry ENISA a relevantnosť jej úloh, najmä tých, ktoré sa týkajú operačnej spolupráce na úrovni Únie. V prípade preskúmania by Komisia mala zhodnotiť, ako možno posilniť úlohu agentúry ENISA ako referenčného bodu pre poradenstvo a odborné znalosti.

(169)Vo vykonávacom nariadení Komisie (EÚ) 2024/482 sa stanovujú pravidlá týkajúce sa prijatia európskej schémy certifikácie kybernetickej bezpečnosti založenej na spoločných kritériách (EUCC). EUCC je prvou a jedinou európskou schémou certifikácie kybernetickej bezpečnosti prijatou podľa nariadenia (EÚ) 2019/881. Týka sa certifikácie produktov IKT vrátane produktov patriacich do technických oblastí „inteligentné karty a podobné zariadenia“ a „hardvérové zariadenia s bezpečnostnými skrinkami“ a profilov ochrany (ako procesov IKT). Preto je potrebné zabezpečiť pokračovanie certifikačných činností, ako aj činností agentúry.

(170)V súlade s článkom 42 ods. 2 nariadenia (EÚ) 2018/1725 70 sa viedli konzultácie s európskym dozorným úradníkom pre ochranu údajov a Európskym výborom pre ochranu údajov a výsledkom bolo vydanie spoločného stanoviska [dátum].

(171)Nariadenie (EÚ) 2019/881 by sa malo zrušiť.

(172)Keďže ciele tohto nariadenia nie je možné uspokojivo dosiahnuť na úrovni členských štátov, ale z dôvodov jeho rozsahu a dôsledkov ich možno lepšie dosiahnuť na úrovni Únie, môže Únia prijať opatrenia v súlade so zásadou subsidiarity podľa článku 5 Zmluvy o Európskej únii (ZEÚ). V súlade so zásadou proporcionality podľa uvedeného článku toto nariadenie neprekračuje rámec nevyhnutný na dosiahnutie týchto cieľov,

PRIJALI TOTO NARIADENIE:

HLAVA I 
VŠEOBECNÉ USTANOVENIA

Článok 1
Predmet úpravy a rozsah pôsobnosti

1.V tomto nariadení sa stanovujú:

a)poslanie, ciele, úlohy a organizačné aspekty týkajúce sa Agentúry Európskej únie pre kybernetickú bezpečnosť (ENISA);

b)rámec pre zavádzanie európskych schém certifikácie kybernetickej bezpečnosti na zabezpečenie primeranej úrovne kybernetickej bezpečnosti pre produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby alebo stav kybernetickej bezpečnosti subjektov v Únii, ako aj na predídenie fragmentácii vnútorného trhu z hľadiska schém certifikácie kybernetickej bezpečnosti v Únii a

c)rámec dôveryhodného dodávateľského reťazca IKT.

2.Rámec uvedený v odseku 1 písm. b) sa uplatňuje bez toho, aby boli dotknuté konkrétne ustanovenia v iných právnych aktoch Únie, ktoré sa týkajú dobrovoľnej alebo povinnej certifikácie.

3.Rámec uvedený v prvom pododseku písm. c) sa vzťahuje na verejné alebo súkromné subjekty typu uvedeného v prílohe I alebo II k smernici (EÚ) 2022/2555, ktoré poskytujú svoje služby alebo vykonávajú svoje činnosti v Únii.

4.Týmto nariadením nie sú dotknuté základné funkcie štátu členských štátov vrátane zabezpečovania územnej celistvosti štátu, udržiavania verejného poriadku a zabezpečovania národnej bezpečnosti. Predovšetkým národná bezpečnosť ostáva vo výlučnej zodpovednosti každého členského štátu.

Článok 2
Vymedzenie pojmov

Na účely tohto nariadenia sa uplatňuje toto vymedzenie pojmov:

1.„kybernetická bezpečnosť“ sú činnosti potrebné na ochranu sietí a informačných systémov, používateľov takýchto systémov a iných osôb dotknutých kybernetickými hrozbami;

2.„subjekty Únie“ sú subjekty Únie v zmysle vymedzenia v článku 3 bode 1 nariadenia (EÚ, Euratom) 2023/2841;

3.„autorizovaný poskytovateľ osvedčení“ je verejný alebo súkromný subjekt, v súvislosti s ktorým agentúra ENISA prijala rozhodnutie, ktorým sa tomuto subjektu udeľuje autorizácia na udeľovanie európskych osvedčení o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti, ako sa stanovuje v európskej schéme osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti;

4.„európske osvedčenie o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti“ je záznam v digitálnej alebo fyzickej podobe, ktorým sa na základe posúdenia stanoveného v európskej schéme osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti potvrdzuje, že jednotlivec pozná, chápe a je schopný vykonávať úlohy spojené s profilom roly alebo podskupinou profilu roly európskeho rámca zručností v oblasti kybernetickej bezpečnosti (ECSF);

5.„európska schéma osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti“ je komplexný súbor pravidiel, požiadaviek, noriem a postupov stanovených agentúrou ENISA a súvisiacich s profilom roly ECSF alebo jeho podskupinou, ktoré sa vzťahujú na autorizovaných poskytovateľov osvedčení a ktoré títo poskytovatelia uplatňujú;

6.„sieť a informačný systém“ je sieť a informačný systém v zmysle vymedzenia v článku 6 bode 1 smernice (EÚ) 2022/2555;

7.„národná stratégia kybernetickej bezpečnosti“ je národná stratégia kybernetickej bezpečnosti v zmysle vymedzenia v článku 6 bode 4 smernice (EÚ) 2022/2555;

8.„incident“ je incident v zmysle vymedzenia v článku 6 bode 6 smernice (EÚ) 2022/2555;

9.„rozsiahly kybernetický bezpečnostný incident“ je rozsiahly kybernetický incident v zmysle vymedzenia v článku 6 bode 7 smernice (EÚ) 2022/2555;

10.„riešenie incidentov“ je riešenie incidentov v zmysle vymedzenia v článku 6 bode 8 smernice (EÚ) 2022/2555;

11.„kybernetická hrozba“ je každá potenciálna okolnosť, udalosť alebo činnosť, ktorá by mohla poškodiť, narušiť alebo inak negatívne ovplyvniť siete a informačné systémy, používateľov takýchto systémov a iné osoby;

12.„európska schéma certifikácie kybernetickej bezpečnosti“ je komplexný súbor pravidiel, technických požiadaviek, noriem a postupov, ktoré sú stanovené na úrovni Únie a ktoré sa uplatňujú na certifikáciu alebo posudzovanie zhody konkrétnych produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb alebo úrovne kybernetickej bezpečnosti subjektov;

13.„vnútroštátna schéma certifikácie kybernetickej bezpečnosti“ je komplexný súbor pravidiel, technických požiadaviek, noriem a postupov vypracovaných a prijatých vnútroštátnym orgánom verejnej moci a uplatňovaných pri certifikácii alebo posudzovaní zhody produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb alebo úrovne kybernetickej bezpečnosti subjektov v rozsahu pôsobnosti príslušnej schémy;

14.„európsky certifikát kybernetickej bezpečnosti“ je dokument, ktorý vydal príslušný orgán a ktorým sa potvrdzuje, že daný produkt IKT, služba IKT, proces IKT alebo riadené bezpečnostné služby alebo úroveň kybernetickej bezpečnosti subjektu boli predmetom hodnotenia, pokiaľ ide o súlad s konkrétnymi bezpečnostnými požiadavkami stanovenými v európskej schéme certifikácie kybernetickej bezpečnosti;

15.„EÚ vyhlásenie o zhode“ je dokument, ktorý vydáva výrobca alebo poskytovateľ produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb alebo subjekt, ktorého úroveň kybernetickej bezpečnosti je predmetom certifikácie, v ktorom sa uvádza, že posúdením zhody samohodnotením bolo preukázané splnenie požiadaviek zodpovedajúcich úrovni záruky „základná“ stanovených v európskej schéme certifikácie kybernetickej bezpečnosti;

16.„produkt IKT“ je prvok alebo skupina prvkov siete alebo informačného systému;

17.„služba IKT“ je služba pozostávajúca úplne alebo prevažne z prenosu, ukladania, získavania alebo spracúvania informácií prostredníctvom sietí a informačných systémov;

18.„proces IKT“ je súbor činností vykonávaných pre navrhnutie, vyvinutie, poskytnutie alebo údržbu produktu IKT alebo služby IKT;

19.„riadená bezpečnostná služba“ je služba poskytovaná tretej strane, ktorej predmetom je vykonávanie činností súvisiacich s riadením rizika kybernetickej bezpečnosti alebo poskytovanie pomoci pri týchto činnostiach, ako je riešenie incidentu, penetračné testovanie, bezpečnostné audity a konzultácie vrátane odborného poradenstva súvisiaceho s technickou podporou;

20.„akreditácia“ je akreditácia v zmysle vymedzenia v článku 2 bode 10 nariadenia (ES) č. 765/2008;

21.„vnútroštátny akreditačný orgán“ je vnútroštátny akreditačný orgán v zmysle vymedzenia v článku 2 bode 11 nariadenia (ES) č. 765/2008;

22.„posudzovanie zhody“ je posudzovanie zhody v zmysle vymedzenia v článku 2 bode 12 nariadenia (ES) č. 765/2008;

23.„orgán posudzovania zhody“ je orgán posudzovania zhody v zmysle vymedzenia v článku 2 bode 13 nariadenia (ES) č. 765/2008;

24.„norma“ je norma v zmysle vymedzenia v článku 2 bode 1 nariadenia Európskeho parlamentu a Rady (EÚ) č. 1025/2012 71 ;

25.„technická špecifikácia“ je technická špecifikácia v zmysle vymedzenia v článku 2 bode 4 nariadenia (EÚ) č. 1025/2012;

26.„harmonizovaná norma“ je harmonizovaná norma v zmysle vymedzenia v článku 2 bode 1 písm. c) nariadenia (EÚ) č. 1025/2012;

27.„úroveň záruky“ je základ pre presvedčenie, že produkt IKT, služba IKT, proces IKT, riadená bezpečnostná služba alebo úroveň kybernetickej bezpečnosti subjektu spĺňa bezpečnostné požiadavky konkrétnej európskej schémy certifikácie kybernetickej bezpečnosti, a uvádza úroveň, na akej sa produkt IKT, služba IKT, proces IKT, riadená bezpečnostná služba alebo úroveň kybernetickej bezpečnosti subjektu hodnotili, ale ako taká nemeria bezpečnosť produktu IKT, služby IKT, procesu IKT, riadenej bezpečnostnej služby alebo úrovne kybernetickej bezpečnosti subjektu;

28.„posúdenie zhody samohodnotením“ je činnosť vykonávaná výrobcom alebo poskytovateľom produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb alebo subjektom, ktorého úroveň kybernetickej bezpečnosti je predmetom certifikácie, ktorou sa hodnotí, či tieto produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby alebo úroveň kybernetickej bezpečnosti subjektov spĺňajú požiadavky konkrétnej európskej schémy certifikácie kybernetickej bezpečnosti;

29.„úroveň kybernetickej bezpečnosti subjektov“ je úroveň kybernetickej bezpečnosti subjektov vzhľadom na konkrétne bezpečnostné požiadavky;

30.„model predchádzajúceho schválenia“ je model, v rámci ktorého môže orgán posudzovania zhody vydať európsky certifikát kybernetickej bezpečnosti na základe posúdenia vnútroštátneho orgánu pre certifikáciu kybernetickej bezpečnosti v kontexte konkrétneho procesu certifikácie v rámci príslušnej schémy;

31.„model všeobecného delegovania“ je model, v rámci ktorého môže orgán posudzovania zhody vydať európsky certifikát kybernetickej bezpečnosti na základe delegovania certifikačných činností vnútroštátnym orgánom pre certifikáciu kybernetickej bezpečnosti;

32.„jednotka pre riešenie počítačových bezpečnostných incidentov“ alebo „jednotka CSIRT“ je jednotka CSIRT určená alebo zriadená podľa článku 10 smernice (EÚ) 2022/2555;

33.„komponenty IKT“ sú produkty IKT, služby IKT alebo procesy IKT, ktoré sa môžu používať pri prevádzke aktív IKT;

34.„aktíva IKT“ sú softvérové alebo hardvérové aktíva v sieťach a informačných systémoch, ktoré používa subjekt typu uvedeného v prílohách I a II k smernici (EÚ) 2022/2555;

35.„kľúčové aktíva IKT“ sú aktíva IKT určené v súlade s článkom 102;

36.„elektronická komunikačná sieť“ je elektronická komunikačná sieť v zmysle vymedzenia v článku 2 bode 1 nariadenia (EÚ) XX/XXXX [návrh DNA];

37.„kontrola“ je schopnosť uplatňovať rozhodujúci vplyv na právny subjekt priamo alebo nepriamo prostredníctvom jedného alebo viacerých sprostredkovateľských právnych subjektov;

38.„sídlo“ je účinné vykonávanie činnosti prostredníctvom stálych štruktúr v krajine, v ktorej má subjekt svoje ústredie alebo hlavné miesto podnikateľskej činnosti;

39.„vysokorizikový dodávateľ“ je ktorýkoľvek z týchto subjektov:

a)subjekt usadený v tretej krajine, ktorá vzbudzuje obavy z hľadiska kybernetickej bezpečnosti a ktorá je určená v súlade s článkom 100, alebo kontrolovaný takouto treťou krajinou, subjektom usadeným v takejto tretej krajine alebo štátnym príslušníkom takejto tretej krajiny;

b)subjekt určený v súlade s článkom 103 ods. 7 a subjekty kontrolované týmto subjektom;

40.„dodávateľský reťazec IKT“ je súbor služieb IKT, produktov IKT a procesov IKT, ktorý zahŕňa činnosti a aktérov zapojených vo všetkých fázach pred sprístupnením produktu alebo poskytovaním služby na trhu;

41.„tretia krajina“ je tretia krajina v zmysle vymedzenia v článku 3 bode 4 nariadenia Európskeho parlamentu a Rady (EÚ) 2023/2675 72 ;

42.„netechnické riziko“ je pravdepodobnosť, že dodávateľ podlieha vplyvu tretej krajiny s potenciálom spôsobiť stratu alebo narušenie služby poskytovanej subjektom alebo ohroziť produkt vyrábaný subjektom alebo viesť k exfiltrácii údajov, a to aj na účely špionáže alebo generovania príjmov;

43.„významné netechnické kybernetickobezpečnostné riziko“ je netechnické kybernetickobezpečnostné riziko, pri ktorom možno predpokladať, že s vysokou pravdepodobnosťou spôsobí incident, ktorý by mohol viesť k závažnému negatívnemu vplyvu, a to aj spôsobením značnej majetkovej alebo nemajetkovej ujmy či narušenia;

44.„funkcie základnej siete mobilných elektronických komunikačných sietí“ sú centrálny architektonický prvok mobilných elektronických komunikačných sietí, ktorý spája hlavné sieťové uzly s internetom a riadi základné systémové funkcie, ktoré zahŕňajú autentifikáciu používateľských zariadení, funkcie zákonného odpočúvania (LI), bezpečnostné brány (SeGW) na okraji siete, bezpečnostné funkcie signalizácie, riadenie roamingu a relácií, prenos údajov používateľskej a riadiacej roviny, riadenie politiky prístupu, registráciu a autorizáciu sieťových služieb, uchovávanie údajov o koncových používateľoch a sieťach, kritické sieťové služby vrátane systému doménových mien (DNS), prepojenie s mobilnými sieťami tretích strán, vystavenie funkcií základnej siete externým aplikáciám a výber a riadenie sieťových segmentov;

45.„virtualizácia a riadenie sieťových funkcií (NFV) a organizácia siete (MANO) mobilných elektronických komunikačných sietí“ je softvérový a architektonický rámec zabezpečujúci riadenie životného cyklu, organizáciu a automatizáciu virtualizovaných sieťových funkcií (VNF), cloudových sieťových funkcií (CNF) a výber a riadenie sieťových segmentov v rámci mobilných elektronických komunikačných sietí;

46.„rádiová prístupová sieť (RAN) mobilných elektronických komunikačných sietí“ je sieť spájajúca mobilné používateľské zariadenia so základnou sieťou vrátane základňových staníc (eNodeB pre 4G, gNodeB pre 5G), vzdialených rádiových hláv (RRH) a jednotiek základného pásma (BBU), aktívnych anténnych systémov (AAS) a v náležitých prípadoch rozčlenených komponentov RAN, ako sú centralizované jednotky (CU) a distribuované jednotky (DU), a inteligentného riadiaceho prvku siete RAN (RIC);

47.„funkcie základnej siete pevných elektronických komunikačných sietí“ sú chrbticová inteligencia siete, ktorá spája hlavné uzly a zastáva celý rad základných funkcií vrátane autentifikácie a autorizácie používateľa (AAA), funkcií zákonného odpočúvania (LI), systému doménových mien (DNS) a služieb IP adresovania (DHCP), riadenia politiky prístupu, uchovávania údajov o koncovom používateľovi a sieti, prepínania a smerovania IP a medzinárodných internetových brán (IIG);

48.„systém riadenia siete pevných elektronických komunikačných sietí“ sú všetky centralizované platformy a softvérové komponenty potrebné na prevádzku, správu, údržbu a poskytovanie (OAM&P) siete a na monitorovanie informácií súvisiacich so sieťou;

49.„transportné a prenosové funkcie pevných elektronických komunikačných sietí“ sú všetky komponenty potrebné na backhaul a agregáciu prevádzky v sieti vrátane optických transportných zariadení, mikrovlnných spojení a podmorských káblových systémov, ktoré zahŕňajú podmorské zariadenia, ako aj koncové zariadenia podmorských liniek (SLTE) a fyzické zariadenia výstupných staníc;

50.„prístupová sieť pevných elektronických komunikačných sietí“ je sieť spájajúca priestory koncového používateľa s agregovanou alebo základnou sieťou vrátane ukončenia optickej linky (OLT) a ukončenia optickej siete (ONT) v prípade optických sietí, systému ukončenia koaxiálneho káblového modemu (CMTS) a káblových modemov pre koaxiálne káblové siete a komponentov pevného bezdrôtového prístupu, ak sa používajú ako náhrada pevnej linky.

HLAVA II 
AGENTÚRA EURÓPSKEJ ÚNIE PRE KYBERNETICKÚ BEZPEČNOSŤ

Kapitola I 
Poslanie a ciele

Článok 3
Poslanie agentúry ENISA

1.Poslaním agentúry ENISA je podporovať členské štáty a subjekty Únie pri dosahovaní vysokej úrovne kybernetickej bezpečnosti, kybernetickej odolnosti a dôvery v Únii.

2.Agentúra ENISA pôsobí ako referenčný bod pre poradenstvo a odborné znalosti v oblasti kybernetickej bezpečnosti pre členské štáty, ako aj pre ostatné zainteresované strany v Únii.

3.Vykonávaním úloh, ktoré boli agentúre ENISA zverené týmto nariadením, prispieva k zníženiu fragmentácie vnútorného trhu.

4.Agentúra ENISA vykonáva úlohy, ktoré jej boli pridelené právnymi aktmi Únie.

5.Agentúra ENISA vyvíja svoje vlastné spôsobilosti potrebné na plnenie úloh, ktoré jej boli zverené týmto nariadením, vrátane technických a ľudských spôsobilostí a zručností.

Článok 4
Ciele agentúry ENISA

1.Agentúra ENISA pôsobí na základe svojej nezávislosti, vedeckej a technickej kvality poskytovaného poradenstva, príspevkov, pomoci a informácií, transparentnosti svojich prevádzkových postupov a pracovných metód a dôslednosti pri vykonávaní svojich úloh ako stredisko odborných znalostí v oblasti kybernetickej bezpečnosti.

2.Agentúra ENISA pomáha členským štátom a v náležitých prípadoch subjektom Únie pri vykonávaní horizontálnych a odvetvových politík a právnych predpisov Únie týkajúcich sa kybernetickej bezpečnosti vrátane činností dohľadu nad trhom.

3.Agentúra ENISA poskytuje svoje odborné znalosti a pomáha Komisii pri vypracúvaní politík a právnych predpisov Únie týkajúcich sa kybernetickej bezpečnosti.

4.Agentúra ENISA podporuje budovanie kapacít a pripravenosť v celej Únii tým, že pomáha členským štátom a subjektom Únie prostredníctvom tímu reakcie na núdzové počítačové situácie v európskych inštitúciách, orgánoch a agentúrach (CERT-EU) uvedeného v kapitole IV nariadenia (EÚ, Euratom) 2023/2841 a verejným a súkromným zainteresovaným stranám posilňovať ochranu ich sietí a informačných systémov, rozvíjať a zlepšovať kybernetickú odolnosť a kapacity v oblasti reakcie.

5.Agentúra ENISA prispieva k vykonávaniu Akadémie zručností v oblasti kybernetickej bezpečnosti a k rastu počtu pracovníkov v oblasti kybernetickej bezpečnosti v Únii tým, že podporuje úsilie o rozvoj prenosnosti zručností v celej Únii, a to aj prostredníctvom udržiavania a využívania ECSF a vývoja, udržiavania a využívania európskych schém osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti v súlade s kapitolou II oddielom 4 tejto hlavy a zabezpečovaním poskytovania odbornej prípravy v súlade s článkom 6 ods. 8.

6.Agentúra ENISA presadzuje spoluprácu vrátane výmeny informácií a koordinácie na úrovni Únie, medzi členskými štátmi, subjektmi Únie v súlade s nariadením (EÚ, Euratom) 2023/2841, ako aj príslušnými súkromnými a verejnými zainteresovanými stranami v otázkach týkajúcich sa kybernetickej bezpečnosti.

7.Agentúra ENISA prispieva k posilňovaniu spôsobilostí v oblasti kybernetickej bezpečnosti na úrovni Únie s cieľom podporiť opatrenia členských štátov pri predchádzaní kybernetickým hrozbám a reakcii na ne.

8.Agentúra ENISA podporuje operačnú spoluprácu na úrovni Únie, a to aj tým, že prispieva k spoločnému situačnému povedomiu o kybernetických hrozbách a prostredí incidentov medzi členskými štátmi a v spolupráci s tímom CERT-EU medzi subjektmi Únie.

9.Agentúra ENISA úzko spolupracuje s Europolom, jednotkami CSIRT a ďalšími príslušnými vnútroštátnymi orgánmi s cieľom zlepšiť pripravenosť v oblasti kybernetickej bezpečnosti a reakciu na ransomvérové incidenty.

10.Agentúra ENISA prispieva k vytvoreniu a udržiavaniu európskeho rámca certifikácie kybernetickej bezpečnosti v súlade s hlavou III tohto nariadenia. Agentúra ENISA presadzuje používanie európskej certifikácie kybernetickej bezpečnosti s cieľom predchádzať fragmentácii vnútorného trhu.

11.Agentúra ENISA prispieva k harmonizácii digitálneho jednotného trhu tým, že sa zapája do normalizačnej činnosti relevantnej pre politiky Únie týkajúce sa kybernetickej bezpečnosti a vypracúva technické špecifikácie.

12.Agentúra ENISA presadzuje vysokú úroveň povedomia o kybernetickej bezpečnosti medzi organizáciami a podnikmi.

Kapitola II 
Úlohy

Oddiel 1 
Podpora vykonávania politiky a práva Únie

Článok 5
Podpora vykonávania politiky a práva Únie

1.Agentúra ENISA prispieva k vykonávaniu politiky a práva Únie tým, že:

a)pomáha členským štátom pri jednotnom vykonávaní politiky a práva Únie v oblasti kybernetickej bezpečnosti, a to aj vydávaním technických usmernení a správ, poskytovaním poradenstva a výmenou najlepších postupov a uľahčovaním výmeny najlepších postupov medzi príslušnými orgánmi v tejto súvislosti;

b)podporuje výmenu informácií v rámci odvetví a medzi nimi, najmä pokiaľ ide o odvetvia uvedené v prílohách I a II k smernici (EÚ) 2022/2555 a produkty s digitálnymi prvkami, ktoré patria do rozsahu pôsobnosti nariadenia (EÚ) 2024/2847, poskytovaním najlepších postupov a usmernení k dostupným nástrojom a postupom;

c)na žiadosť Komisie pomáha členským štátom poskytovaním podpory, ako sú technické usmernenia vrátane opatrení na riadenie rizík kybernetickej bezpečnosti, nástroje na posúdenie vyspelosti v oblasti kybernetickej bezpečnosti a príručky reakcie na incidenty, prispôsobené odvetviam uvedeným v prílohách I a II k smernici (EÚ) 2022/2555, alebo podpory pri zavádzaní zásad bezpečnosti už v štádiu návrhu pri produktoch s digitálnymi prvkami v súlade s nariadením (EÚ) 2024/2847 s cieľom uľahčiť zlepšenie úrovne vyspelosti v oblasti kybernetickej bezpečnosti a dodržiavanie práva Únie týkajúceho sa kybernetickej bezpečnosti;

d)prispieva k práci skupiny pre spoluprácu zriadenej podľa článku 14 ods. 1 smernice (EÚ) 2022/2555 (ďalej len „skupina pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti“), skupiny pre európsku spoluprácu v oblasti digitálnej identity zriadenej podľa článku 46e ods. 1 nariadenia (EÚ) č. 910/2014, európskej skupiny pre certifikáciu kybernetickej bezpečnosti (ďalej len „ECCG“) uvedenej v článku 90 tohto nariadenia a skupiny pre administratívnu spoluprácu (ADCO) zriadenej podľa článku 52 ods. 15 nariadenia (EÚ) 2024/2847;

e)pomáha členským štátom a príslušným subjektom Únie pri tvorbe a presadzovaní politík v oblasti kybernetickej bezpečnosti vo vzťahu k udržaniu všeobecnej dostupnosti a integrity verejného jadra otvoreného internetu;

f)v súlade s nariadením (EÚ) 2024/2847 poskytuje technické poradenstvo a podporu členským štátom a Komisii v otázkach súvisiacich s vykonávaním uvedeného nariadenia;

g)pomáha členským štátom pri vykonávaní vzájomnej pomoci a uľahčovaní procesov takejto spolupráce pre kľúčové a dôležité subjekty podľa [článku 37a smernice (EÚ) 2022/2555];

h)na žiadosť Európskeho výboru pre ochranu údajov poskytuje poradenstvo v oblasti vykonávania osobitných aspektov kybernetickej bezpečnosti politiky a práva Únie týkajúcich sa ochrany údajov a súkromia.

2.Agentúra ENISA prispieva ku koordinovaným posúdeniam rizík v oblasti kybernetickej bezpečnosti na úrovni Únie vrátane tých, ktoré sa vykonávajú podľa článku 22 smernice (EÚ) 2022/2555.

3.Agentúra ENISA vydá usmernenia týkajúce sa interoperability sietí a informačných systémov používaných na výmenu informácií, a to aj so zreteľom na cezhraničné kybernetické centrá uvedené v článku 6 ods. 3 nariadenia (EÚ) 2025/38.

4.Agentúra ENISA je členom skupiny pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti podľa článku 14 ods. 3 smernice (EÚ) 2022/2555.

5.Agentúra ENISA na žiadosť Komisie poskytuje odborné znalosti, technické poradenstvo, informácie alebo analýzy alebo vykonáva prípravné práce v konkrétnych otázkach kybernetickej bezpečnosti s cieľom poskytnúť Komisii informácie pri tvorbe politiky a monitorovaní vykonávania právnych predpisov Únie.

Článok 6
Budovanie kapacít

Agentúra ENISA pomáha:

1.členským štátom v ich úsilí zlepšovať prevenciu, odhaľovanie a analýzu kybernetických hrozieb a incidentov a schopnosť reagovať na ne tým, že im poskytuje vedomosti a odborné znalosti;

2.členským štátom na ich žiadosť pri vytváraní a vykonávaní politík zverejňovania informácií o zraniteľnostiach na dobrovoľnom základe;

3.v súlade s nariadením (EÚ, Euratom) 2023/2841 tímu CERT-EU a Medziinštitucionálnej rade pre kybernetickú bezpečnosť v ich úsilí podporovať subjekty Únie pri posilňovaní ich kybernetickej bezpečnosti, zlepšovať predchádzanie kybernetickým hrozbám a incidentom, ich odhaľovanie a analýzu a zlepšovať ich spôsobilosti reagovať na takéto kybernetické hrozby a incidenty;

4.členským štátom pri tvorbe vnútroštátnych jednotiek CSIRT na požiadanie podľa článku 10 ods. 10 smernice (EÚ) 2022/2555;

5.členským štátom pri vypracúvaní alebo aktualizácii národnej stratégie kybernetickej bezpečnosti a kľúčových ukazovateľov výkonnosti na posúdenie tejto stratégie na požiadanie podľa článku 7 ods. 4 smernice (EÚ) 2022/2555, v záujme propagácie najlepších postupov podporuje šírenie týchto stratégií a berie na vedomie pokrok pri ich vykonávaní v celej Únii;

6.inštitúciám Únie na požiadanie pri tvorbe a revízii stratégií Únie týkajúcich sa kybernetickej bezpečnosti, podpore ich šírenia a monitorovaní pokroku pri ich vykonávaní;

7.vnútroštátnym jednotkám CSIRT pri zdokonaľovaní ich spôsobilostí, a to i presadzovaním dialógu a výmeny informácií, aby s ohľadom na aktuálny stupeň vývoja každá jednotka CSIRT mala spoločný súbor minimálnych spôsobilostí a aby fungovala v súlade s najlepšími postupmi;

8.členským štátom, subjektom Únie a verejným a súkromným zainteresovaným stranám v ich úsilí o posúdenie, rast a posilňovanie pracovnej sily v oblasti kybernetickej bezpečnosti, a to aj vývojom, udržiavaním a podporou využívania príslušných nástrojov, ako je napríklad ECSF a európske schémy osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti v súlade s oddielom 4 tejto kapitoly;

9.príslušným verejným orgánom, ako aj súkromným zainteresovaným stranám prostredníctvom cielenej odbornej prípravy, v náležitých prípadoch v spolupráci so zainteresovanými stranami;

10.skupine pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti pri výmene najlepších postupov a informácií, najmä v súvislosti s vykonávaním smernice (EÚ) 2022/2555 podľa článku 14 ods. 4 písm. c) uvedenej smernice;

11.orgánom dohľadu nad trhom určeným podľa nariadenia (EÚ) 2024/2847 pri ich činnostiach zameraných na zabezpečenie účinného vykonávania uvedeného nariadenia vrátane podpory usmerňovania a technického poradenstva pre hospodárske subjekty, podpory pri kontrolách dodržiavania predpisov, hodnotenia rizík, spoločných činností a kontrolných akcií, ako sa stanovuje v nariadení (EÚ) 2024/2847;

12.členom ECCG pri výmene najlepších postupov a na požiadanie jednotlivých členských štátov pomáha vnútroštátnym orgánom pre certifikáciu kybernetickej bezpečnosti v súvislosti s vykonávaním európskych schém certifikácie kybernetickej bezpečnosti na vnútroštátnej úrovni;

13.orgánom verejnej moci a súkromným zainteresovaným stranám v súvislosti s posudzovaním zhody a hodnotiacimi činnosťami, a to vrátane orgánov posudzovania zhody a malých a stredných podnikov, s cieľom podporiť odolný, konkurencieschopný, inkluzívny a harmonizovaný ekosystém posudzovania zhody, ktorým sa podporuje vykonávanie nariadenia (EÚ) 2024/2847 a európskeho rámca certifikácie kybernetickej bezpečnosti;

14.Európskemu centru priemyselných, technologických a výskumných kompetencií v oblasti kybernetickej bezpečnosti a sieti národných koordinačných centier zriadených podľa nariadenia (EÚ) 2021/887 výmenou informácií o súčasných a vznikajúcich rizikách a kybernetických hrozbách, a to aj v súvislosti s novými a vznikajúcimi informačnými a komunikačnými technológiami;

15.členským štátom poskytovaním technickej podpory, a to aj pri zriaďovaní a prevádzkovaní regulačných sandboxov v oblasti kybernetickej bezpečnosti v súlade s príslušnými právnymi predpismi Únie.

Článok 7
Zvyšovanie informovanosti a okruh talentov

Agentúra ENISA pomáha členským štátom v ich úsilí o zvyšovanie informovanosti o politikách a právnych predpisoch Únie týkajúcich sa kybernetickej bezpečnosti a podporuje ich zviditeľnenie vypracovávaním použiteľných nástrojov a usmernení. Agentúra ENISA podporuje iniciatívy zamerané na zväčšenie okruhu talentov v oblasti kybernetickej bezpečnosti v Európe, najmä koordináciou výberových konaní.

Článok 8
Znalosť a analýzy trhu

1.Agentúra ENISA vykonáva a šíri analýzy hlavných trhových trendov na trhu kybernetickej bezpečnosti na strane dopytu aj ponuky, najmä v súvislosti s oblasťami, v ktorých existujú alebo sa plánujú európske schémy certifikácie kybernetickej bezpečnosti, odvetviami uvedenými v prílohách I a II k smernici (EÚ) 2022/2555 a kategóriami produktov, na ktoré sa vzťahuje nariadenie (EÚ) 2024/2847 vrátane príloh III a IV k uvedenému nariadeniu.

2.Agentúra ENISA vykonáva a šíri analýzy technologických trendov v oblasti kybernetickej bezpečnosti, najmä pokiaľ ide o činnosti a subjekty, ktoré patria do rozsahu pôsobnosti smernice (EÚ) 2022/2555, a produkty s digitálnymi prvkami, ktoré patria do rozsahu pôsobnosti nariadenia (EÚ) 2024/2847.

3.Agentúra ENISA zhromažďuje vedomosti a šíri technické poradenstvo a analýzy týkajúce sa najmodernejších kybernetickobezpečnostných nástrojov, rámcových noriem a najlepších postupov.

Článok 9
Medzinárodná spolupráca

Agentúra ENISA prispieva k úsiliu Únie o spoluprácu s tretími krajinami a medzinárodnými organizáciami, ako aj v rámci príslušných medzinárodných rámcov spolupráce s cieľom podporiť medzinárodnú spoluprácu v kybernetickobezpečnostných otázkach, a to tým, že:

a)sa v náležitých prípadoch zapája ako pozorovateľ do organizácie medzinárodných cvičení, analyzuje ich výsledky a podáva o nich správy správnej rade;

b)na žiadosť Komisie sprostredkúva výmenu najlepších postupov s tretími krajinami a medzinárodnými organizáciami;

c)na žiadosť Komisie jej poskytuje odborné znalosti;

d)poskytuje odborné poradenstvo a podporu Komisii v záležitostiach týkajúcich sa medzinárodného uznávania európskych certifikátov kybernetickej bezpečnosti v súlade s článkom 87;

e)poskytuje odborné poradenstvo a podporu Komisii v záležitostiach týkajúcich sa medzinárodnej normalizácie a v náležitých prípadoch spolupracuje s príslušnými medzinárodnými normalizačnými organizáciami v spolupráci s ECCG zriadenou podľa článku 90.

Oddiel 2

Operačná spolupráca

Článok 10
Operačná spolupráca na úrovni Únie

1.Agentúra ENISA podporuje operačnú spoluprácu medzi členskými štátmi, subjektmi Únie prostredníctvom tímu CERT-EU a medzi ostatnými zainteresovanými stranami.

2.Agentúra ENISA je členom siete národných jednotiek CSIRT zriadenej podľa článku 15 ods. 1 smernice (EÚ) 2022/2555 a zabezpečuje sekretariát siete jednotiek CSIRT podľa článku 15 ods. 2 smernice (EÚ) 2022/2555.

3.Agentúra ENISA zabezpečuje sekretariát Európskej siete styčných organizácií pre kybernetické krízy (EU-CyCLONe) podľa článku 16 ods. 2 druhého pododseku smernice (EÚ) 2022/2555.

4.Agentúra ENISA podporuje technickú a operačnú spoluprácu medzi členskými štátmi, najmä prostredníctvom siete jednotiek CSIRT a siete EU-CyCLONe. Táto podpora zahŕňa:

a)poradenstvo v oblasti zlepšovania spôsobilostí predchádzať incidentom, odhaľovať ich, reagovať na ne a zotavovať sa z nich;

b)na žiadosť jedného alebo viacerých členských štátov poskytovanie poradenstva a posúdení v súvislosti s konkrétnym potenciálnym alebo prebiehajúcim incidentom alebo kybernetickou hrozbou, a to aj formou poskytovania odborných znalostí a uľahčovania technického riešenia takýchto incidentov a podporou dobrovoľného zdieľania príslušných informácií a technických riešení medzi členskými štátmi;

c)analýzu zraniteľností, hrozieb a incidentov;

d)na žiadosť jedného alebo viacerých členských štátov poskytovanie podpory v súvislosti s ex post technickým skúmaním významných incidentov v zmysle článku 23 ods. 3 smernice (EÚ) 2022/2555;

e)prispievanie k podpore koordinovaného riadenia rozsiahlych kybernetických bezpečnostných incidentov a kríz na operatívnej úrovni, najmä prostredníctvom pomoci sieti EU-CyCLONe pri príprave správ pre politickú úroveň a uľahčovaním včasnej výmeny informácií medzi sieťou jednotiek CSIRT a sieťou EU-CyCLONe.

5.Na žiadosť členského štátu alebo subjektu Únie v spolupráci s tímom CERT-EU agentúra ENISA podporuje dôslednú komunikáciu s verejnosťou v súvislosti s incidentom alebo kybernetickou hrozbou.

6.Agentúra ENISA podporuje spoluprácu medzi členskými štátmi a prostredníctvom tímu CERT-EU aj medzi subjektmi Únie, pokiaľ ide o zavádzanie nástrojov bezpečnej komunikácie. Agentúra ENISA používa v rámci siete jednotiek CSIRT a siete EU-CyCLONe nástroje bezpečnej komunikácie, ktoré poskytujú právne subjekty usadené alebo považované za usadené v Únii a kontrolované členskými štátmi alebo štátnymi príslušníkmi členských štátov.

Článok 11
Spoločné situačné povedomie v oblasti kybernetickej bezpečnosti

1.Agentúra ENISA na účely zlepšenia spoločného situačného povedomia o prostredí kybernetických hrozieb a incidentov medzi členskými štátmi a medzi subjektmi Únie:

a)v spolupráci so sieťou EU-CyCLONe, sieťou jednotiek CSIRT, Komisiou, tímom CERT-EU, Europolom a ďalšími príslušnými subjektmi Únie vyvíja archívy overených a spoľahlivých informácií o kybernetických hrozbách vrátane trendov v oblasti incidentov, taktík, techník a postupov;

b)v súlade s článkom 12 vydáva včasné varovania pred potenciálnym alebo prebiehajúcim významným alebo rozsiahlym incidentom alebo o kybernetickej hrozbe potenciálnej cezhraničnej povahy, najmä v súvislosti s odvetviami uvedenými v prílohách I a II k smernici (EÚ) 2022/2555;

c)na požiadanie siete jednotiek CSIRT, siete EU-CyCLONe alebo Komisie poskytuje včasné ad hoc analýzy nastupujúcich trendov v oblasti incidentov;

d)na žiadosť členských štátov alebo Komisie poskytuje analýzu alebo iné informácie týkajúce sa skutočného alebo vnímaného kybernetickobezpečnostného rizika alebo hrozby v oblasti kybernetickej bezpečnosti;

e)poskytuje analýzy a technické poradenstvo týkajúce sa kybernetickobezpečnostných rizík produktov s digitálnymi prvkami, a to aj na podporu dohľadu nad trhom a vypracovaním dvojročnej technickej správy o nových trendoch v súlade s článkom 17 ods. 3 nariadenia (EÚ) 2024/2847;

f)pripravuje pravidelnú podrobnú technickú situačnú správu o kybernetickej bezpečnosti v EÚ o incidentoch a kybernetických hrozbách, a sprístupňuje ju Rade, sieti EU-CyCLONe, sieti jednotiek CSIRT, Komisii, Európskej službe pre vonkajšiu činnosť a Europolu;

g)monitoruje trendy v technikách, požiadavkách a vplyve ransomvérových útokov a poskytuje informácie o týchto trendoch Komisii, sieti jednotiek CSIRT, sieti EU-CyCLONe a Europolu.

2.Na účely zlepšenia spoločného situačného povedomia o prostredí kybernetických hrozieb a incidentov medzi zainteresovanými stranami agentúra ENISA:

a)vykonáva analýzy kybernetických hrozieb, incidentov, trendov, vznikajúcich technológií a ich vplyvov vrátane pravidelnej analýzy zameranej na odvetvia uvedené v prílohách I a II k smernici (EÚ) 2022/2555 a príslušné kategórie produktov, na ktoré sa vzťahuje nariadenie (EÚ) 2024/2847;

b)v spolupráci s Komisiou a v náležitých prípadoch so sieťou jednotiek CSIRT vydáva poradenstvo, usmernenia a najlepšie postupy pre bezpečnosť sietí a informačných systémov, najmä pre bezpečnosť infraštruktúr podporujúcich odvetvia uvedené v prílohách I a II k smernici (EÚ) 2022/2555;

c)vykonáva dlhodobé strategické analýzy kybernetických hrozieb a incidentov s cieľom identifikovať nastupujúce trendy a pomôcť predchádzať incidentom.

3.Agentúra ENISA môže analýzy, poradenstvo, usmernenia, najlepšie postupy a správy uvedené v odseku 2 po dohode s prispievateľskými subjektmi uvedenými v odseku 2 zverejniť.

4.Pri vykonávaní činností uvedených v odseku 1 písm. a) až d) a f) a v odseku 2 agentúra ENISA využíva vlastné analýzy a v náležitých prípadoch informácie získané pri plnení svojich úloh vrátane:

a)informácií uvedených vo verejne dostupných zdrojoch vrátane verejne známych zraniteľností produktov IKT alebo služieb IKT, ktoré sú k dispozícii v európskej databáze zraniteľností zriadenej podľa článku 12 ods. 2 smernice (EÚ) 2022/2555;

b)informácií zdieľaných členskými štátmi, subjektmi Únie, tímom CERT-EU, partnermi zo súkromného sektora alebo mimovládnymi partnermi a tretími krajinami a medzinárodnými organizáciami, s výhradou akýchkoľvek obmedzení vo forme viditeľného označenia týkajúceho sa ďalšieho šírenia týchto informácií.

5.Agentúra ENISA pri príprave technickej situačnej správy o kybernetickej bezpečnosti v EÚ uvedenej v odseku 1 písm. e) úzko spolupracuje s členskými štátmi. Správa vychádza z verejne dostupných informácií, vlastnej analýzy agentúry ENISA a zo správ, ktoré okrem iného zdieľajú jednotky CSIRT členských štátov alebo jednotné kontaktné miesta zriadené smernicou (EÚ) 2022/2555 (v obidvoch prípadoch na dobrovoľnom základe), EC3 a tím CERT-EU. Po dohode s prispievajúcimi subjektmi môže agentúra ENISA zverejniť súhrnnú verziu správy.

Článok 12
Včasné varovania

1.Včasné varovania uvedené v článku 11 ods. 1 prvom pododseku písm. b) tohto nariadenia musia obsahovať relevantné informácie týkajúce sa potenciálneho alebo prebiehajúceho významného alebo rozsiahleho incidentu alebo kybernetickej hrozby potenciálnej cezhraničnej povahy v súvislosti s odvetviami uvedenými v prílohách I a II k smernici (EÚ) 2022/2555. Takéto informácie môžu zahŕňať verejne známe zraniteľnosti a informácie o tom, či sa týkajú produktov s digitálnymi prvkami, na ktoré sa vzťahuje nariadenie (EÚ) 2024/2847, techniky a postupy, indikátory kompromitácie, nepriateľské taktiky, informácie o konkrétnych aktéroch hrozieb a odporúčania týkajúce sa zmierňujúcich opatrení.

2.Včasné varovania uvedené v článku 11 ods. 1 prvom pododseku písm. b) sa čo najskôr zašlú príslušnej jednotke CSIRT alebo jednotkám CSIRT a v náležitých prípadoch sieti jednotiek CSIRT a sieti EU-CyCLONe.

3.Agentúra ENISA musí ponúkať službu včasného varovania subjektom pôsobiacim v odvetviach uvedených v prílohách I a II k smernici (EÚ) 2022/2555.

4.Služba uvedená v odseku 3 sa poskytuje na žiadosť subjektu a v strojovo čitateľnom formáte, ktorý je verejne dostupný. Táto služba zahŕňa výmenu informácií o ukazovateľoch kybernetických hrozieb a odporúčaní týkajúcich sa zmierňujúcich opatrení.

5.Agentúra ENISA stanoví postup na šírenie včasných varovaní subjektom uvedeným v odseku 3.

Článok 13
Podpora pri reakcii na incidenty a ich preskúmaní

1.Agentúra ENISA v súlade s nariadením (EÚ) 2025/38 v plnom rozsahu alebo čiastočne prevádzkuje a spravuje rezervu EÚ na účely kybernetickej bezpečnosti.

2.Na žiadosť Komisie alebo siete EU-CyCLONe agentúra ENISA s podporou siete jednotiek CSIRT a so súhlasom dotknutého členského štátu preskúma a posúdi významné kybernetické bezpečnostné incidenty alebo rozsiahle kybernetické bezpečnostné incidenty v súlade s článkom 21 nariadenia (EÚ) 2025/38.

3.Agentúra ENISA v spolupráci s Europolom a jednotkami CSIRT alebo v náležitých prípadoch s inými príslušnými orgánmi pomáha jednotlivým kľúčovým a dôležitým subjektom uvedeným v prílohách I a II k smernici (EÚ) 2022/2555 pri príprave a reakcii na ransomvérový incident a pri zotavení sa z neho. Agentúra ENISA na tento účel zriadi asistenčné pracovisko a využije najmä zlepšené spoločné situačné povedomie o prostredí kybernetických hrozieb a incidentov podľa článku 11 ods. 1 prvého pododseku písm. a) a g) tohto nariadenia.

Článok 14
Kybernetickobezpečnostné cvičenia na úrovni Únie

1.Agentúra ENISA podporuje Komisiu pri zostavovaní ročného priebežného programu kybernetickobezpečnostných cvičení na úrovni Únie.

2.Agentúra ENISA vedie archív poznatkov získaných z cvičení uvedených v odseku 1 a odporúča členským štátom a v náležitých prípadoch subjektom Únie, ako získané skúsenosti účinne a efektívne implementovať.

3.Agentúra ENISA na žiadosť siete EU-CyCLONe, Komisie organizuje kybernetickobezpečnostné cvičenia na úrovni Únie vrátane testovania pripravenosti reagovať na rozsiahle kybernetické bezpečnostné incidenty a krízy na úrovni Únie alebo prispieva k ich organizácii.

4.Na žiadosť členských štátov ich agentúra ENISA podporuje pri organizovaní vnútroštátnych kybernetickobezpečnostných cvičení.

5.Agentúra ENISA sa na žiadosť tímu CERT-EU podieľa na organizácii kybernetickobezpečnostných cvičení, ktoré organizuje tím CERT-EU podľa článku 13 ods. 7 nariadenia (EÚ, Euratom) 2023/2841.

Článok 15
Poskytovanie nástrojov a platforiem

1.Agentúra ENISA zriadi, poskytuje, prevádzkuje, udržiava a podľa potreby aktualizuje operačné technické nástroje vrátane platforiem týkajúcich sa kybernetickej bezpečnosti na úrovni Únie, najmä jednotnú oznamovaciu platformu zriadenú podľa článku 16 ods. 1 nariadenia (EÚ) 2024/2847 [a jednotné kontaktné miesto na podávanie správ o incidentoch zriadené podľa článku 23a smernice (EÚ) 2022/2555], a testovacie nástroje na podporu vykonávania postupov posudzovania zhody v súlade s príslušnými právnymi predpismi Únie.

2.Ak je to vhodné na účely odseku 1, agentúra ENISA spolupracuje a vymieňa si informácie so sieťou jednotiek CSIRT a v náležitých prípadoch s orgánmi dohľadu nad trhom.

Článok 16
Služby riadenia zraniteľností

Agentúra ENISA vytvorí spoločnú kapacitu služieb Únie na riadenie zraniteľností a poskytuje služby riadenia zraniteľností zainteresovaným stranám:

a)vedením európskej databázy zraniteľností zriadenej podľa článku 12 ods. 2 smernice (EÚ) 2022/2555;

b)poskytovaním služieb riadenia zraniteľností zainteresovaným stranám, pričom sa vychádza z európskej databázy zraniteľností a využívajú sa príslušné informácie, ktoré má agentúra ENISA k dispozícii;

c)v náležitých prípadoch nadviazaním štruktúrovanej spolupráce s organizáciami, ktoré poskytujú programy, registre alebo databázy podobné európskej databáze zraniteľností;

d)aktívnou podporou jednotiek CSIRT určených ako koordinátori podľa článku 12 ods. 1 smernice (EÚ) 2022/2555, pokiaľ ide o riadenie koordinovaného zverejňovania zraniteľností, ktoré môžu mať významný vplyv na subjekty vo viac ako jednom členskom štáte;

e)vypracovaním a udržiavaním metodík a mechanizmov riadenia na identifikáciu zraniteľností a ich koordinované zverejňovanie v spolupráci s príslušnými vnútroštátnymi orgánmi, jednotkami CSIRT, odvetvím a výskumnou komunitou.

Oddiel 3

Certifikácia a normalizácia kybernetickej bezpečnosti

Článok 17
Certifikácia kybernetickej bezpečnosti

1.Agentúra ENISA prispieva k rozvoju a vykonávaniu politiky Únie v oblasti certifikácie kybernetickej bezpečnosti stanovenej v hlave III tohto nariadenia a podporuje ju. Agentúra ENISA je zodpovedná za:

a)vypracovanie kandidátskych európskych schém certifikácie kybernetickej bezpečnosti (ďalej len „kandidátske schémy“) pre produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby a úroveň kybernetickej bezpečnosti subjektov v súlade s článkom 74 a v náležitých prípadoch za vypracovanie technických špecifikácií v súlade s článkom 77;

b)udržiavanie prijatých európskych schém certifikácie kybernetickej bezpečnosti v súlade s článkom 75, a to aj vzhľadom na možné preskúmanie prijatých európskych schém certifikácie kybernetickej bezpečnosti v súlade s článkom 76;

c)podporu zavádzania prijatých schém a udržiavanie špecializovaného webového sídla, na ktorom sa poskytujú informácie o európskych schémach certifikácie kybernetickej bezpečnosti, európskych certifikátoch kybernetickej bezpečnosti a EÚ vyhláseniach o zhode v súlade s článkom 79 a ktoré ich zverejňuje;

d)organizovanie budovania kapacít súvisiacich s procesmi certifikácie, hodnotiacimi činnosťami, partnerským preskúmaním a partnerským hodnotením, a to aj poskytovaním podpory členským štátom na ich žiadosť v súlade s článkom 6 ods. 12.

2.Agentúra ENISA podporuje Komisiu pri týchto činnostiach:

a)riadenie ECCG podľa článku 90;

b)organizovanie Európskeho zhromaždenia pre certifikáciu v oblasti kybernetickej bezpečnosti v súlade s článkom 72 ods. 1;

c)v súvislosti s medzinárodným uznávaním európskych certifikátov kybernetickej bezpečnosti v súlade s článkom 87;

d)organizovanie partnerských preskúmaní podľa článku 89;

e)príprava vzorových ustanovení, na ktoré sa bude odkazovať v európskych schémach certifikácie kybernetickej bezpečnosti pre produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby a úroveň kybernetickej bezpečnosti subjektov v súlade s článkom 81 ods. 5.

Článok 18
Normalizácia, technické špecifikácie a usmernenia

1.Agentúra ENISA vypracúva technické špecifikácie a usmernenia na podporu vykonávania právnych predpisov Únie v oblasti kybernetickej bezpečnosti. Pri vypracúvaní týchto technických špecifikácií agentúra ENISA zohľadňuje existujúce európske a medzinárodné normy, ako aj iné príslušné technické špecifikácie. Agentúra ENISA zabezpečuje konzistentnosť svojich technických špecifikácií a usmernení.

2.Agentúra ENISA monitoruje vývoj normalizácie na úrovni Únie a v súlade s článkom 9 na medzinárodnej úrovni, v náležitých prípadoch sa na ňom zúčastňuje a vedie ho s cieľom podporiť politiky Únie týkajúce sa kybernetickej bezpečnosti.

3.Agentúra ENISA podporuje vývoj a hodnotenie kryptografických algoritmov. Ak agentúra ENISA vyhodnotí kryptografický algoritmus kladne, spolupracuje v súlade s nariadením (EÚ) č. 1025/2012 s európskymi normalizačnými orgánmi s cieľom podporiť jeho normalizáciu.

4.Agentúra ENISA poskytuje Komisii a v náležitých prípadoch členským štátom technické poradenstvo o vhodných normách alebo technických špecifikáciách na podporu politík Únie týkajúcich sa kybernetickej bezpečnosti vrátane harmonizačných právnych predpisov Únie v oblasti kybernetickej bezpečnosti, najmä nariadenia (EÚ) 2024/2847, technických oblastí na účely článku 25 smernice (EÚ) 2022/2555 a európskych schém certifikácie kybernetickej bezpečnosti podľa článku 81 ods. 1 písm. d).

5.Agentúra ENISA pomáha Komisii pri posudzovaní návrhov harmonizovaných noriem na podporu vykonávania harmonizačných právnych predpisov Únie v oblasti kybernetickej bezpečnosti.

6.Agentúra ENISA podporuje zavádzanie európskych a medzinárodných noriem v oblasti kybernetickej bezpečnosti.

7.Agentúra ENISA vykonáva úlohy uvedené v odsekoch 1 až 6 bezúhonne, nestranne a dôverne, a to aj tak, že zruší alebo pozastaví svoju účasť v konkrétnych technických orgánoch, ak je takáto účasť v rozpore s inými úlohami alebo cieľmi.

Oddiel 4 
Vykonávanie Akadémie zručností v oblasti kybernetickej bezpečnosti

Článok 19
Európsky rámec zručností v oblasti kybernetickej bezpečnosti

1.Agentúra ENISA vypracuje a zverejní európsky rámec zručností v oblasti kybernetickej bezpečnosti (ďalej len „ECSF“). Pred zverejnením alebo aktualizáciou ECSF podľa odseku 4 sa agentúra ENISA poradí s Komisiou.

2.V rámci ECSF sa vymedzia profily odborníkov v oblasti kybernetickej bezpečnosti a priradenie konkrétnych úloh, zručností a znalostí k danému profilu roly. Používanie ECSF je pre verejné a súkromné subjekty dobrovoľné.

3.Agentúra ENISA môže pri vývoji a zavádzaní ECSF viesť konzultácie so zainteresovanými stranami.

4.Agentúra ENISA pravidelne posudzuje potrebu aktualizácie ECSF a v náležitých prípadoch ho aktualizuje.

Článok 20
Vývoj, prijatie a udržiavanie európskych schém osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti

1.Agentúra ENISA vypracuje, prijme a udržiava európske schémy osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti. Používanie európskych schém osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti je pre vnútroštátne verejné orgány a súkromné subjekty dobrovoľné, pokiaľ sa vo vnútroštátnych právnych predpisoch nestanovuje inak.

2.Pred začatím novej európskej schémy osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti sa agentúra ENISA poradí s Komisiou. Agentúra ENISA prijme takúto schému len na základe kladného stanoviska Komisie. Agentúra ENISA môže pri vypracovaní európskej schémy osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnostikonzultovať s príslušnými zainteresovanými stranami.

3.Európska schéma osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti zahŕňa:

a)predmet a rozsah pôsobnosti schémy udeľovania osvedčení na základe profilov rol ECSF alebo ich podskupín;

b)požiadavky vzťahujúce sa na osoby s odbornou prípravou na vykonávanie posudzovania (ďalej len „posudzovatelia“) v súlade s článkom 21, potrebné zručnosti, znalosti a skúsenosti, ako aj metódy odbornej prípravy;

c)analýzu trhového uplatnenia špecifickú pre každú schému udeľovania osvedčení;

d)vzdelávacie výstupy, metódy posudzovania a podmienky, ktoré autorizovaní poskytovatelia osvedčení použijú na hodnotenie preukázania požadovaných zručností jednotlivca v súlade s článkom 21;

e)v náležitých prípadoch jednu alebo viacero úrovní odbornej spôsobilosti;

f)pravidlá uchovávania záznamov autorizovanými poskytovateľmi osvedčení;

g)obsah a formát európskych osvedčení o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti, pričom sa náležite zohľadní článok 21 ods. 5 písm. e);

h)maximálne obdobie platnosti európskych osvedčení o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti vydaných v rámci schémy udeľovania osvedčení.

4.Európska schéma osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti môže zahŕňať orientačné náklady na udelenie európskeho osvedčenia o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti.

5.Agentúra ENISA zabezpečuje úzku spoluprácu s členskými štátmi počas celej prípravy európskych schém osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti.

6.Úprava európskej schémy osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti nemá vplyv na autorizáciu udelenú podľa článku 22 ods. 3 písm. a), ktorá zostáva v platnosti na obdobie, na ktoré bola udelená.

Článok 21
Autorizovaní poskytovatelia osvedčení

1.Autorizovaní poskytovatelia osvedčení posúdia, či jednotlivci spĺňajú požiadavky európskej schémy osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti, a ak sú tieto požiadavky splnené, vydajú európske osvedčenia o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti. Poskytovatelia osvedčení môžu byť držiteľmi viacerých autorizácií, pričom každá z nich sa udeľuje pre jednu európsku schému osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti.

2.Agentúra ENISA poskytuje usmernenia posudzovateľom a vykonáva ich povinnú odbornú prípravu, pokiaľ ide o požiadavky a metódy posudzovania zahrnuté do európskej schémy osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti, ako sa uvádza v článku 20 ods. 3 písm. b).

3.Subjekty, ktoré sa chcú stať autorizovanými poskytovateľmi osvedčení alebo si obnoviť svoju autorizáciu (ďalej len „žiadatelia“), predložia žiadosť agentúre ENISA. Musia spĺňať tieto požiadavky:

a)musia mať právnu subjektivitu;

b)musia byť schopné vykonávať úlohy stanovené v tomto nariadení v súvislosti s udeľovaním európskych osvedčení o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti bez ohľadu na to, či posúdenie vykonáva samotný autorizovaný poskytovateľ osvedčení alebo sa vykonáva v jeho mene a na jeho zodpovednosť;

c)musia mať prostriedky nevyhnutné na primeraný výkon technických a administratívnych úloh spojených s európskou schémou osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti a prístup k všetkému potrebnému vybaveniu a zariadeniam.

Na účely prvého pododseku písm. b) musia byť všetky subdodávateľské zmluvy alebo konzultácie s externým personálom riadne zdokumentované, ich súčasťou nesmú byť žiadni sprostredkovatelia a musia podliehať písomnej dohode, v ktorej sa okrem iného upraví povinnosť mlčanlivosti a konflikt záujmov.

4.Žiadatelia nesmú byť vysokorizikoví dodávatelia.

5.Autorizovaní poskytovatelia osvedčení musia plniť tieto povinnosti:

a)na vykonávanie jednotlivých európskych schém osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti:

i)mať k dispozícii posudzovateľov a personál potrebný na včasné vykonávanie svojich činností stanovených v príslušnej schéme;

ii)zabezpečiť, aby posudzovatelia dodržiavali služobné tajomstvo, boli nestranní a vykonávali svoju prácu nezávisle a s najvyššou mierou profesionálnej integrity;

iii)mať písomné postupy na vykonávanie svojich činností v rámci schémy, na ktorú majú autorizáciu;

b)neposudzovať vlastných posudzovateľov ani im nevydávať európske osvedčenia o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti;

c)zabezpečiť, v náležitých prípadoch zavedením vhodných ochranných opatrení, aby ich posudzovatelia mohli vykonávať svoju prácu nezávisle, najmä ak tieto osoby patria do ich vlastnej štruktúry alebo sú zamestnancami či žiakmi takejto štruktúry;

d)nezapájať sa do žiadnej činnosti, ktorá by mohla byť v rozpore s nezávislosťou úsudku alebo bezúhonnosťou ich posudzovateľov;

e)zabezpečiť, aby sa na žiadosť jednotlivca vydávali elektronické osvedčenia európskych osvedčení o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti ako elektronické osvedčenia atribútov vo formáte, ktorý možno uložiť do európskych peňaženiek digitálnej identity stanovených v nariadení (EÚ) č. 910/2014.

6.Autorizovaní poskytovatelia osvedčení bezodkladne informujú agentúru ENISA, ak prestane byť splnená ktorákoľvek z požiadaviek uvedených v odsekoch 3 a 4 alebo povinností uvedených v odseku 5, alebo ak vznikne akákoľvek pochybnosť, že tieto požiadavky alebo povinnosti nie sú splnené, a to aj pokiaľ ide o nezávislosť posudzovateľov.

7.Autorizovaní poskytovatelia osvedčení môžu od osôb požadovať poplatok za posúdenie a vydanie európskych osvedčení o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti, pričom zohľadnia orientačné náklady na udeľenie európskeho osvedčenia o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti podľa článku 20 ods. 4, ktoré sa zverejnia na osobitnom webovom sídle v súlade s článkom 23 písm. d).

8.Žiadatelia a autorizovaní poskytovatelia osvedčení umožnia agentúre ENISA vykonávať hodnotenia v rámci procesu podávania žiadostí alebo udržiavania autorizácie a zdieľať všetky relevantné informácie, aby sa zabezpečilo, že požiadavky stanovené v odsekoch 3 a 4 alebo povinnosti stanovené v odseku 5 sú (naďalej) splnené v súlade s článkom 22 ods. 2.

Článok 22
Preskúmanie žiadostí o udelenie autorizácie na poskytovanie osvedčení a udržiavanie autorizácií

1.Žiadatelia zaplatia agentúre ENISA poplatok za preskúmanie svojej žiadosti. Autorizovaní poskytovatelia osvedčení platia agentúre ENISA poplatok za udržiavanie svojej autorizácie.

2.Agentúra ENISA vyhodnotí, či žiadatelia a autorizovaní poskytovatelia osvedčení (naďalej) spĺňajú požiadavky stanovené v článku 21 ods. 3 a 4 a povinnosti stanovené v článku 21 ods. 5.

3.Po preskúmaní žiadosti na základe požiadaviek stanovených v článku 21 ods. 3 a 4 môže agentúra ENISA vydať jedno z týchto rozhodnutí:

a)udelenie štatútu autorizovaného poskytovateľa osvedčení žiadateľovi alebo jeho obnovenie;

b)zamietnutie žiadosti o udelenie autorizácie na poskytovanie osvedčení alebo jej neobnovenie;

c)ukončenie spracovania žiadosti z dôvodu nečinnosti žiadateľa po žiadosti agentúry ENISA o doplňujúce informácie.

Agentúra ENISA môže takéto rozhodnutia zmeniť, pozastaviť alebo zrušiť na základe svojho hodnotenia podľa článku 22 ods. 2 alebo v prípade uvedenom v článku 21 ods. 6.

4.Agentúra ENISA vydá rozhodnutie uvedené v odseku 3 do troch mesiacov od dátumu predloženia žiadosti v súlade s článkom 21 ods. 3. Ak agentúra ENISA požiada žiadateľa o doplňujúce informácie, vydá rozhodnutie uvedené v odseku 3 do jedného mesiaca od doručenia doplňujúcich informácií.

5.Platnosť rozhodnutia uvedeného v odseku 3 písm. a) je maximálne tri roky a uvádza sa v ňom poplatok za ročné udržiavanie autorizácie.

6.Agentúra ENISA zabezpečí, aby jej činnosti súvisiace s vývojom a prijímaním európskych schém osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti, ako sa stanovuje v článku 20, boli prísne oddelené a vykonávané nezávisle od činností týkajúcich sa preskúmania žiadostí a hodnotení stanovených v odsekoch 2 a 3 tohto článku.

Článok 23
Informácie pre verejnosť

Agentúra ENISA spravuje a pravidelne aktualizuje špecializované webové sídlo, na ktorom sa poskytujú verejné informácie o:

a)ECSF vrátane rámca a časového harmonogramu jeho aktualizácie;

b)európskych schémach osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti, ich pokroku a časových harmonogramoch ich vývoja;

c)poplatkoch spojených s každou európskou schémou osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti prijatých podľa článku 47 tohto nariadenia;

d)orientačných nákladoch na udelenie európskeho osvedčenia o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti v súlade s článkom 20 ods. 4;

e)zozname autorizovaných poskytovateľov osvedčení.

Kapitola III 
Organizácia agentúry ENISA

Článok 24
Administratívna a riadiaca štruktúra agentúry ENISA

Administratívnu a riadiacu a štruktúru agentúry ENISA tvorí:

a)správna rada, ktorá plní funkcie stanovené v článku 28;

b)výkonná rada, ktorá plní funkcie stanovené v článku 30;

c)výkonný riaditeľ, ktorý plní povinnosti stanovené v článku 32

d)zástupca výkonného riaditeľa, ktorý plní povinnosti stanovené v článku 34;

e)poradná skupina agentúry ENISA;

f)odvolacia rada, ktorá plní funkcie stanovené v článkoch 39 až 42.

Oddiel 1 
Správna rada

Článok 25
Zloženie správnej rady

1.Správnu radu tvorí jeden člen vymenovaný každým členským štátom a dvaja členovia vymenovaní Komisiou. Všetci členovia majú hlasovacie právo.

2.Každý člen správnej rady má náhradníka. Náhradníci zastupujú členov počas ich neprítomnosti.

3.Každý členský štát vymenuje vedúceho príslušného vnútroštátneho orgánu určeného podľa článku 8 ods. 1 smernice (EÚ) 2022/2555 za člena správnej rady. Ak sa ukáže, že to nie je možné, členské štáty vymenujú za člena správnej rady vysokého predstaviteľa príslušného vnútroštátneho orgánu určeného podľa článku 8 ods. 1 smernice (EÚ) 2022/2555.

4.Členovia menovaní Komisiou a náhradní členovia správnej rady sa vymenúvajú na základe ich znalostí v oblasti kybernetickej bezpečnosti, pričom sa zohľadňujú ich relevantné riadiace, administratívne a rozpočtové zručnosti. Pokiaľ ide o náhradníkov, Komisia a členské štáty sa usilujú o dosiahnutie vyváženého zastúpenia mužov a žien v správnej rade a usilujú sa obmedziť ich fluktuáciu s cieľom zabezpečiť kontinuitu práce správnej rady.

5.Funkčné obdobie členov vymenovaných členskými štátmi je rovnaké ako funkčné obdobie ich funkcie uvedenej v odseku 3.

6.Funkčné obdobie náhradníkov a členov vymenovaných Komisiou je štyri roky. Toto obdobie je obnoviteľné.

Článok 26
Predseda správnej rady

1.Správna rada si spomedzi svojich členov s hlasovacím právom volí predsedu a zástupcu predsedu. Predseda a zástupca predsedu sú volení dvojtretinovou väčšinou členov správnej rady s hlasovacím právom.

2.Ak si predseda nemôže plniť svoje povinnosti, automaticky ho zastupuje zástupca predsedu.

3.Funkčné obdobie predsedu a zástupcu predsedu je štyri roky a možno ho jedenkrát obnoviť. Ak sa však ich členstvo v správnej rade kedykoľvek počas ich funkčného obdobia skončí, toto funkčné obdobie sa automaticky končí k danému dátumu.

Článok 27
Zasadnutia správnej rady

1.Zasadnutia správnej rady zvoláva predseda.

2.Výkonný riaditeľ sa zúčastňuje na zasadnutiach správnej rady bez hlasovacieho práva.

3.Správna rada usporiada aspoň dve riadne zasadnutia ročne. Správna rada okrem toho zasadá na podnet predsedu, na žiadosť Komisie alebo na žiadosť aspoň jednej tretiny svojich členov.

4.Zástupca Európskeho centra priemyselných, technologických a výskumných kompetencií v oblasti kybernetickej bezpečnosti zriadeného nariadením (EÚ) 2021/887 je na zasadnutiach správnej rady stálym pozorovateľom bez hlasovacieho práva.

5.Správna rada môže pozvať akúkoľvek osobu, o ktorej názor môže mať záujem, aby sa zúčastnila na zasadnutí alebo jeho časti ako ad hoc pozorovateľ bez hlasovacieho práva a v súlade s rokovacím poriadkom správnej rady.

6.Členom správnej rady a ich náhradníkom môžu v súlade s jej rokovacím poriadkom pomáhať na zasadnutiach správnej rady poradcovia alebo experti.

Článok 28
Funkcie správnej rady

1.Správna rada:

a)stanovuje všeobecné smerovanie činnosti agentúry ENISA a zabezpečuje, aby agentúra ENISA pracovala v súlade s pravidlami a zásadami stanovenými v tomto nariadení; zabezpečuje aj súlad práce agentúry ENISA s činnosťami vykonávanými členskými štátmi, ako aj na úrovni Únie;

b)prijíma návrh jednotného programového dokumentu agentúry ENISA uvedeného v článku 44 pred jeho predložením Komisii na vydanie stanoviska;

c)s prihliadnutím na stanovisko Komisie prijíma jednotný programový dokument agentúry ENISA v súlade s článkom 29 ods. 2 písm. a);

d)dozerá na vykonávanie viacročného a ročného programu začleneného do jednotného programového dokumentu;

e)prijíma ročný rozpočet agentúry ENISA v súlade s článkom 29 ods. 2 písm. b) a vykonáva ostatné funkcie v súvislosti s rozpočtom agentúry ENISA v súlade s kapitolou IV;

f)posudzuje a prijíma konsolidovanú výročnú správu o činnosti agentúry ENISA vrátane účtovnej závierky a opisu toho, ako agentúra ENISA splnila svoje ukazovatele výkonnosti; predkladá výročnú správu a jej posúdenie do 1. júla nasledujúceho roka Európskemu parlamentu, Rade, Komisii a Európskemu dvoru audítorov; zverejňuje výročnú správu;

g)prijíma rozpočtové pravidlá platné pre agentúru ENISA v súlade s článkom 50;

h)prijíma stratégiu pre boj proti podvodom, ktorá musí byť primeraná riziku podvodov so zreteľom na analýzu nákladov a prínosov vo vzťahu k opatreniam, ktoré sa majú vykonávať;

i)zabezpečuje primerané opatrenia v nadväznosti na zistenia a odporúčania vyplývajúce zo správ interného alebo externého auditu a z hodnotení, ako aj z vyšetrovaní vykonávaných Európskym úradom pre boj proti podvodom (OLAF) a Európskou prokuratúrou (EPPO);

j)prijíma svoj rokovací poriadok vrátane pravidiel pre prijímanie predbežných rozhodnutí o delegovaní osobitných úloh podľa článku 30 ods. 7;

k)vykonáva v súlade s odsekom 2 tohto článku vo vzťahu k zamestnancom agentúry ENISA právomoci, ktoré udeľujú Služobný poriadok úradníkov Európskej únie (ďalej len „služobný poriadok“) a Podmienky zamestnávania ostatných zamestnancov Európskej únie (ďalej len „podmienky zamestnávania“) stanovené v nariadení Rady (EHS, Euratom, ESUO) č. 259/68 73 menovaciemu orgánu a orgánu oprávnenému uzatvárať pracovné zmluvy (ďalej len „právomoci menovacieho orgánu“);

l)prijíma vykonávacie pravidlá na vykonávanie služobného poriadku a podmienok zamestnávania v súlade s článkom 110 ods. 2 služobného poriadku;

m)vymenúva výkonného riaditeľa, a ak sa rozhodne vytvoriť funkciu zástupcu výkonného riaditeľa, zástupcu výkonného riaditeľa a v náležitých prípadoch predlžuje ich funkčné obdobie alebo ich odvoláva z funkcie v súlade s článkom 31;

n)vymenúva účtovníka, na ktorého sa vzťahuje služobný poriadok a podmienky zamestnávania, ktorý je pri výkone svojich povinností nezávislý;

o)prijíma všetky rozhodnutia o zriaďovaní vnútorných štruktúr agentúry ENISA a v náležitých prípadoch o úprave uvedených vnútorných štruktúr, pričom prihliada na potreby činnosti agentúry ENISA a na správne rozpočtové riadenie;

p)schvaľuje uzavretie pracovných dohôd podľa článku 68;

q)schvaľuje uzavretie pracovných dohôd v súlade s článkom 70;

r)vymenúva a odvoláva členov odvolacej rady v súlade s článkom 29 ods. 2 písm. d);

s)prijíma pravidlá predchádzania konfliktom záujmov členov odvolacej rady a ich riešenia.

2.Správna rada v súlade s článkom 110 ods. 2 služobného poriadku prijíma rozhodnutie na základe článku 2 ods. 1 služobného poriadku a článku 6 podmienok zamestnávania, ktorým deleguje príslušné právomoci menovacieho orgánu na výkonného riaditeľa a ktorým vymedzuje podmienky, za ktorých možno toto delegovanie právomocí pozastaviť. Výkonný riaditeľ môže tieto právomoci delegovať ďalej.

3.Ak si to vyžadujú mimoriadne okolnosti, správna rada môže prijať rozhodnutie o dočasnom pozastavení delegovania právomocí menovacieho orgánu na výkonného riaditeľa a akýchkoľvek právomocí menovacieho orgánu ďalej delegovaných výkonným riaditeľom a tieto právomoci vykonávať sama alebo ich delegovať na jedného zo svojich členov alebo na zamestnanca, ktorý nie je výkonným riaditeľom.

Článok 29
Pravidlá hlasovania správnej rady

1.Pokiaľ sa v tomto nariadení nestanovuje inak, správna rada prijíma rozhodnutia absolútnou väčšinou hlasov svojich členov s hlasovacím právom.

2.Dvojtretinová väčšina členov správnej rady s hlasovacím právom je potrebná na:

a)prijatie jednotného programového dokumentu uvedeného v článku 28 ods. 1 písm. c);

b) prijatie ročného rozpočtu uvedeného v článku 28 ods. 1 písm. e);

c) vymenovanie, predĺženie funkčného obdobia alebo odvolanie výkonného riaditeľa a zástupcu výkonného riaditeľa, ako sa uvádza v článkoch 31 a 33;

d)vymenovanie a odvolanie členov odvolacej rady, ako sa uvádza v článku 36.

3.Rozhodnutia o rozpočtových alebo personálnych záležitostiach, najmä o záležitostiach uvedených v článku 28 ods. 1 písm. c), e), f), g), h), i), k), l), m), n), sa prijímajú len vtedy, ak zástupcovia Komisie hlasujú kladne. Na účely prijímania rozhodnutí uvedených v článku 28 ods. 1 písm. c) týkajúcich sa jednotného programového dokumentu agentúry ENISA sa vyžaduje kladné hlasovanie zástupcu Komisie len o tých prvkoch rozhodnutia, ktoré sa netýkajú ročného a viacročného pracovného programu agentúry ENISA.

4.Každý člen s hlasovacím právom má jeden hlas. V prípade neprítomnosti člena s hlasovacím právom je hlasovacie právo člena oprávnený uplatniť jeho náhradník.

5.Predseda správnej rady sa na hlasovaní zúčastňuje.

6.Výkonný riaditeľ sa na hlasovaní nezúčastňuje.

7.V rokovacom poriadku správnej rady sa stanovia podrobnejšie pravidlá hlasovania, najmä okolnosti, za ktorých môže člen konať v mene iného člena.

Oddiel 2 
Výkonná rada

Článok 30
Výkonná rada

1.Správnej rade pomáha výkonná rada.

2.Výkonná rada:

a)pripravuje rozhodnutia, ktoré má prijať správna rada;

b)spoločne so správnou radou zabezpečuje primerané opatrenia v nadväznosti na zistenia a odporúčania vyplývajúce zo správ interného alebo externého auditu a z hodnotení, ako aj z vyšetrovaní vykonávaných úradom OLAF a Európskou prokuratúrou;

c)bez toho, aby boli dotknuté povinnosti výkonného riaditeľa stanovené v článku 32, pomáha a radí výkonnému riaditeľovi pri vykonávaní rozhodnutí správnej rady s cieľom posilniť dozor nad administratívnym a rozpočtovým riadením.

3.Výkonnú radu tvoria predseda správnej rady, jeden zástupca Komisie v správnej rade a traja ďalší členovia vymenovaní správnou radou spomedzi jej členov, ktorí majú právo hlasovať. Predseda správnej rady je aj predsedom výkonnej rady. Pri vymenovaniach členov výkonnej rady sa dbá na zabezpečenie rodovej rovnováhy vo výkonnej rade. Výkonný riaditeľ sa zúčastňuje na zasadnutiach výkonnej rady bez hlasovacieho práva.

4.Funkčné obdobie členov výkonnej rady je štyri roky. Toto obdobie je obnoviteľné. Funkčné obdobie členov výkonnej rady sa končí vtedy, keď sa končí ich členstvo v správnej rade.

5.Výkonná rada uskutoční aspoň jedno riadne zasadnutie raz za tri mesiace. Výkonná rada zasadá aj z iniciatívy svojho predsedu alebo na žiadosť svojich členov.

6.Rokovací poriadok výkonnej rady stanovuje správna rada.

7.Ak je to potrebné z dôvodu naliehavosti, výkonná rada môže prijať určité predbežné rozhodnutia v mene správnej rady, a to najmä o otázkach administratívneho riadenia vrátane rozhodnutí o pozastavení delegovania právomocí menovacieho orgánu a o rozpočtových záležitostiach. Akékoľvek takéto predbežné rozhodnutia sa bez zbytočného odkladu oznámia správnej rade. Správna rada potom najneskôr do troch mesiacov po prijatí predbežného rozhodnutia rozhodne, či uvedené rozhodnutie schváli alebo zamietne. Výkonná rada nesmie v mene správnej rady prijímať rozhodnutia, ktoré si vyžadujú schválenie dvojtretinovou väčšinou členov správnej rady s hlasovacími právami.

Oddiel 3 
Výkonný riaditeľ

Článok 31
Vymenovanie, odvolanie a predĺženie funkčného obdobia

1.Výkonného riaditeľa vymenúva správna rada na základe zásluh a zručností zo zoznamu kandidátov navrhnutých Komisiou po otvorenom a transparentnom výberovom konaní.

2.Kandidát, ktorého vybrala správna rada, sa pred vymenovaním vyzve, aby pred príslušným výborom Európskeho parlamentu podal vyhlásenie a odpovedal na otázky jeho členov.

3.Výkonný riaditeľ je zamestnaný ako dočasný zamestnanec agentúry ENISA podľa článku 2 písm. a) podmienok zamestnávania.

4.Na účely uzatvorenia zmluvy s výkonným riaditeľom zastupuje agentúru ENISA predseda správnej rady.

5.Funkčné obdobie výkonného riaditeľa je päť rokov. V dostatočnom predstihu pred koncom tohto obdobia Komisia vykoná posúdenie, v ktorom sa zohľadní hodnotenie výsledkov činnosti výkonného riaditeľa a budúce úlohy a výzvy agentúry ENISA.

6.Správna rada môže na návrh Komisie, v ktorom sa prihliada na posúdenie uvedené v odseku 5, jedenkrát predĺžiť funkčné obdobie výkonného riaditeľa, a to maximálne o päť rokov.

7.Výkonný riaditeľ, ktorého funkčné obdobie bolo predĺžené, sa na konci celého funkčného obdobia nesmie zúčastniť na ďalšom výberovom konaní na tú istú pozíciu.

8.Správna rada informuje Európsky parlament o svojom úmysle predĺžiť funkčné obdobie výkonného riaditeľa v súlade s odsekom 6. Počas troch mesiacov pred takýmto predĺžením funkčného obdobia výkonný riaditeľ, ak k tomu bude vyzvaný, podá vyhlásenie pred príslušným výborom Európskeho parlamentu a odpovie na otázky jeho členov.

9.Výkonný riaditeľ môže byť odvolaný z funkcie len na základe rozhodnutia správnej rady konajúcej na návrh Komisie.

Článok 32
Úlohy a povinnosti výkonného riaditeľa

1.Výkonný riaditeľ riadi agentúru ENISA a zodpovedá sa správnej rade.

2.Výkonný riaditeľ koná pri plnení svojich úloh nezávisle a nežiada ani neprijíma pokyny od žiadnej vlády ani od žiadneho iného subjektu.

3.Výkonný riaditeľ podáva Európskemu parlamentu správy o plnení svojich úloh, ak je o to požiadaný. Rada môže vyzvať výkonného riaditeľa, aby podal správu o plnení svojich úloh.

4.Výkonný riaditeľ je štatutárnym orgánom agentúry ENISA.

5.Výkonný riaditeľ je zodpovedný za plnenie úloh, ktoré agentúre ENISA ukladá toto nariadenie. Výkonný riaditeľ je zodpovedný najmä za:

a)zabezpečenie každodennej správy agentúry ENISA;

b)vykonávanie rozhodnutí prijatých správnou radou;

c)zabezpečenie dodržiavania rozpočtových pravidiel agentúry ENISA;

d)prípravu návrhu jednotného programového dokumentu a jeho predloženie správnej rade na schválenie pred tým, než sa predloží Komisii na vydanie stanoviska;

e)vykonávanie jednotného programového dokumentu a predkladanie správ správnej rade o jeho vykonávaní;

f)vypracovanie konsolidovanej výročnej správy o činnosti agentúry ENISA vrátane plnenia ročného pracovného programu agentúry ENISA a jej predloženie správnej rade na posúdenie a prijatie;

g)vypracovanie akčného plánu v nadväznosti na závery spätných hodnotení agentúry ENISA, ako sa uvádza v článku 121, a predloženie správy o pokroku Komisii každé dva roky;

h)prípravu akčného plánu nadväzujúceho na závery vyplývajúce zo správ z interného alebo externého auditu a z hodnotení, ako aj z vyšetrovaní úradu OLAF a EPPO, a za predkladanie správ o pokroku, a to dvakrát ročne Komisii a pravidelne správnej rade;

i)vypracovanie návrhu rozpočtových pravidiel uplatniteľných na agentúru ENISA podľa článku 50;

j)vypracovanie návrhu výkazu odhadov príjmov a výdavkov agentúry ENISA a plnenie jej rozpočtu;

k)ochranu finančných záujmov Únie uplatňovaním preventívnych opatrení proti podvodom, korupcii a akémukoľvek inému protiprávnemu konaniu bez toho, aby boli dotknuté vyšetrovacie právomoci úradu OLAF a Európskej prokuratúry, a to pomocou účinných kontrol a v prípade zistenia nezrovnalostí vymáhaním nesprávne vyplatených súm a v náležitých prípadoch uložením účinných, primeraných a odrádzajúcich administratívnych a finančných sankcií;

l)prípravu stratégie pre boj proti podvodom, stratégie na zvýšenie efektívnosti a dosiahnutie synergií, stratégie spolupráce s tretími krajinami alebo medzinárodnými organizáciami a stratégie pre systémy organizačného riadenia a vnútornej kontroly pre agentúru ENISA a ich predloženie správnej rade na schválenie;

m)nadviazanie a udržiavanie kontaktov s podnikateľskou komunitou a so spotrebiteľskými organizáciami na zabezpečenie pravidelného dialógu s príslušnými zainteresovanými stranami;

n)pravidelné vymieňanie názorov a informácií s príslušnými subjektmi Únie o ich činnostiach týkajúcich sa kybernetickej bezpečnosti s cieľom zabezpečiť súdržnosť pri vykonávaní politiky Únie v tejto oblasti;

o)podpora rozmanitosti a rodovej rovnováhy pri nábore zamestnancov agentúry ENISA;

p)prijímanie európskych schém osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti, ako sa uvádza v článku 20 ods. 1;

q)prijímanie rozhodnutí týkajúcich sa žiadateľov o získanie autorizácie na poskytovanie osvedčení alebo o obnovenie autorizácie, ako sa uvádza v článku 22 ods. 3;

r)vykonávanie ostatných úloh, ktoré sú výkonnému riaditeľovi uložené týmto nariadením.

6.V prípade potreby a v súlade s cieľmi a úlohami agentúry ENISA môže výkonný riaditeľ zriaďovať ad hoc pracovné skupiny zložené z expertov vrátane expertov z príslušných orgánov členských štátov. Výkonný riaditeľ o tom musí vopred informovať správnu radu. Postupy týkajúce sa najmä zloženia týchto pracovných skupín, menovania expertov týchto pracovných skupín výkonným riaditeľom a fungovania týchto pracovných skupín sa spresnia vo vnútorných pravidlách činnosti agentúry ENISA.

7.Na účely efektívneho a účinného plnenia úloh agentúry ENISA a na základe primeranej analýzy nákladov a prínosov môže výkonný riaditeľ v prípade potreby rozhodnúť, že zriadi jednu alebo viacero miestnych kancelárií v jednom alebo viacerých členských štátoch. Pred rozhodnutím o zriadení miestnej kancelárie výkonný riaditeľ požiada o stanovisko dotknuté členské štáty vrátane členského štátu, v ktorom sa nachádza sídlo agentúry ENISA, a musí vopred získať súhlas Komisie a správnej rady. V prípade nezhody medzi výkonným riaditeľom a dotknutými členskými štátmi v priebehu konzultačného procesu sa záležitosť predloží na prerokovanie v Rade. Celkový počet členov personálu vo všetkých miestnych kanceláriách musí byť minimálny a nesmie prekročiť 40 % celkového počtu členov personálu agentúry ENISA v členskom štáte, v ktorom sa nachádza jej sídlo. Počet členov personálu v žiadnej miestnej kancelárii nesmie prekročiť 10 % celkového počtu členov personálu agentúry ENISA v členskom štáte, v ktorom sa nachádza jej sídlo.

8.V rozhodnutí o zriadení miestnej kancelárie sa vymedzí rozsah činností, ktoré sa majú v miestnej kancelárii vykonávať, a to tak, aby sa zabránilo vzniku zbytočných nákladov a zdvojeniu administratívnych funkcií agentúry ENISA.

Oddiel 4 
Zástupca výkonného riaditeľa

Článok 33
Zástupca výkonného riaditeľa

1.Správna rada môže rozhodnúť o vytvorení funkcie zástupcu výkonného riaditeľa, ktorý bude výkonnému riaditeľovi pomáhať.

2.Ak správna rada rozhodne o vytvorení funkcie zástupcu výkonného riaditeľa, na zástupcu výkonného riaditeľa sa primerane vzťahujú ustanovenia článku 31.

Článok 34
Úlohy a povinnosti zástupcu výkonného riaditeľa

Zástupca výkonného riaditeľa pomáha výkonnému riaditeľovi pri riadení agentúry ENISA a pri vykonávaní úloh uvedených v článku 32. Ak je výkonný riaditeľ neprítomný alebo indisponovaný alebo ak je jeho miesto neobsadené, zastupuje ho počas neprítomnosti alebo do obsadenia miesta zástupca výkonného riaditeľa.

Oddiel 5 
Poradná skupina agentúry ENISA

Článok 35
Poradná skupina agentúry ENISA

1.Správna rada na návrh výkonného riaditeľa transparentným spôsobom zriadi poradnú skupinu agentúry ENISA. Poradná skupina agentúry ENISA sa skladá z uznávaných odborníkov zastupujúcich príslušné zainteresované strany, ako sú odvetvie kybernetickej bezpečnosti, odvetvie IKT, MSP, subjekty pôsobiace v odvetviach uvedených v prílohách I a II k smernici (EÚ) 2022/2555, výrobcovia produktov s digitálnymi prvkami a správcovia softvéru s otvoreným zdrojovým kódom v zmysle nariadenia (EÚ) 2024/2847, orgány posudzovania zhody notifikované podľa európskeho rámca certifikácie kybernetickej bezpečnosti uvedeného v článku 93 a nariadenia (EÚ) 2024/2847, subjekty pôsobiace v oblasti prostriedkov elektronickej identifikácie, skupiny spotrebiteľov, akademickí odborníci v oblasti kybernetickej bezpečnosti, európske normalizačné organizácie, ako aj orgány presadzovania práva a dozorné orgány pre ochranu údajov. Títo uznávaní odborníci musia byť štátnymi príslušníkmi členských štátov. Správna rada sa usiluje o zabezpečenie primeranej rodovej rovnováhy a geografickej vyváženosti, ako aj rovnováhy medzi rôznymi skupinami zainteresovaných strán.

2.Postupy poradnej skupiny agentúry ENISA, najmä z hľadiska jej zloženia, návrhu výkonného riaditeľa uvedeného v odseku 1, počtu a menovania jej členov a činnosti poradnej skupiny agentúry ENISA, sa vymedzia vo vnútorných pravidlách činnosti agentúry ENISA a zverejnia sa.

3.Poradnej skupine agentúry ENISA predsedá výkonný riaditeľ alebo ktokoľvek, koho výkonný riaditeľ v jednotlivých prípadoch vymenuje.

4.Funkčné obdobie členov poradnej skupiny agentúry ENISA je dva a pol roka a môže sa jedenkrát predĺžiť. Členovia správnej rady nesmú byť členmi poradnej skupiny agentúry ENISA. Experti z Komisie a experti z členských štátov sú oprávnení zúčastňovať sa na zasadnutiach poradnej skupiny agentúry ENISA a podieľať sa na jej práci. Výkonný riaditeľ môže pozvať zástupcov iných orgánov, ktorí nie sú členmi poradnej skupiny agentúry ENISA, aby sa zúčastňovali na zasadnutiach poradnej skupiny agentúry ENISA a podieľali sa na jej práci.

5.Poradná skupina agentúry ENISA radí agentúre ENISA v súvislosti s vykonávaním úloh agentúry ENISA s výnimkou uplatňovania ustanovení hláv III, IV a V tohto nariadenia. Predovšetkým radí výkonnému riaditeľovi pri vypracúvaní návrhu ročného pracovného programu agentúry ENISA a pri zabezpečovaní komunikácie s príslušnými zainteresovanými stranami o otázkach týkajúcich sa ročného pracovného programu.

6.Poradná skupina agentúry ENISA pravidelne informuje správnu radu o svojich činnostiach.

7.Agentúra ENISA poskytuje poradnej skupine agentúry ENISA potrebnú logistickú podporu a sekretariát pre jej zasadnutia.

Oddiel 6 
Odvolacia rada

Článok 36
Zriadenie a zloženie odvolacej rady

1.Agentúra ENISA rozhodnutím správnej rady zriadi odvolaciu radu.

2.Odvolacia rada sa skladá z predsedu a troch ďalších členov. Každý člen odvolacej rady musí mať náhradníka. Náhradník zastupuje člena počas jeho neprítomnosti.

3.Predsedu, ostatných členov a ich náhradníkov vymenúva správna rada zo zoznamu kvalifikovaných uchádzačov, ktorý zostavila Komisia. Zoznam kvalifikovaných uchádzačov je platný štyri roky. Platnosť tohto zoznamu môže správna rada na návrh Komisie predĺžiť o ďalšie štvorročné obdobia.

4.Keď sa odvolacia rada domnieva, že si to vyžaduje povaha odvolania, môže požiadať správnu radu o vymenovanie dvoch ďalších členov a ich náhradníkov zo zoznamu uvedeného v odseku 3.

5.Odvolacia rada prijme a uverejní svoj rokovací poriadok.

Článok 37
Členovia odvolacej rady

1.Funkčné obdobie členov a náhradníkov odvolacej rady je štyri roky. Ich funkčné obdobie môže správna rada na návrh Komisie predĺžiť o ďalšie štvorročné obdobia.

2.Členovia odvolacej rady sú nezávislí a nesmú vykonávať žiadne iné úlohy v rámci agentúry ENISA. Pri rozhodovaní nesmú požadovať ani prijímať pokyny od žiadnej vlády ani iného orgánu či súkromného subjektu.

3.Členovia odvolacej rady nesmú byť v priebehu svojho funkčného obdobia zbavení funkcie ani vylúčení zo zoznamu kvalifikovaných uchádzačov, pokiaľ na to nie sú vážne dôvody a pokiaľ o tom nerozhodne správna rada na návrh Komisie.

Článok 38
Vylúčenie a námietka

1.Členovia odvolacej rady sa nesmú zúčastniť na odvolacom konaní, ak sú na ňom osobne zainteresovaní, ak sa na ňom predtým zúčastnili ako zástupcovia jednej zo strán konania alebo ak sa podieľali na prijatí rozhodnutia, ktoré je predmetom odvolania.

2.Ak v dôsledku jedného z dôvodov uvedených v odseku 1 alebo akýchkoľvek iných dôvodov člen odvolacej rady usúdi, že by sa nemal zúčastniť na niektorom z odvolacích konaní, informuje o tom odvolaciu radu.

3.Strana odvolacieho konania môže namietať proti ktorémukoľvek členovi odvolacej rady z akéhokoľvek dôvodu uvedeného v odseku 1, alebo ak je tento člen podozrivý zo zaujatosti. Takáto námietka nie je prípustná, ak účastník odvolacieho konania urobil procesný krok, hoci si bol vedomý dôvodu pre námietku. Námietka sa nesmie zakladať na štátnej príslušnosti členov odvolacej rady.

4.O krokoch, ktoré treba podniknúť v prípadoch uvedených v odsekoch 2 a 3, rozhodne odvolacia rada bez účasti dotknutého člena. Na účely prijatia takéhoto rozhodnutia nahradí dotknutého člena odvolacej rady jeho náhradník.

Článok 39
Odvolania proti rozhodnutiam a prípadom nekonania

1.Pred odvolacou radou sa možno odvolať proti:

a)rozhodnutiam prijatým agentúrou ENISA podľa článku 22 ods. 3;

b)nekonaniu agentúry ENISA v príslušných lehotách stanovených v článku 22 ods. 4.

2.Odvolanie podané podľa odseku 1 podlieha predbežnému preskúmaniu v súlade s článkom 41 predtým, ako sa predloží na preskúmanie odvolacej rade.

3.Odvolanie podané podľa odseku 1 nemá odkladný účinok.

Článok 40
Osoby, ktoré sa môžu odvolať, lehota a forma

1.Žiadatelia v zmysle článku 21 ods. 3 sa môžu odvolať proti

a)rozhodnutiu agentúry ENISA, ktoré je im určené, podľa článku 22 ods. 3;

b)nekonaniu agentúry ENISA v súvislosti so žiadosťou, ktorú predložili agentúre ENISA, v rámci príslušných lehôt stanovených v článku 22 ods. 4.

2.V prípade uvedenom v odseku 1 písm. a) sa odvolanie spolu s odôvodnením podáva písomne v súlade s rokovacím poriadkom uvedeným v článku 36 ods. 5 do dvoch mesiacov od oznámenia rozhodnutia dotknutému žiadateľovi, alebo ak takéto oznámenie neexistuje, odo dňa, keď sa žiadateľ o rozhodnutí dozvedel.

3.V prípade uvedenom v odseku 1 písm. b) sa odvolanie podáva agentúre ENISA písomne v súlade s rokovacím poriadkom uvedeným v článku 36 ods. 5 do dvoch mesiacov odo dňa uplynutia lehoty stanovenej v článku 22 ods. 4.

Článok 41
Predbežné preskúmanie

1.Ak agentúra ENISA posúdi odvolanie ako prípustné a náležite opodstatnené, opraví svoje rozhodnutie alebo napraví nekonanie uvedené v článku 40 ods. 1.

2.Ak agentúra ENISA svoje rozhodnutie neopraví do jedného mesiaca od doručenia odvolania, agentúra bezodkladne rozhodne, či uplatňovanie svojho rozhodnutia pozastaví, a postúpi odvolanie odvolacej rade.

Článok 42
Preskúmanie rozhodnutí o odvolaniach

1.Odvolacia rada do troch mesiacov od podania odvolania rozhodne, či tomuto odvolaniu vyhovie alebo ho zamietne. Pri preskúmavaní odvolania koná odvolacia rada v lehotách stanovených v jej rokovacom poriadku. Tak často, ako je to potrebné, vyzýva strany odvolacieho konania, aby v rámci stanovených lehôt predložili svoje stanoviská k oznámeniam odvolacej rady alebo k oznámeniam iných strán odvolacieho konania. Strany odvolacieho konania majú právo podávať ústne vyhlásenia.

2.Ak odvolacia rada zistí, že dôvody odvolania sú opodstatnené, vráti vec agentúre ENISA. Agentúra ENISA prijme svoje konečné rozhodnutie v súlade so zisteniami odvolacej rady a vydá odôvodnenie tohto rozhodnutia. Agentúra ENISA o tomto rozhodnutí informuje strany odvolacieho konania.

Článok 43
Žaloba podaná na Súdny dvor Európskej únie

1.Žaloby o zrušenie rozhodnutí agentúry ENISA prijatých podľa článku 22 ods. 3 alebo žaloby z dôvodu nekonania v uplatniteľných lehotách podľa článku 22 ods. 4 možno podať na Súdny dvor Európskej únie po vyčerpaní odvolacieho konania v rámci agentúry ENISA stanoveného v článkoch 39 až 42 alebo v prípade nekonania v uplatniteľnej lehote podľa článku 41 ods. 2.

2.Agentúra ENISA prijme všetky opatrenia potrebné na dosiahnutie súladu s rozsudkom Súdneho dvora Európskej únie.

Oddiel 7 
Prevádzka

Článok 44
Jednotný programový dokument

1.Agentúra ENISA vykonáva činnosť v súlade s jednotným programovým dokumentom, ktorý obsahuje jej ročný a viacročný pracovný program vrátane všetkých jej plánovaných činností.

2.Výkonný riaditeľ každý rok vypracúva návrh jednotného programového dokumentu, ako sa uvádza v odseku 1, s plánovaním zodpovedajúcich finančných a ľudských zdrojov v súlade s článkom 32 delegovaného nariadenia Komisie (EÚ) 2019/715 74 a s prihliadnutím na usmernenia stanovené Komisiou.

3.Správna rada každoročne do 30. novembra prijme jednotný programový dokument uvedený v odseku 1, pričom zohľadní stanovisko Komisie uvedené v článku 32 ods. 7 delegovaného nariadenia (EÚ) 2019/715. Ak sa správna rada rozhodne nezohľadniť niektoré prvky stanoviska Komisie, dôkladne svoje rozhodnutie odôvodní. Správna rada postúpi jednotný programový dokument Európskemu parlamentu, Rade a Komisii do 31. januára nasledujúceho roka, ako aj všetky neskôr aktualizované verzie uvedeného dokumentu.

4.Jednotný programový dokument nadobudne konečné znenie po konečnom prijatí všeobecného rozpočtu Únie, na základe ktorého sa podľa potreby upraví.

5.Ročný pracovný program zahŕňa podrobné ciele a očakávané výsledky vrátane ukazovateľov výkonnosti. Zahŕňa takisto opis opatrení, ktoré sa majú financovať, a údaje o finančných a ľudských zdrojoch vyčlenených na každé opatrenie v súlade so zásadami zostavovania rozpočtu a riadenia na základe činností. Ročný pracovný program musí byť súlade s viacročným pracovným programom uvedeným v odseku 7. Jasne sa v ňom vymedzia úlohy, ktoré sa oproti predchádzajúcemu rozpočtovému roku doplnili, zmenili alebo vypustili.

6.Ak sa agentúre ENISA pridelí nová úloha, správna rada prijatý ročný pracovný program zmení. Každá podstatná zmena ročného pracovného programu sa prijíma rovnakým postupom ako pôvodný ročný pracovný program. Správna rada môže delegovať právomoc prijímať menej podstatné zmeny v ročnom pracovnom programe na výkonného riaditeľa.

7.Vo viacročnom pracovnom programe sa stanovuje všeobecné strategické plánovanie vrátane cieľov, očakávaných výsledkov a ukazovateľov výkonnosti. Zároveň sa v ňom uvádza plánovanie zdrojov vrátane viacročného rozpočtu a personálu.

8.Plánovanie zdrojov sa aktualizuje každoročne. Strategické plánovanie sa aktualizuje podľa potreby, najmä ak je potrebné zohľadniť výsledky hodnotenia uvedeného v článku 120.

KAPITOLA IV 
Zostavovanie a štruktúra rozpočtu agentúry ENISA

Článok 45
Zostavovanie rozpočtu agentúry ENISA

1.Výkonný riaditeľ každoročne vypracúva predbežný návrh odhadu príjmov a výdavkov agentúry ENISA na nasledujúci rozpočtový rok vrátane plánu pracovných miest a zasiela ho správnej rade.

2.Predbežný návrh odhadu vychádza z cieľov a očakávaných výsledkov ročného pracovného programu a zohľadňujú sa v ňom finančné zdroje potrebné na dosiahnutie uvedených cieľov a očakávaných výsledkov, a to v súlade so zásadou správneho finančného riadenia a výkonnosti.

3.Na základe tohto predbežného návrhu odhadu správna rada prijme návrh odhadu príjmov a výdavkov agentúry ENISA na nasledujúci rozpočtový rok a zašle ho každoročne do 31. januára Komisii.

4.Komisia zasiela návrh odhadu rozpočtovému orgánu spolu s návrhom všeobecného rozpočtu Únie. Návrh odhadu sa sprístupní aj agentúre ENISA.

5.Komisia na základe návrhu odhadu zahrnie odhady, ktoré považuje za potrebné pre plán pracovných miest a výšku príspevku zo všeobecného rozpočtu Únie, do návrhu všeobecného rozpočtu Únie, ktorý predloží rozpočtovému orgánu v súlade s článkami 313 a 314 ZFEÚ.

6.Rozpočtový orgán schváli rozpočtové prostriedky na príspevok zo všeobecného rozpočtu Únie agentúre ENISA.

7.Rozpočtový orgán prijme plán pracovných miest agentúry ENISA.

8.Správna Rada prijme rozpočet agentúry ENISA. Rozpočet nadobúda konečné znenie po konečnom prijatí všeobecného rozpočtu Únie a v prípade potreby sa zodpovedajúcim spôsobom upraví.

9.V prípade všetkých stavebných projektov, ktoré môžu mať značný vplyv na rozpočet agentúry ENISA, sa uplatňuje delegované nariadenie (EÚ) 2019/715.

Článok 46
Štruktúra rozpočtu agentúry ENISA

1.Na každý rozpočtový rok sa vypracuje odhad všetkých príjmov a výdavkov agentúry ENISA a uvedie sa v jej rozpočte. Rozpočtový rok zodpovedá kalendárnemu roku.

2.Rozpočet agentúry ENISA musí byť z hľadiska príjmov a výdavkov vyrovnaný.

3.Bez toho, aby boli dotknuté iné zdroje, príjmy agentúry ENISA zahŕňajú:

a)príspevok od Únie uvedený vo všeobecnom rozpočte Únie;

b)príjmy určené na krytie konkrétnych výdavkových položiek v súlade s jej rozpočtovými pravidlami uvedenými v článku 50;

c)finančné prostriedky Únie na základe dohôd o príspevku alebo ad hoc grantov v súlade s rozpočtovými pravidlami agentúry ENISA uvedenými v článku 50 a s ustanoveniami príslušných nástrojov na podporu politík Únie;

d)poplatky vyberané od žiadateľov za činnosti súvisiace s európskymi schémami osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti uvedené v článku 22 ods. 1;

e)poplatky vyberané od orgánov posudzovania zhody za účasť na európskej schéme certifikácie kybernetickej bezpečnosti a vydávanie európskych certifikátov kybernetickej bezpečnosti v jej rámci uvedené v článku 47 ods. 2;

f)poplatky vyberané od verejných orgánov alebo súkromných subjektov za testovacie nástroje, ako sa uvádza v článku 47 ods. 3;

g)akýkoľvek príspevok tretích krajín podieľajúcich sa na činnosti agentúry ENISA podľa článku 70 ods. 4;

h)prípadné peňažné či nepeňažné dobrovoľné príspevky členských štátov.

4.Členským štátom, ktoré poskytujú dobrovoľné príspevky, ako sa uvádza v odseku 3 písm. g), za ne nevzniká nárok na žiadne osobitné práva alebo služby.

5.Výdavky agentúry ENISA zahŕňajú odmeny zamestnancov, administratívne náklady a náklady na infraštruktúru, ako aj prevádzkové náklady.

Článok 47
Poplatky

1.V súvislosti s každou činnosťou schémy udeľovania európskych osvedčení uvedenou v článku 22 ods. 1 sa od žiadateľov v zmysle článku 21 ods. 3 alebo od autorizovaných poskytovateľov osvedčení s cieľom prispieť k pokrytiu celkových nákladov na činnosti vykonávané agentúrou ENISA vyberajú tieto poplatky:

a)vydávanie autorizácií po preskúmaní požiadaviek stanovených v článku 21 ods. 3 a 4 vrátane vykonávania hodnotení;

b)ročná údržba autorizácie;

c)obnovovanie autorizácií pre poskytovateľov európskych osvedčení o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti vrátane vykonávania hodnotení.

2.V súvislosti s certifikáciou sa od orgánov posudzovania zhody za udržiavanie európskych schém certifikácie kybernetickej bezpečnosti, v rámci ktorých sa vydávajú európske certifikáty kybernetickej bezpečnosti, vyberajú najmä tieto poplatky:

a)ročný poplatok za účasť v európskej schéme certifikácie kybernetickej bezpečnosti;

b)poplatok za vydávanie európskych certifikátov kybernetickej bezpečnosti v rámci európskych schém certifikácie kybernetickej bezpečnosti.

Poplatky uvedené v písmene b) sa vyberajú, keď orgán posudzovania zhody predloží agentúre ENISA európske certifikáty kybernetickej bezpečnosti na uverejnenie na jej webovom sídle podľa článku 79.

3.V súvislosti s testovacími nástrojmi uvedenými v článku 15 ods. 1 sa od každého orgánu verejnej moci alebo súkromného subjektu vyberá poplatok za ich používanie.

4.Poplatky sa uvádzajú a sú splatné v eurách.

5.Komisia prijme vykonávacie akty, ktorými stanoví podrobné pravidlá týkajúce sa určovania poplatkov, ktoré má vyberať agentúra ENISA, pričom stanoví najmä odhadované náklady, ktoré možno pripísať každej z vecí, za ktoré sa vyberajú poplatky podľa odsekov 1, 2 a 3, a výšky jednotlivých vyberaných poplatkov, ako aj spôsoby a podmienky, za ktorých sa majú poplatky platiť. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 118 ods. 2. Komisia pri príprave návrhov uvedených vykonávacích aktov konzultuje s agentúrou ENISA.

6.Poplatky určené vykonávacími aktmi uvedenými v odseku 5 sa stanovia vopred tak, aby boli primerané odhadovaným nákladom na vykonávané činnosti alebo poskytované služby, ktoré sa určia nákladovo efektívnym spôsobom, a musia byť dostatočné na pokrytie týchto nákladov. Všetky výdavky agentúry ENISA pripísané zamestnancom zapojeným do činností uvedených v odsekoch 1, 2 a 3 sa premietnu do nákladov, ktoré sa majú pokryť. Poplatky by sa mali stanoviť na takej úrovni, aby nedošlo k deficitu alebo výraznému hromadeniu prebytku v rozpočte agentúry ENISA. Rozpočtové prebytky získané z poplatkov sa prenášajú na financovanie činností agentúry ENISA, najmä budúcich činností súvisiacich s poplatkami, alebo na vyrovnanie vzniknutých strát. Ak sa výrazné pozitívne saldo v rozpočte vyplývajúce z činností, na ktoré sa vzťahujú poplatky, opakuje, alebo ak z poskytovania služieb, na ktoré sa vzťahujú poplatky, vyplynie výrazné negatívne saldo, Komisia zmení vykonávacie akty uvedené v odseku 5 s cieľom zrevidovať metódu výpočtu poplatkov v súlade s článkom 118 ods. 2.

Výška poplatkov za úlohy uvedené v odseku 1 sa stanoví na takej úrovni, aby sa zabezpečilo, že príjmy z nich dostatočne prispejú k pokrytiu nákladov na činnosti súvisiace s vývojom a udržiavaním európskych schém osvedčovania individuálnych zručností, spracovaním žiadostí a vydávaním a obnovovaním autorizácií a na činnosti potrebné na dohľad agentúry ENISA.

Výška poplatkov za úlohy uvedené v odseku 2 sa stanoví na takej úrovni, aby sa zabezpečilo, že príjmy z nich dostatočne prispejú k pokrytiu celkových nákladov na činnosti súvisiace s udržiavaním európskych schém certifikácie kybernetickej bezpečnosti uvedeným v článku 75.

Výška poplatkov za úlohy uvedené v odseku 3 sa stanoví na takej úrovni, aby sa zabezpečilo, že príjmy z nich dostatočne prispejú k pokrytiu nákladov na činnosti súvisiace s poskytovaním testovacích nástrojov, ako sa uvádza v článku 15 ods. 1.

7.Agentúra ENISA predloží správu o vybraných poplatkoch a ich vplyve na svoj rozpočet v rámci postupu predkladania účtovnej závierky stanoveného v článku 50.

8.Agentúra ENISA zavedie súbor ukazovateľov na meranie pracovného zaťaženia, efektívnosti a účinnosti v súvislosti s činnosťami financovanými z poplatkov. Agentúra ENISA zodpovedajúcim spôsobom prispôsobí plánovanie svojich zamestnancov a riadenie zdrojov súvisiacich s poplatkami, aby bola schopná primerane reagovať na takýto dopyt a na akékoľvek výkyvy v príjmoch z poplatkov. Agentúra ENISA poskytne Komisii správu, ktorú môže Komisia použiť na účely hodnotenia uvedeného v článku 120 ods. 1.

Článok 48
Plnenie rozpočtu agentúry ENISA

1.Výkonný riaditeľ je zodpovedný za plnenie rozpočtu agentúry ENISA a vykonáva funkciu povoľujúceho úradníka.

2.Vnútorný audítor Komisie má rovnaké právomoci nad agentúrou ENISA ako nad odbormi Komisie.

3.Každý rok predkladá výkonný riaditeľ rozpočtovému orgánu všetky informácie relevantné pre zistenia postupov hodnotenia.

Článok 49
Predkladanie účtovnej závierky a absolutórium

1.Účtovník agentúry ENISA zasiela predbežnú účtovnú závierku za rozpočtový rok (rok N) účtovníkovi Komisie a Dvoru audítorov do 1. marca nasledujúceho rozpočtového roka (rok N + 1).

2.Účtovník agentúry ENISA poskytne do 1. marca roku N + 1 účtovníkovi Komisie aj požadované účtovné informácie na účely konsolidácie, a to spôsobom a vo formáte, ktoré stanoví účtovník Komisie.

3.Agentúra ENISA zašle Európskemu parlamentu, Rade, Komisii a Dvoru audítorov do 31. marca roku N + 1 správu o rozpočtovom a finančnom riadení za rok N.

4.Po prijatí pripomienok Dvora audítorov k predbežnej účtovnej závierke agentúry ENISA za rok N účtovník agentúry ENISA na vlastnú zodpovednosť zostaví konečnú účtovnú závierku agentúry ENISA. Výkonný riaditeľ túto konečnú účtovnú závierku predloží správnej rade na prijatie stanoviska.

5.Správna rada zaujme ku konečnej účtovnej závierke agentúry ENISA za rok N stanovisko.

6.Účtovník agentúry ENISA do 1. júla roku N + 1 zašle konečnú účtovnú závierku za rok N Európskemu parlamentu, Rade, Komisii a Dvoru audítorov spolu so stanoviskom správnej rady.

7.Odkaz na webové stránky obsahujúce konečnú účtovnú závierku agentúry ENISA sa uverejní v Úradnom vestníku Európskej únie do 15. novembra roku N + 1.

8.Výkonný riaditeľ zašle Dvoru audítorov do 30. septembra roku N + 1 odpoveď na pripomienky uvedené v jeho výročnej správe. Výkonný riaditeľ uvedenú odpoveď zašle aj správnej rade a Komisii.

9.Výkonný riaditeľ predloží Európskemu parlamentu na jeho žiadosť všetky informácie potrebné na riadne uplatnenie postupu udelenia absolutória za rok N v súlade s článkom 267 ods. 3 nariadenia Európskeho parlamentu a Rady (EÚ, Euratom) 2024/2509.

10.Európsky parlament na odporúčanie Rady, ktorá sa uznáša kvalifikovanou väčšinou, do 15. mája roku N + 2 udelí výkonnému riaditeľovi absolutórium za plnenie rozpočtu na rok N.

Článok 50
Rozpočtové pravidlá

1.Rozpočtové pravidlá agentúry ENISA prijme správna rada po porade s Komisiou. Nesmú sa odchyľovať od delegovaného nariadenia (EÚ) 2019/715, pokiaľ takáto odchýlka nie je osobitne potrebná na činnosť agentúry ENISA a Komisia s ňou vopred súhlasila.

2.Agentúra ENISA zostavuje a plní svoj rozpočet v súlade so svojimi rozpočtovými pravidlami a s nariadením (EÚ, Euratom) 2024/2509.

Článok 51
Boj proti podvodom

1.V záujme boja proti podvodom, korupcii a iným protiprávnym aktivitám sa na činnosti agentúry ENISA bez obmedzenia uplatňujú ustanovenia nariadenia Európskeho parlamentu a Rady (EÚ, Euratom) č. 883/2013 75 .

2.Agentúra ENISA pristúpi k medziinštitucionálnej dohode z 25. mája 1999 medzi Európskym parlamentom, Radou Európskej únie a Komisiou Európskych spoločenstiev, ktorá sa týka vnútorných vyšetrovaní Európskym úradom pre boj proti podvodom (OLAF) 76 do šiestich mesiacov od [Úrad pre publikácie: vložte presný dátum, ako sa uvádza v článku 127] a prijme vhodné ustanovenia uplatniteľné na svojich zamestnancov, pričom použije vzor stanovený v prílohe k uvedenej dohode.

3.Dvor audítorov má právomoc na základe kontrol dokumentov a kontrol na mieste vykonať audit u všetkých príjemcov grantov, dodávateľov a subdodávateľov, ktorým boli poskytnuté finančné prostriedky Únie od agentúry ENISA.

4.Úrad OLAF môže vykonávať vyšetrovania vrátane kontrol a inšpekcií na mieste v súlade s ustanoveniami a postupmi stanovenými v nariadení (EÚ, Euratom) č. 883/2013 a v nariadení Rady (Euratom, ES) č. 2185/96 77 s cieľom zistiť, či v súvislosti s grantom alebo zmluvou financovanou agentúrou ENISA nedošlo k podvodu, korupcii alebo akémukoľvek inému protiprávnemu konaniu poškodzujúcemu finančné záujmy Únie.

5.Bez toho, aby boli dotknuté odseky 1 až 4, pracovné dohody agentúry ENISA s tretími krajinami a medzinárodnými organizáciami, jej zmluvy a dohody a rozhodnutia o grante musia obsahovať ustanovenia, ktoré Dvoru audítorov a úradu OLAF výslovne udeľujú právomoc na vykonávanie takýchto auditov a vyšetrovaní v rámci ich príslušných právomocí.

6.Európska prokuratúra môže v súlade s nariadením Rady (EÚ) 2017/1939 vyšetrovať a stíhať podvody a iné protiprávne konania poškodzujúce finančné záujmy Únie, ako sa stanovuje v smernici Európskeho parlamentu a Rady (EÚ) 2017/1371 78 .

Článok 52
Vyhlásenie o záujmoch

1.Členovia správnej rady, výkonný riaditeľ, zástupca výkonného riaditeľa a úradníci dočasne vyslaní členskými štátmi vydajú vyhlásenie o záväzkoch a vyhlásenie o neexistencii alebo existencii akýchkoľvek priamych alebo nepriamych záujmov, ktoré by sa mohli považovať za záujmy, ktoré ovplyvňujú ich nezávislosť. Vyhlásenia musia byť presné a úplné, vyhotovené každoročne v písomnej forme a v prípade potreby sa aktualizujú.

2.Členovia správnej rady, výkonný riaditeľ, zástupca výkonného riaditeľa a externí experti, ktorí sa zúčastňujú v ad hoc pracovných skupinách, podajú najneskôr na začiatku každého zasadnutia presné a úplné vyhlásenie o akýchkoľvek záujmoch, ktoré by sa mohli považovať za záujmy ovplyvňujúce ich nezávislosť v súvislosti s bodmi programu, a zdržia sa účasti na diskusiách k týmto bodom a na hlasovaní o nich.

3.Praktické opatrenia v súvislosti s pravidlami týkajúcimi sa vyhlásení o záujmoch uvedených v odsekoch 1 a 2 stanoví agentúra ENISA vo svojich vnútorných pravidlách činnosti.

Článok 53
Transparentnosť

1.Agentúra ENISA vykonáva svoje činnosti s vysokým stupňom transparentnosti a v súlade s článkom 55.

2.Agentúra ENISA zabezpečí, aby verejnosť a všetky strany, ktoré prejavia záujem, dostávali náležité, objektívne, spoľahlivé a ľahko dostupné informácie, najmä o výsledkoch jej práce. Agentúra takisto uverejňuje vyhlásenia o záujmoch podľa článku 52.

3.Správna rada konajúc na návrh výkonného riaditeľa môže stranám, ktoré prejavia záujem, povoliť pozorovanie postupov niektorých činností agentúry ENISA.

4.Agentúra ENISA vo svojich vnútorných pravidlách činnosti stanoví praktické opatrenia na vykonávanie pravidiel transparentnosti uvedených v odsekoch 1 a 2.

Článok 54
Dôvernosť v rámci agentúry ENISA

1.Bez toho, aby bol dotknutý článok 55, agentúra ENISA neposkytne tretím stranám informácie, ktoré spracúva alebo získava a v súvislosti s ktorými bola podaná odôvodnená žiadosť o dôverné zaobchádzanie.

2.Členovia správnej rady, výkonný riaditeľ, zástupca výkonného riaditeľa, členovia poradnej skupiny agentúry ENISA, externí experti zúčastňujúci sa na ad hoc pracovných skupinách a personál agentúry ENISA vrátane úradníkov dočasne vyslaných členskými štátmi musia spĺňať požiadavky na povinnosť mlčanlivosti podľa článku 339 ZFEÚ, a to aj po skončení plnenia svojich povinností.

3.Agentúra ENISA vo svojich vnútorných pravidlách činnosti stanoví praktické opatrenia na vykonávanie pravidiel týkajúcich sa dôvernosti uvedených v odsekoch 1 a 2.

Článok 55
Prístup k dokumentom

1.Na dokumenty, ktoré má agentúra ENISA v držbe, sa vzťahuje nariadenie (ES) č. 1049/2001.

2.Správna rada prijme opatrenia na vykonávanie nariadenia (ES) č. 1049/2001.

3.Rozhodnutia, ktoré agentúra ENISA prijme podľa článku 8 nariadenia (ES) č. 1049/2001, môžu byť predmetom sťažnosti podanej európskemu ombudsmanovi podľa článku 228 ZFEÚ alebo žaloby podanej na Súdnom dvore Európskej únie podľa článku 263 ZFEÚ.

KAPITOLA V 
Zamestnanci a styční úradníci

Článok 56
Všeobecné ustanovenia

1.Na zamestnancov agentúry ENISA sa vzťahuje služobný poriadok úradníkov a podmienky zamestnávania ostatných zamestnancov, ako aj pravidlá prijaté na základe dohody medzi inštitúciami Únie na účely vykonávania služobného poriadku úradníkov a podmienok zamestnávania ostatných zamestnancov.

2.Zamestnanci agentúry ENISA, styční úradníci a národní experti vyslaní do agentúry ENISA sa podrobia príslušnému postupu bezpečnostnej previerky.

Článok 57
Výsady a imunity

Na agentúru ENISA a jej personál sa vzťahuje Protokol č. 7 o výsadách a imunitách Európskej únie pripojený k ZFEÚ.

Článok 58
Styční úradníci

1.Každý členský štát v súlade s článkom 59 ods. 2 určí aspoň dvoch styčných úradníkov z príslušného vnútroštátneho orgánu určeného podľa článku 8 ods. 1 smernice (EÚ) 2022/2555 ako národných expertov vyslaných do agentúry ENISA, ktorí budú pracovať v jej sídle alebo v jej miestnej kancelárii. Styčného úradníka môže určiť aj Komisia.

2.Styční úradníci prispievajú k plneniu úloh agentúry ENISA, a to aj uľahčovaním operačnej spolupráce a výmeny informácií, ako sa uvádza v článku 11. Styční úradníci takisto podporujú agentúru ENISA pri šírení informácií o jej činnostiach, zisteniach a odporúčaniach príslušným zainteresovaným stranám v celej Únii. Pôsobia aj ako národné kontaktné miesta pre otázky zo svojich členských štátov a otázky týkajúce sa ich členských štátov, a to buď priamym zodpovedaním týchto otázok alebo prostredníctvom komunikácie so svojimi vnútroštátnymi správnymi orgánmi.

3.Styční úradníci určení svojimi členskými štátmi majú právo požadovať a dostávať od svojich členských štátov všetky relevantné informácie, ako sa stanovuje v tomto nariadení, a to pri plnom dodržiavaní vnútroštátnych právnych predpisov a postupov členského štátu, najmä pokiaľ ide o ochranu údajov a dôvernosť.

Článok 59
Vyslaní národní experti a ďalší personál

1.Agentúra ENISA môže v akejkoľvek oblasti svojej činnosti využívať vyslaných národných expertov alebo ďalší personál, ktorý agentúra ENISA nezamestnáva. Na tento personál sa nevzťahujú služobný poriadok a podmienky zamestnávania.

2.Správna rada prijme rozhodnutie, v ktorom stanoví pravidlá vysielania národných expertov vrátane styčných úradníkov do agentúry ENISA.

KAPITOLA VI 
VŠEOBECNÉ USTANOVENIA TÝKAJÚCE SA AGENTÚRY ENISA

Článok 60
Právne postavenie agentúry ENISA

1.Agentúra ENISA je orgánom Únie s právnou subjektivitou.

2.Agentúra ENISA má v každom členskom štáte najširšiu právnu spôsobilosť, akú právo daného členského štátu priznáva právnickým osobám. Môže najmä nadobúdať alebo scudzovať hnuteľný a nehnuteľný majetok a môže byť účastníkom súdneho konania.

3.Agentúru ENISA zastupuje výkonný riaditeľ.

Článok 61
Sídlo

Agentúra ENISA má sídlo v Aténach v Grécku.

Článok 62
Dohoda o sídle a prevádzkové podmienky

1.Potrebné úpravy o poskytnutí sídla agentúre ENISA v hostiteľskom členskom štáte a o zariadeniach, ktoré má daný členský štát sprístupniť, ako aj osobitné pravidlá, ktoré sa v hostiteľskom členskom štáte vzťahujú na výkonného riaditeľa, členov správnej rady, personál agentúry ENISA a členov ich rodín, sa stanovia v dohode o sídle, ktorá sa uzavrie medzi agentúrou ENISA a hostiteľským členským štátom po tom, ako ju schváli správna rada.

2.Hostiteľský členský štát agentúry ENISA vytvorí najlepšie možné podmienky s cieľom zabezpečiť riadne fungovanie agentúry ENISA so zreteľom na dostupnosť jej umiestnenia, zabezpečenie primeraných vzdelávacích zariadení pre deti členov personálu, náležitý prístup na trh práce, k sociálnemu zabezpečeniu a zdravotnej starostlivosti pre deti aj manželských partnerov členov personálu.

Článok 63
Administratívna kontrola

Na činnosť agentúry ENISA dozerá v súlade s článkom 228 ZFEÚ európsky ombudsman.

Článok 64
Zodpovednosť agentúry ENISA

1.Zmluvná zodpovednosť agentúry ENISA sa spravuje rozhodným právom pre danú zmluvu.

2.Súdny dvor Európskej únie má právomoc rozhodovať podľa akejkoľvek rozhodcovskej doložky obsiahnutej v zmluve uzatvorenej agentúrou ENISA.

3.V prípade mimozmluvnej zodpovednosti agentúra ENISA nahradí v súlade so všeobecnými zásadami spoločnými pre práva členských štátov všetky škody, ktoré spôsobila alebo ktoré spôsobil jej personál pri vykonávaní svojich povinností.

4.Právomoc rozhodovať v sporoch o náhradu škody uvedenú v odseku 3 má Súdny dvor Európskej únie.

5.Osobná zodpovednosť zamestnancov agentúry voči agentúre ENISA sa riadi ustanoveniami služobného poriadku alebo podmienok zamestnávania, ktoré sa na nich vzťahujú.

Článok 65
Jazykový režim

1.Na agentúru ENISA sa vzťahuje nariadenie Rady č. 1 79 . Členské štáty a ostatné nimi menované orgány sa môžu obrátiť na agentúru ENISA a dostať odpoveď v úradnom jazyku inštitúcií Únie podľa vlastného výberu.

2.Preklad a všetky ostatné jazykové služby potrebné na fungovanie agentúry ENISA, okrem tlmočenia, zabezpečuje Prekladateľské stredisko pre orgány Európskej únie.

Článok 66
Ochrana osobných údajov

1.Na spracúvanie osobných údajov agentúrou ENISA sa vzťahuje nariadenie (EÚ) 2018/1725.

2.Správna rada prijme vykonávacie predpisy uvedené v článku 45 ods. 3 nariadenia (EÚ) 2018/1725. Správna rada môže prijať dodatočné opatrenia potrebné na uplatňovanie nariadenia (EÚ) 2018/1725 agentúrou ENISA.

Článok 67
Bezpečnostné predpisy týkajúce sa ochrany citlivých neutajovaných skutočností a utajovaných skutočností

Agentúra ENISA po dohode s Komisiou prijme bezpečnostné predpisy, v ktorých uplatní bezpečnostné zásady obsiahnuté v bezpečnostných predpisoch Komisie na ochranu citlivých neutajovaných skutočností a utajovaných skutočností Európskej únie podľa rozhodnutí (EÚ, Euratom) 2015/443 80 a 2015/444 81 . Tieto bezpečnostné predpisy musia zahŕňať ustanovenia týkajúce sa výmeny, spracúvania a uchovávania takýchto skutočností.

Článok 68
Spolupráca so subjektmi Únie a vnútroštátnymi orgánmi

1.S cieľom zabezpečiť konzistentnosť, vytvárať synergie a riešiť problémy spoločného záujmu agentúra ENISA spolupracuje v záležitostiach týkajúcich sa kybernetickej bezpečnosti s tímom CERT-EU a príslušnými subjektmi Únie vrátane Europolu, Európskeho centra priemyselných, technologických a výskumných kompetencií v oblasti kybernetickej bezpečnosti zriadeného podľa nariadenia (EÚ) 2021/887 a Európskeho výboru pre ochranu údajov zriadeného podľa článku 68 ods. 1 nariadenia (EÚ) 2016/679.

2.Spolupráca uvedená v odseku 1 sa môže zabezpečiť prostredníctvom:

a)výmeny know-how a najlepších postupov;

b)poskytovania poradenstva a vydávania usmernení k záležitostiam spojeným s kybernetickou bezpečnosťou;

c)ustanovenia praktických dohôd na výkon konkrétnych úloh po konzultácii s Komisiou.

3.Agentúra ENISA sa zapojí do štruktúrovanej spolupráce s tímom CERT-EU, najmä v záležitostiach týkajúcich sa budovania kapacít, operačnej spolupráce a dlhodobých strategických analýz kybernetických hrozieb.

4.Agentúra ENISA spolupracuje a vymieňa si informácie s príslušnými orgánmi dohľadu nad trhom a orgánmi dozoru určenými podľa právnych predpisov Únie v oblasti kybernetickej bezpečnosti vrátane nariadenia (EÚ) 2024/2847.

Článok 69
Spolupráca so zainteresovanými stranami

1.Ak je to potrebné na dosiahnutie cieľov tohto nariadenia, agentúra ENISA spolupracuje s príslušnými zainteresovanými stranami, ako sú odvetvie kybernetickej bezpečnosti, odvetvie IKT, MSP, subjekty pôsobiace v odvetviach uvedených v prílohách I a II k smernici (EÚ) 2022/2555, výrobcovia, dovozcovia alebo distribútori produktov s digitálnymi prvkami v zmysle nariadenia (EÚ) 2024/2847, orgány posudzovania zhody notifikované podľa európskeho rámca certifikácie kybernetickej bezpečnosti a nariadenia (EÚ) 2024/2847, subjekty pôsobiace v oblasti prostriedkov elektronickej identifikácie, skupiny spotrebiteľov a akademickí odborníci v oblasti kybernetickej bezpečnosti. Na tento účel môže agentúra ENISA vytvárať verejno-súkromné partnerstvá.

2.Agentúra ENISA po porade s Komisiou podporuje spoluprácu medzi notifikovanými orgánmi posudzovania zhody podľa článku 93. Predovšetkým môže zriadiť skupinu notifikovaných orgánov posudzovania zhody na výmenu najlepších postupov, čím sa vytvoria synergie s inými príslušnými právnymi predpismi Únie, najmä s nariadením (EÚ) 2024/2847.

Článok 70
Spolupráca s tretími krajinami a medzinárodnými organizáciami

1.Agentúra ENISA môže v rozsahu potrebnom na dosiahnutie cieľov tohto nariadenia spolupracovať s príslušnými orgánmi tretích krajín alebo s medzinárodnými organizáciami, alebo s oboma v súlade s prioritami Únie. Na tento účel môže agentúra ENISA za podmienky predchádzajúceho schválenia Komisiou dohodnúť s orgánmi tretích krajín a medzinárodnými organizáciami pracovné dohody. Uvedenými pracovnými dohodami nevznikajú Únii ani jej členským štátom žiadne právne záväzky.

2.V súlade s prioritami uvedenými v odseku 1 prijme správna rada stratégiu pre vzťahy s tretími krajinami a medzinárodnými organizáciami týkajúcu sa otázok spadajúcich do právomoci agentúry ENISA. Komisia zabezpečí, aby agentúra ENISA vykonávala činnosti v rámci svojho mandátu a existujúceho inštitucionálneho rámca, a to uzavretím náležitých pracovných dohôd s výkonným riaditeľom.

3.Na podporu spolupráce s tretími krajinami, najmä s krajinami, ktoré sú kandidátmi na pristúpenie k Únii, môže agentúra ENISA poskytovať svoje odborné znalosti v oblasti budovania kapacít, najmä v týchto oblastiach:

a)posudzovanie úrovne vyspelosti spôsobilostí a zdrojov kybernetickej bezpečnosti;

b)rast a zvyšovanie kvality pracovnej sily v oblasti kybernetickej bezpečnosti, a to aj podporou ECSF a európskych schém osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti a poskytovaním vzdelávacích aktivít a aktivít v oblasti odbornej prípravy;

c)podpora plánovania a vykonávania kybernetickobezpečnostných cvičení.

4.Agentúra ENISA musí byť otvorená účasti tretích krajín, ktoré na tento účel uzavreli dohody s Úniou, na svojej činnosti. Podľa príslušných ustanovení dohôd uzavretých medzi tretími krajinami a Úniou sa po predchádzajúcom schválení Komisiou stanovia pracovné dohody, v ktorých sa stanoví najmä povaha, rozsah a spôsob účasti týchto tretích krajín na práci agentúry ENISA, vrátane ustanovení týkajúcich sa účasti na iniciatívach uskutočňovaných agentúrou ENISA, finančných príspevkov a personálnych otázok. Pokiaľ ide o personálne otázky, musia byť uvedené pracovné dohody za každých okolností v súlade so služobným poriadkom a podmienkami zamestnávania.

5.Agentúra ENISA pravidelne podáva Rade a Komisii správy o vykonávaní pracovných dohôd uvedených v odsekoch 1 a 4.

HLAVA III

EURÓPSKY RÁMEC CERTIFIKÁCIE KYBERNETICKEJ BEZPEČNOSTI

KAPITOLA I 
Ciele, rozsah pôsobnosti a postupy

Článok 71
Ciele a rozsah pôsobnosti európskeho rámca certifikácie kybernetickej bezpečnosti

1.Európsky rámec certifikácie kybernetickej bezpečnosti sa ustanovuje s cieľom vytvoriť digitálny jednotný trh pre produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby a subjekty. Na tento účel sa ním zvýši úroveň kybernetickej bezpečnosti v Únii a umožní harmonizovaný prístup k európskym schémam certifikácie kybernetickej bezpečnosti, ako aj využitie certifikácie na uľahčenie dodržiavania platných právnych predpisov Únie.

2.Európsky rámec certifikácie kybernetickej bezpečnosti poskytne mechanizmus na vytvorenie európskych schém certifikácie kybernetickej bezpečnosti a na osvedčovanie toho:

a)že produkty IKT, služby IKT a procesy IKT vyhodnotené v súlade s týmito schémami spĺňajú špecifikované bezpečnostné požiadavky s cieľom chrániť dostupnosť, pravosť, integritu alebo dôvernosť uchovávaných, prenášaných alebo spracúvaných údajov alebo funkcií či služieb, ktoré tieto produkty, služby a procesy poskytujú alebo sprístupňujú, a to počas ich celého životného cyklu;

b)že riadené bezpečnostné služby vyhodnotené v súlade s takýmito schémami spĺňajú špecifikované bezpečnostné požiadavky s cieľom chrániť dostupnosť, pravosť, integritu a dôvernosť údajov, ktoré sa sprístupňujú, spracúvajú, uchovávajú alebo prenášajú v súvislosti s poskytovaním týchto služieb, a že tieto služby sa nepretržite poskytujú s využitím požadovaných zručností, odborných znalostí a skúseností zamestnancov, ktorí majú dostatočnú a primeranú úroveň relevantných technických vedomostí a profesijnej bezúhonnosti;

c)že stav kybernetickej bezpečnosti subjektu vyhodnotený v súlade s takýmito schémami je v súlade so špecifikovanými požiadavkami kybernetickej bezpečnosti.

3.Pokiaľ sa v právnych predpisoch Únie alebo vnútroštátnych právnych predpisoch nestanovuje inak, európska certifikácia kybernetickej bezpečnosti je dobrovoľná.

4.Európsky certifikát kybernetickej bezpečnosti a EÚ vyhlásenie o zhode vydané podľa európskeho rámca certifikácie kybernetickej bezpečnosti sa automaticky uznávajú vo všetkých členských štátoch.

Článok 72
Informovanie verejnosti a konzultácie

1.Komisia s podporou agentúry ENISA aspoň raz ročne zorganizuje Európske zhromaždenie pre certifikáciu v oblasti kybernetickej bezpečnosti, na ktoré pozve členov ECCG a ďalších príslušných odborníkov z členských štátov, príslušných odborníkov zo subjektov Únie a príslušné zainteresované strany, aby prediskutovali strategické priority harmonizácie v oblasti certifikácie kybernetickej bezpečnosti.

2.Komisia spravuje a pravidelne aktualizuje špecializované webové sídlo, na ktorom sa poskytujú informácie o týchto aspektoch:

a)európske schémy certifikácie kybernetickej bezpečnosti, ktorých vypracovanie sa požaduje podľa článku 73;

b)strategické priority harmonizácie produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb, úrovne kybernetickej bezpečnosti subjektov alebo bezpečnostných požiadaviek právnych predpisov Únie vrátane potenciálnych oblastí, v prípade ktorých by sa mohla požadovať európska schéma certifikácie kybernetickej bezpečnosti.

3.Komisia zverejní na webovom sídle uvedenom v odseku 2 tohto článku informácie o svojej žiadosti adresovanej agentúre ENISA o vypracovanie kandidátskej schémy, ako sa uvádza v článku 73, a o svojom rozhodnutí prijať, zamietnuť alebo ukončiť kandidátsku schému, ktorú jej agentúra ENISA zaslala, v súlade s článkom 74 ods. 7.

4.Počas vypracovania kandidátskej schémy agentúrou ENISA podľa článku 74 môže Európsky parlament a Rada požiadať Komisiu ako predsedu ECCG a agentúru ENISA, aby predložili relevantné informácie o návrhu kandidátskej schémy. Na žiadosť Európskeho parlamentu alebo Rady môže agentúra ENISA po dohode s Komisiou a bez toho, aby bol dotknutý článok 54, sprístupniť Európskemu parlamentu a Rade príslušné časti návrhu kandidátskej schémy spôsobom, ktorý je primeraný požadovanej úrovni dôvernosti, a v náležitých prípadoch v obmedzenej forme.

5.Európsky parlament a Rada môžu vyzvať Komisiu a agentúru ENISA na prerokovanie záležitostí týkajúcich sa vykonávania európskych schém certifikácie kybernetickej bezpečnosti pre produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby alebo úroveň kybernetickej bezpečnosti subjektov.

Článok 73
Žiadosti o európsku schému certifikácie kybernetickej bezpečnosti

1.Komisia môže požiadať agentúru ENISA, aby vypracovala kandidátsku európsku schému certifikácie kybernetickej bezpečnosti pre produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby alebo úroveň kybernetickej bezpečnosti subjektov.

2.V riadne odôvodnených prípadoch môže ECCG navrhnúť Komisii, aby predložila žiadosť uvedenú v odseku 1.

3.V žiadosti uvedenej v odseku 1 sa podrobne uvedie účel, rozsah pôsobnosti a spôsoby plnenia príslušných bezpečnostných cieľov a prvkov stanovených v článkoch 80 a 81. V žiadosti sa uvedie aj plán vypracovania kandidátskej európskej schémy certifikácie kybernetickej bezpečnosti a príslušné technické špecifikácie, na ktoré sa má v schéme odkazovať alebo ktoré sa v nej majú vymedziť.

4.Komisia pri príprave žiadosti uvedenej v odseku 1 riadne konzultuje s agentúrou ENISA a ECCG a zohľadní názory všetkých príslušných zainteresovaných strán a iných subjektov Únie, v náležitých prípadoch vrátane tých, ktoré sú relevantné podľa právnych predpisov Únie, podľa ktorých európska schéma certifikácie kybernetickej bezpečnosti preukazuje súlad a poskytuje predpoklad zhody.

Článok 74
Vypracovanie a prijatie európskych schém certifikácie kybernetickej bezpečnosti

1.Agentúra ENISA najneskôr do 12 mesiacov od prijatia žiadosti Komisie podľa článku 73, ak nie je v žiadosti uvedené inak, vypracuje kandidátsku európsku schému certifikácie kybernetickej bezpečnosti, ktorá spĺňapožiadavky stanovené v článkoch 80 a 81.

2.Na vypracovanie každej kandidátskej schémy agentúra ENISA zriadi ad hoc pracovnú skupinu v súlade s článkom 32 ods. 6, ktorej účelom je poskytovať agentúre ENISA odborné poradenstvo.

3.Pri vypracovaní kandidátskej schémy agentúra ENISA úzko spolupracuje s ECCG. ECCG poskytuje agentúre ENISA v súvislosti s vypracovaním kandidátskej schémy a v náležitých prípadoch podporných technických špecifikácií pomoc a odborné poradenstvo.

4.Pri vypracovaní kandidátskej schémy, v náležitých prípadoch vrátane podporných technických špecifikácií agentúra ENISA včas konzultuje so zainteresovanými stranami prostredníctvom formálneho, otvoreného, transparentného a inkluzívneho konzultačného procesu. Agentúra ENISA takisto spolupracuje s príslušnými orgánmi verejnej správy v členských štátoch a s príslušnými subjektmi Únie s cieľom získať ich odborné poradenstvo v súvislosti s vypracovaním kandidátskej schémy a v náležitých prípadoch podporných technických špecifikácií. Agentúra ENISA pri zasielaní kandidátskej schémy Komisii podľa odseku 6 opíše spôsob, akým dosiahla súlad s týmto odsekom.

5.Pred zaslaním kandidátskej schémy a v náležitých prípadoch podporných technických špecifikácií Komisii agentúra ENISA požiada členov ECCG o poskytnutie písomných stanovísk ku kandidátskej schéme. Stanoviská sa poskytnú najneskôr do 30 dní od dátumu žiadosti. Agentúra ENISA zohľadní stanoviská členov ECCG v čo najväčšej miere. Neexistencia takýchto stanovísk nebráni agentúre ENISA v zaslaní kandidátskej schémy Komisii.

6.Agentúra ENISA zašle kandidátsku schému Komisii najneskôr do 60 dní odo dňa žiadosti uvedenej v odseku 5.

7.Po prijatí kandidátskej schémy Komisia vyhodnotí, či schéma zodpovedá žiadosti predloženej v súlade s článkom 73. Do 30 dní odo dňa zaslania uvedenej kandidátskej schémy Komisia prijme jedno z týchto opatrení:

a)prijme kandidátsku schému;

b)vráti kandidátsku schému agentúre ENISA na revíziu spolu s odôvodnením tohto vrátenia a lehotou nepresahujúcou 90 dní, v rámci ktorej agentúra ENISA poskytne revidovanú kandidátsku schému;

c)ukončí kandidátsku schému.

8.Ak Komisia vráti agentúre ENISA kandidátsku schému na revíziu v súlade s odsekom 7 písm. b), uplatňujú sa primerane odseky 4, 5 a 7.

9.Komisia je na základe prijatej kandidátskej schémy vypracovanej agentúrou ENISA splnomocnená prijímať vykonávacie akty, ktorými sa stanoví európska schéma certifikácie kybernetickej bezpečnosti pre produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby alebo úroveň kybernetickej bezpečnosti subjektov, ktorá spĺňa požiadavky stanovené v článkoch 80 a 81. Uvedený vykonávací akt sa prijme v súlade s postupom preskúmania uvedeným v článku 118 ods. 2.

10.Komisia môže vo vykonávacích aktoch uvedených v odseku 9 tohto článku v súlade s článkami 18 a 77 odkazovať na technické špecifikácie vypracované agentúrou ENISA.

11.Komisia môže vo vykonávacích aktoch uvedených v odseku 9 tohto článku v súlade s článkom 87 stanoviť podmienky medzinárodného uznávania európskych certifikátov kybernetickej bezpečnosti.

Článok 75
Údržba európskej schémy certifikácie kybernetickej bezpečnosti

1.V každej európskej schéme certifikácie kybernetickej bezpečnosti sa stanoví stratégia údržby. V stratégii údržby sa uvedú očakávania týkajúce sa činností údržby, najmä tých, ktoré súvisia s normami alebo technickými špecifikáciami uvedenými v schéme, a s interakciou s príslušnými zainteresovanými stranami.

2.Agentúra ENISA v spolupráci s Komisiou a s podporou ECCG a jej príslušnej podskupiny pre údržbu zabezpečuje údržbu európskych schém certifikácie kybernetickej bezpečnosti, a to aj vzhľadom na možné preskúmanie týchto schém Komisiou. Agentúra ENISA v súvislosti s údržbou spolupracuje a vymieňa si informácie s príslušnými subjektmi a skupinami Únie.

3.Agentúra ENISA môže organizovať zapojenie súkromného sektora do údržby schémy vo forme ad hoc pracovnej skupiny v súlade so stratégiou údržby uvedenou v odseku 1.

4.Činnosti údržby európskych schém certifikácie kybernetickej bezpečnosti zahŕňajú:

a)prípravu, aktualizáciu a schvaľovanie technických špecifikácií a usmernení na podporu harmonizovaného a jednotného fungovania schém;

b)identifikáciu noriem alebo technických špecifikácií, ktoré sú relevantné pre danú schému;

c)interakcie a prípadne nadviazanie kontaktov s príslušnými zainteresovanými stranami vrátane európskych alebo medzinárodných normalizačných organizácií, a to aj na účely poskytovania alebo prijímania technických príspevkov;

d)vydávanie odporúčaní Komisii o potrebných zlepšeniach a aktualizáciách schém, a to aj vzhľadom na možné preskúmanie schém;

e)výmenu informácií týkajúcich sa praktického vykonávania schém medzi členskými štátmi;

f)príspevky k mechanizmom partnerského preskúmania a partnerského hodnotenia a analýzy výsledkov týchto posúdení s cieľom zlepšiť fungovanie schém a podporiť ich prípadné preskúmanie.

5.ECCG môže vydať stanovisko k údržbe európskych schém certifikácie kybernetickej bezpečnosti.

Článok 76
Hodnotenie, preskúmanie a zrušenie európskej schémy certifikácie kybernetickej bezpečnosti

1.Najmenej každé štyri roky po začatí uplatňovania európskej schémy certifikácie kybernetickej bezpečnosti agentúra ENISA v spolupráci s príslušnou podskupinou ECCG pre údržbu a s prihliadnutím na spätnú väzbu získanú od zainteresovaných strán vyhodnotí vplyv a účinnosť ttejto schémy. Agentúra ENISA vykoná hodnotenie prostredníctvom analýzy trhu v súlade s článkom 8 ods. 1.

2.Po hodnotení uvedenom v odseku 1 môže Komisia preskúmať alebo zrušiť vykonávacie akty, ktorými sa stanovuje európska schéma certifikácie kybernetickej bezpečnosti podľa článku 74 ods. 9.

3.Pri preskúmavaní alebo rušení európskych schém certifikácie kybernetickej bezpečnosti Komisia konzultuje s agentúrou ENISA, ECCG a jej príslušnou podskupinou pre údržbu a zohľadňuje názory príslušných zainteresovaných strán a iných subjektov Únie.

4.ECCG môže vydať stanovisko k preskúmaniu alebo zrušeniu európskej schémy certifikácie kybernetickej bezpečnosti. Komisia ho pri preskúmaní alebo zrušení európskej schémy certifikácie kybernetickej bezpečnosti náležite zohľadní.

Článok 77 
Technické špecifikácie v európskych schémach certifikácie kybernetickej bezpečnosti

1.Agentúra ENISA môže vzhľadom na budúcu európsku schému certifikácie kybernetickej bezpečnosti alebo na podporu údržby európskej schémy certifikácie kybernetickej bezpečnosti vypracovať technické špecifikácie.

2.Technické špecifikácie uvedené v odseku 1 tohto článku sa vypracujú včas s podporou ECCG a jej podskupín pre údržbu a v náležitých prípadoch príslušnej ad hoc pracovnej skupiny uvedenej v článku 75 ods. 3. Na tento účel agentúra ENISA požiada o príspevky aj príslušné skupiny zainteresovaných strán, pričom zohľadní stratégiu údržby uvedenú v článku 75 ods. 1.

3.Ak sa na technické špecifikácie odkazuje v európskej schéme certifikácie kybernetickej bezpečnosti, ako sa uvádza v článku 74 ods. 10, sprístupnia sa na webovom sídle uvedenom v článku 79.

4.V riadne odôvodnených prípadoch, najmä ak technické špecifikácie obsahujú informácie, ktoré by mohli ohroziť bezpečnosť certifikovaných produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb alebo úrovne kybernetickej bezpečnosti subjektov, distribuujú sa len tým zainteresovaným stranám, ktorých sa týkajú požiadavky schémy. Na takéto technické špecifikácie sa neodkazuje v európskej schéme certifikácie kybernetickej bezpečnosti, ako sa uvádza v článku 74 ods. 10.

Článok 78 
Uľahčenie dodržiavania právnych predpisov Únie

1.Ak sa to stanovuje v osobitnom právnom akte Únie, certifikát vydaný v rámci európskej schémy certifikácie kybernetickej bezpečnosti preukazuje súlad a poskytuje predpoklad zhody s príslušnými požiadavkami stanovenými v uvedenom právnom akte.

2.Hodnotiace činnosti v rámci európskej schémy certifikácie kybernetickej bezpečnosti musia byť v súlade s príslušným právnym aktom Únie, v ktorom sa stanovuje preukazovanie súladu a predpoklad zhody. Ak takéto hodnotiace činnosti nie sú uvedené v príslušnom právnom akte Únie, uvedú sa v schéme. Posúdenie zhody na účely certifikácie, ktorým sa priznáva predpoklad zhody s požiadavkami stanovenými v právnych predpisoch Únie, vykonáva orgán tretej strany.

3.Ak neexistuje harmonizovaná legislatíva Únie, môže sa stanoviť aj vo vnútroštátnom práve, že európsku schému certifikácie kybernetickej bezpečnosti možno použiť na preukázanie súladu a stanovenie predpokladu zhody so osobitnými zákonnými požiadavkami stanovenými vo vnútroštátnom práve.

Článok 79
Zavádzanie európskych schém certifikácie kybernetickej bezpečnosti, webové sídlo agentúry ENISA a zverejňovanie certifikátov

1.Agentúra ENISA organizuje činnosti na podporu zavádzania prijatých európskych schém certifikácie kybernetickej bezpečnosti, okrem iného aj tým, že spravuje webové sídlo uvedené v odseku 2 tohto článku.

2.Agentúra ENISA spravuje a pravidelne aktualizuje špecializované webové sídlo, na ktorom sa poskytujú verejné informácie o:

a)európskych schémach certifikácie kybernetickej bezpečnosti;

b)poplatkoch spojených s udržiavaním každej európskej schémy certifikácie kybernetickej bezpečnosti;

c)príslušných technických špecifikáciách agentúry ENISA;

d)európskych certifikátoch kybernetickej bezpečnosti a EÚ vyhláseniach o zhode vrátane informácií o certifikátoch a vyhláseniach, ktoré už nie sú platné alebo ktorých platnosť bola pozastavená, zrušená alebo sa skončila;

e)príslušných doplňujúcich informáciách o kybernetickej bezpečnosti poskytnutých v súlade s článkom 84;

f)zhrnutiach partnerských preskúmaní podľa článku 89 ods. 7;

g)technických špecifikáciách uvedených v európskej schéme certifikácie kybernetickej bezpečnosti podľa článku 74 ods. 10.

3.Na webovom sídle uvedenom v odseku 2 sa v náležitých prípadoch uvádzajú aj vnútroštátne schémy certifikácie kybernetickej bezpečnosti, ktoré boli európskou schémou certifikácie kybernetickej bezpečnosti nahradené.

KAPITOLA II 
Obsah európskych schém certifikácie kybernetickej bezpečnosti

Článok 80
Bezpečnostné ciele európskych schém certifikácie kybernetickej bezpečnosti

1.Európska schéma certifikácie kybernetickej bezpečnosti musí v príslušných prípadoch sledovať tieto bezpečnostné ciele:

a)zabezpečiť, aby produkty IKT, služby IKT, procesy IKT a riadené bezpečnostné služby boli bezpečné na úrovni štandardného nastavenia a už v štáciu návrhu;

b)chrániť uchovávané, prenášané alebo inak spracúvané údaje pred náhodným či neoprávneným uchovávaním, spracúvaním, prístupom alebo poskytnutím pomocou vhodných technických prostriedkov, pričom sa zohľadňuje celý životný cyklus produktov IKT, služieb IKT alebo procesov IKT;

c)chrániť integritu uchovávaných, prenášaných alebo inak spracúvaných osobných alebo iných údajov, príkazov, programov a konfigurácií pred akoukoľvek manipuláciou alebo úpravou, ktorú používateľ nepovolil, a podávať správy o poškodeniach, pričom sa zohľadní celý životný cyklus produktov IKT, služieb IKT alebo procesov IKT;

d)zabezpečiť ochranu pred neoprávneným prístupom vhodnými mechanizmami kontroly, a to okrem iného aj systémami na správu overovania, identity alebo prístupu, a podávať správy o možnom neoprávnenom prístupe;

e)identifikovať a zdokumentovať komponenty a zraniteľnosti, v náležitých prípadoch aj vypracovaním softvérového kusovníka, ktorý by zahŕňal aspoň závislosti najvyššej úrovne;

f)poskytovať bezpečnostné informácie zaznamenávaním a monitorovaním príslušnej internej činnosti vrátane prístupu k údajom, službám alebo funkciám alebo ich zmeny, v náležitých prípadoch s mechanizmom opt-out pre používateľa;

g)overovať, či produkty IKT, služby IKT a procesy IKT neobsahujú známe zneužiteľné zraniteľnosti;

h)chrániť dostupnosť hlavných a základných funkcií, a to aj po incidente a aj prostredníctvom opatrení na zvýšenie odolnosti a zmierňujúcich opatrení proti útokom na vyradenie služby;

i)minimalizovať negatívny vplyv na dostupnosť služieb poskytovaných inými sieťami a zariadeniami v prípade fyzického alebo technického incidentu;

j)zabezpečiť pravidelné testovanie a preskúmanie bezpečnosti produktov IKT, služieb IKT a procesov IKT;

k)zabezpečiť, aby sa zraniteľnosti riešili a odstraňovali bezodkladne, a to aj prostredníctvom bezpečnostných aktualizácií, a aby sa informácie o odstránených zraniteľnostiach zdieľali a zverejňovali, pokiaľ riziká zverejnenia neprevažujú nad bezpečnostnými prínosmi;

l)zabezpečiť, aby bola zavedená politika koordinovaného zverejňovania informácií o zraniteľnosti;

m)uľahčiť výmenu informácií o potenciálnych zraniteľnostiach produktov IKT, služieb IKT a procesov IKT;

n)zabezpečiť, aby v prípade, že sú k dispozícii bezpečnostné aktualizácie na riešenie zistených bezpečnostných problémov, boli tieto bezpečnostné aktualizácie bezodkladne šírené;

o)zabezpečiť, aby riadené bezpečnostné služby boli poskytované s využitím požadovaných zručností, odborných znalostí a skúseností vrátane toho, aby zamestnanci zodpovední za poskytovanie uvedených služieb mali dostatočnú a primeranú úroveň technických vedomostí a zručností v danej konkrétnej oblasti, dostatočné a primerané skúsenosti a najvyšší stupeň profesijnej bezúhonnosti;

p)zabezpečiť, aby produkty IKT, služby IKT a procesy IKT, ktoré sa používajú pri poskytovaní riadených bezpečnostných služieb, boli bezpečné už v štádiu návrhu a na úrovni štandardného nastavenia a aby v náležitých prípadoch obsahovali najnovšie bezpečnostné aktualizácie a neobsahovali verejne známe zraniteľnosti;

q)zabezpečiť, aby certifikovaný subjekt mal zavedené vhodné interné postupy na zabezpečenie poskytovania služieb na dostatočnej a primeranej úrovni kvality;

r)zabezpečiť, aby bol certifikovaný subjekt schopný identifikovať incidenty, chrániť sa pred nimi, zisťovať ich, reagovať na ne a zotavovať sa z nich;

s)zabezpečiť, aby bol certifikovaný subjekt schopný riadiť riziká pre bezpečnosť sietí a informačných systémov, ktoré subjekt používa na svoju činnosť alebo na poskytovanie svojich služieb, a predchádzať incidentom alebo minimalizovať ich vplyv na príjemcov svojich služieb a na iné služby;

t)zabezpečiť, aby certifikovaný subjekt bol schopný budovať, zabezpečovať a preskúmavať svoju prevádzkovú integritu a spoľahlivosť tak, že priamo alebo nepriamo prostredníctvom využívania služieb poskytovaných externými poskytovateľmi IKT služieb zabezpečí, aby disponoval celým rozsahom spôsobilostí súvisiacich s IKT, ktoré sú potrebné na zaistenie bezpečnosti sietí a informačných systémov, ktoré subjekt využíva, a ktoré podporujú nepretržité poskytovanie služieb a ich kvalitu, a to aj počas narušení;

u)zabezpečiť, aby bol certifikovaný subjekt schopný zaviesť a udržiavať systém riadenia informačnej bezpečnosti;

v)odolávať akýmkoľvek udalostiam, ktoré môžu ohroziť dostupnosť, pravosť, integritu alebo dôvernosť uložených, prenášaných alebo spracovávaných údajov alebo služieb ponúkaných alebo prístupných prostredníctvom siete a informačného systému, ktoré subjekt používa, a zabezpečiť nepretržité poskytovanie služieb a ich kvalitu, a to aj počas narušení;

w)zabezpečiť, aby bol subjekt schopný zaistiť bezpečnosť spracúvania osobných údajov.

2.Komisia je splnomocnená prijímať delegované akty v súlade s článkom 119 s cieľom zmeniť odsek 1 tohto článku doplnením alebo úpravou bezpečnostných cieľov s cieľom zabezpečiť, aby odrážali najnovší technologický vývoj a nové súvisiace hrozby, ako aj prijatie nových právnych predpisov Únie, v ktorých sa stanoví preukazovanie súladu a predpoklad zhody prostredníctvom európskej certifikácie kybernetickej bezpečnosti s príslušnými požiadavkami kybernetickej bezpečnosti uvedenými v týchto právnych predpisoch.

3.Európska schéma certifikácie kybernetickej bezpečnosti pre produkty s digitálnymi prvkami vymedzené v článku 3 bode 1 nariadenia (EÚ) 2024/2847 sa navrhne v súlade so základnými požiadavkami kybernetickej bezpečnosti stanovenými v prílohe I k uvedenému nariadeniu a zohľadní dostupné harmonizované normy.

Článok 81
Prvky európskych schém certifikácie kybernetickej bezpečnosti

1.Európska schéma certifikácie kybernetickej bezpečnosti zahŕňa minimálne tieto prvky:

a)predmet úpravy a rozsah pôsobnosti schémy certifikácie vrátane typu alebo kategórií produktov IKT, služieb IKT, procesov IKT alebo riadených bezpečnostných služieb, alebo aktív, služieb a funkcií subjektu, na ktoré sa vzťahuje rozsah certifikácie;

b)jasný opis účelu schémy a v náležitých prípadoch identifikáciu právnych predpisov Únie, v ktorých sa stanovujú požiadavky, s ktorými európske certifikáty kybernetickej bezpečnosti preukazujú súlad a poskytujú predpoklad zhody;

c)stratégiu údržby, v ktorej sa špecifikuje prístup k činnostiam údržby stanoveným v článku 75;

d)osobitné požiadavky kybernetickej bezpečnosti, kritériá hodnotenia a metódy, ktoré sa majú použiť na hodnotenie produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb alebo úrovne kybernetickej bezpečnosti subjektov, a odkazy na medzinárodné, európske alebo vnútroštátne normy uplatňované pri hodnotení produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb alebo úrovne kybernetickej bezpečnosti subjektov, alebo ak takéto normy nie sú k dispozícii alebo nie sú vhodné, na technické špecifikácie vypracované agentúrou ENISA podľa článku 77, alebo ak takéto špecifikácie nie sú k dispozícii, na iné technické špecifikácie;

e)maximálne obdobie platnosti európskych certifikátov kybernetickej bezpečnosti vydaných v rámci schémy.

2.Európska schéma certifikácie kybernetickej bezpečnosti obsahuje aspoň pravidlá a podmienky týkajúce sa:

a)monitorovania súladu produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb alebo úrovne kybernetickej bezpečnosti subjektov s požiadavkami európskych certifikátov kybernetickej bezpečnosti alebo EÚ vyhlásení o zhode vrátane mechanizmov na preukázanie trvalého súladu so stanovenými požiadavkami kybernetickej bezpečnosti;

b)vydávania, potvrdzovania, odnímania a obnovovania európskych certifikátov kybernetickej bezpečnosti, rozširovania alebo obmedzovania rozsahu certifikácie a opätovnej certifikácie;

c)dôsledkov pre produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby alebo subjekty, ktoré boli certifikované alebo pre ktoré bolo vydané EÚ vyhlásenie o zhode, ale ktoré nespĺňajú požiadavky schémy;

d)spôsobu nahlasovania a riešenia predtým nezistených zraniteľností produktov IKT, služieb IKT a procesov IKT z hľadiska kybernetickej bezpečnosti;

e)obsahu a formátu európskych certifikátov kybernetickej bezpečnosti a EÚ vyhlásení o zhode, ktoré majú byť vydané;

f)obdobia, počas ktorého výrobca alebo poskytovateľ produktov IKT, služieb IKT, procesov IKT alebo riadených bezpečnostných služieb alebo subjekt, ktorého stav kybernetickej bezpečnosti je predmetom certifikácie má mať k dispozícii EÚ vyhlásenie o zhode, technickú dokumentáciu a všetky ďalšie relevantné informácie;

g)mechanizmov partnerského hodnotenia, ktoré sú stanovené v rámci schémy pre orgány alebo subjekty vydávajúce európske certifikáty kybernetickej bezpečnosti podľa článku 85 ods. 4, pričom tieto mechanizmy sa uplatňujú bez toho, aby bolo dotknuté partnerské preskúmanie stanovené v článku 90;

h)dôvernosti informácií a údajov získaných všetkými stranami pri vykonávaní úloh a činností súvisiacich s vykonávaním ustanovení uvedených v tejto hlave;

i)formátu a postupov, ktoré musia dodržiavať výrobcovia alebo poskytovatelia produktov IKT, služieb IKT alebo procesov IKT pri poskytovaní a aktualizácii doplňujúcich informácií o kybernetickej bezpečnosti v súlade s článkom 84 a

j)kontinuity certifikačných činností počas mimoriadnych krízových situácií, ktoré sú neodvratné a bránia možnosti uplatniť pravidlá schémy certifikácie.

3.Európska schéma certifikácie kybernetickej bezpečnosti musí v náležitých prípadoch zahŕňať aj tieto prvky:

a)jednu alebo viac úrovní záruky a zodpovedajúce úrovne hodnotenia;

b)profily ochrany na špecifikáciu bezpečnostných požiadaviek, ktoré sa vzťahujú na danú kategóriu produktov IKT, služieb IKT, procesov IKT alebo riadených bezpečnostných služieb;

c)rozširujúce profily s cieľom stanoviť dodatočné bezpečnostné požiadavky, v náležitých prípadoch vrátane bezpečnostných požiadaviek stanovených vo vnútroštátnych ustanoveniach, ktorými sa transponuje právo Únie;

d)objasnenie toho, ktoré činnosti posudzovania zhody vrátane kalibrácie, skúšania, certifikácie a inšpekcie na úrovni záruky „vysoká“ alebo na účely preukázania súladu a priznania predpokladu zhody sú povolené mimo Európskeho hospodárskeho priestoru (EHP);

e)určenie vnútroštátnych alebo medzinárodných schém certifikácie kybernetickej bezpečnosti, ktoré sa vzťahujú na rovnaký typ alebo kategórie produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb alebo úrovne kybernetickej bezpečnosti subjektov;

f)dodatočné alebo osobitné požiadavky na orgány posudzovania zhody s cieľom zabezpečiť ich technickú spôsobilosť na hodnotenie požiadaviek kybernetickej bezpečnosti;

g)informácie, ktoré sú potrebné na certifikáciu a ktoré má žiadateľ poskytnúť alebo inak sprístupniť orgánom posudzovania zhody;

h)označenia alebo značky a podmienky, za ktorých možno takéto označenia alebo značky použiť;

i)podmienky medzinárodného uznávania európskych certifikátov kybernetickej bezpečnosti v súlade s článkom 87.

4.Špecifikované požiadavky európskej schémy certifikácie kybernetickej bezpečnosti musia byť v súlade s požiadavkami právnych predpisov Únie.

5.Komisia je splnomocnená prijímať vykonávacie akty, ktorými sa stanovujú spoločné zásady a vzorové ustanovenia pre prvky uvedené v odsekoch 1, 2 a 3 v rámci európskych schém certifikácie kybernetickej bezpečnosti. V náležitých prípadoch a ak sú tieto zásady a vzorové ustanovenia dostupné, môže európska schéma certifikácie kybernetickej bezpečnosti na ne obsahovať odkazy.

6.Vykonávacie akty uvedené v odseku 5 sa prijímajú v súlade s postupom preskúmania uvedeným v článku 118 ods. 2. Pri vypracúvaní alebo revízii spoločných zásad a vzorových ustanovení pre prvky európskych schém certifikácie kybernetickej bezpečnostiKomisia konzultuje s agentúrou ENISA a v náležitých prípadoch zohľadní názory ECCG, príslušných zainteresovaných strán a iných príslušných orgánov.

Článok 82
Úrovne záruky a hodnotenia európskych schém certifikácie kybernetickej bezpečnosti

1.Európska schéma certifikácie kybernetickej bezpečnosti môže uvádzať jednu alebo viacero z týchto úrovní záruky pre produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby alebo úroveň kybernetickej bezpečnosti subjektov: „základná“, „významná“ alebo „vysoká“. Tieto úrovne záruky musia zodpovedať úrovni rizika spojeného so zamýšľaným používaním produktu IKT, služby IKT, procesu IKT, riadenej bezpečnostnej služby alebo s povahou subjektov, ktorých stav kybernetickej bezpečnosti je predmetom certifikácie, a ich operačným prostredím z hľadiska pravdepodobnosti a vplyvu incidentu.

2.Európske certifikáty kybernetickej bezpečnosti sa vzťahujú na akúkoľvek úroveň záruky uvedenú v európskej schéme certifikácie kybernetickej bezpečnosti, v rámci ktorej sa tieto certifikáty vydávajú. EÚ vyhlásenia o zhode sa vzťahujú na úroveň záruky „základná“.

3.Bezpečnostné požiadavky zodpovedajúce každej úrovni záruky vrátane príslušných bezpečnostných kontrol a príslušného hodnotenia, ktorým má prejsť produkt IKT, služba IKT, proces IKT, riadená bezpečnostná služba alebo stav kybernetickej bezpečnosti subjektu, sa stanovujú v príslušnej európskej schéme certifikácie kybernetickej bezpečnosti.

4.Európsky certifikát kybernetickej bezpečnosti alebo EÚ vyhlásenie o zhode odkazujú na súvisiace technické špecifikácie, normy a postupy vrátane technických kontrol, ktorých účelom je znížiť riziko kybernetických bezpečnostných incidentov alebo týmto incidentom predchádzať.

5.Európsky certifikát kybernetickej bezpečnosti alebo EÚ vyhlásenie o zhode, v ktorom sa odkazuje na úroveň záruky „základná“, musí poskytovať záruku, že produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby alebo úroveň kybernetickej bezpečnosti subjektov, pre ktoré je vydaný uvedený certifikát alebo uvedené EÚ vyhlásenie o zhode, spĺňajú zodpovedajúce bezpečnostné požiadavky vrátane bezpečnostných kontrol a že boli hodnotené na úrovni určenej na minimalizovanie známych základných rizík incidentov a kybernetických útokov. Hodnotiace činnosti, ktoré sa majú vykonať, musia zahŕňať aspoň preskúmanie technickej dokumentácie. V prípade, keď takéto preskúmanie nie je vhodné, vykonajú sa náhradné hodnotiace činnosti s rovnocenným účinkom.

6.Európsky certifikát kybernetickej bezpečnosti, ktorý sa vzťahuje na úroveň záruky „významná“, musí poskytovať záruku, že produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby alebo úroveň kybernetickej bezpečnosti subjektov, pre ktoré je tento certifikát vydaný, spĺňajú príslušné bezpečnostné požiadavky vrátane bezpečnostných kontrol a že boli hodnotené na úrovni určenej na minimalizáciu známych rizík incidentov a kybernetických útokov a rizika kybernetických útokov vykonávaných subjektmi s obmedzenými zručnosťami a zdrojmi. Hodnotiace činnosti, ktoré sa majú vykonať, musia zahŕňať aspoň preskúmanie na preukázanie neexistencie verejne známych zraniteľností a skúšku na preukázanie toho, že produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby alebo subjekty správne vykonávajú potrebné bezpečnostné kontroly. V prípade, keď takéto hodnotiace činnosti nie sú vhodné, vykonajú sa náhradné hodnotiace činnosti s rovnocenným účinkom.

7.Európsky certifikát kybernetickej bezpečnosti, ktorý sa vzťahuje na úroveň záruky „vysoká“, musí poskytovať záruku, že produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby alebo úroveň kybernetickej bezpečnosti subjektov, pre ktoré je tento certifikát vydaný, spĺňajú príslušné bezpečnostné požiadavky vrátane bezpečnostných kontrol a že boli hodnotené na úrovni určenej na minimalizáciu rizika incidentov a najpokročilejších kybernetických útokov vykonávaných subjektmi so značnými zručnosťami a zdrojmi. Hodnotiace činnosti, ktoré sa majú vykonať, musia zahŕňať aspoň:

a)preskúmanie na preukázanie neexistencie verejne známych zraniteľností;

b)skúšku na preukázanie toho, že produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby alebo subjekty správne vykonávajú potrebné najpokročilejšie bezpečnostné kontroly;

c)posúdenie odolnosti produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb alebo subjektov voči zručným útočníkom, v náležitých prípadoch s použitím penetračného testovania.

V prípade, keď takéto hodnotiace činnosti nie sú vhodné, vykonajú sa náhradné činnosti s rovnocenným účinkom. Všetky činnosti posudzovania zhody pre úroveň záruky „vysoká“ vrátane kalibrácie, testovania, certifikácie a inšpekcie sa vykonávajú v Európskom hospodárskom priestore, pokiaľ nie je v európskej schéme certifikácie kybernetickej bezpečnosti stanovené inak.

8.Ak je európska schéma certifikácie kybernetickej bezpečnosti určená na preukázanie súladu a priznanie predpokladu zhody s konkrétnym právnym aktom Únie, európsky certifikát kybernetickej bezpečnosti poskytuje záruku, že certifikované produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby alebo úroveň kybernetickej bezpečnosti subjektov spĺňajú príslušné požiadavky kybernetickej bezpečnosti uvedené v tomto právnom akte. Všetky činnosti posudzovania zhody na účely predpokladu zhody vrátane kalibrácie, testovania, certifikácie a inšpekcie sa vykonávajú v Európskom hospodárskom priestore, pokiaľ nie je v európskej schéme certifikácie kybernetickej bezpečnosti stanovené inak.

9.Európska schéma certifikácie kybernetickej bezpečnosti môže pre danú úroveň záruky špecifikovať niekoľko úrovní hodnotenia. Každá z úrovní hodnotenia zodpovedá jednej z úrovní záruky.

Článok 83
Posúdenie zhody samohodnotením

1.Európska schéma certifikácie kybernetickej bezpečnosti môže umožniť posúdenie zhody samohodnotením, za ktoré nesie výhradnú zodpovednosť výrobca alebo poskytovateľ produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb alebo subjekt, ktorého stav kybernetickej bezpečnosti je predmetom certifikácie. Posúdenie zhody samohodnotením je povolené iba v súvislosti s produktmi IKT, službami IKT, procesmi IKT, riadenými bezpečnostnými službami alebo úrovňou kybernetickej bezpečnosti subjektov, ktoré predstavujú nízke riziko zodpovedajúce úrovni záruky „základná“.

2.Výrobca alebo poskytovateľ produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb alebo subjekt, ktorého stav kybernetickej bezpečnosti je predmetom certifikácie, môže vydať EÚ vyhlásenie o zhode, v ktorom sa uvádza, že bolo preukázané splnenie požiadaviek stanovených v európskej schéme certifikácie kybernetickej bezpečnosti. Vydaním takéhoto vyhlásenia tento výrobca, poskytovateľ alebo subjekt preberá zodpovednosť za súlad produktu IKT, služby IKT, procesu IKT, riadenej bezpečnostnej služby alebo stavu kybernetickej bezpečnosti s požiadavkami stanovenými v uvedenej schéme.

3.Výrobca alebo poskytovateľ produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb alebo subjekt, ktorého stav kybernetickej bezpečnosti je predmetom certifikácie, sprístupní EÚ vyhlásenie o zhode, technickú dokumentáciu a všetky ostatné relevantné informácie týkajúce sa zhody produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb alebo stavu kybernetickej bezpečnosti spolu s európskou schémou certifikácie kybernetickej bezpečnosti vnútroštátnemu orgánu pre certifikáciu kybernetickej bezpečnosti určenému podľa článku 89 na obdobie stanovené v uvedenej schéme. Kópia EÚ vyhlásenia o zhode sa bezodkladne predloží vnútroštátnemu orgánu pre certifikáciu kybernetickej bezpečnosti a agentúre ENISA.

Článok 84
Doplňujúce informácie o kybernetickej bezpečnosti týkajúce sa certifikovaných produktov IKT, služieb IKT a procesov IKT

1.Výrobca alebo poskytovateľ produktov IKT, služieb IKT alebo procesov IKT, pre ktoré bolo vydané EÚ vyhlásenie o zhode alebo európsky certifikát kybernetickej bezpečnosti, sprístupní používateľovi tieto doplňujúce informácie o kybernetickej bezpečnosti:

a)zamýšľaný účel príslušného produktu IKT, služby IKT alebo procesu IKT vrátane bezpečnostného prostredia, ktoré poskytuje výrobca alebo poskytovateľ;

b)usmernenia a odporúčania s cieľom pomôcť používateľom s bezpečnou konfiguráciou, inštaláciou, zavedením, prevádzkou a údržbou produktov IKT alebo služieb IKT;

c)druh technickej bezpečnostnej podpory, ktorú ponúka výrobca alebo poskytovateľ, a posledný deň obdobia podpory, počas ktorého môžu používatelia predpokladať riešenie zraniteľností a poskytovanie bezpečnostných aktualizácií;

d)ak sa výrobca alebo poskytovateľ rozhodne sprístupniť používateľovi softvérový kusovník, informácie o tom, kde je možné k nemu získať prístup.

2.Výrobca alebo poskytovateľ produktov IKT, služieb IKT alebo procesov IKT, pre ktoré bolo vydané EÚ vyhlásenie o zhode alebo európsky certifikát kybernetickej bezpečnosti, zverejní tieto doplňujúce informácie o kybernetickej bezpečnosti:

a)jednotné kontaktné miesto, na ktorom možno nahlasovať a prijímať informácie o zraniteľnostiach a kde možno nájsť politiku výrobcu pre koordinované zverejňovanie informácií o zraniteľnostiach;

b)informácie o opravených zraniteľnostiach vrátane opisu zraniteľností, vrátane informácií umožňujúcich používateľom identifikovať postihnutý produkt s digitálnymi prvkami, vplyvy zraniteľností, ich závažnosť a jasné a prístupné informácie, ktoré používateľom pomôžu zraniteľnosti napraviť; keď sa výrobcovia domnievajú, že bezpečnostné riziká zverejnenia prevažujú nad bezpečnostnými prínosmi, v riadne odôvodnených prípadoch môžu odložiť zverejnenie informácií o vyriešenej zraniteľnosti dovtedy, kým používateľom neposkytnú možnosť použiť príslušnú záplatu.

3.Informácie uvedené v odsekoch 1 a 2 musia byť k dispozícii v elektronickej forme a musia zostať dostupné a v prípade potreby sa aktualizovať počas platnosti a najmenej päť rokov po uplynutí platnosti alebo stiahnutí príslušného európskeho certifikátu kybernetickej bezpečnosti alebo EÚ vyhlásenia o zhode.

4.Povinnosti stanovené v odsekoch 1 a 2 sa neuplatňujú, ak by v prípade zverejnenia informácií mohla byť ohrozená bezpečnosť príslušného produktu IKT, služby IKT alebo procesu IKT.

KAPITOLA III 
Riadenie európskeho rámca certifikácie kybernetickej bezpečnosti

Oddiel 1 
Všeobecné pravidlá a riadenie európskych schém certifikácie kybernetickej bezpečnosti

Článok 85
Vydávanie európskych certifikátov kybernetickej bezpečnosti

1.Pre produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby alebo úroveň kybernetickej bezpečnosti subjektov, ktoré boli certifikované v rámci európskej schémy certifikácie kybernetickej bezpečnosti, platí predpoklad, že spĺňajú požiadavky takejto schémy.

2.Európske certifikáty kybernetickej bezpečnosti vydávajú orgány posudzovania zhody uvedené v článku 91 na základe kritérií zahrnutých v európskej schéme certifikácie kybernetickej bezpečnosti prijatej podľa článku 74.

3.Odchylne od odseku 2 sa môže v európskej schéme certifikácie kybernetickej bezpečnosti stanoviť, že európske certifikáty kybernetickej bezpečnosti podľa uvedenej schémy má vydávať len jeden z týchto verejných subjektov:

a)vnútroštátny orgán pre certifikáciu kybernetickej bezpečnosti uvedený v článku 88, ktorý je akreditovaný ako orgán posudzovania zhody podľa článku 91 ods. 1;

b)verejný subjekt, ktorý je akreditovaný ako orgán posudzovania zhody podľa článku 91 ods. 1.

4.Ak sa v európskej schéme certifikácie kybernetickej bezpečnosti prijatej podľa článku 74 stanovuje úroveň záruky „vysoká“ alebo ak sa v takejto schéme stanovuje inak, európsky certifikát kybernetickej bezpečnosti podľa tejto schémy vydáva len vnútroštátny orgán pre certifikáciu kybernetickej bezpečnosti uvedený v článku 88, ktorý je akreditovaný ako orgán posudzovania zhody podľa článku 91 ods. 1 alebo v týchto prípadoch:

a)orgán posudzovania zhody na základe modelu predchádzajúceho schválenia alebo

b)orgán posudzovania zhody na základe modelu všeobecného delegovania.

5.Komisia je splnomocnená prijímať vykonávacie akty, ktorými sa stanovujú postupy pre modely predchádzajúceho schválenia alebo všeobecného delegovania uvedené v odseku 4 tohto článku. V procese prípravy týchto vykonávacích aktov Komisia konzultuje s ECCG. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 118 ods. 2.

6.Fyzická alebo právnická osoba, ktorá predkladá produkty IKT, služby IKT, procesy IKT alebo riadené bezpečnostné služby na certifikáciu, alebo subjekt, ktorý žiada o certifikáciu svojho stavu kybernetickej bezpečnosti, sprístupní všetky informácie potrebné na vykonanie certifikácie vnútroštátnemu orgánu pre certifikáciu kybernetickej bezpečnosti určenému podľa článku 89, ak je tento orgán orgánom vydávajúcim európsky certifikát kybernetickej bezpečnosti, alebo orgánu posudzovania zhody uvedenému v článku 91.

7.Orgány posudzovania zhody a v náležitých prípadoch vnútroštátne orgány pre certifikáciu kybernetickej bezpečnosti bez zbytočného odkladu informujú agentúru ENISA o svojich rozhodnutiach, ktoré majú vplyv na status európskych certifikátov kybernetickej bezpečnosti a EÚ vyhlásení o zhode v súlade s článkom 94.

8.Držiteľ európskeho certifikátu kybernetickej bezpečnosti informuje orgán posudzovania zhody a v náležitých prípadoch vnútroštátny orgán pre certifikáciu kybernetickej bezpečnosti uvedený v odseku 7 o všetkých následne zistených zraniteľnostiach alebo nezhodách týkajúcich sa certifikovaného produktu IKT, služby IKT, procesu IKT, riadenej bezpečnostnej služby alebo stavu kybernetickej bezpečnosti subjektu, ktoré môžu mať vplyv na jeho zhodu s certifikátom. Tento orgán bez zbytočného odkladu postúpi tieto informácie vnútroštátnemu orgánu pre certifikáciu kybernetickej bezpečnosti a posúdi vplyv na certifikát v súlade s podmienkami schémy, ako sa uvádza v článku 81 ods. 2 písm. d).

9.Držitelia európskeho certifikátu kybernetickej bezpečnosti nesmú v prípade svojich certifikovaných produktov IKT, služieb IKT, procesov IKT alebo riadených bezpečnostných služieb, ktoré sú vcelku alebo sčasti určené ako kľúčové aktíva podľa článku 102, používať, inštalovať ani inak integrovať komponenty IKT od vysokorizikových dodávateľov alebo komponenty, ktoré obsahujú takéto komponenty IKT, v certifikovaných produktoch IKT, službách IKT, procesoch IKT alebo riadených bezpečnostných službách.

10.Európsky certifikát kybernetickej bezpečnosti sa vydáva na obdobie stanovené v európskej schéme certifikácie kybernetickej bezpečnosti a možno ho obnoviť, pokiaľ sa naďalej plnia relevantné požiadavky.

11.Komisia spolupracuje s členskými štátmi s cieľom zabezpečiť uplatňovanie ustanovení týkajúcich sa vydávania európskych certifikátov kybernetickej bezpečnosti aj z hľadiska uplatňovania článku 100 ods. 4 písm. b). Orgán posudzovania zhody a v náležitých prípadoch vnútroštátny orgán pre certifikáciu kybernetickej bezpečnosti poskytne Komisii na požiadanie a bez zbytočného odkladu všetky informácie týkajúce sa vydávania príslušných európskych certifikátov kybernetickej bezpečnosti alebo EÚ vyhlásení o zhode.

Článok 86
Vnútroštátne schémy certifikácie a certifikáty kybernetickej bezpečnosti

1.Vnútroštátne schémy certifikácie kybernetickej bezpečnosti a súvisiace postupy pre produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby a úroveň kybernetickej bezpečnosti subjektov, na ktoré sa vzťahuje predmet a rozsah pôsobnosti európskej schémy certifikácie kybernetickej bezpečnosti, prestávajú byť účinné od dátumu stanoveného vo vykonávacom akte prijatom podľa článku 74 ods. 9. Vnútroštátne schémy certifikácie kybernetickej bezpečnosti a súvisiace postupy pre produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby a úroveň kybernetickej bezpečnosti subjektov, na ktoré sa nevzťahuje predmet a rozsah pôsobnosti európskej schémy certifikácie kybernetickej bezpečnosti, môžu naďalej existovať.

2.Členské štáty nezavádzajú nové vnútroštátne schémy certifikácie kybernetickej bezpečnosti ani súvisiace postupy pre produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby a úroveň kybernetickej bezpečnosti subjektov, na ktoré sa už vzťahuje predmet a rozsah pôsobnosti európskej schémy certifikácie kybernetickej bezpečnosti.

3.Existujúce certifikáty, ktoré boli vydané v rámci vnútroštátnych schém certifikácie kybernetickej bezpečnosti a na ktoré sa vzťahuje predmet a rozsah pôsobnosti európskej schémy certifikácie kybernetickej bezpečnosti, platia naďalej až do dátumu uplynutia svojej platnosti.

4.Členské štáty informujú Komisiu a ECCG pred prijatím nových vnútroštátnych schém certifikácie kybernetickej bezpečnosti pre produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby a úroveň kybernetickej bezpečnosti subjektov.

5.Komisia môže členskému štátu navrhnúť, aby zrušil vnútroštátnu schému certifikácie kybernetickej bezpečnosti pre produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby alebo úroveň kybernetickej bezpečnosti subjektov, ak sa už v súlade s článkom 73 požiadalo o vypracovanie európskej schémy certifikácie kybernetickej bezpečnosti, ktorá by sa vzťahovala na takéto produkty, služby, procesy alebo stav kybernetickej bezpečnosti, pričom sa zohľadní plán vypracovania takejto schémy.

Článok 87
Medzinárodné uznávanie európskych certifikátov kybernetickej bezpečnosti

1.Certifikáty produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb a úrovne kybernetickej bezpečnosti subjektov vydané v tretích krajinách môžu byť prostredníctvom vykonávacieho aktu alebo uzavretím dohody medzi Úniou a príslušnou treťou krajinou alebo medzinárodnou organizáciou uznané za rovnocenné s európskymi certifikátmi kybernetickej bezpečnosti, ak sa požiadavky príslušnej schémy tretej krajiny alebo schémy medzinárodnej organizácie považujú za rovnocenné s požiadavkami európskych schém certifikácie kybernetickej bezpečnosti. Komisia je splnomocnená prijímať takéto vykonávacie akty. Vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 118 ods. 2.

2.Vykonávacie akty a dohody uvedené v odseku 1 vychádzajú z podmienok medzinárodného uznávania európskych certifikátov kybernetickej bezpečnosti stanovených v súlade s článkom 74 ods. 11.

3.Dohody o uznávaní certifikátov tretích krajín alebo certifikátov medzinárodných organizácií uvedených v odseku 1 sa uzatvárajú len vtedy, ak sa v nich uznávajú aj európske certifikáty kybernetickej bezpečnosti ako rovnocenné s certifikátmi tretích krajín.

Článok 88 
Vnútroštátne orgány pre certifikáciu kybernetickej bezpečnosti

1.Každý členský štát určí jeden alebo viacero vnútroštátnych orgánov pre certifikáciu kybernetickej bezpečnosti na svojom území alebo po dohode s iným členským štátom jeden alebo viacero vnútroštátnych orgánov pre certifikáciu kybernetickej bezpečnosti v tomto inom členskom štáte, ktoré budú zodpovedné za dozor v určujúcom členskom štáte.

2.Každý členský štát oznámi Komisii určené vnútroštátne orgány pre certifikáciu kybernetickej bezpečnosti. Ak členský štát určí viac orgánov, informuje Komisiu aj o úlohách pridelených každému z nich.

3.Každý vnútroštátny orgán pre certifikáciu kybernetickej bezpečnosti je nezávislý od subjektov, nad ktorými vykonáva dozor, pokiaľ ide o jeho organizáciu, rozhodnutia o financovaní, právnu štruktúru a rozhodovanie.

4.Činnosti vnútroštátnych orgánov pre certifikáciu kybernetickej bezpečnosti, ktoré sa týkajú vydávania európskych certifikátov kybernetickej bezpečnosti podľa tohto nariadenia, musia byť prísne oddelené od ich činností dozoru uvedených v tomto článku a v článku 85 ods. 4 písm. a) a b) a tieto činnosti sa musia vykonávať nezávisle od seba.

5.Členské štáty zabezpečia, aby vnútroštátne orgány pre certifikáciu kybernetickej bezpečnosti mali primerané zdroje na výkon svojich právomocí a na účinné a efektívne vykonávanie svojich úloh.

6.Vnútroštátne orgány pre certifikáciu kybernetickej bezpečnosti majú tieto úlohy:

a)zapájať sa do ECCG podľa článku 90 ods. 2;

b)dozerať na dodržiavanie pravidiel zahrnutých do európskych schém certifikácie kybernetickej bezpečnosti podľa článku 81 ods. 2 písm. a) a presadzovať ich dodržiavanie s cieľom zabezpečiť súlad produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb a úrovne kybernetickej bezpečnosti subjektov s požiadavkami európskych certifikátov kybernetickej bezpečnosti, ktoré boli vydané na ich príslušných územiach, v spolupráci s príslušnými orgánmi dohľadu nad trhom alebo orgánmi dozoru vrátane príslušných orgánov podľa smernice Európskeho parlamentu a Rady (EÚ) 2022/2555 82 alebo nariadenia (EÚ) 2024/2847;

c)v spolupráci s príslušnými orgánmi dohľadu nad trhom monitorovať dodržiavanie a presadzovanie povinností výrobcov alebo poskytovateľov produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb alebo subjektov, ktorých stav kybernetickej bezpečnosti je certifikovaný, stanovených v tomto nariadení, ktorí sú usadení na ich príslušných územiach a ktorí vykonávajú posúdenie zhody samohodnotením v príslušnej európskej schéme certifikácie kybernetickej bezpečnosti;

d)bez toho, aby bol dotknutý článok 91 ods. 3, na účely tohto nariadenia aktívne pomáhať vnútroštátnym akreditačným orgánom alebo iným príslušným orgánom a podporovať ich pri monitorovaní činností orgánov posudzovania zhody a pri dozore nad týmito činnosťami;

e)spolupracovať s Komisiou v prípade, že je spochybnená spôsobilosť orgánu posudzovania zhody podľa článku 94;

f)monitorovať činnosti verejných orgánov uvedených v článku 85 ods. 3 a dozerať na ne;

g)v náležitých prípadoch autorizovať orgány posudzovania zhody v súlade s článkom 93, monitorovať dodržiavanie a presadzovať plnenie povinností orgánov posudzovania zhody v súvislosti s dodatočnými alebo osobitnými požiadavkami stanovenými v európskych schémach certifikácie kybernetickej bezpečnosti podľa článku 81 ods. 3 písm. f) a obmedziť, pozastaviť alebo odňať existujúce autorizácie, ak orgány posudzovania zhody nespĺňajú požiadavky tohto nariadenia;

h)vybavovať sťažnosti fyzických alebo právnických osôb v súvislosti s európskymi certifikátmi kybernetickej bezpečnosti vydanými vnútroštátnymi orgánmi pre certifikáciu kybernetickej bezpečnosti alebo v súvislosti s európskymi certifikátmi kybernetickej bezpečnosti vydanými orgánmi posudzovania zhody v súlade s článkom 85 ods. 4, alebo v súvislosti s EÚ vyhláseniami o zhode vydanými podľa článku 83, a v primeranom rozsahu prešetrovať predmet takýchto sťažností a sťažovateľa v primeranej lehote informovať o pokroku a výsledku tohto prešetrenia;

i)každoročne do 31. marca [rok nadobudnutia účinnosti + 12 mesiacov] predložiť Komisii, agentúre ENISA a ECCG výročnú správu o svojich hlavných činnostiach a sprístupniť tieto správy tímu pre partnerské preskúmanie, ak vnútroštátny orgán pre certifikáciu kybernetickej bezpečnosti podlieha partnerskému preskúmaniu v súlade s článkom 89;

j)spolupracovať s inými vnútroštátnymi orgánmi pre certifikáciu kybernetickej bezpečnosti, orgánmi dohľadu nad trhom alebo inými orgánmi verejnej moci, čo zahŕňa poskytovanie informácií o možnom nesúlade produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb a úrovne kybernetickej bezpečnosti subjektov s požiadavkami tohto nariadenia alebo s požiadavkami konkrétnych európskych schém certifikácie kybernetickej bezpečnosti;

k)monitorovať relevantný vývoj v oblasti certifikácie kybernetickej bezpečnosti.

7.Každý vnútroštátny orgán pre certifikáciu kybernetickej bezpečnosti musí mať prinajmenšom tieto právomoci:

a)žiadať od orgánov posudzovania zhody, držiteľov európskych certifikátov kybernetickej bezpečnosti a vydavateľov EÚ vyhlásení o zhode akékoľvek informácie, ktoré potrebuje na plnenie svojich úloh;

b)viesť vyšetrovanie v podobe auditov orgánov posudzovania zhody, držiteľov európskych certifikátov kybernetickej bezpečnosti a vydavateľov EÚ vyhlásení o zhode na overenie toho, či dodržiavajú požiadavky stanovené v tejto hlave;

c)prijímať primerané opatrenia v súlade s vnútroštátnym právom s cieľom zabezpečiť, aby orgány posudzovania zhody, držitelia európskych certifikátov kybernetickej bezpečnosti a vydavatelia EÚ vyhlásení o zhode dodržiavali toto nariadenie alebo európsku schému certifikácie kybernetickej bezpečnosti;

d)získať prístup do priestorov akýchkoľvek orgánov posudzovania zhody alebo držiteľov európskych certifikátov kybernetickej bezpečnosti na účely vykonávania vyšetrovaní v súlade s právnymi predpismi Únie alebo vnútroštátnym procesným právom;

e)v súlade s vnútroštátnym právom odnímať európske certifikáty kybernetickej bezpečnosti, ktoré vydali vnútroštátne orgány pre certifikáciu kybernetickej bezpečnosti alebo orgány posudzovania zhody v súlade s článkom 85 ods. 4, ak takéto certifikáty nie sú v súlade s týmto nariadením alebo európskou schémou certifikácie kybernetickej bezpečnosti;

f)ukladať v súlade s vnútroštátnym právom sankcie podľa článku 97 a vyžadovať okamžité ukončenie porušovania povinností stanovených v tomto nariadení.

8.Vnútroštátne orgány pre certifikáciu kybernetickej bezpečnosti spolupracujú navzájom i s Komisiou, najmä si vymieňajú informácie, skúsenosti a osvedčené postupy, pokiaľ ide o certifikáciu kybernetickej bezpečnosti a technické otázky súvisiace s kybernetickou bezpečnosťou produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb a úrovne kybernetickej bezpečnosti subjektov.

9.Do [nadobudnutie účinnosti + 6 mesiacov] agentúra ENISA v spolupráci s Komisiou a ECCG vypracuje vzor správy uvedenej v odseku 6 písm. i) tohto článku.

Článok 89
Partnerské preskúmanie

1.Vnútroštátne orgány pre certifikáciu kybernetickej bezpečnosti podliehajú partnerskému preskúmaniu.

2.Partnerské preskúmanie sa vykonáva na základe riadnych a transparentných hodnotiacich kritérií a postupov, ktoré sa vzťahujú najmä na štrukturálne požiadavky, požiadavky na ľudské zdroje a postupy, povinnosť mlčanlivosti a sťažnosti.

3.Partnerské preskúmanie posudzuje:

a)v náležitých prípadoch či sú činnosti vnútroštátnych orgánov pre certifikáciu kybernetickej bezpečnosti, ktoré sa týkajú vydávania európskych certifikátov kybernetickej bezpečnosti podľa tohto nariadenia, prísne oddelené od ich činností dozoru stanovených v článku 88 a či sa uvedené činnosti vykonávajú nezávisle od seba;

b)postupy dozoru a presadzovania pravidiel monitorovania súladu produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb a úrovne kybernetickej bezpečnosti subjektov s európskymi certifikátmi kybernetickej bezpečnosti podľa článku 88 ods. 7 písm. a);

c)postupy monitorovania a presadzovania povinností výrobcov alebo poskytovateľov produktov IKT, služieb IKT, procesov IKT alebo riadených bezpečnostných služieb alebo subjektov, ktorých stav kybernetickej bezpečnosti je certifikovaný, podľa článku 88 ods. 7 písm. b);

d)postupy monitorovania, autorizácie a dozoru, pokiaľ ide o činnosti orgánov posudzovania zhody.

4.Partnerské preskúmanie vykonávajú najmenej raz za päť rokov najmenej dva vnútroštátne orgány pre certifikáciu kybernetickej bezpečnosti iných členských štátov a Komisia. Na partnerskom preskúmaní sa zúčastňuje aj agentúra ENISA ako pozorovateľ. Tím partnerského preskúmania vypracuje záverečnú správu a zhrnutie partnerského preskúmania.

5.Agentúra ENISA podporuje organizáciu mechanizmu partnerského preskúmania a partnerských preskúmaní, a to aj vypracovaním príslušných usmerňujúcich dokumentov a vzorov v spolupráci s Komisiou a ECCG.

6.Komisia je splnomocnená prijímať vykonávacie akty, v ktorých stanoví plán partnerského preskúmania na obdobie najmenej piatich rokov, kritériá zloženia tímu partnerského preskúmania, metodiku partnerského preskúmania a časový harmonogram, periodicitu a ďalšie úlohy súvisiace s partnerským preskúmaním. Pri príprave týchto vykonávacích aktov Komisia konzultuje s ECCG a agentúrou ENISA. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 118 ods. 2.

7.Záverečnú správu vrátane prípadných usmernení alebo odporúčaní a zhrnutie partnerského preskúmania preskúma ECCG, ktorá schváli zhrnutie na uverejnenie na webovom sídle uvedenom v článku 79 ods. 2.

Článok 90
Európska skupina pre certifikáciu kybernetickej bezpečnosti

1.Zriadi sa európska skupina pre certifikáciu kybernetickej bezpečnosti (ďalej len „ECCG“).

2.ECCG sa skladá zo zástupcov vnútroštátnych orgánov pre certifikáciu kybernetickej bezpečnosti alebo zástupcov iných príslušných vnútroštátnych orgánov. Žiaden člen ECCG nesmie zastupovať viac ako dva členské štáty.

3.ECCG má tieto úlohy:

a)poskytovať poradenstvo a pomáhať Komisii pri jej práci s cieľom zabezpečiť konzistentné vykonávanie a uplatňovanie pravidiel stanovených v tejto hlave, pri otázkach politiky v oblasti certifikácie kybernetickej bezpečnosti a koordinácii politických prístupov;

b)poskytovať Komisii poradenstvo a pomoc pri príprave žiadostí o európske schémy certifikácie kybernetickej bezpečnosti podľa článku 73;

c)pomáhať a radiť agentúre ENISA a spolupracovať s ňou pri vypracúvaní kandidátskej schémy podľa článku 74 a technických špecifikácií podľa článku 77;

d)pomáhať agentúre ENISA a Komisii, poskytovať im poradenstvo a spolupracovať s nimi v súvislosti s údržbou podľa článku 75;

e)pomáhať Komisii, poskytovať jej poradenstvo a spolupracovať s ňou v súvislosti s preskúmaním alebo zrušením existujúcich európskych schém certifikácie kybernetickej bezpečnosti podľa článku 76;

f)navrhnúť, aby sa Komisii predložila žiadosť týkajúca sa vypracovania kandidátskej európskej schémy certifikácie kybernetickej bezpečnosti podľa článku 73 ods. 2;

g)prijímať stanoviská určené Komisii, ktoré sa týkajú udržiavania, preskúmania a zrušenia existujúcich európskych schém certifikácie kybernetickej bezpečnosti;

h)skúmať relevantný vývoj v oblasti certifikácie kybernetickej bezpečnosti vrátane vývoja na vnútroštátnej úrovni podľa článku 86 a vymieňať si informácie a osvedčené postupy v oblasti schém certifikácie kybernetickej bezpečnosti;

i)uľahčiť spoluprácu medzi vnútroštátnymi orgánmi pre certifikáciu kybernetickej bezpečnosti podľa pravidiel stanovených v tejto hlave prostredníctvom budovania kapacít a výmeny informácií, najmä pokiaľ ide o otázky týkajúce sa certifikácie kybernetickej bezpečnosti;

j)podporovať vykonávanie mechanizmu partnerského preskúmania podľa článku 89 a mechanizmov partnerského hodnotenia v súlade s pravidlami stanovenými v európskej schéme certifikácie kybernetickej bezpečnosti podľa článku 81 ods. 2 písm. g);

k)uľahčovať zosúlaďovanie európskych schém certifikácie kybernetickej bezpečnosti s medzinárodne uznanými normami, a to aj ako súčasť údržby existujúcich európskych schém certifikácie kybernetickej bezpečnosti a v náležitých prípadoch vydať odporúčania pre agentúru ENISA, aby spolupracovala s príslušnými európskymi alebo medzinárodnými normalizačnými organizáciami s cieľom riešiť nedostatky alebo medzery v dostupných európskych alebo medzinárodne uznávaných normách.

4.Komisia s pomocou agentúry ENISA predsedá ECCG a zabezpečuje pre ňu sekretariát.

5.Komisia môže zriadiť podskupiny ECCG na niektorý z týchto účelov:

a)preskúmať konkrétne otázky na základe mandátu stanoveného Komisiou;

b)udržiavať a preskúmavať európske schémy certifikácie v súlade s týmto nariadením a na základe mandátu stanoveného Komisiou.

6.Podskupiny sa zodpovedajú ECCG.

7.Podskupinám spoločne predsedajú Komisia a agentúra ENISA a sekretariát podskupín zabezpečuje agentúra ENISA.

8.ECCG a jej podskupiny prijímajú rokovací poriadok jednoduchou väčšinou svojich členov na základe návrhu Komisie a po dohode s ňou.

Oddiel 2 
Orgány posudzovania zhody

Článok 91
Spôsobilosť orgánov posudzovania zhody

1.Orgány posudzovania zhody akreditujú vnútroštátne akreditačné orgány vymenované podľa nariadenia (ES) č. 765/2008. Takáto akreditácia sa vydá, len ak orgán posudzovania zhody spĺňa požiadavky stanovené v prílohe I k tomuto nariadeniu.

2.Ak vnútroštátny orgán pre certifikáciu kybernetickej bezpečnosti vydal v súlade s týmto nariadením európsky certifikát kybernetickej bezpečnosti, certifikačný orgán vnútroštátneho orgánu pre certifikáciu kybernetickej bezpečnosti sa akredituje ako orgán posudzovania zhody podľa odseku 1.

3.Akreditácia uvedená v odseku 1 sa udeľuje orgánom posudzovania zhody najviac na päť rokov a možno ju obnoviť, pokiaľ orgán posudzovania zhody spĺňa požiadavky stanovené v tomto článku. Vnútroštátne akreditačné orgány prijmú v primeranom časovom rámci všetky vhodné opatrenia s cieľom obmedziť, pozastaviť alebo zrušiť akreditáciu orgánu posudzovania zhody udelenú podľa odseku 1, ak orgán posudzovania zhody nespĺňa alebo prestal spĺňať akreditačné podmienky, alebo nedodržiava toto nariadenie.

4.Pri stanovovaní dodatočných alebo osobitných akreditačných požiadaviek pre európsku schému certifikácie kybernetickej bezpečnosti vzťahujúcu sa na produkty IKT podľa článku 92 sa v náležitých prípadoch hľadajú synergie s požiadavkami týkajúcimi sa notifikovaných orgánov podľa nariadenia (EÚ) 2024/2847 a akreditačnými požiadavkami v rámci už prijatých schém certifikácie kybernetickej bezpečnosti.

5.Ak je orgán posudzovania zhody akreditovaný v súlade s nariadením (EÚ) 2024/2847, príslušné orgány môžu opätovne použiť výsledky z predchádzajúceho akreditačného procesu týkajúce sa akýchkoľvek prekrývajúcich sa požiadaviek ako dôkaz počas akreditačného procesu podľa tohto nariadenia.

Článok 92
Dodatočná harmonizácia spôsobilostí orgánov posudzovania zhody

1.Ak sa v európskej schéme certifikácie kybernetickej bezpečnosti stanovujú dodatočné alebo osobitné požiadavky podľa článku 81 ods. 3 písm. f), udeľuje orgánom posudzovania zhody autorizáciu na vykonávanie úloh v rámci takejto schémy vnútroštátny orgán pre certifikáciu kybernetickej bezpečnosti vymenovaný podľa článku 88 ods. 1. Takáto autorizácia sa vydá len vtedy, ak bol orgán posudzovania zhody akreditovaný a spĺňa dodatočné alebo osobitné požiadavky stanovené v rámci európskej schémy certifikácie kybernetickej bezpečnosti.

2.Ak orgán posudzovania zhody požiada o autorizáciu podľa tohto článku, predloží žiadosť vnútroštátnemu orgánu pre certifikáciu kybernetickej bezpečnosti členského štátu, v ktorom má sídlo, alebo vnútroštátnemu orgánu pre certifikáciu kybernetickej bezpečnosti, na ktorý sa tento členský štát obrátil v súlade s článkom 88 ods. 1.

3.Orgán posudzovania zhody môže požiadať o autorizáciu iný vnútroštátny orgán pre certifikáciu kybernetickej bezpečnosti, ako je orgán uvedený v odseku 2, v ktorejkoľvek z týchto situácií:

a)ak vnútroštátny orgán pre certifikáciu kybernetickej bezpečnosti uvedený v odseku 1 nevykonáva autorizáciu v súvislosti s činnosťami posudzovania zhody, v prípade ktorých sa žiada o autorizáciu;

b)ak vnútroštátny orgán pre certifikáciu kybernetickej bezpečnosti uvedený v odseku 1 neprešiel partnerským preskúmaním v súlade s článkom 89 v súvislosti s činnosťami posudzovania zhody, v prípade ktorých sa žiada o autorizáciu.

4.Keď vnútroštátny orgán pre certifikáciu kybernetickej bezpečnosti dostane žiadosť podľa odseku 3, informuje o tom vnútroštátny orgán pre certifikáciu kybernetickej bezpečnosti členského štátu, v ktorom má sídlo žiadajúci orgán posudzovania zhody. V takýchto prípadoch sa vnútroštátny orgán pre certifikáciu kybernetickej bezpečnosti daného členského štátu môže zúčastniť na autorizácii ako pozorovateľ.

5.Vnútroštátny orgán pre certifikáciu kybernetickej bezpečnosti môže požiadať iný vnútroštátny orgán pre certifikáciu kybernetickej bezpečnosti o vykonanie častí posúdenia. V takom prípade vydá osvedčenie o autorizácii žiadajúci orgán.

6.Autorizácia uvedená v odseku 1 je platná na obdobie, ktoré nie je dlhšie ako obdobie platnosti akreditácie, a môže byť obnovené za predpokladu, že orgán posudzovania zhody spĺňa požiadavky stanovené v odseku 1 a jeho akreditácia bola takisto obnovená.

7.Vnútroštátne orgány pre certifikáciu kybernetickej bezpečnosti prijmú v primeranej lehote všetky náležité opatrenia na obmedzenie, pozastavenie alebo zrušenie autorizácie orgánu posudzovania zhody vydanej podľa odseku 1, ak podmienky na udelenie autorizácie neboli alebo už nie sú splnené, alebo ak orgán posudzovania zhody nespĺňa požiadavky tohto nariadenia.

8.Komisia je splnomocnená prijímať vykonávacie akty, v ktorých stanoví postupy udeľovania autorizácie orgánom posudzovania zhody vrátane postupov cezhraničnej spolupráce. V procese prípravy vykonávacích aktov Komisia konzultuje s agentúrou ENISA a ECCG. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 118 ods. 2.

Článok 93
Notifikácia orgánov posudzovania zhody

1.Vnútroštátne orgány členského štátu pre certifikáciu kybernetickej bezpečnosti notifikujú Komisii a ostatným členským štátom v prípade každej európskej schémy certifikácie kybernetickej bezpečnosti orgány posudzovania zhody, ktoré boli akreditované a v náležitých prípadoch autorizované podľa článku 92.

2.Vnútroštátne orgány pre certifikáciu kybernetickej bezpečnosti vykonávajú notifikáciu uvedenú v odseku 1 pomocou elektronického notifikačného nástroja, ktorý vyvinula a spravuje Komisia.

3.Komisia je splnomocnená prijímať vykonávacie akty, ktorými stanoví okolnosti, formáty a postupy pre notifikácie uvedené v odseku 1 tohto článku vrátane postupu vznášania námietok inými členskými štátmi počas procesu notifikácie, jednoznačnej identifikácie orgánov posudzovania zhody, ako aj okolností obmedzenia, pozastavenia alebo zrušenia notifikácie. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 118 ods. 2.

Článok 94
Spochybnenie spôsobilosti orgánov posudzovania zhody

1.Komisia prešetrí všetky prípady, v ktorých má pochybnosti alebo v ktorých jej boli oznámené pochybnosti o spôsobilosti orgánu posudzovania zhody splniť požiadavky a povinnosti, ktorým podlieha, alebo o tom, či ich orgán posudzovania zhody naďalej spĺňa.

2.Vnútroštátny orgán pre certifikáciu kybernetickej bezpečnosti Komisii na požiadanie poskytne všetky informácie, ktoré súvisia s podkladmi týkajúcimi sa notifikácie alebo zachovania spôsobilosti dotknutého orgánu posudzovania zhody.

3.Komisia zabezpečí dôverné zaobchádzanie so všetkými citlivými informáciami získanými počas prešetrovania.

4.Ak Komisia zistí, že orgán posudzovania zhody nespĺňa alebo prestal spĺňať požiadavky na notifikáciu, informuje o tom vnútroštátny orgán pre certifikáciu kybernetickej bezpečnosti a požiada ho, aby prijal potrebné nápravné opatrenia vrátane zrušenia notifikácie, ak je to potrebné.

5.Členské štáty zabezpečia, aby sa bolo možné odvolať proti rozhodnutiam notifikovaných orgánov.

Článok 95
Povinnosť orgánov posudzovania zhody poskytovať a uchovávať informácie

1.Orgány posudzovania zhody informujú vnútroštátny orgán pre certifikáciu kybernetickej bezpečnosti:

a)o každom zamietnutí, obmedzení rozsahu, pozastavení platnosti alebo odňatí certifikátu;

b)o všetkých okolnostiach ovplyvňujúcich rozsah a podmienky notifikácie uvedenej v článku 93 ods. 1;

c)o každej žiadosti o informácie, ktorú dostali od orgánov dohľadu nad trhom v súvislosti s činnosťami posudzovania zhody;

d)na požiadanie o všetkých činnostiach posudzovania zhody vykonaných v rozsahu svojej notifikácie a o akýchkoľvek iných vykonaných činnostiach vrátane cezhraničných činností a využívania subdodávateľov.

2.Orgány posudzovania zhody poskytujú informácie uvedené v odseku 1 písm. a) aj agentúre ENISA s cieľom uľahčiť vykonávanie jej úlohy podľa článku 79.

3.Orgány posudzovania zhody bez zbytočného odkladu poskytnú ostatným orgánom posudzovania zhody podľa tohto nariadenia, ktoré vykonávajú podobné činnosti posudzovania zhody týkajúce sa tých istých produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb alebo subjektov, ktorých kybernetická bezpečnosť je certifikovaná, príslušné informácie o problémoch týkajúcich sa negatívnych a na požiadanie aj pozitívnych výsledkov posudzovania zhody.

4.Orgány posudzovania zhody vedú systém záznamov, ktorý obsahuje všetky dokumenty a dôkazy predložené alebo prijaté v súvislosti s každým hodnotením a certifikáciou, ktoré vykonávajú. Záznam sa uchováva bezpečným a prístupným spôsobom počas obdobia potrebného na účely certifikácie a najmenej päť rokov po skončení platnosti alebo odňatí príslušného európskeho certifikátu kybernetickej bezpečnosti.

Oddiel 3 
Iné ustanovenia

Článok 96
Právo podať sťažnosť a právo na účinný súdny prostriedok nápravy

1.Fyzické a právnické osoby majú právo podať sťažnosť vydavateľovi európskeho certifikátu kybernetickej bezpečnosti, alebo ak sťažnosť súvisí s európskym certifikátom kybernetickej bezpečnosti, ktorý vydal orgán posudzovania zhody konajúci v súlade s článkom 85 ods. 4, príslušnému vnútroštátnemu orgánu pre certifikáciu kybernetickej bezpečnosti.

2.Orgán, ktorému sa sťažnosť podala, informuje sťažovateľa o pokroku daného konania, prijatom rozhodnutí a o práve na účinný súdny prostriedok nápravy podľa odsekov 3 a 4.

3.Bez ohľadu na akékoľvek administratívne alebo iné mimosúdne prostriedky nápravy, fyzické osoby a právnické osoby majú právo na účinný súdny prostriedok nápravy, pokiaľ ide o:

a)rozhodnutia prijaté orgánom uvedeným v odseku 1, a to v náležitých prípadoch aj v súvislosti s nesprávnym vydaním, nevydaním alebo neuznaním európskeho certifikátu kybernetickej bezpečnosti, ktorého držiteľmi sú uvedené fyzické a právnické osoby;

b)nekonanie vo veci sťažnosti podanej orgánu uvedenému v odseku 1.

4.Konanie podľa tohto článku sa vedie na súdoch členského štátu, v ktorom sa nachádza orgán, proti ktorému súdny prostriedok nápravy smeruje.

Článok 97
Sankcie

Členské štáty stanovia pravidlá, pokiaľ ide o sankcie uplatniteľné pri porušení tejto hlavy a porušení európskych schém certifikácie kybernetickej bezpečnosti, a prijmú všetky opatrenia potrebné na zabezpečenie ich uplatňovania. Stanovené sankcie musia byť účinné, primerané a odrádzajúce. Členské štáty o týchto pravidlách a opatreniach bezodkladne informujú Komisiu a oznámia jej každú nasledujúcu zmenu, ktorá ich ovplyvní.

HLAVA IV 
BEZPEČNOSŤ DODÁVATEĽSKÝCH REŤAZCOV IKT

KAPITOLA I 
Rámec dôveryhodného dodávateľského reťazca IKT

Článok 98
Rozsah pôsobnosti rámca

1.V rámci dôveryhodného dodávateľského reťazca IKT sa stanoví bezpečnostný mechanizmus na úrovni Únie na riešenie netechnických rizík v odvetviach s vysokou úrovňou kritickosti a v iných kritických odvetviach, ako sa uvádza v smernici (EÚ) 2022/2555. V rámci mechanizmu sa identifikujú kľúčové aktíva IKT v kritických dodávateľských reťazcoch IKT a stanovia sa vhodné a primerané zmierňujúce opatrenia pre subjekty typu uvedeného v prílohe I a prílohe II k smernici (EÚ) 2022/2555.

2.Povinnosti stanovené v tejto hlave sa uplatňujú bez toho, aby boli dotknuté povinnosti stanovené v článku 13 nariadenia (EÚ) 2024/2847 a vo vnútroštátnych ustanoveniach, ktorými sa transponuje článok 21 smernice (EÚ) 2022/2555.

3.Ustanovenia tejto kapitoly nebránia členským štátom prijať alebo zachovať ustanovenia zabezpečujúce vyššiu úroveň kybernetickej bezpečnosti v dodávateľských reťazcoch IKT, ak sú tieto ustanovenia v súlade s ich povinnosťami podľa práva Únie.

Článok 99
Posúdenia bezpečnostných rizík

1.Komisia alebo skupina najmenej troch členských štátov môže požiadať skupinu pre spoluprácu zriadenú článkom 14 smernice (EÚ) 2022/2555 (ďalej len „skupina pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti“), aby vykonala koordinované posúdenie bezpečnostných rizík na úrovni Únie v súlade s článkom 22 uvedenej smernice. Ak sa na základe takejto žiadosti vykoná posúdenie bezpečnostných rizík, musí zahŕňať najmä navrhovanú identifikáciu kľúčových aktív IKT príslušného dodávateľského reťazca IKT, ako aj hlavných aktérov hrozieb, riziká a zraniteľnosti, ktoré tieto aktíva ovplyvňujú. V rámci koordinovaných posúdení bezpečnostných rizík na úrovni Únie sa vypracujú rizikové scenáre a navrhnú opatrenia na zmiernenie zistených rizík.

2.Koordinované posúdenie bezpečnostných rizík na úrovni Únie sa dokončí do šiestich mesiacov od žiadosti uvedenej v odseku 1. Na žiadosť Komisie môže skupina pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti súhlasiť s kratším obdobím.

3.Ak má Komisia dostatočný dôvod domnievať sa, že existuje významná kybernetická hrozba pre bezpečnosť Únie v súvislosti s dodávateľským reťazcom IKT a že je potrebné prijať opatrenia na zachovanie riadneho fungovania vnútorného trhu, Komisia bezodkladne:

a)konzultuje s členskými štátmi potrebu prijať jedno alebo viacero zmierňujúcich opatrení uvedených v článku 103 a

b)vykoná posúdenie bezpečnostného rizika, pričom zohľadní konzultácie s členskými štátmi. Posúdenie bezpečnostného rizika musí zahŕňať návrh identifikácie kľúčových aktív IKT, ako aj hlavných aktérov hrozieb, riziká a zraniteľnosti, ktoré tieto aktíva ovplyvňujú. V rámci posúdenia bezpečnostného rizika sa vypracujú rizikové scenáre a navrhnú opatrenia na zmiernenie zistených rizík.

Článok 100
Určenie tretích krajín, ktoré vzbudzujú obavy z hľadiska kybernetickej bezpečnosti

1.Ak sa na základe posúdenia bezpečnostných rizík uvedeného v článku 99 alebo na základe iných zdrojov, ako je verejné vyhlásenie v mene Únie alebo členského štátu, ukáže, že tretia krajina predstavuje vážne a štrukturálne netechnické riziko pre dodávateľské reťazce IKT, Komisia overí riziko, ktoré táto krajina predstavuje, pričom zohľadní tieto prvky:

a)existenciu zákonov v tretej krajine, v ktorých sa vyžaduje, aby subjekty podliehajúce ich jurisdikcii nahlasovali informácie o zraniteľnostiach softvéru alebo hardvéru orgánom tejto tretej krajiny skôr, ako sa zistí, že tieto zraniteľnosti boli zneužité;

b)existujúce postupy v tretej krajine, preukázané nezávislými zdrojmi, v rámci ktorých sa vyžaduje, aby subjekty podliehajúce jurisdikcii tretej krajiny nahlasovali informácie o zraniteľnostiach softvéru alebo hardvéru orgánom tejto tretej krajiny skôr, ako sa zistí, že tieto zraniteľnosti boli zneužité;

c)neexistenciu účinných súdnych prostriedkov nápravy a nezávislých a demokratických kontrolných mechanizmov, ktorými by sa mohli odstrániť zistené bezpečnostné obavy vrátane existujúcich postupov uvedených v písmene b);

d)podložené informácie o jednom alebo viacerých incidentoch aktérov hrozieb riadených z tejto krajiny a pôsobiacich z územia tejto krajiny, ktorí vykonávajú škodlivé kybernetické činnosti alebo kampane, a o nedostatočnej schopnosti alebo ochote tretej krajiny spolupracovať s Komisiou alebo členskými štátmi pri riešení rizika vyplývajúceho z pôsobenia takýchto aktérov hrozieb;

e)príslušné informácie vyplývajúce z koordinovaných posúdení bezpečnostných rizík na úrovni Únie alebo zo správ členských štátov alebo medzinárodných organizácií.

2.Ak Komisia po overení uvedenom v odseku 1 dospeje k záveru, že tretia krajina predstavuje závažné a štrukturálne netechnické riziká pre dodávateľské reťazce IKT, môže prostredníctvom vykonávacieho aktu určiť túto tretiu krajinu za krajinu, ktorá vzbudzuje obavy z hľadiska kybernetickej bezpečnosti dodávateľských reťazcov IKT. Uvedený vykonávací akt sa prijme v súlade s postupom preskúmania uvedeným v článku 118 ods. 2.

3.Komisia pravidelne preskúmava vykonávacie akty prijaté v súlade s odsekom 2.

4.Vysokorizikoví dodávatelia nemajú právo:

a)podieľať sa na tvorbe európskych noriem a európskych normalizačných produktov uvedených v článku 10 ods. 1 nariadenia (EÚ) č. 1025/2012 a spoločných špecifikácií uvedených v článku 27 nariadenia (EÚ) 2024/2847 v oblasti kybernetickej bezpečnosti, na ich posudzovaní, konzultáciách alebo rozhodnutiach o nich;

b)požiadať o európske certifikáty kybernetickej bezpečnosti podľa hlavy III alebo byť ich držiteľom;

c)stať sa akreditovaným orgánom posudzovania zhody podľa hlavy III;

d)požiadať o to, aby sa stali autorizovanými poskytovateľmi akýchkoľvek európskych osvedčení o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti podľa hlavy II oddielu 4;

e)zúčastňovať sa na postupoch verejného obstarávania organizovaných v súlade s právnymi predpismi, ktorými sa transponujú smernice 2014/24/EÚ a 2014/25/EÚ v súvislosti s poskytovaním komponentov IKT alebo komponentov, ktoré zahŕňajú komponenty IKT, ktoré sa majú používať v kľúčových aktívach IKT určených v súlade s článkom 102;

f)zúčastňovať sa na akýchkoľvek činnostiach v rámci programov a nástrojov financovania Únie vykonávaných v rámci priameho a nepriameho riadenia v súlade s článkom 136 nariadenia (EÚ, Euratom) 2024/2509 a odvetvovými pravidlami Únie, ako aj na akýchkoľvek činnostiach financovania Únie vykonávaných v rámci zdieľaného riadenia v súvislosti s poskytovaním komponentov IKT alebo komponentov, ktoré zahŕňajú komponenty IKT, ktoré sa majú používať v kľúčových aktívach IKT určených v súlade s článkom 102.

Orgány zodpovedné za postupy uvedené v písmenách a) až f) vykonajú potrebné posúdenia na účely tohto odseku. Orgány sa môžu na tento účel opierať aj o zoznam uvedený v článku 104.

5.V prípadoch, keď vysokorizikový dodávateľ už získal európsky certifikát kybernetickej bezpečnosti podľa hlavy III, príslušný orgán ho bez zbytočného odkladu odníme.

Článok 101
Všeobecný mechanizmus bezpečnosti dodávateľského reťazca IKT

Ak skupina pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti vykonala koordinované posúdenie bezpečnostných rizík na úrovni Únie podľa článku 99 ods. 1 tohto nariadenia alebo po ukončení postupu v prípade významnej kybernetickej hrozby podľa článku 99 ods. 3 pre dodávateľský reťazec IKT, Komisia môže prijať opatrenia stanovené v článku 102 a článku 103 ods. 1 a 2.

Článok 102
Určenie kľúčových aktív IKT

1.Ak z posúdenia rizík vykonaného v súlade s článkom 99 ods. 1 alebo 3 vyplynú významné kybernetickobezpečnostné riziká v súvislosti s dodávateľským reťazcom IKT, Komisia je splnomocnená prijať vykonávacie akty, ktorými určí kľúčové aktíva IKT používané na výrobu produktov alebo poskytovanie služieb subjektmi typu uvedeného v prílohách I a II k smernici (EÚ) 2022/2555. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 118 ods. 2 tohto nariadenia.

2.Pri určovaní kľúčových aktív IKT uvedených v odseku 1 Komisia zohľadní tieto prvky:

a)či tieto aktíva majú základné a citlivé funkcie pre fungovanie produktov vyrábaných alebo služieb poskytovaných subjektom typu uvedeného v prílohách I a II k smernici (EÚ) 2022/2555;

b)či incidenty vrátane takých, ktoré sú spôsobené zneužitím zraniteľností týkajúcich sa týchto aktív, môžu viesť k vážnemu narušeniu dodávateľských reťazcov IKT na vnútornom trhu alebo k exfiltrácii údajov;

c)či existuje závislosť od obmedzeného počtu dodávateľov týchto aktív;

d)výsledky posúdení rizík uvedených v článku 99.

Článok 103
Zmierňujúce opatrenia v dodávateľskom reťazci IKT

1.Komisia je splnomocnená prijímať vykonávacie akty, ktorými sa v prípadoch, keď je to potrebné na zabezpečenie vysokej úrovne kybernetickej bezpečnosti, kybernetickej odolnosti a dôvery v Únii, stanoví, že konkrétny typ subjektov uvedených v prílohách I a II k smernici (EÚ) 2022/2555 nesmie v žiadnej forme používať, inštalovať alebo integrovať komponenty IKT od vysokorizikových dodávateľov určených v súlade s článkom 104 alebo komponenty, ktoré obsahujú takéto komponenty IKT, v kľúčových aktívach IKT určených v súlade s článkom 102. V takýchto vykonávacích aktoch sa stanovia primerané prechodné obdobia, počas ktorých Komisia uverejní zoznam vysokorizikových dodávateľov uvedený v článku 104, ako aj dodatočné lehoty na postupné vyradenie príslušných komponentov IKT a komponentov, ktoré obsahujú komponenty IKT. V takomto vykonávacom akte sa tieto komponenty IKT alebo komponenty, ktoré zahŕňajú komponenty IKT, môžu zároveň špecifikovať.

2.Komisia je splnomocnená prijímať vykonávacie akty, ktorými sa v prípadoch, keď je to potrebné na zabezpečenie vysokej úrovne kybernetickej bezpečnosti, kybernetickej odolnosti a dôvery v Únii, stanoví, že na konkrétny typ subjektov uvedených v prílohách I a II k smernici (EÚ) 2022/2555 sa s cieľom zmierniť riziká identifikované v posúdeniach bezpečnostných rizík vykonaných podľa článku 99 vo vzťahu k ich dodávateľskému reťazcu IKT, a najmä ku kľúčovým aktívam IKT určeným v súlade s článkom 102 vzťahuje jedno alebo viacero z týchto zmierňujúcich opatrení,:

a)uplatňovanie požiadaviek na transparentnosť týkajúcich sa poskytovania informácií príslušnému orgánu o dodávateľoch v dodávateľskom reťazci IKT pre kľúčové aktíva IKT určené v súlade s článkom 102;

b)zákaz týkajúci sa prenosov údajov do tretích krajín a spracovania údajov na diaľku z tretej krajiny;

c)technické opatrenia, ktoré má kontrolovať tretia strana, vrátane:

i) používania spracovania v zariadení;

ii) špecifickej segmentácie sieťových systémov;

iii) znemožnenia akéhokoľvek vzdialeného alebo fyzického prístupu ku kľúčovým aktívam IKT;

iv) vypnutia nepodstatných funkcií;

v) prevádzkového monitorovania siete;

vi) testovania hardvéru a softvéru;

d)obmedzenia súvisiace s prevádzkovou kontrolou vrátane outsourcingu organizačných funkcií poskytovateľom riadených služieb;

e)obmedzenia súvisiace so zmluvnými vzťahmi subjektu s jeho dodávateľmi;

f)požiadavka, aby službu prevádzkovali, spravovali, udržiavali alebo podporovali pracovníci preverení príslušnými vnútroštátnymi orgánmi;

g)diverzifikácia dodávok komponentov IKT alebo komponentov zahrnutých v komponentoch IKT.

3.Pri zavádzaní opatrení uvedených v odseku 2 môže Komisia na tieto opatrenia stanoviť technické a metodické požiadavky.

4.Pred prijatím vykonávacích aktov uvedených v odsekoch 1 a 2 Komisia posúdi možné riziká a závislosti, a najmä:

a)v náležitých prípadoch úroveň rizika spojeného s používaním, inštaláciou alebo integráciou komponentov IKT od vysokorizikových dodávateľov alebo komponentov, ktoré zahŕňajú takéto komponenty IKT v kľúčových aktívach IKT, a to v akejkoľvek forme;

b)potenciálne hospodárske a spoločenské vplyvy, ktoré môže mať povinnosť na subjekty typu uvedeného v prílohách I a II k smernici (EÚ) 2022/2555;

c)dostupnosť dodávateľov alternatívnych k rizikovým dodávateľom;

d)potenciálne narušenie cezhraničných hospodárskych a spoločenských činností spôsobené incidentom, ktorý ovplyvní dodávateľský reťazec IKT subjektu.

5.Vykonávacie akty uvedené v odsekoch 1 a 2 tohto článku sa prijmú v súlade s postupom preskúmania uvedeným v článku 118 ods. 2 a najmenej každých 36 mesiacov sa preskúmajú.

6.Za výnimočných okolností, ktoré odôvodňujú intervenciu s cieľom zachovať riadne fungovanie vnútorného trhu, a ak má Komisia dostatočné dôvody domnievať sa, že používanie, inštalácia alebo integrácia komponentov IKT od konkrétneho subjektu usadeného v tretej krajine alebo kontrolovaného treťou krajinou alebo subjektmi z tretej krajiny alebo štátnym príslušníkom z tretej krajiny alebo komponentov, ktoré obsahujú takéto komponenty IKT, predstavuje významné netechnické riziko v oblasti kybernetickej bezpečnosti pre hospodárske alebo spoločenské činnosti najmenej troch členských štátov, Komisia bezodkladne konzultuje s členskými štátmi potrebu prijať opatrenia na úrovni Únie.

7.Komisia je splnomocnená prijímať vykonávacie akty s cieľom stanoviť, že konkrétny typ subjektov uvedených v prílohách I a II k smernici (EÚ) 2022/2555 nesmie používať, inštalovať alebo integrovať komponenty IKT od subjektu uvedeného v odseku 6 alebo komponenty, ktoré obsahujú takéto komponenty IKT. Na tento účel konzultuje so subjektmi typov uvedených v prílohách I a II k smernici (EÚ) 2022/2555, ktorých sa zákaz potenciálne týka. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 118 ods. 2. V prípade potreby zahŕňajú vhodné obdobia na postupné vyradenie týchto komponentov IKT alebo komponentov, ktoré obsahujú komponenty IKT. Zároveň sa v takomto vykonávacom akte môžu špecifikovať tieto komponenty IKT, na ktoré sa vzťahuje zákaz, alebo komponenty, ktoré obsahujú takéto komponenty IKT. Tento zákaz sa vzťahuje aj na komponenty IKT alebo komponenty, ktoré obsahujú komponenty IKT od všetkých subjektov kontrolovaných konkrétnym subjektom uvedeným v odseku 6.

8.Vo vykonávacích aktoch uvedených v odsekoch 1, 2 a 7 sa môže takisto stanoviť, že zmierňujúce opatrenia sa vzťahujú len na typy subjektov uvedené v prílohách I a II k smernici (EÚ) 2022/2555 určitej veľkosti.

9.Na konkrétny subjekt uvedený v odseku 7 usadený v tretej krajine alebo kontrolovaný treťou krajinou alebo subjektom z tretej krajiny alebo štátnym príslušníkom z tretej krajiny sa vzťahuje článok 100 ods. 4. 

10.Vykonávacie akty prijaté v súlade s odsekmi 1, 2 a 7, ktoré sa vzťahujú na typ subjektov uvedený v bode 10 prílohy I k smernici (EÚ) 2022/2555, sa primerane uplatňujú na európske inštitúcie, orgány, úrady a agentúry.

Článok 104
Určenie vysokorizikových dodávateľov

1.Komisia prostredníctvom vykonávacích aktov stanoví zoznamy vysokorizikových dodávateľov, ktorých sa týkajú zákazy stanovené vo vykonávacích aktoch prijatých v súlade s článkom 103 ods. 1, článkom 103 ods. 7 alebo zákaz uvedený v článku 111 ods. 1.

2.Komisia na tento účel zmapuje dodávateľov poskytujúcich komponenty IKT, ktorých sa týka zákaz uvedený v odseku 1, a komponenty, ktoré obsahujú takéto komponenty IKT.

Na tomto základe Komisia vykoná počiatočné posúdenie s cieľom určiť, ktorí zo zmapovaných dodávateľov sú potenciálne usadení v tretej krajine určenej v súlade s článkom 100 alebo kontrolovaní takouto treťou krajinou, subjektom usadeným v takejto tretej krajine alebo štátnym príslušníkom takejto tretej krajiny. Komisia takisto vykoná prvotné mapovanie dodávateľov, ktorých potenciálne kontroluje subjekt uvedený v článku 103 ods. 6.

3.Komisia posúdi sídlo, ako aj vlastnícku a kontrolnú štruktúru dodávateľov prvotne určených v súlade s odsekom 2 druhým pododsekom.

4.Na účely posúdenia uvedeného v odseku 3 je Komisia oprávnená požadovať od dodávateľov potrebné informácie. Ak dodávateľ neposkytne potrebné informácie v stanovenej lehote, Komisia môže dospieť k záveru, že dodávateľ je usadený v tretej krajine určenej v súlade s článkom 100 alebo je kontrolovaný takouto treťou krajinou, subjektmi z tejto tretej krajiny alebo štátnymi príslušníkmi takejto tretej krajiny. Ak Komisia vykonáva posúdenie na účely článku 103 ods. 7 a dodávateľ neposkytne potrebné informácie v stanovenej lehote, Komisia môže dospieť k záveru, že dodávateľa kontroluje subjekt určený v súlade s uvedeným článkom. Príslušné orgány uvedené v článku 112 takisto na požiadanie poskytnú relevantné informácie Komisii.

5.Komisia oznámi predbežné zistenia týkajúce sa posúdenia sídla, kontroly a vlastníctva príslušnému dodávateľovi. Komisia poskytne dodávateľovi možnosť vyjadriť sa k týmto predbežným zisteniam.

6.Komisia môže požiadať príslušný orgán, aby vykonal prvotné posúdenie sídla, vlastníctva a kontroly dodávateľa, ak je to odôvodnené vzhľadom na charakteristiky činnosti tohto dodávateľa. Príslušný orgán môže ponúknuť vykonanie takéhoto prvotného posúdenia. Komisia tieto prvotné zistenia overí s cieľom rozhodnúť, či by mal byť dodávateľ zaradený do zoznamu vysokorizikových dodávateľov.

7.Komisia pravidelne aktualizuje zoznam vysokorizikových dodávateľov s cieľom vypustiť alebo doplniť vysokorizikových dodávateľov. Vysokorizikoví dodávatelia zaradení do zoznamu môžu požiadať Komisiu o opätovné posúdenie ich sídla, kontroly a vlastníckej štruktúry po predložení dôkazu, že došlo k príslušným zmenám.

8.Ak sa príslušný orgán dozvie, a to aj na základe informácií poskytnutých subjektom typu uvedeného v prílohách I a II k smernici (EÚ) 2022/2555, že dodávateľa možno bude potrebné zaradiť do zoznamu vysokorizikových dodávateľov, bez zbytočného odkladu informuje Komisiu.

Článok 105
Výnimka pre subjekty usadené v tretej krajine alebo kontrolované subjektmi z tretej krajiny, ktorá vzbudzuje obavy z hľadiska kybernetickej bezpečnosti

1.Subjekt usadený v tretej krajine alebo kontrolovaný subjektmi z tretej krajiny, ktorá vzbudzuje obavy z hľadiska kybernetickej bezpečnosti, určený v súlade s článkom 100, môže predložiť Komisii odôvodnenú žiadosť o udelenie výnimky:

a)z toho, aby sa naň vzťahoval zákaz uložený subjektom typu uvedeného v prílohách I a II k smernici (EÚ) 2022/2555 používať, inštalovať alebo integrovať v akejkoľvek forme jeho komponenty IKT alebo komponenty, ktoré obsahujú jeho komponenty IKT, do kľúčových aktív IKT týchto subjektov odchylne od článku 111 alebo vykonávacích aktov prijatých podľa článku 103 ods. 1;

b)z toho, aby sa naň vzťahoval zákaz účasti na postupoch verejného obstarávania organizovaných v súlade s právnymi predpismi, ktorými sa transponuje smernica 2014/24/EÚ a smernica 2014/25/EÚ v súvislosti s poskytovaním komponentov IKT alebo komponentov, ktoré zahŕňajú komponenty IKT, ktoré sa majú používať v kľúčových aktívach IKT, ako sú vymedzené v súlade s článkom 102, odchylne od článku 100 ods. 4.

2.V žiadosti uvedenej v odseku 1 sa:

a)uvedie záujem subjektu usadeného v tretej krajine alebo kontrolovaného subjektmi z tretej krajiny, ktorá vzbudzuje obavy z hľadiska kybernetickej bezpečnosti, určenej v súlade s článkom 100, na udelení výnimky uvedenej v odseku 1 tohto článku a

b)preukáže jasnými dôkazmi, že sa zavedú účinné zmierňujúce opatrenia na riešenie netechnických rizík a zabezpečenie toho, aby tretia krajina určená podľa článku 100 žiadnym spôsobom nevykonávala neprimerané zásahy v súvislosti s poskytovaním komponentov IKT alebo komponentov, ktoré zahŕňajú komponenty IKT, na použitie, inštaláciu alebo integráciu v kľúčových aktívach IKT subjektu typu uvedeného v prílohách I a II k smernici (EÚ) 2022/2555.

3.Komisia je splnomocnená prijímať vykonávacie akty s cieľom bližšie určiť podmienky uvedené v odseku 2 písm. b) a stanoviť podrobné pravidlá týkajúce sa postupov uvedených v tomto článku. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 118 ods. 2.

4.Komisia posúdi žiadosť uvedenú v odseku 1 prostredníctvom spravodlivého a transparentného procesu, pričom zohľadní:

a)okolnosti a ďalšie prvky uvedené v článku 100 ods. 1 a 2 v súvislosti s určenou krajinou, ktorá vzbudzuje obavy z hľadiska kybernetickej bezpečnosti dodávateľských reťazcov IKT, v ktorej je subjekt usadený alebo z ktorej je kontrolovaný;

b)účinnosť zmierňujúcich opatrení uvedených v odseku 2 písm. b);

c)či by výnimka pre subjekt usadený v tretej krajine alebo kontrolovaný subjektmi z tretej krajiny, ktorá vzbudzuje obavy z hľadiska kybernetickej bezpečnosti dodávateľských reťazcov IKT, nebola na úkor záujmov Únie.

5.Ak Komisia po posúdení podľa odseku 3 dospeje k záveru, že je opodstatnené udeliť výnimku, urobí tak formou rozhodnutia, ktoré oznámi žiadateľovi do deviatich mesiacov od prijatia žiadosti.

6.Pri prijímaní rozhodnutia uvedeného v odseku 4 môže Komisia obmedziť výnimku na určité časové obdobie a môže ju podmieniť podmienkami pre subjekt vrátane:

a)časového harmonogramu vykonávania zmierňujúcich opatrení uvedených v odseku 2 písm. b);

b)pravidelných auditov tretích strán s cieľom zabezpečiť účinné vykonávanie zmierňujúcich opatrení;

c)oznamovacích povinností týkajúcich sa dodržiavania predpisov.

7.Ak Komisia po posúdení podľa odseku 3 dospeje k záveru, že udelenie výnimky nie je opodstatnené, urobí tak formou rozhodnutia a oznámi ho žiadateľom do deviatich mesiacov od prijatia žiadosti.

8.Komisia môže z vlastnej iniciatívy zrušiť alebo zmeniť rozhodnutie uvedené v odseku 4 v jednej alebo viacerých z týchto situácií:

a)nastala podstatná zmena skutočností, na ktorých bolo rozhodnutie založené;

b)subjekt, ktorý požiadal o výnimku, koná v rozpore so svojimi záväzkami;

c)výnimka bola založená na neúplných, nesprávnych alebo zavádzajúcich informáciách poskytnutých subjektom, ktorý podal žiadosť.

Článok 106
Práva na obhajobu

Komisia zabezpečí, aby pred prijatím vykonávacieho aktu podľa článku 103 ods. 7 alebo pred prijatím rozhodnutia o zamietnutí udelenia výnimky podľa článku 105 ods. 7 na základe toho, že žiadateľ nepredložil určité prvky, alebo pred zrušením rozhodnutia podľa článku 105 ods. 8 dostal dotknutý subjekt možnosť byť vypočutý, pričom v niektorých prípadoch zohľadní potrebu postupu pre naliehavé prípady.

Článok 107
Register

Komisia vedie verejne prístupný register svojich rozhodnutí uvedených v článku 105 ods. 5. V registri sa uvádzajú názvy subjektov, ktoré boli predmetom takýchto rozhodnutí. Komisia register pravidelne aktualizuje.

Článok 108
Dôvernosť informácií

Informácie získané Komisiou podľa článkov 105 a 106 sa použijú iba na účel, na ktorý boli vyžiadané.

Článok 109
Poplatky

1.Komisia vyberá poplatky za žiadosti predložené v súlade s článkom 105 ods. 1.

2.Poplatky sa uvádzajú a sú splatné v eurách.

3.Poplatky musia byť primerané nákladom spojeným so spracovaním žiadostí uvedených v článku 105 ods. 1, s posúdením kritérií a informácií uvedených v článku 105 ods. 2 a so zriadením, údržbou a prevádzkou registra uvedeného v článku 107. Do týchto nákladov sa zahrnú všetky výdavky Komisie, ktoré sa vzťahujú na personál zapojený do týchto činností.

4.Komisia prijme vykonávacie akty, v ktorých stanoví podrobné pravidlá týkajúce sa poplatkov, určí výšku poplatkov a spôsob ich úhrady. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 118 ods. 2.

KAPITOLA II 
Dodávateľské reťazce IKT v elektronických komunikačných sieťach

Článok 110
Kľúčové aktíva IKT pre mobilné, pevné a satelitné elektronické komunikačné siete

1.Kľúčové aktíva IKT pre mobilné, pevné a satelitné elektronické komunikačné siete sú uvedené v prílohe II.

2.Z kľúčových aktív IKT mobilných, pevných a satelitných elektronických komunikačných sietí sa postupne vyradia komponenty IKT poskytované vysokorizikovými dodávateľmi alebo komponenty, ktoré obsahujú takéto komponenty IKT.

3.Lehota na postupné vyradenie komponentov IKT, ktoré poskytujú vysokorizikoví dodávatelia, alebo komponentov, ktoré zahŕňajú takéto komponenty IKT, pokiaľ ide o mobilné elektronické komunikačné siete, nepresiahne 36 mesiacov od uverejnenia zoznamu vysokorizikových dodávateľov uvedeného v článku 104, ktorý sa týka mobilných elektronických komunikačných sietí.

4.Komisia je splnomocnená prijímať vykonávacie akty v súlade s článkom 118 ods. 2 s cieľom určiť lehoty na postupné vyradenie komponentov IKT, ktoré poskytujú vysokorizikoví dodávatelia, alebo komponentov, ktoré zahŕňajú takéto komponenty IKT, pokiaľ ide o pevné a satelitné elektronické komunikačné siete.

5.Komisia je v súlade s článkom 119 splnomocnená prijímať delegované akty s cieľom zmeniť prílohu II k tomuto nariadeniu, aby ju prispôsobila technologickému vývoju zohľadnením prvkov uvedených v článku 103 ods. 4.

Článok 111
Zákazy týkajúce sa mobilných, pevných a satelitných elektronických komunikačných sietí

1.Poskytovatelia mobilných, pevných a satelitných elektronických komunikačných sietí nesmú pri prevádzke kľúčových aktív IKT uvedených v prílohe II v žiadnej forme používať, inštalovať ani integrovať komponenty IKT od vysokorizikových dodávateľov alebo komponenty, ktoré obsahujú takéto komponenty IKT.

2.V prípadoch, keď sa príslušný orgán určený podľa tohto nariadenia v členskom štáte líši od príslušného orgánu podľa nariadenia (EÚ) XX/XXXX [návrh aktu o digitálnych sieťach], príslušný orgán určený podľa tohto nariadenia bezodkladne informuje príslušný orgán podľa nariadenia (EÚ) XX/XXXX [návrh aktu o digitálnych sieťach] o opatreniach uložených poskytovateľom mobilných, pevných a satelitných elektronických komunikačných sietí v súlade s článkom 114. Orgány zabezpečia úzku spoluprácu na účely účinného dozoru nad týmito opatreniami a ich presadzovania.

KAPITOLA III 
Príslušné orgány, dozor a presadzovanie práva, súdna právomoc, právo na obhajobu

Článok 112
Príslušné orgány

1.Každý členský štát určí príslušné orgány uvedené v článku 8 smernice (EÚ) 2022/2555 ako orgány zodpovedné za prijímanie opatrení dozoru a presadzovania práva uvedených v článku 114.

2.Príslušné orgány musia byť štrukturálne a funkčne úplne nestranné a nesmú podliehať žiadnemu vonkajšiemu vplyvu, či už priamemu alebo nepriamemu; najmä nesmú žiadať ani prijímať pokyny od žiadneho iného orgánu verejnej moci alebo súkromnej strany.

3.Členské štáty zabezpečia, aby ich príslušné orgány mali primerané právomoci, dostatočné ľudské a technické zdroje a príslušné odborné znalosti na účinné vykonávanie opatrení dozoru a presadzovania práva uvedených v článku 114.

4.Každý členský štát bez zbytočného odkladu oznámi Komisii názvy príslušných orgánov určených v súlade s odsekom 1, príslušné úlohy týchto orgánov a všetky ich následné zmeny. Každý členský štát názvy príslušných orgánov určených v súlade s odsekom 1 takisto zverejní.

Článok 113
Sieť pre spoluprácu a podporné služby Komisie

S cieľom zabezpečiť účinný dozor Komisia zriadi sieť pre spoluprácu príslušných orgánov členských štátov uvedených v článku 112 a Komisie, ktorá bude slúžiť ako platforma na spoluprácu a výmenu informácií, najmä na účely posúdenia sídla, kontroly a vlastníctva uvedeného v článku 104. Komisia poskytuje sieti administratívnu podporu.

Článok 114
Opatrenia v oblasti dozoru a presadzovania práva

1.Príslušné orgány uvedené v článku 112 sú oprávnené prijímať opatrenia dozoru a presadzovania práva týkajúce sa subjektov typu uvedeného v prílohách I a II k smernici (EÚ) 2022/2555. Členské štáty zabezpečia, aby uvedené opatrenia boli účinné, primerané a odrádzajúce, pričom zohľadnia okolnosti každého jednotlivého prípadu. Členské štáty oznámia Komisii pravidlá prijaté na tento účel a ich následné zmeny.

2.Pri výkone svojich úloh dozoru v súvislosti so subjektmi uvedenými v prílohách I a II k smernici (EÚ) 2022/2555 sú príslušné orgány oprávnené podrobiť tieto subjekty:

a)žiadostiam o podrobný a aktuálny zoznam ich príslušných dodávateľov a dodávateľov služieb;

b)žiadostiam o prístup k údajom, dokumentom a informáciám potrebným na overenie súladu s týmto nariadením;

c)inšpekciám na mieste a dozoru na diaľku vrátane náhodných kontrol, ktoré vykonávajú vyškolení odborníci;

d)žiadostiam o informácie týkajúce sa zloženia hardvérových alebo softvérových produktov nainštalovaných alebo integrovaných v akejkoľvek forme do siete alebo systému vrátane komponentov a prechodných závislostí, a to v bežne používanom a strojovo čitateľnom formáte.

3.Pri výkone svojich právomocí v oblasti presadzovania práva vo vzťahu k subjektom typu uvedeného v prílohách I a II k smernici (EÚ) 2022/2555 sú príslušné orgány oprávnené:

a)vydávať upozornenia na porušenie tohto nariadenia dotknutými subjektmi, pričom uvedú príslušné skutočnosti a právne úvahy;

b)prijímať rozhodnutia, ktorými sa od dotknutých subjektov vyžaduje, aby napravili porušenie tohto nariadenia alebo nedostatky zistené pri vykonávaní zmierňujúcich opatrení;

c)nariadiť dotknutým subjektom, aby upustili od činností, ktorými porušujú toto nariadenie, a neopakovali takéto činnosti a

d)uložiť sankcie v súlade s pravidlami, ktoré sa vzťahujú na výšku stanovenú v článku 115, alebo požiadať o uloženie takýchto sankcií príslušné orgány, súdy alebo tribunály v súlade s vnútroštátnym právom.

4.Pri prijímaní ktoréhokoľvek z opatrení na presadzovanie uvedených v predchádzajúcom odseku príslušné orgány zvážia okolnosti každého jednotlivého prípadu a náležite zohľadnia tieto faktory:

a)závažnosť porušenia a dôležitosť porušených ustanovení;

b)trvanie porušovania predpisov;

c)relevantný obrat dotknutého subjektu;

d)akékoľvek relevantné predchádzajúce prípady porušenia predpisov dotknutým subjektom;

e)prípadne akúkoľvek majetkovú alebo nemajetkovú ujmu spôsobenú porušením vrátane finančných alebo hospodárskych strát, účinkov na iné subjekty a počtu dotknutých používateľov;

f)akýkoľvek úmysel alebo nedbanlivosť dotknutého subjektu;

g)akékoľvek opatrenia, ktoré subjekt prijal na zabránenie alebo zmiernenie majetkovej alebo nemajetkovej ujmy;

h)úroveň spolupráce s príslušnými orgánmi zodpovedných fyzických alebo právnických osôb.

Na účely prvého pododseku písm. a) sa za závažné porušenie považujú:

i)opakované porušenia;

j)neoznámenie významných incidentov alebo nevykonanie ich nápravy;

k)nevykonanie nápravy nedostatkov po prijatí záväzných pokynov príslušných orgánov.

5.Príslušné orgány oznámia dotknutým subjektom svoje predbežné zistenia pred prijatím opatrení na presadzovanie práva. Dotknutým subjektom sa poskytne primeraná lehota na predloženie pripomienok k predbežným zisteniam. Príslušné orgány uvedú podrobné odôvodnenie svojich opatrení na presadzovanie práva.

6.Príslušné orgány dodržiavajú zásady dôvernosti a služobného a obchodného tajomstva.

7.Príslušné orgány spolupracujú navzájom a s Komisiou na účely dozoru a presadzovania práva podľa tejto hlavy v súlade s článkom 116.

Článok 115
Sankcie

1.Členské štáty stanovia pravidlá, pokiaľ ide o sankcie uplatniteľné pri porušení tohto nariadenia, a prijmú všetky opatrenia potrebné na zabezpečenie ich uplatňovania.

2.Stanovené sankcie musia byť účinné, primerané a odrádzajúce. Členské štáty o týchto pravidlách a opatreniach informujú Komisiu a bezodkladne jej oznámia každú nasledujúcu zmenu, ktorá ich ovplyvní.

3.Sankcie sa ukladajú popri opatreniach uvedených v článku 114 ods. 3 písm. a), b) a c).

4.Pri rozhodovaní o uložení sankcie a o jej výške v každom jednotlivom prípade sa náležite zohľadnia aspoň faktory uvedené v článku 114 ods. 4 prvom pododseku.

5.Porušenie článku 103 ods. 2 písm. a) podlieha v súlade s odsekom 3 tohto článku sankciám v maximálnej výške 1 % celkového celosvetového ročného obratu za predchádzajúci rozpočtový rok podniku, do ktorého subjekt patrí.

6.Porušenie článku 103 ods. 2 písm. b) až g) podlieha v súlade s odsekom 3 tohto článku sankciám v maximálnej výške 2 % celkového celosvetového ročného obratu za predchádzajúci rozpočtový rok podniku, do ktorého subjekt patrí.

7.Porušenie článku 103 ods. 1 a článku 111 podlieha v súlade s odsekom 3 tohto článku sankciám v maximálnej výške 7 % celkového celosvetového ročného obratu za predchádzajúci rozpočtový rok podniku, do ktorého subjekt patrí.

Článok 116
Vzájomná pomoc

1.Ak subjekt typu uvedeného v prílohe I alebo II k smernici (EÚ) 2022/2555 poskytuje služby vo viac ako jednom členskom štáte alebo poskytuje služby v jednom alebo viacerých členských štátoch a jeho kľúčové aktíva IKT sa nachádzajú v jednom alebo viacerých iných členských štátoch, príslušné orgány dotknutých členských štátov spolupracujú navzájom a s Komisiou a pomáhajú si navzájom a Komisii s cieľom zabezpečiť účinné a efektívne uplatňovanie tohto nariadenia. Na tento účel sa uplatňujú minimálne tieto pravidlá:

a)príslušné orgány, ktoré uplatňujú opatrenia dozoru alebo presadzovania práva v členskom štáte, informujú príslušné orgány v ostatných dotknutých členských štátoch a konzultujú s nimi prijaté opatrenia dozoru a presadzovania práva;

b)príslušný orgán v členskom štáte môže požiadať iný príslušný orgán v inom členskom štáte, aby prijal opatrenia dozoru alebo presadzovania práva;

c)príslušný orgán v členskom štáte po prijatí odôvodnenej žiadosti od iného príslušného orgánu v inom členskom štáte poskytne tomuto inému príslušnému orgánu vzájomnú pomoc, pričom vynaloží maximálne úsilie, aby sa opatrenia dozoru alebo presadzovania práva mohli vykonávať účinne, efektívne a konzistentne.

2.Vzájomná pomoc uvedená v odseku 1 písm. c) sa môže vzťahovať na žiadosti o informácie a na opatrenia v oblasti dozoru vrátane žiadostí o vykonanie inšpekcií na mieste alebo dozoru na diaľku, alebo cielených bezpečnostných auditov. Príslušný orgán, ktorému je adresovaná žiadosť o pomoc, túto žiadosť neodmietne, pokiaľ sa nepreukáže, že nemá právomoc poskytnúť požadovanú pomoc, že požadovaná pomoc nie je primeraná úlohám príslušného orgánu v oblasti dozoru, alebo že sa žiadosť týka informácií alebo zahŕňa činnosti, ktoré by v prípade zverejnenia alebo vykonania boli v rozpore so základnými záujmami členského štátu v oblasti národnej bezpečnosti, verejnej bezpečnosti alebo obrany. Príslušný orgán pred zamietnutím takejto žiadosti konzultuje s ostatnými dotknutými príslušnými orgánmi a v prípade, že o to jeden z dotknutých členských štátov požiada, aj s Komisiou.

3.V náležitých prípadoch a po vzájomnej dohode môžu príslušné orgány z rôznych členských štátov vykonávať spoločné opatrenia v oblasti dozoru.

4.Vzhľadom na povinnosť dodržiavať zásady dôvernosti a služobného a obchodného tajomstva, ako sa uvádza v článku 114 ods. 6, sa všetky informácie vymieňané v kontexte žiadosti o pomoc a poskytnuté podľa tohto článku používajú iba na účel, na ktorý boli vyžiadané.

Článok 117
Právomoc a teritorialita

1.Subjekty typu uvedeného v prílohách I a II k smernici (EÚ) 2022/2555, ktoré patria do rozsahu pôsobnosti tohto nariadenia sa považujú za subjekty podliehajúce právomoci členského štátu, v ktorom sú usadené, s výnimkou:

a)poskytovateľov verejných elektronických komunikačných sietí alebo poskytovateľov verejne dostupných elektronických komunikačných služieb, ktorí sa považujú za poskytovateľov podliehajúcich právomoci členského štátu, v ktorom poskytujú svoje služby;

b)poskytovateľov služieb DNS, registrov názvov domén najvyššej úrovne (TLD), poskytovateľov služieb cloud computingu, poskytovateľov služieb dátového centra, poskytovateľov sietí na sprístupňovanie obsahu, poskytovateľov riadených služieb, poskytovateľov riadených bezpečnostných služieb, ako aj poskytovateľov online trhov, internetových vyhľadávačov alebo platforiem služieb sociálnej siete, ktorí sa považujú za subjekty podliehajúce právomoci toho členského štátu, v ktorom majú hlavné sídlo v Únii podľa odseku 2;

c)subjektov verejnej správy, ktoré sa považujú za subjekty podliehajúce právomoci členského štátu, ku ktorému patria;

d)leteckých dopravcov, ktorí sa považujú za subjekty patriace do právomoci členského štátu, ktorého príslušný licenčný orgán udelil prevádzkovú licenciu subjektu podľa nariadenia Európskeho parlamentu a Rady (ES) č. 1008/2008 83 , alebo ak prevádzková licencia alebo jej ekvivalent nebol udelený v súlade s uvedeným nariadením, považujú sa za subjekty patriace do právomoci členského štátu, v ktorom majú hlavné sídlo v Únii podľa odseku 2.

2.Na účely tohto nariadenia platí, že subjekt uvedený v odseku 1 písm. b) má svoje hlavné sídlo v Únii v členskom štáte, v ktorom najčastejšie prijíma rozhodnutia týkajúce sa opatrení na riadenie rizík kybernetickej bezpečnosti. Ak takýto členský štát nemožno určiť alebo ak sa takéto rozhodnutia neprijímajú v Únii, platí, že hlavné sídlo je v členskom štáte, v ktorom sa vykonáva väčšina operácií kybernetickej bezpečnosti. Ak takýto členský štát nemožno určiť, platí, že hlavné sídlo je v tom členskom štáte, v ktorom má dotknutý subjekt v Únii prevádzkareň s najvyšším počtom zamestnancov.

3.Ak subjekt typu uvedeného v prílohách I a II k smernici (EÚ) 2022/2555 nie je usadený v Únii, ale ponúka služby v rámci Únie, musí určiť zástupcu v Únii. Zástupca musí byť usadený v jednom z tých členských štátov, v ktorých subjekt ponúka služby. Takýto subjekt sa považuje za subjekt podliehajúci právomoci toho členského štátu, v ktorom je usadený jeho zástupca. Ak je takýto subjekt subjektom uvedeným v odseku 1 písm. a), považuje sa za subjekt podliehajúci súdnej právomoci členského štátu, v ktorom poskytuje svoje služby. Ak v Únii nie je zástupca určený podľa tohto odseku, ktorýkoľvek členský štát, v ktorom subjekt poskytuje služby, môže proti tomuto subjektu podniknúť právne kroky za porušenie tohto nariadenia.

4.Tým, že subjekt uvedený v odseku 1 písm. b) určí svojho zástupcu, nie sú dotknuté právne kroky, ktoré by mohli byť podniknuté proti samotnému subjektu.

5.Členské štáty, ktorým bola doručená žiadosť o vzájomnú pomoc týkajúcu sa subjektu uvedeného v odseku 1 písm. b), môžu v medziach uvedenej žiadosti prijať primerané opatrenia dozoru a presadzovania práva vo vzťahu k dotknutému subjektu, ak tento subjekt poskytuje služby alebo má sieť a informačný systém na ich území.

HLAVA VI 
ZÁVEREČNÉ USTANOVENIA

Článok 118
Postup výboru

1.Komisii pomáha výbor. Tento výbor má dve zloženia. Pokiaľ ide o hlavy II a III, Komisii pomáha výbor v prvom zložení, zatiaľ čo pokiaľ ide o hlavu IV, Komisii pomáha výbor v druhom zložení. Uvedený výbor je výborom v zmysle nariadenia (EÚ) č. 182/2011.

2.Ak sa odkazuje na tento odsek, uplatňuje sa článok 5 nariadenia (EÚ) č. 182/2011.

Článok 119
Vykonávanie delegovania právomoci

1.Komisii sa udeľuje právomoc prijímať delegované akty za podmienok stanovených v tomto článku.

2.Právomoc prijímať delegované akty podľa článkov 80 ods. 2 a 110 ods. 5 sa Komisii udeľuje na neurčité obdobie od dátumu nadobudnutia účinnosti tohto nariadenia.

3.Delegovanie právomoci uvedené v článkoch 80 ods. 2 a 110 ods. 5 môže Európsky parlament alebo Rada kedykoľvek odvolať. Rozhodnutím o odvolaní sa ukončuje delegovanie právomoci, ktoré sa v ňom uvádza. Rozhodnutie nadobúda účinnosť dňom nasledujúcim po jeho uverejnení v Úradnom vestníku Európskej únie alebo k neskoršiemu dátumu, ktorý je v ňom určený. Nie je ním dotknutá platnosť delegovaných aktov, ktoré už nadobudli účinnosť. 

4.Komisia pred prijatím delegovaného aktu konzultuje s expertmi určenými jednotlivými členskými štátmi v súlade so zásadami stanovenými v Medziinštitucionálnej dohode z 13. apríla 2016 o lepšej tvorbe práva.

5.Komisia oznamuje delegovaný akt hneď po jeho prijatí súčasne Európskemu parlamentu a Rade.

6.Delegovaný akt prijatý podľa článku 80 ods. 2 a článku 110 ods. 5 nadobúda účinnosť, len ak Európsky parlament alebo Rada nevzniesli voči nemu námietku v lehote dvoch mesiacov odo dňa oznámenia uvedeného aktu Európskemu parlamentu a Rade, alebo ak pred uplynutím uvedenej lehoty Európsky parlament a Rada informovali Komisiu o svojom rozhodnutí nevzniesť námietku. Na podnet Európskeho parlamentu alebo Rady sa táto lehota predĺži o dva mesiace. 

Článok 120
Hodnotenie a preskúmanie

1.Do [DD. MM. RRRR] a potom každých päť rokov Komisia zadá hodnotenie, ktoré sa vykoná v súlade s usmerneniami Komisie.

2.Hodnotenie uvedené v odseku 1 musí obsahovať posúdenie týchto prvkov:

a)výkonnosť agentúry ENISA v súvislosti s jej cieľmi, mandátom, poslaním, úlohami, riadením a umiestnením;

b)účinnosť, efektívnosť a pridaná hodnota EÚ schém udeľovania európskych osvedčení o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti, ako sa stanovuje v hlave II kapitole II oddiele 4 tohto nariadenia;

c)vplyv, účinnosť a efektívnosť ustanovení hlavy III tohto nariadenia z hľadiska cieľov zabezpečiť primeranú úroveň kybernetickej bezpečnosti produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb a subjektov v Únii a zlepšiť fungovanie vnútorného trhu;

d)vplyv, účinnosť a efektívnosť ustanovení hlavy IV tohto nariadenia vzhľadom na ciele rámca dôveryhodného dodávateľského reťazca IKT.

3.Hodnotenie uvedené v odseku 1 písm. a) sa zameria najmä na prípadnú potrebu upraviť mandát agentúry ENISA a na finančné dôsledky každej takejto úpravy.

4.Pri každom druhom hodnotení uvedenom v odseku 1 písm. a) Komisia posúdi výsledky dosiahnuté agentúrou ENISA, pokiaľ ide o jej ciele, mandát, poslanie, riadenie a úlohy, vrátane posúdenia toho, či je pôsobenie agentúry ENISA stále opodstatnené, pokiaľ ide o tieto ciele, mandát, poslanie, riadenie a úlohy.

5.Správu o výsledkoch hodnotenia predloží Komisia Európskemu parlamentu, Rade a správnej rade. Zistenia vyplývajúce z hodnotenia sa zverejňujú.

Článok 121
Zrušenie a pokračovanie činností

1.Nariadenie Európskeho parlamentu a Rady (EÚ) 2019/881 sa zrušuje s účinnosťou od DD. MM. RRRR.

2.Odkazy na nariadenie (EÚ) 2019/881, agentúru ENISA a európske schémy certifikácie kybernetickej bezpečnosti zriadené uvedeným nariadením sa považujú za odkazy na toto nariadenie a znejú v súlade s tabuľkou zhody uvedenou v prílohe III k tomuto nariadeniu.

3.Agentúra ENISA, ktorá sa spravuje týmto nariadením, bude pokračovať v činnostiach a operáciách agentúry ENISA, ktorá bola zriadená nariadením (EÚ) 2019/881, pokiaľ ide o vlastníctvo, všetky dohody, právne záväzky, pracovné zmluvy, finančné záväzky a povinnosti. Všetky rozhodnutia správnej rady a výkonnej rady prijaté v súlade s nariadením (EÚ) 2019/881 zostávajú v platnosti, pokiaľ sú v súlade s týmto nariadením.

4.Výkonný riaditeľ vymenovaný podľa článku 15 ods. 1 písm. n) nariadenia (EÚ) 2019/881 zostáva vo svojej funkcii a plní úlohy a povinnosti výkonného riaditeľa, ako sa uvádza v článku 32 tohto nariadenia, do konca zostatku funkčného obdobia výkonného riaditeľa. Ostatné podmienky jeho zmluvy ostávajú nezmenené.

5.Kandidátske schémy, o ktorých vypracovanie sa požiadalo podľa článku 49 nariadenia (EÚ) 2019/881, sa považujú za schémy, o ktorých vypracovanie sa požiadalo podľa príslušných ustanovení tohto nariadenia. Na tieto kandidátske schémy sa primerane uplatňujú ustanovenia hlavy III tohto nariadenia.

6.Členovia správnej rady vymenovaní Komisiou a náhradní členovia vymenovaní podľa článku 14 nariadenia (EÚ) 2019/881 zostávajú vo svojej funkcii a vykonávajú funkcie správnej rady, ako sa uvádza v článku 27 tohto nariadenia, do konca zostatku svojho funkčného obdobia. Členovia správnej rady vymenovaní členskými štátmi podľa článku 14 nariadenia (EÚ) 2019/881 zostávajú vo funkcii a vykonávajú funkcie správnej rady uvedené v článku 27 tohto nariadenia, ak vykonávajú funkcie uvedené v článku 24 ods. 3 tohto nariadenia.

Článok 122
Nadobudnutie účinnosti

Toto nariadenie nadobúda účinnosť […] dňom nasledujúcim po jeho uverejnení v Úradnom vestníku Európskej únie.

Toto nariadenie je záväzné v celom rozsahu a priamo uplatniteľné vo všetkých členských štátoch.

V Štrasburgu

LEGISLATÍVNY FINANČNÝ A DIGITÁLNY VÝKAZ

1.RÁMEC NÁVRHU/INICIATÍVY3

1.1.Názov návrhu/iniciatívy3

1.2.Príslušné oblasti politiky3

1.3.Ciele3

1.3.1.Všeobecné ciele3

1.3.2.Špecifické ciele3

1.3.3.Očakávané výsledky a vplyv3

1.3.4.Ukazovatele výkonnosti3

1.4.Návrh/iniciatíva sa týka:4

1.5.Dôvody návrhu/iniciatívy4

1.5.1.Požiadavky, ktoré sa majú splniť v krátkodobom alebo dlhodobom horizonte vrátane podrobného harmonogramu prvotnej fázy vykonávania iniciatívy4

1.5.2.Prínos zapojenia Európskej únie (môže byť výsledkom rôznych faktorov, napr. lepšej koordinácie, právnej istoty, väčšej účinnosti alebo komplementárnosti). Na účely tohto bodu je „prínos zapojenia Európskej únie“ hodnota vyplývajúca zo zásahu Európskej únie, ktorá dopĺňa hodnotu, ktorú by inak vytvorili len samotné členské štáty.4

1.5.3.Poznatky získané z podobných skúseností v minulosti4

1.5.4.Zlučiteľnosť s viacročným finančným rámcom a možná synergia s inými vhodnými nástrojmi5

1.5.5.Posúdenie rôznych disponibilných možností financovania vrátane možnosti prerozdelenia5

1.6.Trvanie a finančný vplyv návrhu/iniciatívy6

1.7.Plánované metódy plnenia rozpočtu6

2.OPATRENIA V OBLASTI RIADENIA8

2.1.Zásady monitorovania a predkladania správ8

2.2.Systémy riadenia a kontroly8

2.2.1.Opodstatnenie navrhovaných metód plnenia rozpočtu, mechanizmov vykonávania financovania, spôsobov platby a stratégie kontroly8

2.2.2.Informácie o zistených rizikách a systémoch vnútornej kontroly zavedených na ich zmierňovanie8

2.2.3.Odhad a opodstatnenie nákladovej účinnosti kontrol (pomer medzi nákladmi na kontroly a hodnotou súvisiacich riadených finančných prostriedkov) a posúdenie očakávaných úrovní rizika chyby (pri platbe a uzavretí)8

2.3.Opatrenia na predchádzanie podvodom a nezrovnalostiam9

3.ODHADOVANÝ FINANČNÝ VPLYV NÁVRHU/INICIATÍVY10

3.1.Príslušné okruhy viacročného finančného rámca a rozpočtové riadky výdavkov10

3.2.Odhadovaný finančný vplyv návrhu na rozpočtové prostriedky12

3.2.1.Zhrnutie odhadovaného vplyvu na operačné rozpočtové prostriedky12

3.2.1.1.Rozpočtové prostriedky zo schváleného rozpočtu12

3.2.1.2.Rozpočtové prostriedky z vonkajších pripísaných príjmov17

3.2.2.Odhadované výstupy financované z operačných rozpočtových prostriedkov22

3.2.3.Zhrnutie odhadovaného vplyvu na administratívne rozpočtové prostriedky24

3.2.3.1. Rozpočtové prostriedky zo schváleného rozpočtu24

3.2.3.2.Rozpočtové prostriedky z vonkajších pripísaných príjmov24

3.2.3.3.Celkové rozpočtové prostriedky24

3.2.4.Odhadovaná potreba ľudských zdrojov25

3.2.4.1.Financovaná zo schváleného rozpočtu25

3.2.4.2.Financovaná z vonkajších pripísaných príjmov26

3.2.4.3.Celková potreba ľudských zdrojov26

3.2.5.Prehľad odhadovaného vplyvu na investície súvisiace s digitálnymi technológiami28

3.2.6.Súlad s platným viacročným finančným rámcom28

3.2.7.Príspevky od tretích strán28

3.3.Odhadovaný vplyv na príjmy29

4.Digitálne rozmery29

4.1.Požiadavky digitálneho významu30

4.2.Údaje30

4.3.Digitálne riešenia31

4.4.Posúdenie interoperability31

4.5.Opatrenia na podporu digitálneho vykonávania32

1.RÁMEC NÁVRHU/INICIATÍVY 

1.1.Názov návrhu/iniciatívy

1.2.Príslušné oblasti politiky 

1.3.Ciele

1.3.1.Všeobecné ciele

1.3.2.Špecifické ciele

1.3.3.Očakávané výsledky a vplyv

Uveďte, aký vplyv by mal mať návrh/iniciatíva na prijímateľov/cieľové skupiny.

1.3.4.Ukazovatele výkonnosti

Uveďte ukazovatele na monitorovanie pokroku a dosiahnutých výsledkov.

1.4.Návrh/iniciatíva sa týka: 

 novej akcie (Hlava IV Dodávateľský reťazec, Hlava V Zjednodušenie)

 novej akcie, ktorá nadväzuje na pilotný projekt/prípravnú akciu 84  

 predĺženia trvania existujúcej akcie (Hlava II Mandát agentúry ENISA a Hlava III Certifikácia)

 zlúčenia jednej alebo viacerých akcií do ďalšej/novej akcie alebo presmerovania jednej alebo viacerých akcií na ďalšiu/novú akciu

1.5.Dôvody návrhu/iniciatívy 

1.5.1.Požiadavky, ktoré sa majú splniť v krátkodobom alebo dlhodobom horizonte vrátane podrobného harmonogramu prvotnej fázy vykonávania iniciatívy

1.5.2.Prínos zapojenia Európskej únie (môže byť výsledkom rôznych faktorov, napr. lepšej koordinácie, právnej istoty, väčšej účinnosti alebo komplementárnosti). Na účely tohto bodu je „prínos zapojenia Európskej únie“ hodnota vyplývajúca zo zásahu Európskej únie, ktorá dopĺňa hodnotu, ktorú by inak vytvorili len samotné členské štáty.

1.5.3.Poznatky získané z podobných skúseností v minulosti

1.5.4.Zlučiteľnosť s viacročným finančným rámcom a možná synergia s inými vhodnými nástrojmi

1.5.5.Posúdenie rôznych disponibilných možností financovania vrátane možnosti prerozdelenia

1.6.Trvanie a finančný vplyv návrhu/iniciatívy

 obmedzené trvanie

–    v platnosti od [DD/MM]RRRR do [DD/MM]RRRR

–    finančný vplyv na viazané rozpočtové prostriedky od RRRR do RRRR a na platobné rozpočtové prostriedky od RRRR do RRRR

 neobmedzené trvanie

–Počiatočná fáza vykonávania bude trvať od RRRR do RRRR

–a potom bude vykonávanie pokračovať v plnom rozsahu.

1.7.Plánované metódy plnenia rozpočtu 

 Priame riadenie na úrovni Komisie

– prostredníctvom jej útvarov vrátane zamestnancov v delegáciách Únie

–    prostredníctvom výkonných agentúr

 Zdieľané riadenie s členskými štátmi

 Nepriame riadenie, pri ktorom sa plnením rozpočtu poveria:

– tretie krajiny alebo subjekty, ktoré tieto krajiny určili,

– medzinárodné organizácie a ich agentúry (uveďte),

– Európska investičná banka (EIB) a Európsky investičný fond,

– subjekty uvedené v článkoch 70 a 71 nariadenia o rozpočtových pravidlách,

– verejnoprávne subjekty,

– súkromnoprávne subjekty poverené vykonávaním verejnej služby, pokiaľ sú im poskytnuté primerané finančné záruky,

– súkromnoprávne subjekty spravované právom členského štátu, ktoré sú poverené vykonávaním verejno-súkromného partnerstva a ktorým sú poskytnuté primerané finančné záruky,

– subjekty alebo osoby poverené vykonávaním osobitných akcií v oblasti spoločnej zahraničnej a bezpečnostnej politiky podľa hlavy V Zmluvy o Európskej únii a určené v príslušnom základnom akte,

– subjekty usadené v členskom štáte, spravované súkromným právom členského štátu alebo právom Únie, ktoré môžu byť v súlade s pravidlami platnými v jednotlivých odvetviach poverené implementáciou finančných prostriedkov Únie alebo rozpočtových záruk, pokiaľ sú takéto subjekty kontrolované verejnoprávnymi subjektmi alebo súkromnoprávnymi subjektmi poverenými vykonávaním verejnej služby a sú im poskytnuté primerané finančné záruky v podobe spoločnej a nerozdielnej zodpovednosti zo strany kontrolných subjektov alebo rovnocenné finančné záruky, ktoré môžu byť v prípade každej akcie obmedzené na maximálnu sumu podpory Únie.

Poznámky

2.OPATRENIA V OBLASTI RIADENIA 

2.1.Zásady monitorovania a predkladania správ 

2.2.Systémy riadenia a kontroly 

2.2.1.Opodstatnenie navrhovaných metód plnenia rozpočtu, mechanizmov vykonávania financovania, spôsobov platby a stratégie kontroly

2.2.2.Informácie o zistených rizikách a systémoch vnútornej kontroly zavedených na ich zmierňovanie

2.2.3.Odhad a opodstatnenie nákladovej účinnosti kontrol (pomer medzi nákladmi na kontroly a hodnotou súvisiacich riadených finančných prostriedkov) a posúdenie očakávaných úrovní rizika chyby (pri platbe a uzavretí) 

2.3.Opatrenia na predchádzanie podvodom a nezrovnalostiam 

3.ODHADOVANÝ FINANČNÝ VPLYV NÁVRHU/INICIATÍVY 

3.1.Príslušné okruhy viacročného finančného rámca a rozpočtové riadky výdavkov 

·Existujúce rozpočtové riadky

V poradí, v akom za sebou nasledujú okruhy viacročného finančného rámca a rozpočtové riadky.

Okruh viacročného finančného rámca	Rozpočtový riadok	Druh výdavkov	Príspevky
	Číslo	DRP/NRP 99	krajín EZVO 100	kandidátskych krajín a potenciálnych kandidátov 101	iných tretích krajín	iné pripísané príjmy
	[XX.YY.YY.YY]	NRP	ÁNO	NIE	NIE	ÁNO/NIE
	[XX.YY.YY.YY]	DRP/NRP	ÁNO/NIE	ÁNO/NIE	ÁNO/NIE	ÁNO/NIE
	[XX.YY.YY.YY]	DRP/NRP	ÁNO/NIE	ÁNO/NIE	ÁNO/NIE	ÁNO/NIE

·Požadované nové rozpočtové riadky

V poradí, v akom za sebou nasledujú okruhy viacročného finančného rámca a rozpočtové riadky.

Okruh viacročného finančného rámca	Rozpočtový riadok	Druh výdavkov	Príspevky
	Číslo	DRP/NRP	krajín EZVO	kandidátskych krajín a potenciálnych kandidátov	iných tretích krajín	iné pripísané príjmy
	[XX.YY.YY.YY]	DRP/NRP	ÁNO/NIE	ÁNO/NIE	ÁNO/NIE	ÁNO/NIE
	[XX.YY.YY.YY]	DRP/NRP	ÁNO/NIE	ÁNO/NIE	ÁNO/NIE	ÁNO/NIE
	[XX.YY.YY.YY]	DRP/NRP	ÁNO/NIE	ÁNO/NIE	ÁNO/NIE	ÁNO/NIE

3.2.Odhadovaný finančný vplyv návrhu na rozpočtové prostriedky 

3.2.1.Zhrnutie odhadovaného vplyvu na operačné rozpočtové prostriedky 

–    Návrh/iniciatíva si nevyžaduje použitie operačných rozpočtových prostriedkov

–    Návrh/iniciatíva si vyžaduje použitie týchto operačných rozpočtových prostriedkov:

3.2.1.1.Rozpočtové prostriedky zo schváleného rozpočtu

v mil. EUR (zaokrúhlené na 3 desatinné miesta)

Agentúra: ENISA	Rok 2028	Rok 2029	Rok 2030	Rok 2031	Rok 2032	Rok 2033	Rok 2034	VFR 2028 – 2034 SPOLU
Rozpočtový riadok: <…….>/Dodatočný príspevok z rozpočtu EÚ agentúre	20,900 EUR	20,594 EUR	25,338 EUR	26,801 EUR	26,801 EUR	26,301 EUR	26,301 EUR	173,006

Rozpočtové prostriedky/Príspevok z rozpočtu EÚ pre agentúru bude kompenzovaný znížením finančného krytia tohto programu <…….>/rozpočtový riadok: <…….>/v roku/rokoch: <…….>.

						Rok		Rok			Rok		Rok			Rok		Rok	Rok			VFR 2028 – 2034 SPOLU
						2028		2029			2030		2031			2032		2033	2034
Operačné rozpočtové prostriedky SPOLU		Záväzky		(4)		20,900 EUR		20,594 EUR			25,338 EUR		26,801 EUR			26,801 EUR		26,301 EUR	26,301 EUR			173,006
		Platby		(5)		20,900 EUR		20,594 EUR			25,338 EUR		26,801 EUR			26,801 EUR		26,301 EUR	26,301 EUR			173,006
Administratívne rozpočtové prostriedky financované z finančného krytia na vykonávanie osobitných programov SPOLU				(6)		1,365		1,365			1,470		1,785			2,100		2,415	2,625			13,125
Rozpočtové prostriedky OKRUHU 2		Záväzky				=4+6		22,265 EUR			21,959 EUR		26,808 EUR			28,586 EUR		28,901 EUR	28,716 EUR			28,926 EUR	186,161
viacročného finančného rámca SPOLU		Platby				=5+6		22,265 EUR			20,890 EUR		24,851 EUR			26,254 EUR		26,254 EUR	25,754 EUR			25,754 EUR	186,161
GR: CNECT									Rok			Rok		Rok	Rok		Rok			Rok	Rok			VFR 2028 – 2034 SPOLU
									2028			2029		2030	2031		2032			2033	2034
 Ľudské zdroje									3,693			3,693		4,574	5,277		5,980			6,683	7,475			37,375
 Ostatné administratívne výdavky									0			0		0	0		0			0	0			0
GR CNECT SPOLU	Rozpočtové prostriedky		3,693		3,693		4,574			5,277				5,980	6,683		7,475			37,375
Rozpočtové prostriedky OKRUHU 4 viacročného finančného rámca SPOLU					(Záväzky spolu = Platby spolu)				2,328			2,328		3,104	3,492		3,880			4,268	4,850			24,25

v mil. EUR (zaokrúhlené na 3 desatinné miesta)

			Rok		Rok		Rok		Rok		Rok		Rok		Rok		VFR 2028 – 2034 SPOLU
			2028		2029		2030		2031		2032		2033		2034
Rozpočtové prostriedky OKRUHOV 1 až 4	Záväzky		24,594		24,257		29,912		32,078		32,781		32,984		33,776		210,38
viacročného finančného rámca SPOLU		Platby		24,594		24,257		29,912		32,078		32,781		32,984		33,776		210,38

3.2.2.Odhadované výstupy financované z operačných rozpočtových prostriedkov (v prípade decentralizovaných agentúr nevypĺňať)

viazané rozpočtové prostriedky v mil. EUR (zaokrúhlené na 3 desatinné miesta)

Uveďte ciele a výstupy 

Rok 2028

Rok 2029

Rok 2030

Rok 2031

Uveďte všetky roky, počas ktorých vplyv trvá (pozri bod 1.6)

SPOLU

VÝSTUPY

Druh 102

Priemerné náklady

Počet

Náklady

Počet

Náklady

Počet

Náklady

Počet

Náklady

Počet

Náklady

Počet

Náklady

Počet

Náklady

Počet spolu

Náklady spolu

ŠPECIFICKÝ CIEĽ č. 1 103 …

‒ Výstup

‒ Výstup

‒ Výstup

Špecifický cieľ č. 1 medzisúčet

ŠPECIFICKÝ CIEĽ č. 2…

‒ Výstup

Špecifický cieľ č. 2 medzisúčet

SPOLU

3.2.3.Zhrnutie odhadovaného vplyvu na administratívne rozpočtové prostriedky 

–    Návrh/iniciatíva si nevyžaduje použitie administratívnych rozpočtových prostriedkov

–    Návrh/iniciatíva si vyžaduje použitie týchto administratívnych rozpočtových prostriedkov:

3.2.3.1. Rozpočtové prostriedky zo schváleného rozpočtu

(doplnkové)

SCHVÁLENÉ ROZPOČTOVÉ PROSTRIEDKY	Rok	Rok	Rok	Rok	Rok	Rok	Rok	SPOLU 2028 – 2034
	2028	2029	2030	2031	2032	2033	2034
OKRUH 4
Ľudské zdroje	2,328	2,328	3,104	3,492	3,880	4,268	4,840	24,25
Ostatné administratívne výdavky	0,000	0,000	0,000	0,000	0,000	0,000	0,000	0,000
Medzisúčet OKRUHU 4	2,328	2,328	3,104	3,492	3,880	4,268	4,840	24,25
Mimo OKRUHU 4
Ľudské zdroje	1,365	1,365	1,470	1,785	2,100	2,415	2,625	13,125
Ostatné administratívne výdavky	0,000	0,000	0,000	0,000	0,000	0,000	0,000	0,000
Medzisúčet mimo OKRUHU 4	1,365	1,365	1,470	1,785	2,100	2,415	2,625	13,125
SPOLU	3,693	3,693	4,574	5,277	5,980	6,683	7,475	37,375

3.2.4.Odhadovaná potreba ľudských zdrojov (doplnkové)

–    Návrh/iniciatíva si nevyžaduje použitie ľudských zdrojov.

–    Návrh/iniciatíva si vyžaduje použitie týchto ľudských zdrojov:

3.2.4.1.Financovaná zo schváleného rozpočtu

odhady sa vyjadrujú v ekvivalente plného pracovného času 104

SCHVÁLENÉ ROZPOČTOVÉ PROSTRIEDKY		Rok	Rok	Rok	Rok	Rok	Rok	Rok
		2028	2029	2030	2031	2032	2033	2034
 Plán pracovných miest (úradníci a dočasní zamestnanci)
20 01 02 01 (ústredie a zastúpenia Komisie)		12	12	16	18	20	22	25
20 01 02 03 (delegácie EÚ)		0	0	0	0	0	0	0
(nepriamy výskum)		0	0	0	0	0	0	0
(priamy výskum)		0	0	0	0	0	0	0
Iné rozpočtové riadky (uveďte)		0	0	0	0	0	0	0
• Externí zamestnanci (ekvivalent plného pracovného času)
20 02 01 (ZZ, VNE z celkového finančného krytia)		0	0	0	0	0	0	0
20 02 03 (ZZ, MZ, VNE a PED v delegáciách EÚ)		0	0	0	0	0	0	0
Riadok administratívnej podpory	– ústredie	0	0	0	0	0	0	0
[XX.01.YY.YY]	– delegácie EÚ	0	0	0	0	0	0	0
(ZZ, VNE – nepriamy výskum)		0	0	0	0	0	0	0
(ZZ, VNE – priamy výskum)		0	0	0	0	0	0	0
Iné rozpočtové riadky (uveďte) – Okruh 4		0	0	0	0	0	0	0
Iné rozpočtové riadky (uveďte) – Mimo okruhu 4		13	13	14	17	20	23	25
SPOLU		25	25	30	35	40	45	50

Zamestnanci potrební na vykonávanie návrhu (v ekvivalentoch plného pracovného času):

	Potreby pokryté súčasnými zamestnancami, ktorí sú k dispozícii v útvaroch Komisie	Výnimoční dodatoční zamestnanci
		Financovaní z okruhu 7 alebo Výskum	Financovaní z riadka BA	Financovaní z poplatkov
Pracovné miesta uvedené v pláne pracovných miest		25
Externí zamestnanci (ZZ, VNE, DAZ)			25

Odhadovaný vplyv na výdavky a zamestnancov na rok 2028 a neskôr je orientačný a nepredpokladá budúci viacročný finančný rámec. Zdroj financovania a rozsah finančných záväzkov Únie na obdobie po roku 2027 naďalej závisia od výsledku medziinštitucionálnych rokovaní o VFR na roky 2028 – 2034, ročnom rozpočtovom postupe a riadiacom mechanizme.

Opis úloh, ktoré má vykonávať sektorové GR v rámci Komisie

Úradníci a dočasní zamestnanci

Koordinácia agentúry ENISA (1): Zastupujú Komisiu v správnej rade agentúry. Vypracúvajú stanoviská Komisie k jednotnému programovému dokumentu agentúry ENISA a monitorujú jeho vykonávanie. Vykonávajú dozor nad prípravou rozpočtu agentúry a monitorujú jeho plnenie. Pomáhajú agentúre pri rozvoji jej činností v súlade s politikami Únie, a to aj účasťou na príslušných stretnutiach. Schémy osvedčovania zručností/Akadémia zručností (2): Na prípravu vykonávacích aktov, ktorými sa stanovujú poplatky, ktoré bude agentúra ENISA účtovať žiadateľom o získanie autorizácie poskytovateľa, bude v CNECT potrebný ďalší personál.Týchto vykonávacích aktov bude najmenej 12, jeden pre každý profil ECSF. Dodávateľský reťazec (25) Podpora prípravy koordinovaných posúdení rizík Únie. Vykonanie ekonomickej analýzy pre každý z uvažovaných produktov a služieb IKT. Príprava príslušných vykonávacích aktov týkajúcich sa určenia kľúčových aktív, navrhovaných zmierňujúcich opatrení a určenia krajín, ktoré predstavujú strategické kybernetickobezpečnostné riziká pre konkrétne kľúčové aktíva, určenia vysokorizikových dodávateľov, overovanie žiadostí o výnimku a príprava rozhodnutí Komisie. Podpora vykonávania prijatých opatrení a dozoru nad nimi. Európsky rámec certifikácie kybernetickej bezpečnosti, normalizácia a vykonávanie súvisiacich činností, vykonávanie smernice NIS 2 (17): Presadzovanie aktu o kybernetickej bezpečnosti, najmä riadenie orgánov posudzovania zhody (napadnutie zodpovednosti) Zapojenie (a zhromaždenie) zainteresovaných strán Vzájomné uznávanie s tretími krajinami Vypracovanie štandardizovaného vykonávacieho aktu (podrobné požiadavky v závislosti od konzultácií a vypracovanie vzorových ustanovení) Údržba schém, právne preskúmanie, komitologický postup Koordinácia so skupinou pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti a údržba schém subjektov Vykonávacie akty podľa smernice NIS 2 Zosúladenie orgánov posudzovania zhody s aktom o kybernetickej bezpečnosti, predpoklad zhody + normalizácia Koordinácia medzi trhovým dohľadom a vnútroštátnym orgánom pre certifikáciu kybernetickej bezpečnosti Technické zosúladenie medzi aktom o kybernetickej odolnosti a schémami certifikácie Operačná koordinácia a situačné povedomie (5): Odborné znalosti o jednotlivých odvetviach a vo vzťahu k aktérom hrozieb, ktoré prispejú k situačnému povedomiu na úrovni EÚ o hrozbách pre kritickú infraštruktúru, a to aj prostredníctvom vznikajúcich technológií Koordinácia s agentúrou ENISA a inými subjektmi a sieťami EÚ s cieľom pripraviť sa na závažné a rozsiahle kybernetické incidenty

Externí zamestnanci

Ako vyššie

Opis dodatočných úloh, ktoré má agentúra ENISA vykonávať:

Úradníci a dočasní zamestnanci

Správa rezervy EÚ na účely kybernetickej bezpečnosti (manažéri krajín a podpora implementácie, pričom skutočné prevádzkové náklady rezervy sú hradené podľa aktu o kybernetickej solidarite) (10) Riadenie jednotnej oznamovacej platformy (SRP) podľa aktu o kybernetickej odolnosti (prevádzka) (9) Služby v oblasti zraniteľností spojené so SRP (4) Rozšírenie SRP na jednotné kontaktné miesto (vývoj a prevádzka) (8) Vypracovanie technického usmernenia, odborné znalosti o bezpečnosti produktov a analýza trhu na podporu vykonávania aktu o kybernetickej odolnosti (7) Normalizácia na podporu vykonávania aktu o kybernetickej odolnosti / Certifikácia / NIS 2 (4) Podpora činností dohľadu nad trhom v rámci aktu o kybernetickej odolnosti (4) Podpora testovania zhody a hodnotenia bezpečnosti výrobkov (4) Podpora členských štátov pri vzájomnej pomoci (3) Poskytovanie služieb riadenia zraniteľnosti, údržba EUVD a poskytovanie poradenských a obohacovacích funkcií (CVD) (15) Operačná spolupráca a situačné povedomie – zmierňovanie a podpora platforiem, ako je CNW/CyCLONe; podpora úloh v súvislosti s vydávaním varovaní; podpora posilnenej koordinácie s inými príslušnými subjektmi s cieľom vytvoriť archívy overených a spoľahlivých spravodajských informácií o kybernetických hrozbách [článok 11 ods. 1 písm. a) aktu o kybernetickej bezpečnosti 2] (5) Podpora odolnosti kritických odvetví (vrátane vykonávania akčného plánu pre kybernetickú bezpečnosť v zdravotníctve) (4) Vývoj schémy osvedčovania zručností (2) Údržba a dohľad nad schémou osvedčovania zručností (6) Administratíva (účtovník pre poplatky/HR/IT) (8) Udržiavanie schém certifikácie (11) Horizontálne úlohy – posilnené zapojenie zainteresovaných strán, vypracovanie technických špecifikácií a zapojenie do normalizačných činností na podporu schém (1)

Externí zamestnanci

Ako vyššie Dvaja povinní vyslaní národní experti z každého členského štátu na podporu činností agentúry a ako národní styční úradníci so zameraním na operačnú spoluprácu a koordinované zverejňovanie informácií o zraniteľnostiach. (13) Na ostatných 27 vyslaných národných expertov sa nepredpokladajú žiadne náklady, a preto nemajú žiadny vplyv na rozpočet.

Dodatočné prevádzkové náklady na rok pre agentúru ENISA (2028– 2034):

Náklady	Rozpočet	Harmonogram	Vysvetlenie
Webové sídlo o zručnostiach v oblasti kybernetickej bezpečnosti	750 000 EUR	50 % v roku 2029 50 % v roku 2030	Na zabezpečenie transparentnosti postupov sa v návrhu vyžaduje, aby agentúra ENISA spravovala webové sídlo s profilmi ECFS, schémami osvedčovania, informáciami o poplatkoch za každú schému, odporúčanými poplatkami za každé osvedčenie a zoznamom autorizovaných poskytovateľov osvedčení.
Koordinované zverejňovanie informácií o zraniteľnostiach	1 milión EUR	od roku 2028	Bezpečnosť produktov a služieb používaných v našej kritickej infraštruktúre do veľkej miery závisí od včasného zdieľania informácií o zistených zraniteľnostiach a spôsoboch ich zmiernenia.
Spravodajské informácie o kybernetickobezpečnostných hrozbách	3 milióny EUR	od roku 2028	Na vytvorenie situačného povedomia v spolupráci medzi agentúrou ENISA a Komisiou.
Jednotné kontaktné miesto	8 miliónov EUR	6 miliónov EUR v roku 2028 500 000 EUR v roku 2029 500 000 EUR v roku 2030 500 000 EUR v roku 2031 500 000 EUR v roku 2032	Aby bolo možné splniť návrh súhrnného balíka opatrení v digitálnej oblasti predložený Komisiou na zjednodušenie dodržiavania povinností týkajúcich sa oznamovania kybernetickobezpečnostných incidentov a porušenia ochrany údajov vytvorením a udržiavaním jednotného kontaktného miesta.
Údržba jednotnej platformy pre podávanie správ (SRP) v rámci aktu o kybernetickej odolnosti a iné	3 milióny EUR	od roku 2028	SRP zavedená spoluzákonodarcami je najväčším informačným systémom, aký bol v histórii agentúry ENISA vyvinutý, a kľúčovým pilierom aktu o kybernetickej odolnosti. Jej zriadenie je v súčasnosti financované na základe dohody o príspevku, ale jej každodenné riadenie si bude vyžadovať určitý počet ekvivalentov plného pracovného času (pozri vyššie), ako aj prevádzkové náklady. Agentúra ENISA zohráva kľúčovú úlohu pri zabezpečovaní úspechu rámca Únie pre bezpečnosť výrobkov, aktu o kybernetickej odolnosti.
Bezpečná komunikácia a kybernetická vyspelosť agentúry ENISA	2 milióny EUR +	Investícia vo výške 1,1 milióna EUR v roku 2028 (platformy CyCLONe/CSIRT + bezp. komunikácia) 1 milión EUR ročne na údržbu od roku 2029 1,5 milióna EUR kybernetická vyspelosť	Zaistenie kybernetickej bezpečnosti agentúry a komunikačných nástrojov.
Údržba certifikácie kybernetickej bezpečnosti	1 400 000 miliónov EUR	2028 600 000 2029 1 000 000 2030 1 200 000 2031 1 400 00 2032 1 400 000 2033 1 400 000 2034 1 400 000	Pokryté poplatkami (v plnej výške od roku 2032)
Schémy osvedčovania kybernetickej bezpečnosti	212 920 EUR	Od roku 2030 50 % pokrytie z rozpočtu EÚ	Plne pokryté poplatkami od roku 2033

3.2.5.Prehľad odhadovaného vplyvu na investície súvisiace s digitálnymi technológiami

Povinné: v nasledujúcej tabuľke by mal byť uvedený najlepší odhad investícií súvisiacich s digitálnymi technológiami, ktoré sú súčasťou návrhu/iniciatívy.

Vo výnimočných prípadoch, ak je to potrebné na účely vykonávania návrhu/iniciatívy, by sa v určenom riadku mali uviesť rozpočtové prostriedky okruhu 4.

Rozpočtové prostriedky okruhov 1 – 3 by sa mali uvádzať ako „Výdavky na operačné programy v oblasti politiky IT“. Tieto výdavky sa týkajú operačného rozpočtu, ktorý sa má použiť na opätovné použitie/nákup/vývoj IT platforiem/nástrojov priamo spojených s vykonávaním iniciatívy a investíciami, ktoré s nimi súvisia (napr. licencie, štúdie, uchovávanie údajov atď.). Informácie uvedené v tejto tabuľke by mali byť v súlade s podrobnými údajmi uvedenými v oddiele 4 „Digitálne rozmery“.

Digitálne a IT rozpočtové prostriedky SPOLU	Rok	Rok	Rok	Rok	Rok	Rok	Rok	VFR 2028 – 2034 SPOLU
	2028	2029	2030	2031	2032	2033	2034
OKRUH 4
IT výdavky (organizácie)	0	0	0	0	0	0	0	0
Medzisúčet OKRUHU 4	0	0	0	0	0	0	0	0
Mimo OKRUHU 4
Výdavky na operačné programy v oblasti politiky IT	0	0	0	0	0	0	0	0
Medzisúčet mimo OKRUHU 4	0	0	0	0	0	0	0	0
SPOLU	0	0	0	0	0	0	0	0

3.2.6.Súlad s platným viacročným finančným rámcom 

Návrh/iniciatíva:

–    môže byť v plnej miere financovaná prerozdelením v rámci príslušného okruhu viacročného finančného rámca (VFR).

–    si vyžaduje použitie nepridelenej rezervy v rámci príslušného okruhu VFR a/alebo použitie osobitných nástrojov vymedzených v nariadení o VFR.

–    si vyžaduje revíziu VFR.

3.2.7.Príspevky od tretích strán 

Návrh/iniciatíva:

–    nezahŕňa spolufinancovanie tretími stranami

–    zahŕňa spolufinancovanie tretími stranami, ako je odhadnuté v nasledujúcej tabuľke:

rozpočtové prostriedky v mil. EUR (zaokrúhlené na 3 desatinné miesta)

	Rok 2028	Rok 2029	Rok 2030	Rok 2031	Spolu
Uveďte spolufinancujúci subjekt
Prostriedky zo spolufinancovania SPOLU

3.2.8.Odhadované ľudské zdroje a využitie potrebných prostriedkov v decentralizovanej agentúre

Dodatočné požiadavky na zamestnancov (ekvivalent plného pracovného času)

Agentúra: ENISA	Rok 2028	Rok 2029	Rok 2030	Rok 2031	Rok 2032	Rok 2033	Rok 2034
Dočasní zamestnanci (funkčná skupina AD)	5	11	17	19	19	19	19
Dočasní zamestnanci (funkčná skupina AST)	4	7	11	12	12	12	12
Dočasní zamestnanci (AD+AST) medzisúčet	9	18	28	31	31	31	31
Zmluvní zamestnanci	22	44	66	74	74	74	74
Vyslaní národní experti	4	8	11	13	13	13	13
Zmluvní zamestnanci a vyslaní národní experti medzisúčet	26	52	77	87	87	87	87
Pracovníci SPOLU	35	70	105	118	118	118	118

Prostriedky kryté príspevkom z rozpočtu EÚ v mil. EUR (zaokrúhlené na 3 desatinné miesta)

Agentúra: ENISA	Rok 2028	Rok 2029	Rok 2030	Rok 2031	Rok 2032	Rok 2033	Rok 2034	SPOLU 2028 – 2034
Hlava 1: Výdavky na zamestnancov	4,488	8,466	12,507	13,648	10,584	10,012	9,537	87,766
Hlava 2: Výdavky na infraštruktúru a operačné výdavky
Hlava 3: Operačné výdavky	16,413	11,588	11,528	11,788	11,613	11,613	11,113	85,240
Prostriedky kryté rozpočtom EÚ SPOLU	20,901	20,054	24,035	25,437	22,197	21,625	21,151	155,4

Prostriedky kryté prípadnými poplatkami v mil. EUR (zaokrúhlené na 3 desatinné miesta)

Agentúra: ENISA	Rok 2028	Rok 2029	Rok 2030	Rok 2031	Rok 2032	Rok 2033	Rok 2034	SPOLU 2028 – 2034
Hlava 1: Výdavky na zamestnancov		0,510	1,043	1,539	4,604	5,176	5,650	18,522
Hlava 2: Výdavky na infraštruktúru a operačné výdavky								0,000
Hlava 3: Operačné výdavky								0,000
Prostriedky kryté poplatkami SPOLU	0,000	0,510	1,043	1,539	4,604	5,176	5,650	18,522

Prehľad/zhrnutie ľudských zdrojov a rozpočtových prostriedkov (v mil. EUR) potrebných v rámci návrhu/iniciatívy v decentralizovanej agentúre

Agentúra: ENISA	Rok 2028	Rok 2029	Rok 2030	Rok 2031	Rok 2032	Rok 2033	Rok 2034	SPOLU 2028 – 2034
Dočasní zamestnanci (AD+AST)	9	18	28	31	31	31	31	31
Zmluvní zamestnanci	22	44	66	74	74	74	74	74
Vyslaní národní experti	4	8	11	13	13	13	13	13
Pracovníci SPOLU	35	70	105	118	118	118	118	118
Prostriedky kryté rozpočtom EÚ	20,901	20,054	24,035	25,437	22,197	21,625	21,151	155,4
Prostriedky kryté poplatkami (ak sa uplatňujú)	0,000	0,510	1,043	1,539	4,604	5,176	5,650	18,522
Prostriedky zo spolufinancovania (ak sa uplatňuje)	0,000	0,000	0,000	0,000	0,000	0,000	0,000	0,000
Rozpočtové prostriedky	20,901	20,564	25,078	26,976	26,801	26,801	26,801	173,922

 
3.3.    Odhadovaný vplyv na príjmy 

–    Návrh/iniciatíva nemá finančný vplyv na príjmy.

–    Návrh/iniciatíva má tento finančný vplyv na príjmy:

–    vplyv na vlastné zdroje

–    vplyv na iné príjmy

–    uveďte, či sú príjmy pripísané rozpočtovým riadkom výdavkov

v mil. EUR (zaokrúhlené na 3 desatinné miesta)

Rozpočtový riadok príjmov:	Rozpočtové prostriedky k dispozícii v bežnom rozpočtovom roku	Vplyv návrhu/iniciatívy 105
		Rok 2028	Rok 2029	Rok 2030	Rok 2031	Rok 2032	Rok 2033	Rok 2034
Článok ….

V prípade pripísaných príjmov uveďte príslušné rozpočtové riadky výdavkov.

Ďalšie poznámky (napr. spôsob/vzorec použitý na výpočet vplyvu na príjmy alebo akékoľvek ďalšie informácie).

4. Digitálne rozmery

4.1.Požiadavky digitálneho významu

Všeobecný opis požiadaviek digitálneho významu a súvisiacich kategórií (údaje, digitalizácia a automatizácia procesov, digitálne riešenia a/alebo digitálne verejné služby)

Odkaz na požiadavku  Opis požiadavky  Subjekty, na ktoré má požiadavka vplyv alebo ktorých sa dotýka  Procesy na vysokej úrovni  Kategórie  Článok 5 ods. 1 písm. a) Podpora vykonávania práva EÚ a)    pomáha členským štátom pri jednotnom vykonávaní politiky a práva Únie v oblasti kybernetickej bezpečnosti, a to aj vydávaním technických usmernení a správ, poskytovaním poradenstva a výmenou najlepších postupov a uľahčovaním výmeny najlepších postupov medzi príslušnými orgánmi v tejto súvislosti; – ENISA – členské štáty  – spracovanie údajov s cieľom vydávať technické usmernenia, správy, poskytovať poradenstvo a vymieňať si najlepšie postupy a uľahčovať výmenu osvedčených postupov medzi príslušnými orgánmi – uľahčenie výmeny osvedčených postupov  Spracovanie údajov  Tok údajov Článok 5 ods. 1 písm. b) Podpora vykonávania práva EÚ b)    podporuje výmenu informácií v rámci odvetví a medzi nimi, najmä pokiaľ ide o odvetvia uvedené v prílohách I a II k smernici (EÚ) 2022/2555 a produkty s digitálnymi prvkami, ktoré patria do rozsahu pôsobnosti nariadenia (EÚ) 2024/2847, poskytovaním najlepších postupov a usmernení k dostupným nástrojom a postupom; – ENISA – odvetvia uvedené v prílohách I a II k smernici (EÚ) 2022/2555 – zainteresované strany, na ktoré má vplyv nariadenie (EÚ) 2024/2847 poskytovanie najlepších postupov a usmernení k dostupným nástrojom a postupom v oblasti výmeny informácií  Spracovanie údajov  Tok údajov Článok 5 ods. 1 písm. c) Podpora vykonávania práva EÚ c)    na žiadosť Komisie pomáha členským štátom poskytovaním podpory, ako sú technické usmernenia vrátane opatrení na riadenie rizík kybernetickej bezpečnosti, nástroje na posúdenie vyspelosti v oblasti kybernetickej bezpečnosti a príručky reakcie na incidenty, prispôsobené odvetviam uvedeným v prílohách I a II k smernici (EÚ) 2022/2555, s cieľom uľahčiť zlepšenie úrovne vyspelosti v oblasti kybernetickej bezpečnosti a dodržiavanie práva Únie týkajúceho sa kybernetickej bezpečnosti; – Európska komisia  – ENISA – odvetvia uvedené v prílohách I a II k smernici (EÚ) 2022/2555 Poskytovanie technického poradenstva  Spracovanie údajov  Tok údajov Článok 5 ods. 1 písm. e) e) pomáha členským štátom a príslušným subjektom Únie pri tvorbe a presadzovaní politík v oblasti kybernetickej bezpečnosti vo vzťahu k udržaniu všeobecnej dostupnosti a integrity verejného jadra otvoreného internetu;   ENISA členské štáty subjekty EÚ Pomoc pri vytváraní a presadzovaní politík kybernetickej bezpečnosti Spracovanie údajov Tok údajov Článok 5 ods. 1 písm. f) Podpora vykonávania práva EÚ f)    v súlade s nariadením (EÚ) 2024/2847 poskytuje technické poradenstvo a podporu v otázkach súvisiacich s vykonávaním a presadzovaním uvedeného nariadenia – ENISA – zainteresované strany, na ktoré má vplyv nariadenie (EÚ) 2024/2847 Poskytovanie technického poradenstva a podpory si vyžaduje spracovanie a zdieľanie informácií o regulačných požiadavkách, problémoch pri implementácii a usmerneniach týkajúcich sa dodržiavania predpisov. Spracovanie údajov Tok údajov Článok 5 ods. 1 písm. h) h) na žiadosť Európskeho výboru pre ochranu údajov poskytuje poradenstvo v oblasti vykonávania osobitných aspektov kybernetickej bezpečnosti politiky a práva Únie týkajúcich sa ochrany údajov a súkromia. ENISA Európsky výbor pre ochranu údajov   Poskytovanie poradenstva na požiadanie Spracovanie údajov  Tok údajov Článok 5 ods. 2 Príspevok k posudzovaniu rizík kybernetickej bezpečnosti na úrovni Únie   Agentúra ENISA prispieva ku koordinovaným posúdeniam rizík v oblasti kybernetickej bezpečnosti na úrovni Únie vrátane tých, ktoré sa vykonávajú podľa článku 22 smernice (EÚ) 2022/2555.   ENISA členské štáty  široká verejnosť  Prispievanie ku koordinovanému posudzovaniu rizík, ktoré si vyžaduje spracovanie údajov a tok údajov Spracovanie údajov Tok údajov  Článok 5 ods. 3 Agentúra ENISA vydáva usmernenia Agentúra ENISA vydá usmernenia týkajúce sa interoperability sietí a informačných systémov používaných na výmenu informácií, a to aj so zreteľom na cezhraničné kybernetické centrá uvedené v článku 6 ods. 3 nariadenia (EÚ) 2025/38. ENISA členské štáty Agentúra ENISA vydáva usmernenia Spracovanie údajov  Tok údajov Článok 5 ods. 5 Podpora Komisie Agentúra ENISA na žiadosť Komisie poskytuje odborné znalosti, technické poradenstvo, informácie alebo analýzy alebo vykonáva prípravné práce v konkrétnych otázkach kybernetickej bezpečnosti s cieľom poskytnúť Komisii informácie pri tvorbe politiky a monitorovaní vykonávania právnych predpisov Únie. Európska komisia ENISA Príprava a zasielanie informácií Komisii Spracovanie údajov  Tok údajov Článok 6 Budovanie kapacít Agentúra ENISA pomáha poskytovaním vedomostí a odborných znalostí, najlepších postupov atď. ENISA členské štáty subjekty EÚ verejné a súkromné zainteresované strany orgány dohľadu nad trhom členovia ECCG ECCC Poskytovanie vedomostí a odborných znalostí  Spracovanie údajov  Tok údajov Článok 7 Zvyšovanie informovanosti a okruh talentov Agentúra ENISA pomáha členským štátom v ich úsilí o zvyšovanie informovanosti o politikách a právnych predpisoch Únie týkajúcich sa kybernetickej bezpečnosti a podporuje ich zviditeľnenie vypracovávaním použiteľných nástrojov a usmernení. Agentúra ENISA podporuje iniciatívy zamerané na zväčšenie okruhu talentov v oblasti kybernetickej bezpečnosti v Európe, najmä koordináciou výberových konaní. ENISA členské štáty Vypracovanie použiteľných nástrojov a usmernení Spracovanie údajov Článok 8 ods. 1 Znalosť a analýzy trhu Agentúra ENISA vykonáva a šíri analýzy hlavných trhových trendov na trhu kybernetickej bezpečnosti na strane dopytu aj ponuky, najmä v súvislosti s oblasťami, v ktorých existujú alebo sa plánujú európske schémy certifikácie kybernetickej bezpečnosti, odvetviami uvedenými v prílohách I a II k smernici (EÚ) 2022/2555 a kategóriami produktov, na ktoré sa vzťahuje nariadenie (EÚ) 2024/2847 vrátane príloh III a IV k uvedenému nariadeniu. ENISA odvetvia uvedené v prílohách I a II k smernici (EÚ) 2022/2555 kategórie produktov, na ktoré sa vzťahuje nariadenie (EÚ) 2024/2847 Vykonávanie a šírenie analýzy Spracovanie údajov  Tok údajov Článok 8 ods. 2 Znalosť a analýzy trhu Agentúra ENISA vykonáva a šíri analýzy technologických trendov v oblasti kybernetickej bezpečnosti, najmä pokiaľ ide o činnosti a subjekty, ktoré patria do rozsahu pôsobnosti smernice (EÚ) 2022/2555, a produkty s digitálnymi prvkami, ktoré patria do rozsahu pôsobnosti nariadenia (EÚ) 2024/2847. ENISA široká verejnosť, zainteresované strany v zmysle smernice (EÚ) 2022/2555 a nariadenia (EÚ) 2024/2847 Vykonávanie a šírenie analýz Spracovanie údajov Tok údajov Článok 8 ods. 3 Znalosť trhu a podpora ekosystémov Agentúra ENISA zhromažďuje vedomosti a šíri technické poradenstvo a analýzy týkajúce sa najmodernejších kybernetickobezpečnostných nástrojov, rámcových noriem a najlepších postupov. ENISA široká verejnosť Šíriť technické poradenstvo a analýzy v oblasti najmodernejších kybernetickobezpečnostných nástrojov, rámcových noriem a osvedčených postupov. Spracovanie údajov Tok údajov Článok 9 Medzinárodná spolupráca   Agentúra ENISA prispieva tým, že analyzuje výsledky medzinárodných cvičení a podáva o nich správy správnej rade, uľahčuje výmenu osvedčených postupov, poskytuje Komisii odborné znalosti a poradenstvo. medzinárodné publikum  ENISA správna rada agentúry ENISA Európska komisia Analýza a podávanie správ; poskytovanie poradenstva atď.   Spracovanie údajov Tok údajov   Článok 10 ods. 2 a 3 Operačná spolupráca 2.    Agentúra ENISA je členom siete národných jednotiek CSIRT zriadenej podľa článku 15 ods. 1 smernice (EÚ) 2022/2555 a zabezpečuje sekretariát siete jednotiek CSIRT podľa článku 15 ods. 2 smernice (EÚ) 2022/2555. 3.    Agentúra ENISA zabezpečuje sekretariát Európskej siete styčných organizácií pre kybernetické krízy (EU-CyCLONe) podľa článku 16 ods. 2 druhého pododseku smernice (EÚ) 2022/2555. ENISA  jednotky CSIRT [článok 15 ods. 1 smernice (EÚ) 2022/2555]  sieť EU-CyCLONe [článok 16 ods. 2 smernice (EÚ) 2022/2555]  Uľahčenie výmeny informácií, prevzatie povinností sekretariátu sietí Tok údajov Digitálne riešenie Digitálna verejná služba    Článok 11 ods. 1 písm. b) Situačné povedomie    Článok 12 Včasné varovania  vydávanie včasných varovaní v súlade s článkom 12   Európska komisia ENISA Europol EU-CyCLONe sieť jednotiek CSIRT  CERT-EU subjekty uvedené v prílohách I a II k smernici (EÚ) 2022/2555 Vydávanie včasných varovaní Spracovanie údajov Tok údajov  Digitálna verejná služba Článok 10 ods. 4 písm. b) Operačná spolupráca b)    na žiadosť jedného alebo viacerých členských štátov poskytovanie poradenstva a posúdení v súvislosti s konkrétnym potenciálnym alebo prebiehajúcim incidentom alebo kybernetickou hrozbou, a to aj formou poskytovania odborných znalostí a uľahčovania technického riešenia takýchto incidentov a podporou dobrovoľného zdieľania príslušných informácií a technických riešení medzi členskými štátmi;  ENISA členské štáty Poskytovanie poradenstva a posúdení v súvislosti s konkrétnym potenciálnym alebo prebiehajúcim incidentom alebo kybernetickou hrozbou; Uľahčenie technického riešenia takýchto incidentov; Podpora dobrovoľnej výmeny príslušných informácií a technických riešení medzi členskými štátmi Spracovanie údajov Tok údajov Digitálne verejné služby Článok 10 ods. 4 písm. c) Operačná spolupráca c)    analýza zraniteľností, hrozieb a incidentov; ENISA členské štáty Zber údajov z verejných zdrojov a výmena údajov s členskými štátmi  Spracovanie údajov Tok údajov Článok 10 ods. 4 písm. d) Operačná spolupráca d) na žiadosť jedného alebo viacerých členských štátov poskytovanie podpory v súvislosti s ex post technickým skúmaním významných incidentov v zmysle smernice (EÚ) 2022/2555; ENISA členské štáty Analýza a podpora v reakcii na technické otázky týkajúce sa incidentov Spracovanie údajov Tok údajov Článok 10 ods. 4 písm. e) Operačná spolupráca e)    prispievanie k podpore koordinovaného riadenia rozsiahlych kybernetických bezpečnostných incidentov a kríz na operatívnej úrovni, najmä prostredníctvom pomoci siete EU-CyCLONe pri príprave správ pre politickú úroveň a uľahčovaním včasnej výmeny informácií medzi sieťou jednotiek CSIRT a sieťou EU-CyCLONe;  ENISA EU-CyCLONe sieť jednotiek CSIRT  Analýza údajov na podporu prípravy správ; uľahčenie včasnej výmeny informácií medzi sieťami Spracovanie údajov Tok údajov  Digitálna verejná služba  Článok 10 ods. 5  Operačná spolupráca Na žiadosť členského štátu alebo subjektu Únie v spolupráci s tímom CERT-EU agentúra ENISA podporuje dôslednú komunikáciu s verejnosťou v súvislosti s incidentom alebo kybernetickou hrozbou. ENISA členské štáty Prijímanie žiadostí a prípadná komunikácia Tok údajov Článok 10 ods. 6 Operačná spolupráca Agentúra ENISA podporuje spoluprácu medzi členskými štátmi a prostredníctvom tímu CERT-EU aj medzi subjektmi Únie, pokiaľ ide o zavádzanie nástrojov bezpečnej komunikácie. Agentúra ENISA používa v rámci siete jednotiek CSIRT a siete EU-CyCLONe nástroje bezpečnej komunikácie, ktoré poskytujú právne subjekty, ktoré nie sú usadené v tretích krajinách, nie sú nimi kontrolované ani nie sú kontrolované štátnymi príslušníkmi tretích krajín.  ENISA Európska komisia členské štáty subjekty EÚ sieť jednotiek CSIRT EU-CyCLONe Podporovať zavádzanie nástrojov bezpečnej komunikácie a používať tieto nástroje v rámci siete jednotiek CSIRT a siete EU-CyCLONe.  Digitálne riešenie  Digitálna verejná služba  Článok 11 ods. 1 písm. a) Spoločné situačné povedomie v oblasti kybernetickej bezpečnosti  a)    v spolupráci so sieťou EU-CyCLONe, sieťou jednotiek CSIRT, Komisiou, tímom CERT-EU, Europolom a ďalšími príslušnými subjektmi Únie vyvíja archívy overených a spoľahlivých informácií o kybernetických hrozbách vrátane trendov v oblasti incidentov, taktík, techník a postupov; Európska komisia ENISA EU-CyCLONe sieť jednotiek CSIRT Europol subjekty EÚ CERT-EU Vývoj archívov  Digitálny tok Digitálne riešenie  Digitálna verejná služba Článok 11 ods. 1 písm. c) až g)  Spoločné situačné povedomie v oblasti kybernetickej bezpečnosti Poskytovanie včasných ad-hoc analýz (niektoré na požiadanie); poskytovanie analýz a technického poradenstva; príprava technickej situačnej správy v spolupráci s inými subjektmi; monitorovanie trendov a ich zdieľanie ENISA členské štáty Európska komisia subjekty EÚ EU-CyCLONe sieť jednotiek CSIRT Analýza údajov, zdieľanie informácií a poskytovanie správ (niektoré na požiadanie) Spracovanie údajov Tok údajov  Článok 11 ods. 2 písm. a) Spoločné situačné povedomie v oblasti kybernetickej bezpečnosti Agentúra ENISA vykonáva analýzy kybernetických hrozieb, incidentov, trendov, vznikajúcich technológií a ich vplyvov vrátane pravidelnej analýzy zameranej na odvetvia uvedené v prílohách I a II k smernici (EÚ) 2022/2555 a príslušné kategórie produktov, na ktoré sa vzťahuje nariadenie (EÚ) 2024/2847; ENISA široká verejnosť Analyzovať údaje s cieľom poskytnúť informácie, ktoré majú vplyv na kybernetickú bezpečnosť; pravidelná správa Spracovanie údajov Tok údajov Článok 11 ods. 2 písm. b) Spoločné situačné povedomie v oblasti kybernetickej bezpečnosti Agentúra ENISA v spolupráci s Komisiou a v náležitých prípadoch so sieťou jednotiek CSIRT vydáva poradenstvo, usmernenia a najlepšie postupy pre bezpečnosť sietí a informačných systémov, najmä pre bezpečnosť infraštruktúr podporujúcich odvetvia uvedené v prílohách I a II k smernici (EÚ) 2022/2555;   Európska komisia CERT-EU sieť jednotiek CSIRT široká verejnosť Vydávanie rád, usmernení a najlepších postupov Spracovanie údajov Tok údajov Článok 11 ods. 2 písm. c) Spoločné situačné povedomie v oblasti kybernetickej bezpečnosti Agentúra ENISA vykonáva dlhodobé strategické analýzy kybernetických hrozieb a incidentov s cieľom identifikovať nastupujúce trendy a pomôcť predchádzať incidentom. ENISA  široká verejnosť Analýza údajov a identifikácia nových hrozieb  Spracovanie údajov   Článok 11 ods. 3 Spoločné situačné povedomie v oblasti kybernetickej bezpečnosti Agentúra ENISA môže analýzy, poradenstvo, usmernenia, najlepšie postupy a správy uvedené v odseku 2 po dohode s prispievateľskými subjektmi uvedenými v odseku 2 zverejniť. ENISA široká verejnosť Zverejňovanie informácií Tok údajov Digitálna verejná služba  Článok 13 ods. 2 Podpora pri reakcii na incidenty  2.    Na žiadosť Komisie alebo siete EU-CyCLONe agentúra ENISA s podporou siete jednotiek CSIRT a so súhlasom dotknutého členského štátu preskúma a posúdi významné kybernetické bezpečnostné incidenty alebo rozsiahle kybernetické bezpečnostné incidenty v súlade s článkom 21 nariadenia (EÚ) 2025/38. Európska komisia ENISA EU-CyCLONe sieť jednotiek CSIRT členské štáty Preskúmanie a posúdenie významných kybernetických bezpečnostných incidentov Spracovanie údajov  Článok 14 ods. 2 Kybernetickobezpečnostné cvičenia na úrovni Únie 2.    Agentúra ENISA vedie archív poznatkov získaných z cvičení uvedených v odseku 1 a odporúča členským štátom a v náležitých prípadoch subjektom Únie, ako možno získané skúsenosti účinne a efektívne implementovať. ENISA členské štáty subjekty EÚ Vedenie archívu Spracovanie údajov  Digitálne riešenie Digitálna verejná služba  Článok 14 Kybernetickobezpečnostné cvičenia na úrovni Únie  Agentúra ENISA na základe žiadostí siete EU-CyCLONe, Komisie, členských štátov alebo tímu CERT-EU organizuje kybernetickobezpečnostné cvičenia alebo prispieva k ich organizácii. Agentúra ENISA podporuje Komisiu pri zostavovaní ročného priebežného programu kybernetickobezpečnostných cvičení na úrovni Únie. ENISA Komisia členské štáty subjekty EÚ CERT-EU Prijímanie žiadostí o organizovanie alebo podporu pri organizovaní cvičení  Tok údajov Spracovanie údajov Článok 15 Poskytovanie nástrojov a platforiem    1.    Agentúra ENISA zriadi, poskytuje, prevádzkuje, udržiava a podľa potreby aktualizuje operačné technické nástroje vrátane platforiem týkajúcich sa kybernetickej bezpečnosti na úrovni Únie, najmä jednotnú oznamovaciu platformu na oznamovanie incidentov zriadenú podľa článku 16 ods. 1 nariadenia (EÚ) 2024/2847 [a jednotné kontaktné miesto zriadené podľa článku 23a smernice (EÚ) 2022/2555], a testovacie nástroje na podporu vykonávania postupov posudzovania zhody v súlade s príslušnými právnymi predpismi Únie. 2.    Ak je to vhodné na účely odseku 1, agentúra ENISA spolupracuje a vymieňa si informácie so sieťou jednotiek CSIRT a v náležitých prípadoch s orgánmi dohľadu nad trhom. ENISA sieť jednotiek CSIRT široká verejnosť orgány dohľadu nad trhom   Agentúra ENISA zriadi, poskytuje, prevádzkuje, udržiava a podľa potreby aktualizuje operačné technické nástroje, ako sú platformy Digitálne riešenie Digitálna verejná služba Tok údajov Článok 16 ods. 2 Služby riadenia zraniteľností  a)    vedenie európskej databázy zraniteľností zriadenej podľa článku 12 ods. 2 smernice (EÚ) 2022/2555; b)    poskytovanie služieb riadenia zraniteľností zainteresovaným stranám, pričom sa vychádza z európskej databázy zraniteľností a využívajú sa príslušné informácie, ktoré má agentúra ENISA k dispozícii; c)    v náležitých prípadoch nadviazanie štruktúrovanej spolupráce s organizáciami, ktoré poskytujú programy, registre alebo databázy podobné európskej databáze zraniteľností; d)    aktívna podpora jednotiek CSIRT určených ako koordinátori podľa článku 12 ods. 1 smernice (EÚ) 2022/2555, pokiaľ ide o riadenie koordinovaného zverejňovania zraniteľností, ktoré môžu mať významný vplyv na subjekty vo viac ako jednom členskom štáte; e) vypracovanie a udržiavanie metodík a mechanizmov riadenia na identifikáciu zraniteľností a ich koordinované zverejňovanie v spolupráci s príslušnými vnútroštátnymi orgánmi, jednotkami CSIRT, odvetvím a výskumnou komunitou. ENISA vnútroštátne jednotky CSIRT sieť jednotiek CSIRT vnútroštátne príslušné orgány odvetvie výskumná komunita široká verejnosť medzinárodné subjekty poskytujúce programy, registre alebo databázy Poskytovanie služieb riadenia zraniteľností; v náležitých prípadoch nadviazanie štruktúrovanej spolupráce; spolupráca so zainteresovanými stranami  Digitálne riešenie  Digitálna verejná služba  Tok údajov   Článok 17 Certifikácia kybernetickej bezpečnosti   Článok 18 Normalizácia, technické špecifikácie a usmernenia Článok 17 ods. 1 a) vypracovanie kandidátskych európskych schém certifikácie kybernetickej bezpečnosti (ďalej len „kandidátske schémy“) pre produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby alebo úroveň kybernetickej bezpečnosti subjektov a súvisiacich technických špecifikácií v súlade s článkom 74; b) udržiavanie prijatých európskych schém certifikácie kybernetickej bezpečnosti v súlade s článkom 75, a to aj vzhľadom na možné preskúmanie prijatých európskych schém certifikácie kybernetickej bezpečnosti v súlade s článkom 76; c) podpora zavádzania prijatých schém a udržiavanie špecializovaného webového sídla, na ktorom sa poskytujú informácie o európskych schémach certifikácie kybernetickej bezpečnosti, európskych certifikátoch kybernetickej bezpečnosti a EÚ vyhláseniach o zhode v súlade s článkom 79 a ktoré ich zverejňuje; Článok 17 ods. 2 e) príprava vzorových ustanovení, na ktoré sa bude odkazovať v európskych schémach certifikácie kybernetickej bezpečnosti („kandidátskych schémach“) pre produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby a úroveň kybernetickej bezpečnosti subjektov v súlade s článkom 81 ods. 5.   Článok 18 1. Agentúra ENISA vypracúva technické špecifikácie a usmernenia na podporu vykonávania právnych predpisov Únie v oblasti kybernetickej bezpečnosti. 2. Agentúra ENISA monitoruje vývoj normalizácie na úrovni Únie a v súlade s článkom 9 na medzinárodnej úrovni, zúčastňuje sa na ňom a vedie ho. 3. Agentúra ENISA podporuje vývoj a hodnotenie kryptografických algoritmov. Ak sa kryptografický algoritmus vyhodnotí kladne, agentúra ENISA spolupracuje v súlade s nariadením (EÚ) č. 1025/2012 s európskymi normalizačnými orgánmi s cieľom podporiť jeho normalizáciu. 4. Agentúra ENISA poskytuje Komisii a ECCG technické odborné znalosti o vhodných normách alebo technických špecifikáciách na podporu politík Únie týkajúcich sa kybernetickej bezpečnosti, najmä nariadenia (EÚ) 2024/2847, vrátane harmonizačných právnych predpisov Únie v oblasti kybernetickej bezpečnosti a európskych schém certifikácie kybernetickej bezpečnosti podľa článku 81 ods. 1 písm. d).  5. Agentúra ENISA pomáha Komisii pri posudzovaní návrhov harmonizovaných noriem na podporu vykonávania harmonizačných právnych predpisov Únie v oblasti kybernetickej bezpečnosti. ENISA široká verejnosť Analýza údajov a výmena tokov údajov s Komisiou a inými zainteresovanými stranami; príprava kandidátskej schémy certifikácie; udržiavanie webového sídla agentúry ENISA Spracovanie údajov Toky údajov Digitálna verejná služba Článok 19 – Európsky rámec zručností v oblasti kybernetickej bezpečnosti               Agentúra ENISA vypracuje a zverejní európsky rámec zručností v oblasti kybernetickej bezpečnosti (ďalej len „ECSF“). Pred zverejnením alebo aktualizáciou ECSF podľa odseku 4 sa agentúra ENISA poradí s Komisiou. Používanie ECSF je pre verejné a súkromné subjekty dobrovoľné. Agentúra ENISA môže pri vývoji a zavádzaní ECSF viesť konzultácie so zainteresovanými stranami. ENISA Komisia široká verejnosť členské štáty  subjekty EÚ verejné a súkromné zainteresované strany   Údržba ECSF; konzultácie so zainteresovanými stranami; zavádzanie ECSF  Spracovanie údajov  Tok údajov Digitálne riešenie   Články 20 – 23 – Európske schémy osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti Agentúra ENISA vypracuje, prijme a udržiava európske schémy osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti. Používanie európskych schém osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti je pre vnútroštátne verejné orgány a súkromné subjekty dobrovoľné, pokiaľ sa vo vnútroštátnych právnych predpisoch nestanovuje inak. Pred začatím novej európskej schémy osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti sa agentúra ENISA poradí s Komisiou. Agentúra ENISA prijme takúto schému len na základe kladného stanoviska Komisie. Agentúra ENISA môže pri vypracovaní európskej schémy osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti konzultovať s príslušnými zainteresovanými stranami. Agentúra ENISA zabezpečuje úzku spoluprácu s členskými štátmi počas celej prípravy európskych schém osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti. Autorizovaní poskytovatelia osvedčení posúdia, či jednotlivci spĺňajú požiadavky európskej schémy osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti, a ak sú tieto požiadavky splnené, vydajú európske osvedčenia o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti. Agentúra ENISA poskytuje usmernenia posudzovateľom a vykonáva ich povinnú odbornú prípravu, pokiaľ ide o požiadavky a metódy posudzovania zahrnuté do európskej schémy osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti, ako sa uvádza v článku 20 ods. 3 písm. b). Subjekty, ktoré sa chcú stať autorizovanými poskytovateľmi osvedčení alebo si obnoviť svoju autorizáciu (ďalej len „žiadatelia“), predložia žiadosť agentúre ENISA. Autorizovaní poskytovatelia osvedčení zabezpečia, aby sa na žiadosť jednotlivca vydávali elektronické európske osvedčenia o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti ako elektronické osvedčenia atribútov vo formáte, ktorý možno uložiť do európskych peňaženiek digitálnej identity stanovených v nariadení (EÚ) č. 910/2014. Žiadatelia a autorizovaní poskytovatelia osvedčení umožnia agentúre ENISA vykonávať hodnotenia v rámci procesu podávania počiatočnej žiadosti, udržiavania autorizácie alebo jej obnovenia a zdieľať všetky relevantné informácie, aby sa zabezpečilo, že požiadavky stanovené v odsekoch 3 a 4 a povinnosti stanovené v odseku 5 sú (naďalej) splnené v súlade s článkom 22 ods. 2. Autorizovaní poskytovatelia osvedčení bezodkladne informujú agentúru ENISA, ak niektorá z požiadaviek uvedených v odseku 3 už nie je splnená alebo ak vznikne akákoľvek pochybnosť, že tieto požiadavky nie sú splnené, a to aj pokiaľ ide o nezávislosť posudzovateľov. Žiadatelia zaplatia agentúre ENISA poplatok za posúdenie svojej žiadosti. Autorizovaní poskytovatelia osvedčení platia agentúre ENISA poplatok za udržiavanie svojej autorizácie.  Agentúra ENISA vyhodnotí, či žiadatelia a autorizovaní poskytovatelia osvedčení (naďalej) spĺňajú požiadavky stanovené v článku 21 ods. 3 a 4 a povinnosti stanovené v článku 21 ods. 5. Po preskúmaní žiadosti na základe požiadaviek stanovených v článku 21 ods. 3 a 4 môže agentúra ENISA vydať rozhodnutie. Agentúra ENISA môže takéto rozhodnutia zmeniť, pozastaviť alebo zrušiť. Agentúra ENISA spravuje a pravidelne aktualizuje špecializované webové sídlo, na ktorom sa poskytujú verejné informácie o: a)ECSF vrátane rámca a časového harmonogramu jeho aktualizácie; b)európskych schémach osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti, ich pokroku a časových harmonogramoch ich vývoja; c)poplatkoch spojených s každou európskou schémou osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti prijatých podľa článku 47 tohto nariadenia; d)orientačných nákladoch na európske osvedčenie o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti v súlade s článkom 20 ods. 4; e)zozname autorizovaných poskytovateľov osvedčení. ENISA Komisia  široká verejnosť členské štáty  subjekty EÚ Verejné a súkromné zainteresované strany (prispievajúce k rozvoju schémy osvedčovania; žiadatelia a poskytovatelia európskych osvedčení o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti vrátane posudzovateľov)    Vývoj a údržba schém; konzultácie so zainteresovanými subjektmi; spracovanie žiadostí; vydávanie rozhodnutí; udržiavanie webového sídla  Spracovanie údajov  Tok údajov Digitálne riešenie Digitálna verejná služba Článok 25  Zloženie správnej rady Vymenovanie členov správnej rady agentúry ENISA. ENISA Európska komisia členské štáty Vymenovanie členov Tok údajov Spracovanie údajov Článok 28 ods. 1 Funkcie správnej rady   Článok 30 Výkonná rada b.prijíma návrh jednotného programového dokumentu agentúry ENISA uvedeného v článku 44 pred jeho predložením Komisii na vydanie stanoviska; f) posudzuje a prijíma konsolidovanú výročnú správu o činnosti agentúry ENISA vrátane účtovnej závierky a opisu toho, ako agentúra ENISA splnila svoje ukazovatele výkonnosti, predkladá výročnú správu a jej posúdenie do 1. júla nasledujúceho roka Európskemu parlamentu, Rade, Komisii a Európskemu dvoru audítorov; zverejňuje výročnú správu; i) zabezpečuje primerané opatrenia v nadväznosti na zistenia a odporúčania vyplývajúce zo správ interného alebo externého auditu a z hodnotení, ako aj z vyšetrovaní vykonávaných Európskym úradom pre boj proti podvodom (OLAF) a Európskou prokuratúrou (EPPO); ENISA Európska komisia  Európsky parlament Rada EÚ Dvor audítorov členské štáty  široká verejnosť Predloženie jednotného programového dokumentu Komisii na vydanie stanoviska; Posúdiť a prijať konsolidovanú výročnú správu o činnosti agentúry ENISA vrátane účtovnej závierky a opisu toho, ako agentúra ENISA splnila svoje ukazovatele výkonnosti, predložiť výročnú správu aj posúdenie; Nadväzujúce opatrenia na základe zistení  Tok údajov Spracovanie údajov   Článok 31 ods. 8 Vymenovanie, odvolanie a predĺženie funkčného obdobia   Správna rada informuje Európsky parlament o svojom úmysle predĺžiť funkčné obdobie výkonného riaditeľa v súlade s odsekom 6. Počas troch mesiacov pred takýmto predĺžením funkčného obdobia výkonný riaditeľ, ak k tomu bude vyzvaný, podá vyhlásenie pred príslušným výborom Európskeho parlamentu a odpovie na otázky jeho členov. ENISA  správna rada agentúry ENISA  Európsky parlament  Správna rada informuje Európsky parlament Tok údajov Článok 32 ods. 3 Úlohy a povinnosti výkonného riaditeľa     Článok 32 ods. 5 3. Výkonný riaditeľ podáva Európskemu parlamentu správy o plnení svojich úloh, ak je o to požiadaný. Rada môže vyzvať výkonného riaditeľa, aby podal správu o plnení svojich úloh. Príprava návrhov rozpočtových plánov, stratégií, strategických dokumentov. výkonný riaditeľ agentúry ENISA Európsky parlament  Podávanie správ o výkonnosti  Tok údajov Spracovanie údajov Článok 35 ods. 5, 6 Poradná skupina agentúry ENISA  5. Poradná skupina agentúry ENISA radí agentúre ENISA v súvislosti s vykonávaním úloh agentúry ENISA s výnimkou uplatňovania ustanovení hláv III, IV a V tohto nariadenia. Predovšetkým radí výkonnému riaditeľovi pri vypracúvaní návrhu ročného pracovného programu agentúry ENISA a pri zabezpečovaní komunikácie s príslušnými zainteresovanými stranami o otázkach týkajúcich sa ročného pracovného programu. 6.    Poradná skupina agentúry ENISA pravidelne informuje správnu radu o svojich činnostiach. ENISA členovia poradnej skupiny agentúry ENISA  správna rada agentúry ENISA  výkonný riaditeľ agentúry ENISA Poskytovať poradenstvo a informácie o svojich činnostiach  Spracovanie údajov Tok údajov Článok 36 – 43  Odvolacia rada  Agentúra ENISA rozhodnutím správnej rady zriadi odvolaciu radu. Odvolacia rada sa skladá z predsedu a troch ďalších členov. Každý člen odvolacej rady musí mať náhradníka. Náhradník zastupuje člena počas jeho neprítomnosti. Predsedu, ostatných členov a ich náhradníkov vymenúva správna rada zo zoznamu kvalifikovaných uchádzačov, ktorý zostavila Komisia. Zoznam kvalifikovaných uchádzačov je platný štyri roky. Platnosť tohto zoznamu môže správna rada na návrh Komisie predĺžiť o ďalšie štvorročné obdobia. Keď sa odvolacia rada domnieva, že si to vyžaduje povaha odvolania, môže požiadať správnu radu o vymenovanie dvoch ďalších členov a ich náhradníkov zo zoznamu uvedeného v odseku 3. Odvolacia rada prijme a uverejní svoj rokovací poriadok. Ak v dôsledku jedného z dôvodov uvedených v odseku 1 alebo akýchkoľvek iných dôvodov člen odvolacej rady usúdi, že by sa nemal zúčastniť na niektorom z odvolacích konaní, informuje o tom odvolaciu radu. O krokoch, ktoré treba podniknúť v prípadoch uvedených v odsekoch 2 a 3, rozhodne odvolacia rada bez účasti dotknutého člena. Na účely prijatia takéhoto rozhodnutia nahradí dotknutého člena odvolacej rady jeho náhradník. Odvolanie podané podľa odseku 1 podlieha predbežnému preskúmaniu v súlade s článkom 41 predtým, ako sa predloží na preskúmanie odvolacej rade. Žiadatelia v zmysle článku 21 ods. 3 sa môžu odvolať proti: rozhodnutiu agentúry ENISA, ktoré je im určené podľa článku 22 ods. 3, nekonaniu agentúry ENISA v súvislosti so žiadosťou, ktorú predložili agentúre ENISA, v rámci uplatniteľných lehôt stanovených v článku 22 ods. 4. V prípade uvedenom v odseku 1 písm. a) sa odvolanie spolu s odôvodnením podáva písomne v súlade s rokovacím poriadkom uvedeným v článku 36 ods. 5 do dvoch mesiacov od oznámenia rozhodnutia dotknutému žiadateľovi, alebo ak takéto oznámenie neexistuje, odo dňa, keď sa žiadateľ o rozhodnutí dozvedel. V prípade uvedenom v odseku 1 písm. b) sa odvolanie podáva agentúre ENISA písomne v súlade s rokovacím poriadkom uvedeným v článku 36 ods. 5 do dvoch mesiacov odo dňa uplynutia lehoty stanovenej v článku 22 ods. 4. Ak agentúra ENISA posúdi odvolanie ako prípustné a náležite opodstatnené, opraví svoje rozhodnutie alebo napraví nekonanie uvedené v článku 40 ods. 1.  Ak agentúra ENISA svoje rozhodnutie neopraví do jedného mesiaca od doručenia odvolania, agentúra bezodkladne rozhodne, či uplatňovanie svojho rozhodnutia pozastaví, a postúpi odvolanie odvolacej rade. Odvolacia rada do troch mesiacov od podania odvolania rozhodne, či tomuto odvolaniu vyhovie alebo ho zamietne. Pri preskúmavaní odvolania koná odvolacia rada v lehotách stanovených v jej rokovacom poriadku. Tak často, ako je to potrebné, vyzýva strany odvolacieho konania, aby v rámci stanovených lehôt predložili svoje stanoviská k oznámeniam odvolacej rady alebo k oznámeniam iných strán odvolacieho konania. Strany odvolacieho konania majú právo podávať ústne vyhlásenia. Ak odvolacia rada zistí, že dôvody odvolania sú opodstatnené, vráti vec agentúre ENISA. Agentúra ENISA prijme svoje konečné rozhodnutie v súlade so zisteniami odvolacej rady a vydá odôvodnenie tohto rozhodnutia. Agentúra ENISA o tomto rozhodnutí informuje strany odvolacieho konania. Žaloby o zrušenie rozhodnutí agentúry ENISA prijatých podľa článku 22 ods. 3 alebo žaloby z dôvodu nekonania v uplatniteľných lehotách podľa článku 22 ods. 4 možno podať na Súdny dvor Európskej únie po vyčerpaní odvolacieho konania v rámci agentúry ENISA stanoveného v článkoch 39 až 42 alebo v prípade nekonania v uplatniteľnej lehote podľa článku 41 ods. 2. Agentúra ENISA prijme všetky opatrenia potrebné na dosiahnutie súladu s rozsudkom Súdneho dvora Európskej únie. ENISA správna rada agentúry ENISA  Komisia odvolacia rada v zmysle článku 36 návrhu aktu o kybernetickej bezpečnosti 2 žiadatelia (právne subjekty, ktoré sa chcú stať autorizovanými poskytovateľmi osvedčení, udržať si alebo obnoviť svoju autorizáciu) Vydávanie rozhodnutí na základe odvolaní  Spracovanie odvolaní Príprava a uverejnenie rokovacieho poriadku Tok informácií Spracovanie údajov  Tok údajov  Digitálna verejná služba  Článok 44 Jednotný programový dokument 2. Výkonný riaditeľ každý rok vypracúva návrh jednotného programového dokumentu, ako sa uvádza v odseku 1, s plánovaním zodpovedajúcich finančných a ľudských zdrojov v súlade s článkom 32 delegovaného nariadenia Komisie (EÚ) 2019/715 a s prihliadnutím na usmernenia stanovené Komisiou. 3. Správna rada každoročne do 30. novembra prijme jednotný programový dokument uvedený v odseku 1, pričom zohľadní stanovisko Komisie uvedené v článku 32 ods. 7 delegovaného nariadenia (EÚ) 2019/715. Ak sa správna rada rozhodne nezohľadniť niektoré prvky stanoviska Komisie, dôkladne svoje rozhodnutie odôvodní. Správna rada postúpi jednotný programový dokument Európskemu parlamentu, Rade a Komisii do 31. januára nasledujúceho roka, ako aj všetky neskôr aktualizované verzie uvedeného dokumentu.   výkonný riaditeľ agentúry ENISA správna rada agentúry ENISA Európska komisia Európsky parlament Rada Každoročné vypracovanie, prijatie a zaslanie jednotného programového dokumentu Tok údajov Článok 45 Zostavovanie rozpočtu agentúry ENISA 4.    Komisia zasiela návrh odhadu rozpočtovému orgánu spolu s návrhom všeobecného rozpočtu Únie. Návrh odhadu sa sprístupní aj agentúre ENISA. ENISA Európska komisia Výmena informácií Tok údajov Článok 47 Poplatky  V súvislosti s činnosťami európskych schém individuálneho osvedčovania stanovenými v článku 22 ods. 1 sa od žiadateľov v zmysle článku 21 ods. 3 alebo od autorizovaných poskytovateľov osvedčení s cieľom prispieť k pokrytiu celkových nákladov na činnosti vykonávané agentúrou ENISA vyberajú tieto poplatky: a.vydávanie autorizácií po preskúmaní požiadaviek stanovených v článku 21 ods. 3 a 4 vrátane vykonávania hodnotení; b.ročná údržba autorizácie; c.obnovovanie autorizácií pre poskytovateľov európskych osvedčení o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti vrátane vykonávania hodnotení. V súvislosti s certifikáciou sa od orgánov posudzovania zhody za udržiavanie európskych schém certifikácie kybernetickej bezpečnosti, v rámci ktorých sa vydávajú európske certifikáty kybernetickej bezpečnosti, vyberajú najmä tieto poplatky: ročný poplatok za účasť v európskej schéme certifikácie kybernetickej bezpečnosti; poplatok za vydávanie európskych certifikátov kybernetickej bezpečnosti v rámci európskych schém certifikácie kybernetickej bezpečnosti. Poplatky uvedené v písmene b) sa vyberajú, keď orgán posudzovania zhody predloží agentúre ENISA európske certifikáty kybernetickej bezpečnosti na uverejnenie na jej webovom sídle podľa článku 79. Komisia prijme vykonávacie akty, ktorými stanoví podrobné pravidlá týkajúce sa poplatkov vyberaných agentúrou ENISA.  Agentúra ENISA zahrnie správu o vybraných poplatkoch a ich vplyve na rozpočet agentúry do postupu predkladania účtovnej závierky. Komisia ENISA poskytovatelia osvedčení orgány posudzovania zhody Informácie o spracovaní; úhrada poplatkov; vykazovanie poplatkov Spracovanie údajov  Tok údajov   Článok 48 Článok 49 Vplyv na rozpočet   Článok 48 3.    Každý rok predkladá výkonný riaditeľ rozpočtovému orgánu všetky informácie relevantné pre zistenia postupov hodnotenia. Článok 49 1.    Účtovník agentúry ENISA zasiela predbežnú účtovnú závierku za rozpočtový rok (rok N) účtovníkovi Komisie a Dvoru audítorov do 1. marca nasledujúceho rozpočtového roka (rok N+1). 2.    Účtovník agentúry ENISA poskytne do 1. marca roku N + 1 účtovníkovi Komisie aj požadované účtovné informácie na účely konsolidácie, a to spôsobom a vo formáte, ktoré stanoví účtovník Komisie. 3.    Agentúra ENISA zašle Európskemu parlamentu, Rade, Komisii a Dvoru audítorov do 31. marca roku N + 1 správu o rozpočtovom a finančnom riadení za rok N. 4.    Po prijatí pripomienok Dvora audítorov k predbežnej účtovnej závierke agentúry ENISA za rok N účtovník agentúry ENISA zostaví konečnú účtovnú závierku agentúry ENISA. 5. Správna rada zaujme ku konečnej účtovnej závierke agentúry ENISA za rok N stanovisko. Účtovník agentúry zostavuje konečnú účtovnú závierku agentúry ENISA na vlastnú zodpovednosť. Výkonný riaditeľ túto konečnú účtovnú závierku predloží správnej rade na prijatie stanoviska.  ENISA správna rada agentúry ENISA Európska komisia Rada Európsky parlament Spracovanie a zdieľanie informácií týkajúcich sa rozpočtu agentúry ENISA. Spracovanie údajov  Tok údajov   Článok 52 Vyhlásenie o záujmoch   Strany predložia vyhlásenie o záväzkoch a vyhlásenie o neexistencii alebo existencii akéhokoľvek priameho alebo nepriameho záujmu, ktorý by sa mohol považovať za záujem, ktorý ovplyvňuje ich nezávislosť. vedenie agentúry ENISA (výkonný riaditeľ, zástupca výkonného riaditeľa);  správna rada;  vyslaní národní experti Spracovanie a zdieľanie údajov o vyhlásení o záujmoch  Spracovanie údajov Tok údajov Článok 58 Styční úradníci  1. Každý členský štát v súlade s článkom 59 ods. 2 určí aspoň dvoch styčných úradníkov [zo svojho vnútroštátneho orgánu pre kybernetickú bezpečnosť] ako národných expertov vyslaných do agentúry ENISA, ktorí budú pracovať v jej sídle alebo v jej miestnej kancelárii. Styčného úradníka môže určiť aj Komisia. 2. Styční úradníci určení svojimi členskými štátmi majú právo požadovať a dostávať od svojich členských štátov všetky relevantné informácie, ako sa stanovuje v tomto nariadení, a to pri plnom dodržiavaní vnútroštátnych právnych predpisov alebo praxe svojich členských štátov, najmä pokiaľ ide o ochranu údajov a pravidlá týkajúce sa dôvernosti informácií. ENISA členské štáty  Určenie styčných úradníkov a zdieľanie informácií  Spracovanie údajov  Tok údajov  Článok 67 Zaobchádzanie s utajovanými skutočnosťami   Agentúra ENISA po porade s Komisiou prijme bezpečnostné predpisy, v ktorých uplatní bezpečnostné zásady obsiahnuté v bezpečnostných predpisoch Komisie na ochranu citlivých neutajovaných skutočností a utajovaných skutočností Európskej únie podľa rozhodnutí (EÚ, Euratom) 2015/443 a 2015/444. Bezpečnostné predpisy agentúry ENISA musia zahŕňať ustanovenia týkajúce sa výmeny, spracúvania a uchovávania takýchto skutočností.  ENISA správna rada  Komisia  Zaobchádzanie s utajovanými skutočnosťami Spracovanie údajov Tok údajov Článok 68, 69, 70 Spolupráca so subjektmi Únie a vnútroštátnymi orgánmi Spolupráca so zainteresovanými stranami Spolupráca s tretími krajinami Agentúra ENISA spolupracuje a vymieňa si informácie o záležitostiach týkajúcich sa kybernetickej bezpečnosti s príslušnými subjektmi Únie, orgánmi dohľadu nad trhom a orgánmi dozoru; príslušnými zainteresovanými stranami; príslušnými orgánmi z tretích krajín alebo medzinárodnými organizáciami  ENISA Europol  ECCC Európsky výbor pre ochranu údajov široká verejnosť Rada Výmena informácií Tok údajov Článok 72 o informormovaní verejnosti a konzultáciách týkajúcich sa európskych schém certifikácie kybernetickej bezpečnosti 2.    Komisia spravuje a pravidelne aktualizuje špecializované webové sídlo, na ktorom sa poskytujú informácie o týchto aspektoch: a)    európske schémy certifikácie kybernetickej bezpečnosti, ktorých vypracovanie sa požaduje; b)    strategické priority harmonizácie produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb alebo bezpečnostných požiadaviek právnych predpisov Únie vrátane potenciálnych oblastí, v prípade ktorých by sa mohla požadovať európska schéma certifikácie kybernetickej bezpečnosti. 3.    Komisia zverejní na webovom sídle uvedenom v odseku 2 tohto článku informácie o svojej žiadosti adresovanej agentúre ENISA o vypracovanie kandidátskej schémy, ako sa uvádza v článku 73, a o svojom rozhodnutí prijať, zamietnuť alebo ukončiť kandidátsku schému, ktorú jej agentúra ENISA zaslala, v súlade s článkom 74 ods. 7. Európska komisia  široká verejnosť ENISA   Udržiavanie informačného webového sídla Týmto sa Komisii ukladá, aby poskytovala informácie na verejne dostupnom webovom sídle a priebežne zabezpečovala súvisiace činnosti v oblasti správy údajov. Digitálna verejná služba  Digitálne riešenie  Článok 72 o informovaní verejnosti a konzultáciách týkajúcich sa európskych schém certifikácie kybernetickej bezpečnosti   Počas vypracovania kandidátskej schémy agentúrou ENISA podľa článku 74 môže Európsky parlament a Rada požiadať Komisiu ako predsedu ECCG a agentúru ENISA, aby predložili relevantné informácie o návrhu kandidátskej schémy. Na žiadosť Európskeho parlamentu alebo Rady môže agentúra ENISA po dohode s Komisiou a bez toho, aby bol dotknutý článok 54, sprístupniť Európskemu parlamentu a Rade príslušné časti návrhu kandidátskej schémy spôsobom, ktorý je primeraný požadovanej úrovni dôvernosti, a v náležitých prípadoch v obmedzenej forme. Európsky parlament a Rada môžu vyzvať Komisiu a agentúru ENISA na prerokovanie záležitostí týkajúcich sa vykonávania európskych schém certifikácie kybernetickej bezpečnosti pre produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby alebo úroveň kybernetickej bezpečnosti subjektov. ENISA Rada EÚ Európsky parlament Vyžiadanie a zaslanie informácií o návrhu kandidátskej schémy, ktorú vypracovala agentúra ENISA Toky údajov Článok 73 Žiadosť o európsku schému certifikácie kybernetickej bezpečnosti  Článok 74 Vypracovanie a prijatie európskych schém certifikácie kybernetickej bezpečnosti (uvedené v článku 17)  Článok 73 1. Komisia môže požiadať agentúru ENISA, aby vypracovala kandidátsku európsku schému certifikácie kybernetickej bezpečnosti pre produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby alebo úroveň kybernetickej bezpečnosti subjektov. V riadne odôvodnených prípadoch môže ECCG navrhnúť Komisii, aby predložila žiadosť uvedenú v odseku 1. 4. Komisia pri príprave žiadosti uvedenej v odseku 1 riadne konzultuje s agentúrou ENISA a ECCG a zohľadní názory všetkých príslušných zainteresovaných strán a iných subjektov Únie, v náležitých prípadoch vrátane subjektov, ktoré sú relevantné podľa právnych predpisov Únie, podľa ktorých európska schéma certifikácie kybernetickej bezpečnosti poskytuje predpoklad zhody. Článok 74 3. Pri vypracovaní kandidátskej schémy agentúra ENISA úzko spolupracuje s ECCG. ECCG poskytuje agentúre ENISA v súvislosti s vypracovaním kandidátskej schémy a v náležitých prípadoch podporných technických špecifikácií pomoc a odborné poradenstvo. Agentúra ENISA požiada členov ECCG o písomné stanovisko ku kandidátskej schéme.  4. Agentúra ENISA včas konzultuje so zainteresovanými stranami prostredníctvom formálneho, otvoreného, transparentného a inkluzívneho konzultačného procesu.  Agentúra ENISA takisto spolupracuje s príslušnými orgánmi verejnej správy v členských štátoch a s príslušnými subjektmi Únie s cieľom získať ich odborné poradenstvo v súvislosti s vypracovaním kandidátskej schémy a v náležitých prípadoch podporných technických špecifikácií. 6. Agentúra ENISA zašle kandidátsku schému Komisii najneskôr do 60 dní odo dňa žiadosti uvedenej v odseku 5. 7. Po prijatí kandidátskej schémy Komisia vyhodnotí, či schéma zodpovedá žiadosti predloženej v súlade s článkom 73.  8.    Ak Komisia vráti agentúre ENISA kandidátsku schému na revíziu v súlade s odsekom 7 písm. b), uplatňujú sa primerane odseky 4, 5 a 7 tohto článku.   Európska komisia  ENISA ECCG odborné zainteresované strany Príprava žiadosti a schémy certifikácie a súvisiace konzultácie so zainteresovanými stranami Spracovanie údajov  Toky údajov Digitálna verejná služba  (uvedené v článku 17) Článok 75 Údržba európskej schémy certifikácie kybernetickej bezpečnosti 2. Agentúra ENISA v spolupráci s Komisiou a s podporou ECCG a jej príslušnej podskupiny pre údržbu zabezpečuje údržbu európskych schém certifikácie kybernetickej bezpečnosti, a to aj vzhľadom na možné preskúmanie týchto schém Komisiou. Agentúra ENISA v súvislosti s údržbou spolupracuje a vymieňa si informácie s príslušnými subjektmi a skupinami Únie.  5. ECCG môže vydať stanovisko k údržbe európskych schém certifikácie kybernetickej bezpečnosti. Európska komisia  ENISA ECCG orgány posudzovania zhody   Agentúra ENISA zabezpečuje údržbu. Patria sem pravidelné hybridné alebo online stretnutia, zhromažďovanie informácií, ich analýza a zdieľanie (v súvislosti s európskou schémou certifikácie kybernetickej bezpečnosti) Spracovanie údajov Tok údajov Článok 76 Hodnotenie, preskúmanie a zrušenie európskej schémy certifikácie kybernetickej bezpečnosti 1. Najmenej každé štyri roky po začatí uplatňovania európskej schémy certifikácie kybernetickej bezpečnosti agentúra ENISA v spolupráci s príslušnou podskupinou ECCG pre údržbu a s prihliadnutím na spätnú väzbu získanú od zainteresovaných strán vyhodnotí vplyv a účinnosť tejto schémy. Agentúra ENISA vykoná hodnotenie prostredníctvom potrebnej analýzy trhu v súlade s článkom 8 ods. 1. 3. Pri preskúmavaní alebo rušení európskych schém certifikácie kybernetickej bezpečnosti Komisia konzultuje s agentúrou ENISA, ECCG a jej príslušnou podskupinou pre údržbu a zohľadňuje názory príslušných zainteresovaných strán a iných subjektov Únie.  4. ECCG môže vydať stanovisko k preskúmaniu alebo zrušeniu európskej schémy certifikácie kybernetickej bezpečnosti. Komisia ho pri preskúmaní alebo zrušení európskej schémy certifikácie kybernetickej bezpečnosti náležite zohľadní.    Európska komisia  ENISA ECCG Komisia preskúma schémy po konzultácii s príslušnými zainteresovanými stranami. Spracovanie údajov Tok údajov Článok 77  Technické špecifikácie v európskych schémach certifikácie kybernetickej bezpečnosti 3.    Ak sa na technické špecifikácie odkazuje v európskej schéme certifikácie kybernetickej bezpečnosti, ako sa uvádza v článku 74 ods. 10, sprístupnia sa na webovom sídle uvedenom v článku 79. 4. V riadne odôvodnených prípadoch, najmä ak technické špecifikácie obsahujú informácie, ktoré by mohli ohroziť bezpečnosť certifikovaných produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb alebo úrovne kybernetickej bezpečnosti subjektov, distribuujú sa len tým zainteresovaným stranám, ktorých sa týkajú požiadavky schémy. Na takúto schému sa neodkazuje v európskej schéme certifikácie kybernetickej bezpečnosti, ako sa uvádza v článku 74 ods. 10. ENISA členské štáty orgány posudzovania zhody   Sprístupnenie informácií na webovom sídle agentúry ENISA pre certifikáciu Tok údajov Digitálna verejná služba   Článok 79  Webové sídlo pre európske schémy certifikácie kybernetickej bezpečnosti 1. Agentúra ENISA organizuje činnosti na podporu zavádzania prijatých európskych schém certifikácie kybernetickej bezpečnosti, okrem iného aj tým, že spravuje webové sídlo uvedené v odseku 2 tohto článku. 2. Agentúra ENISA spravuje a pravidelne aktualizuje špecializované webové sídlo, na ktorom sa poskytujú verejné informácie o: a)    európskych schémach certifikácie kybernetickej bezpečnosti; b)    poplatkoch spojených s udržiavaním každej európskej schémy certifikácie kybernetickej bezpečnosti; c) príslušných technických špecifikáciách agentúry ENISA; d)    európskych certifikátoch kybernetickej bezpečnosti a EÚ vyhláseniach o zhode vrátane informácií o certifikátoch a vyhláseniach, ktoré už nie sú platné alebo ktorých platnosť bola pozastavená, zrušená alebo sa skončila; e)    príslušných doplňujúcich informáciách o kybernetickej bezpečnosti poskytnutých v súlade s článkom 84 ods. 2; f)    zhrnutiach partnerských preskúmaní podľa článku 89 ods. 7; g)    technických špecifikáciách uvedených v európskej schéme certifikácie kybernetickej bezpečnosti podľa článku 74 ods. 10. 3. Na webovom sídle uvedenom v odseku 2 sa v náležitých prípadoch uvádzajú aj vnútroštátne schémy certifikácie kybernetickej bezpečnosti, ktoré boli európskou schémou certifikácie kybernetickej bezpečnosti nahradené.  ENISA členské štáty Orgány posudzovania zhody Na účely udržiavania informačného webového sídla sa agentúra ENISA poveruje zhromažďovaním, spracúvaním a udržiavaním komplexných databáz certifikačných informácií, čo si vyžaduje priebežné činnosti v oblasti správy údajov. Digitálna verejná služba Digitálne riešenie Spracovanie údajov Tok údajov   Článok 81 Prvky európskej schémy certifikácie kybernetickej bezpečnosti 5. Komisia je splnomocnená prijímať vykonávacie akty, ktorými sa stanovujú spoločné zásady a vzorové ustanovenia pre prvky uvedené v odsekoch 1, 2 a 3 v rámci európskych schém certifikácie kybernetickej bezpečnosti. V náležitých prípadoch a ak sú tieto zásady a vzorové ustanovenia dostupné, môže európska schéma certifikácie kybernetickej bezpečnosti na ne obsahovať odkazy. Vykonávacie akty uvedené v odseku 5 sa prijímajú v súlade s postupom preskúmania uvedeným v článku 118 ods. 2. Pri vypracúvaní alebo revízii spoločných zásad a vzorových ustanovení pre prvky európskych schém certifikácie kybernetickej bezpečnosti Komisia konzultuje s agentúrou ENISA a v náležitých prípadoch zohľadní názory ECCG, príslušných zainteresovaných strán a iných príslušných orgánov. ENISA široká verejnosť orgány členských štátov  Konzultácie s príslušnými zainteresovanými stranami, ktoré si vyžadujú toky a spracovanie údajov Tok údajov Spracovanie údajov Článok 83 Posúdenie zhody samohodnotením 3. Výrobca alebo poskytovateľ produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb alebo subjekt, ktorého stav kybernetickej bezpečnosti je predmetom certifikácie, sprístupní EÚ vyhlásenie o zhode, technickú dokumentáciu a všetky ostatné relevantné informácie týkajúce sa zhody produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb alebo stavu kybernetickej bezpečnosti spolu s európskou schémou certifikácie kybernetickej bezpečnosti vnútroštátnemu orgánu pre certifikáciu kybernetickej bezpečnosti určenému podľa článku 89 na obdobie stanovené v uvedenej schéme. Kópia EÚ vyhlásenia o zhode sa bezodkladne predloží vnútroštátnemu orgánu pre certifikáciu kybernetickej bezpečnosti a agentúre ENISA. ENISA široká verejnosť orgány členských štátov  Dostupné informácie; spoločné využívanie údajov  Spoločné údaje si vyžadujú spracovanie zo strany agentúry ENISA a orgánov členských štátov Tok údajov Spracovanie údajov Článok 84 Doplňujúce informácie o kybernetickej bezpečnosti týkajúce sa certifikovaných produktov IKT, služieb IKT a procesov IKT 1. Výrobca alebo poskytovateľ produktov IKT, služieb IKT alebo procesov IKT, pre ktoré bolo vydané EÚ vyhlásenie o zhode alebo európsky certifikát kybernetickej bezpečnosti, sprístupní používateľovi tieto doplňujúce informácie o kybernetickej bezpečnosti. výrobca alebo poskytovateľ produktov IKT, služieb IKT alebo procesov IKT široká verejnosť orgány posudzovania zhody Zverejňovanie informácií v elektronickej podobe  Tok údajov Článok 85 Vydávanie európskych certifikátov kybernetickej bezpečnosti 2. Európske certifikáty kybernetickej bezpečnosti vydávajú orgány posudzovania zhody uvedené v článku 91 na základe kritérií zahrnutých v európskej schéme certifikácie kybernetickej bezpečnosti prijatej podľa článku 74. 6. Fyzická alebo právnická osoba, ktorá predkladá produkty IKT, služby IKT, procesy IKT alebo riadené bezpečnostné služby na certifikáciu, alebo subjekt, ktorý žiada o certifikáciu svojej úrovne kybernetickej bezpečnosti, sprístupní všetky informácie potrebné na vykonanie certifikácie vnútroštátnemu orgánu pre certifikáciu kybernetickej bezpečnosti určenému podľa článku 89, ak je tento orgán orgánom vydávajúcim európsky certifikát kybernetickej bezpečnosti, alebo orgánu posudzovania zhody uvedenému v článku 91. 7. Orgány posudzovania zhody a v náležitých prípadoch vnútroštátne orgány pre certifikáciu kybernetickej bezpečnosti bez zbytočného odkladu informujú agentúru ENISA o svojich rozhodnutiach, ktoré majú vplyv na status európskych certifikátov kybernetickej bezpečnosti a EÚ vyhlásení o zhode v súlade s článkom 94. 8. Držiteľ európskeho certifikátu kybernetickej bezpečnosti informuje orgán posudzovania zhody a v náležitých prípadoch vnútroštátny orgán pre certifikáciu kybernetickej bezpečnosti uvedený v odseku 7 o všetkých následne zistených zraniteľnostiach alebo nezhodách týkajúcich sa certifikovaného produktu IKT, služby IKT, procesu IKT, riadenej bezpečnostnej služby alebo úrovne kybernetickej bezpečnosti subjektu, ktoré môžu mať vplyv na jeho zhodu s certifikátom. Tento orgán bez zbytočného odkladu postúpi tieto informácie vnútroštátnemu orgánu pre certifikáciu kybernetickej bezpečnosti a posúdi vplyv na certifikát v súlade s podmienkami schémy, ako sa uvádza v článku 81 písm. f). ENISA široká verejnosť orgány členských štátov orgány posudzovania zhody Zdieľanie informácií relevantných pre certifikačné procesy Tok údajov Spracovanie údajov Článok 86 Vnútroštátne schémy certifikácie kybernetickej bezpečnosti 4. Členské štáty informujú Komisiu a ECCG pred prijatím nových vnútroštátnych schém certifikácie kybernetickej bezpečnosti pre produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby a úroveň kybernetickej bezpečnosti subjektov. ENISA členské štáty Európska komisia Zdieľanie informácií Tok údajov Článok 88 Vnútroštátne orgány pre certifikáciu kybernetickej bezpečnosti  2. Každý členský štát oznámi Komisii určené vnútroštátne orgány pre certifikáciu kybernetickej bezpečnosti. Ak členský štát určí viac orgánov, informuje Komisiu aj o úlohách pridelených každému z nich. 6. Vnútroštátne orgány pre certifikáciu kybernetickej bezpečnosti: c) v spolupráci s príslušnými orgánmi dohľadu nad trhom monitorujú dodržiavanie a presadzovanie povinností výrobcov alebo poskytovateľov produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb alebo subjektov, ktorých úroveň kybernetickej bezpečnosti je certifikovaná, stanovených v tomto nariadení, ktorí sú usadení na ich príslušných územiach a ktorí vykonávajú posúdenie zhody samohodnotením v príslušnej európskej schéme certifikácie kybernetickej bezpečnosti; d)    bez toho, aby bol dotknutý článok 91 ods. 3, na účely tohto nariadenia aktívne pomáhajú vnútroštátnym akreditačným orgánom alebo iným príslušným orgánom a podporujú ich pri monitorovaní činností orgánov posudzovania zhody a pri dozore nad týmito činnosťami; e)    spolupracujú s Európskou komisiou v prípade, že je spochybnená spôsobilosť orgánu posudzovania zhody podľa článku 94;  f)    monitorujú činnosti verejných orgánov uvedených v článku 85 ods. 3 a dozerajú na ne; g)    v náležitých prípadoch autorizujú orgány posudzovania zhody v súlade s článkom 93, monitorujú dodržiavanie a presadzujú plnenie povinností orgánov posudzovania zhody v súvislosti s osobitnými alebo dodatočnými požiadavkami stanovenými v európskych schémach certifikácie kybernetickej bezpečnosti podľa článku 81 ods. 3 písm. f) a obmedzujú, pozastavujú alebo odnímajú existujúce autorizácie, ak orgány posudzovania zhody nespĺňajú požiadavky tohto nariadenia; h)    vybavujú sťažnosti fyzických alebo právnických osôb v súvislosti s európskymi certifikátmi kybernetickej bezpečnosti vydanými vnútroštátnymi orgánmi pre certifikáciu kybernetickej bezpečnosti alebo v súvislosti s európskymi certifikátmi kybernetickej bezpečnosti vydanými orgánmi posudzovania zhody v súlade s článkom 85 ods. 4, alebo v súvislosti s EÚ vyhláseniami o zhode vydanými podľa článku 83, a v primeranom rozsahu prešetrujú predmet takýchto sťažností a sťažovateľa v primeranej lehote informujú o pokroku a výsledku tohto prešetrenia; i)    každoročne do 31. marca [rok nadobudnutia účinnosti + 12 mesiacov] predložia Komisii, agentúre ENISA a ECCG výročnú správu o svojich hlavných činnostiach a sprístupnia tieto správy tímu pre partnerské preskúmanie, ak vnútroštátny orgán pre certifikáciu kybernetickej bezpečnosti podlieha partnerskému preskúmaniu v súlade s článkom 89; j)    spolupracujú s inými vnútroštátnymi orgánmi pre certifikáciu kybernetickej bezpečnosti, orgánmi dohľadu nad trhom alebo inými orgánmi verejnej moci, čo zahŕňa poskytovanie informácií o možnom nesúlade produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb a úrovne kybernetickej bezpečnosti subjektov s požiadavkami tohto nariadenia alebo s požiadavkami konkrétnych európskych schém certifikácie kybernetickej bezpečnosti; k)    monitorujú relevantný vývoj v oblasti certifikácie kybernetickej bezpečnosti.   8. Vnútroštátne orgány pre certifikáciu kybernetickej bezpečnosti spolupracujú navzájom i s Komisiou, najmä si vymieňajú informácie, skúsenosti a osvedčené postupy, pokiaľ ide o certifikáciu kybernetickej bezpečnosti a technické otázky súvisiace s kybernetickou bezpečnosťou produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb a úrovne kybernetickej bezpečnosti subjektov. 9.    Do [nadobudnutie účinnosti + 6 mesiacov] agentúra ENISA v spolupráci s Komisiou a ECCG vypracuje vzor správy uvedenej v odseku 6 písm. i) tohto článku. ENISA orgány členských štátov Európska komisia široká verejnosť orgány posudzovania zhody Členské štáty informujú Komisiu o určených vnútroštátnych orgánoch pre certifikáciu kybernetickej bezpečnosti. Orgány členských štátov vykonávajú rôzne úlohy monitorovania, dozoru a spolupráce, ktoré si vyžadujú toky údajov a spracovanie údajov. Tok údajov Spracovanie údajov Článok 89 Partnerské preskúmanie 5. Agentúra ENISA podporuje organizáciu mechanizmu partnerského preskúmania a partnerských preskúmaní, a to aj vypracovaním príslušných usmerňujúcich dokumentov a vzorovv spolupráci s Komisiou a ECCG. 7. Záverečnú správu vrátane prípadných usmernení alebo odporúčaní a zhrnutie partnerského preskúmania preskúma ECCG, ktorá schváli zhrnutie na uverejnenie na webovom sídle uvedenom v článku 79 ods. 2. EÚ ENISA ECCG Sprístupnenie údajov online Tok údajov Spracovanie údajov   Článok 90 Európska skupina pre certifikáciu kybernetickej bezpečnosti (ECCG) 3. ECCG má tieto úlohy: [odkaz na iné články] h)    skúmať relevantný vývoj v oblasti certifikácie kybernetickej bezpečnosti vrátane vývoja na vnútroštátnej úrovni podľa článku 86 a vymieňať si informácie a osvedčené postupy v oblasti schém certifikácie kybernetickej bezpečnosti; i)uľahčiť spoluprácu medzi vnútroštátnymi orgánmi pre certifikáciu kybernetickej bezpečnosti podľa pravidiel stanovených v tejto hlave prostredníctvom budovania kapacít a výmeny informácií, najmä pokiaľ ide o otázky týkajúce sa certifikácie kybernetickej bezpečnosti; [odkaz na iné články] k)    uľahčovať zosúlaďovanie európskych schém certifikácie kybernetickej bezpečnosti s medzinárodne uznanými normami, a to aj ako súčasť údržby existujúcich európskych schém certifikácie kybernetickej bezpečnosti a v náležitých prípadoch vydať odporúčania pre agentúru ENISA, aby spolupracovala s príslušnými európskymi alebo medzinárodnými normalizačnými organizáciami s cieľom riešiť nedostatky alebo medzery v dostupných európskych alebo medzinárodne uznávaných normách. členské štáty ENISA Európska komisia  Analýza, výmena informácií a spolupráca medzi orgánmi členských štátov a medzinárodnými organizáciami v súvislosti s európskou certifikáciou kybernetickej bezpečnosti Spracovanie údajov Tok údajov Článok 92 Dodatočná harmonizácia spôsobilostí orgánov posudzovania zhody 4. Keď vnútroštátny orgán pre certifikáciu kybernetickej bezpečnosti dostane žiadosť podľa odseku 3, informuje o tom vnútroštátny orgán pre certifikáciu kybernetickej bezpečnosti členského štátu, v ktorom má sídlo žiadajúci orgán posudzovania zhody. V takýchto prípadoch sa vnútroštátny orgán pre certifikáciu kybernetickej bezpečnosti daného členského štátu môže zúčastniť na autorizácii ako pozorovateľ. orgány členských štátov orgány posudzovania zhody Zdieľanie a uchovávanie informácií Tok údajov Spracovanie údajov Článok 93 Notifikácia orgánov posudzovania zhody 1. Vnútroštátne orgány členského štátu pre certifikáciu kybernetickej bezpečnosti notifikujú Komisii a ostatným členským štátom v prípade každej európskej schémy certifikácie kybernetickej bezpečnosti orgány posudzovania zhody, ktoré boli akreditované a v náležitých prípadoch autorizované podľa článku 92. 2. Vnútroštátne orgány pre certifikáciu kybernetickej bezpečnosti vykonávajú notifikáciu uvedenú v odseku 1 pomocou elektronickéhonotifikačného nástroja, ktorý vyvinula a spravuje Komisia. ENISA členské štáty Európska komisia orgány posudzovania zhody Notifikácia akreditovaných a autorizovaných orgánov posudzovania zhody Toky údajov Spracovanie údajov Článok 94 Spochybnenie spôsobilostí orgánov posudzovania zhody 1.1. Komisia prešetrí všetky prípady, v ktorých má pochybnosti alebo v ktorých jej boli oznámené pochybnosti o spôsobilosti orgánu posudzovania zhody splniť požiadavky a povinnosti, ktorým podlieha, alebo o tom, či ich orgán posudzovania zhody naďalej spĺňa. 2. Vnútroštátny orgán pre certifikáciu kybernetickej bezpečnosti Komisii na požiadanie poskytne všetky informácie, ktoré súvisia s podkladmi týkajúcimi sa notifikácie alebo zachovania spôsobilosti dotknutého orgánu posudzovania zhody. 3. Komisia zabezpečí dôverné zaobchádzanie so všetkými citlivými informáciami získanými počas prešetrovania.  4. Ak Komisia zistí, že orgán posudzovania zhody nespĺňa alebo prestal spĺňať požiadavky na notifikáciu, informuje o tom vnútroštátny orgán pre certifikáciu kybernetickej bezpečnosti a požiada ho, aby prijal potrebné nápravné opatrenia vrátane zrušenia notifikácie, ak je to potrebné. Komisia členské štáty ENISA Spochybnenie spôsobilostí orgánov posudzovania zhody Tok údajov Spracovanie údajov Digitálna verejná služba  Článok 95 Povinnosť orgánov posudzovania zhody poskytovať a uchovávať informácie 1. Orgány posudzovania zhody informujú vnútroštátny orgán pre certifikáciu kybernetickej bezpečnosti: a)    o každom zamietnutí, obmedzení rozsahu, pozastavení platnosti alebo odňatí certifikátu; b)    o všetkých okolnostiach ovplyvňujúcich rozsah a podmienky notifikácie uvedenej v článku 93 ods. 1; c)    o každej žiadosti o informácie, ktorú dostali od orgánov dohľadu nad trhom v súvislosti s činnosťami posudzovania zhody; d)    na požiadanie o všetkých činnostiach posudzovania zhody vykonaných v rozsahu svojej notifikácie a o akýchkoľvek iných vykonaných činnostiach vrátane cezhraničných činností a využívania subdodávateľov. 2. Orgány posudzovania zhody poskytujú informácie uvedené v odseku 1 písm. a) aj agentúre ENISA s cieľom uľahčiť vykonávanie jej úlohy podľa článku 79. 3. Orgány posudzovania zhody bez zbytočného odkladu poskytnú ostatným orgánom posudzovania zhody podľa tohto nariadenia, ktoré vykonávajú podobné činnosti posudzovania zhody týkajúce sa tých istých produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb alebo subjektov, ktorých kybernetická bezpečnosť je certifikovaná, príslušné informácie o problémoch týkajúcich sa negatívnych a na požiadanie aj pozitívnych výsledkov posudzovania zhody. 4. Orgány posudzovania zhody vedú systém záznamov, ktorý obsahuje všetky dokumenty a dôkazy predložené alebo prijaté v súvislosti s každým hodnotením a certifikáciou, ktoré vykonávajú. Záznam sa uchováva bezpečným a prístupným spôsobom počas obdobia potrebného na účely certifikácie a najmenej päť rokov po skončení platnosti alebo odňatí príslušného európskeho certifikátu kybernetickej bezpečnosti. orgány členských štátov orgány posudzovania zhody Zdieľanie informácií od orgánov posudzovania zhody Tok údajov Spracovanie údajov Článok 96 Právo podať sťažnosť a právo na účinný súdny prostriedok nápravy  2. Orgán, ktorému sa sťažnosť podala, informuje sťažovateľa o pokroku daného konania, prijatom rozhodnutí a o práve na účinný súdny prostriedok nápravy podľa odsekov 3 a 4. 4. Konanie podľa tohto článku sa vedie na súdoch členského štátu, v ktorom sa nachádza orgán, proti ktorému súdny prostriedok nápravy smeruje. orgány členských štátov Európska komisia široká verejnosť držitelia certifikátov Tok informácií o sťažnostiach medzi orgánmi a širokou verejnosťou Konanie pred súdmi členského štátu Tok údajov Článok 97 Sankcie  Členské štáty o týchto pravidlách a opatreniach bezodkladne informujú Komisiu a oznámia jej každú nasledujúcu zmenu, ktorá ich ovplyvní. orgány členských štátov Európska komisia Tok informácií týkajúcich sa oznámení členských štátov Komisii o sankciách Tok údajov Článok 99 Posúdenia bezpečnostných rizík Komisia alebo aspoň tri členské štáty môžu požiadať skupinu pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti, aby do šiestich mesiacov vykonala koordinované posúdenie rizík. Komisia môže požiadať o skrátenie lehôt. Pri posudzovaní rizík sa vypracujú rizikové scenáre a vychádza sa z analýzy údajov. Príprava koordinovaných posúdení bezpečnostných rizík V prípadoch, ktoré odôvodňujú okamžitú intervenciu, Komisia bezodkladne konzultuje s členskými štátmi a vykoná posúdenie rizika. Rozhodnutia o vykonaní posúdení rizík (spracovanie/analýza údajov) Európska komisia členské štáty EÚ skupina pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti ENISA Žiadanie a prijímanie informácií; analýza údajov na účely koordinovaného posúdenia rizík Konzultácie s členskými štátmi a vykonanie posúdenia rizík Spracovanie údajov Tok údajov Článok 100 ods. 1 a 2 Určenie tretích krajín, ktoré vzbudzujú obavy z hľadiska kybernetickej bezpečnosti 1. Ak sa na základe posúdenia bezpečnostných rizík uvedeného v článku 99 alebo na základe iných zdrojov, ako je verejné vyhlásenie v mene Únie alebo členského štátu, ukáže, že tretia krajina predstavuje vážne a štrukturálne netechnické riziko pre dodávateľské reťazce IKT, Komisia overí riziko, ktorú táto krajina predstavuje, pričom zohľadní sériu prvkov vedúcich k spracovaniu/analýze údajov. 2. Ak Komisia po overení uvedenom v odseku 1 dospeje k záveru, že tretia krajina predstavuje závažné a štrukturálne netechnické riziká pre dodávateľské reťazce IKT, môže prostredníctvom vykonávacieho aktu rozhodnúť o určení tejto tretej krajiny za krajinu, ktorá vzbudzuje obavy z hľadiska kybernetickej bezpečnosti dodávateľských reťazcov IKT, čo vedie k spracovaniuúdajov, ich analýze a tokom údajov. členské štáty EÚ Európska komisia Prijímanie informácií, analýza informácií, výmena informácií Toky údajov Spracovanie údajov Článok 101 Všeobecný mechanizmus dodávateľského reťazca IKT Článok 102 Určenie kľúčových aktív IKT Článok 103 Zmierňujúce opatrenia v dodávateľských reťazcoch IKT 1. Ak skupina pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti vykonala koordinované posúdenie bezpečnostných rizík na úrovni Únie podľa článku 99 ods. 1 a 2 tohto nariadenia alebo po ukončení postupu v prípade významnej kybernetickej hrozby podľa článku 99 ods. 3, Komisia môže prijať opatrenia stanovené v článku 102 a článku 103. Komisia je splnomocnená prijímať vykonávacie akty, ktorými určí kľúčové aktíva IKT a zmierňujúce opatrenia vrátane obmedzení a zákazov týkajúcich sa dodávateľských reťazcov IKT (podrobne uvedené v oddiele 4.5). Pri príprave tohto procesu Komisia zohľadňuje a berie do úvahy niekoľko aspektov, ktoré vyvolávajú spracovanie/analýzu údajov a v niektorých prípadoch aj tok údajov: článok 102 písm. a) až f) článok 103 ods. 4 písm. a) až d) článok 103 ods. 6 Európska komisia skupina pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti príslušné zainteresované strany Analýza údajov/spracovanie údajov; konzultácie s príslušnými zainteresovanými stranami Spracovanie údajov Tok údajov Článok 104 Určenie vysokorizikových dodávateľov Komisia prostredníctvom vykonávacích aktov stanoví zoznamy vysokorizikových dodávateľov, ktorých sa týkajú zákazy stanovené vo vykonávacích aktoch prijatých v súlade s článkom 103 ods. 1 alebo zákaz uvedený v článku 111 ods. 1. Komisia zmapuje dodávateľov poskytujúcich komponenty IKT a komponenty, ktoré obsahujú komponenty IKT, a vykoná počiatočné posúdenie, ktorí dodávatelia sú potenciálne usadení v tretích krajinách určených v súlade s článkom 100 alebo sú z nich kontrolovaní. Komisia posúdi sídlo, ako aj vlastnícku a kontrolnú štruktúru. Komisia je oprávnená požadovať od dodávateľov potrebné informácie a oznámi dotknutému dodávateľovi predbežné zistenia týkajúce sa posúdenia sídla, vlastníctva a kontroly a poskytne mu možnosť vyjadriť sa. Komisia môže požiadať príslušný orgán, aby vykonal prvotné posúdenie sídla, vlastníctva a kontroly dodávateľa, ak je to odôvodnené vzhľadom na charakteristiky činnosti tohto dodávateľa. Príslušný orgán môže ponúknuť vykonanie takéhoto prvotného posúdenia. Komisia tieto prvotné zistenia overí s cieľom rozhodnúť, či by mal byť dodávateľ zaradený do zoznamu vysokorizikových dodávateľov. Komisia pravidelne aktualizuje zoznamy vysokorizikových dodávateľov s cieľom vypustiť alebo doplniť vysokorizikových dodávateľov. Vysokorizikoví dodávatelia zaradení do zoznamu môžu požiadať Komisiu o opätovné posúdenie ich sídla, kontroly a vlastníckej štruktúry po predložení dôkazu, že došlo k príslušným zmenám. Európska komisia príslušné orgány dodávatelia Analýza údajov/spracovanie údajov; konzultácie s príslušnými orgánmi, konzultácie s dodávateľmi Spracovanie údajov Tok údajov Článok 105 Výnimka pre subjekty usadené v tretej krajine alebo kontrolované subjektmi z tretej krajiny, ktorá vzbudzuje obavy z hľadiska kybernetickej bezpečnosti Článok 108 Dôvernosť informácií 1. Subjekt usadený v určenej tretej krajine, ktorá vzbudzuje obavy z hľadiska kybernetickej bezpečnosti, alebo kontrolovaný z tejto krajiny môže Komisii predložiť odôvodnenú žiadosť. 3. Komisia posúdi a prijme rozhodnutie s prihliadnutím na viaceré aspekty vedúce k analýze údajov. (Článok 105 ods. 3 a 4) Informácie, ktoré Komisia dostane, sa môžu použiť len na účel, na ktorý boli nadobudnuté. Európska komisia subjekty usadené v určenej tretej krajine, ktorá vzbudzuje obavy z hľadiska kybernetickej bezpečnosti, alebo kontrolované subjektmi z takejto tretej krajiny Prijatie žiadosti Komisiou; analýza údajov Tok údajov Spracovanie údajov Článok 107 Register Komisia vedie verejne prístupný register svojich rozhodnutí uvedených v článku 105. V registri sa uvádzajú názvy subjektov, ktoré boli predmetom rozhodnutí. Európska komisia subjekty usadené v určenej tretej krajine, ktorá vzbudzuje obavy z hľadiska kybernetickej bezpečnosti, alebo kontrolované z takejto tretej krajiny Komisia vedie verejne prístupný register. Digitálne riešenie Článok 111 Zákazy týkajúce sa mobilných, pevných a satelitných elektronických komunikačných sietí Príslušný orgán určený podľa tohto nariadenia bezodkladne informuje príslušný orgán podľa nariadenia (EÚ) XX/XXXX [návrh aktu o digitálnych sieťach] o opatreniach uložených poskytovateľom mobilných, pevných a satelitných elektronických komunikačných sietí. príslušný orgán v zmysle článku 9 alebo 20 nariadenia (EÚ) XX/XXXX [návrh aktu o digitálnych sieťach] poskytovatelia mobilných, pevných a satelitných elektronických komunikačných sietí Tok informácií od príslušného orgánu k subjektom v súvislosti s autorizáciami Tok údajov Článok 112 ods. 1, 4 Príslušné orgány 1. Každý členský štát určí jeden alebo viac príslušných orgánov zodpovedných za úlohy dozoru a presadzovania práva uvedené v článku 114. 4. Každý členský štát bez zbytočného odkladu oznámi Komisii názvy príslušných orgánov určených v súlade s odsekom 1, príslušné úlohy týchto orgánov a všetky ich následné zmeny. Každý členský štát názvy príslušných orgánov určených v súlade s odsekom 1 takisto zverejní.   členské štáty EÚ Európska komisia široká verejnosť Členské štáty určia príslušné orgány a oznámia ich Komisii. Tok údajov Článok 113 Sieť pre spoluprácu a podporné služby Komisie 1. Komisia zriadi sieť pre spoluprácu príslušných orgánov členských štátov a Komisie, ktorá bude slúžiť ako platforma na spoluprácu a výmenu informácií. Komisia poskytuje sieti administratívnu podporu. 2. S cieľom podporiť členské štáty pri ich úlohách dozoru Komisia posúdi, či dodávatelia, na ktorých sa môžu vzťahovať osobitné zákazy, sú usadení v tretích krajinách, ktoré vzbudzujú obavy z hľadiska kybernetickej bezpečnosti, alebo sú kontrolovaní z týchto krajín, určených podľa článku 100. Na tento účel príslušný orgán poskytne Komisii príslušné informácie. 3. Na účely posúdenia je Komisia oprávnená požadovať potrebné informácie od dodávateľov, ktorí môžu byť dotknutí osobitnými zákazmi a ktorí sú usadení v tretích krajinách určených podľa článku 100 alebo sú z nich kontrolovaní. 4. Po ukončení posúdenia Komisia poskytne zistenia príslušným orgánom v rámci siete zriadenej podľa odseku 1. Príslušné orgány o zisteniach včas informujú dotknuté subjekty typu uvedeného v prílohách I a II k smernici (EÚ) 2022/2555. 5. Ak príslušný orgán zistí, že dodávateľ, na ktorého sa môžu vzťahovať osobitné zákazy, je usadený v tretích krajinách, ktoré vzbudzujú obavy z hľadiska kybernetickej bezpečnosti, alebo je z takýchto tretích krajín kontrolovaný a neprešiel posúdením, bez zbytočného odkladu informuje Komisiu. Komisia príslušné orgány subjekty typu uvedeného v prílohách I a II k smernici (EÚ) 2022/2555 Komisia posudzuje dodávateľov a zdieľa informácie s príslušnými orgánmi, ktoré zdieľajú informácie so subjektmi typu uvedeného v prílohách I a II k smernici (EÚ) 2022/2555 Komisia žiada od dodávateľov informácie Príslušné orgány informujú Komisiu Spracovanie údajov Toky údajov Článok 114 Opatrenia v oblasti dozoru a presadzovania práva Požiadavky na členské štáty, ktoré zabezpečia tok informácií so subjektmi uvedenými v prílohe I a II k smernici (EÚ) 2022/2555. Príslušné orgány pred prijatím opatrení oznámia dotknutým subjektom svoje predbežné zistenia. Príslušné orgány spolupracujú navzájom a s Komisiou. členské štáty EÚ Európska komisia subjekty v kontexte prílohy I a II k smernici (EÚ) 2022/2555 Požiadavky, ktoré zabezpečujú tok informácií Tok údajov Spracovanie údajov Článok 115 Sankcie Členské štáty o týchto pravidlách a opatreniach informujú Komisiu a bezodkladne jej oznámia každú nasledujúcu zmenu, ktorá ich ovplyvní. Európska komisia členské štáty EÚ členské štáty oznamujúce Komisii Tok údajov Článok 116 Vzájomná pomoc Ak subjekt uvedený v prílohe I alebo II k smernici (EÚ) 2022/2555 poskytuje služby vo viac ako jednom členskom štáte alebo poskytuje služby v jednom alebo viacerých členských štátoch a jeho kľúčové aktíva sú umiestnené v jednom alebo vo viacerých iných členských štátoch, príslušné orgány dotknutých členských štátov navzájom spolupracujú a v prípade potreby si navzájom pomáhajú. Vzájomná pomoc uvedená v prvom pododseku písm. c) sa môže vzťahovať na žiadosti o informácie a na opatrenia v oblasti dozoru vrátane žiadostí o vykonanie inšpekcií na mieste alebo dozoru na diaľku, alebo cielených bezpečnostných auditov. Príslušný orgán, ktorému je adresovaná žiadosť o pomoc, túto žiadosť neodmietne, pokiaľ sa nepreukáže, že nemá právomoc poskytnúť požadovanú pomoc, že požadovaná pomoc nie je primeraná úlohám príslušného orgánu v oblasti dozoru, alebo že sa žiadosť týka informácií alebo zahŕňa činnosti, ktoré by v prípade zverejnenia alebo vykonania boli v rozpore so základnými záujmami členského štátu v oblasti národnej bezpečnosti, verejnej bezpečnosti alebo obrany. Príslušný orgán pred zamietnutím takejto žiadosti konzultuje s ostatnými dotknutými príslušnými orgánmi a v prípade, že o to jeden z dotknutých členských štátov požiada, aj s Komisiou. V náležitých prípadoch a po vzájomnej dohode môžu príslušné orgány z rôznych členských štátov vykonávať spoločné opatrenia v oblasti dozoru. členské štáty EÚ Vzájomná pomoc pri opatreniach dozoru Tok údajov Spracovanie údajov Článok 1 ods. 8 smernice Nahlasovanie ransomvérových útokov (článok 27.13 smernice NIS 2) V článku 23 sa dopĺňajú tieto odseky 12 a 13:  „13. Členské štáty zabezpečia, aby v prípade závažného incidentu spôsobeného ransomvérovým útokom dotknuté subjekty na žiadosť jednotky CSIRT alebo v náležitých prípadoch príslušného orgánu prostredníctvom komunikačného kanála, ktorý poskytne jednotka CSIRT alebo v náležitých prípadoch príslušný orgán, informovali: či subjekt dostal žiadosť o výkupné a v náležitých prípadoch od koho; či bolo zaplatené výkupné, a ak áno, v akej výške, akým platobným prostriedkom a ktorému príjemcovi alebo prijímajúcej strane, v náležitých prípadoch vrátane kryptoaktíva a poskytovateľa služieb a kryptoaktív.“ členské štáty EÚ kľúčové a dôležité subjekty Podávanie správ Tok údajov Článok 1 ods. 10 smernice  Zoznam subjektov a register (článok 27.1 smernice NIS 2) Agentúra ENISA na základe informácií získaných od jednotných kontaktných miest v súlade s odsekom 2 vytvorí a vedie register kľúčových a dôležitých subjektov, ako aj subjektov poskytujúcich služby registrácie názvov domén. ENISA členské štáty EÚ (kľúčové a dôležité subjekty podľa smernice NIS 2, subjekty poskytujúce služby registrácie názvov domén) Agentúra ENISA vytvorí a vedie register Digitálne riešenie Digitálna verejná služba   Článok 1 ods. 11 smernice  Zoznam subjektov a register (článok 27.4 smernica NIS 2) „4. Po doručení informácií uvedených v článku 3 ods. 4 jednotné kontaktné miesto dotknutého členského štátu postúpi tieto informácie bez zbytočného odkladu agentúre ENISA.“  ENISA členské štáty EÚ Členské štáty zdieľajú informácie s agentúrou ENISA Tok údajov Článok 1 ods. 12 smernice Vzájomná pomoc  (článok 37a ods. 1, 2 a 3 smernice NIS 2)  1. Agentúra ENISA pomáha členským štátom pri vykonávaní vzájomnej pomoci v zmysle článku 37 a pomáha uľahčovať procesy takejto spolupráce pre kľúčové a dôležité subjekty (...). 2. Agentúra ENISA vykoná komplexnú analýzu (...) Agentúra ENISA v spolupráci s Komisiou a skupinou pre spoluprácu vypracuje metodiku. Správa sa každoročne aktualizuje. 3. Agentúra ENISA v náležitých prípadoch odporúča; vypracuje usmernenia; pomáha (...)  ENISA členské štáty EÚ dôležité a kľúčové subjekty v zmysle smernice NIS 2 Európska komisia Agentúra ENISA pomáha členským štátom a pomáha uľahčovať proces spolupráce. Vykonávanie analýz, usmernenia, metodika, správy Spracovanie údajov Tok údajov Článok 1 ods. 12 smernice Vzájomná pomoc  (článok 37a ods. 4 smernice NIS 2)  4. Na účely odseku 4 písm. e) tohto článku príslušné orgány dotknutých členských štátov poskytnú agentúre ENISA, ak sú k dispozícii, tieto informácie (...). 5. Ak členský štát dostane vzájomnú pomoc uvedenú v článku 37 ods. 1 prvom pododseku písm. c), jednotné kontaktné miesto informuje agentúru ENISA o tom, že sa vzájomná pomoc uskutočnila. ENISA členské štáty EÚ   Výmena informácií Tok údajov Článok 119 Vykonávanie delegovania právomoci 3.    Komisia oznamuje delegovaný akt hneď po jeho prijatí súčasne Európskemu parlamentu a Rade. Európska komisia Európsky parlament  Rada  Informácie zaslané EP a Rade Tok údajov Článok 120 Hodnotenie a preskúmanie  1.    Do [DD. MM. RRRR] a potom každých päť rokov Komisia zadá hodnotenie výkonnosti agentúry ENISA v súvislosti s jej cieľmi, mandátom, poslaním, úlohami, riadením a umiestnením v súlade s usmerneniami Komisie. 5.    Správu o výsledkoch hodnotenia predloží Komisia Európskemu parlamentu, Rade a správnej rade. Zistenia vyplývajúce z hodnotenia sa zverejňujú. ENISA Komisia široká verejnosť Zhromažďovanie a analýza údajov; sprístupňovanie informácií verejnosti Spracovanie údajov Tok údajov

4.2.Údaje

Všeobecný opis údajov v rozsahu pôsobnosti a všetky súvisiace štandardy/špecifikácie 

Typ údajov	Odkaz (-y) na požiadavku	Norma a/alebo špecifikácia (ak sa uplatňuje)
Údaje spojené s analýzou/správami relevantnými pre odolnosť v oblasti kybernetickej bezpečnosti a spoločnosť	Článok 5 ods. 1 písm. a), b), c), e), f), h)  Článok 5 ods. 2, 3 a 4  Článok 6  Článok 7  Článok 8  Článok 9  Článok 10  Článok 11 ods. 2 písm. b), c)  Článok 12 ods. 4  Článok 15  Článok 1 ods. 7 smernice	Pri vykonávaní činností uvedených v článku 11 ods. 1 písm. a) až e) a v odseku 2 agentúra ENISA využíva svoje vlastné analýzy a v náležitých prípadoch informácie získané pri plnení svojich úloh vrátane: a) informácií uvedených vo verejne dostupných zdrojoch vrátane verejne známych zraniteľností produktov IKT alebo služieb IKT, ktoré sú k dispozícii v európskej databáze zraniteľností zriadenej podľa článku 12 ods. 2 smernice (EÚ) 2022/2555; b) informácií zdieľaných členskými štátmi, subjektmi Únie, tímom CERT-EU, partnermi zo súkromného sektora alebo mimovládnymi partnermi a tretími krajinami a medzinárodnými organizáciami, s výhradou akýchkoľvek obmedzení vo forme viditeľného označenia týkajúceho sa ďalšieho šírenia týchto informácií. Agentúra ENISA vydá usmernenia týkajúce sa interoperability sietí a informačných systémov používaných na výmenu informácií, a to aj so zreteľom na cezhraničné kybernetické centrá uvedené v článku 6 ods. 3 nariadenia (EÚ) 2025/38.
Údaje dôležité pre operačnú spoluprácu a situačné povedomie	Článok 10 ods. 4 písm. a) až g)  Článok 10 ods. 6  Článok 11 ods. 1 písm. a) až g)  Článok 11 ods. 2 písm. a), b), c)  Článok 11 ods. 3  Článok 11 ods. 4  Článok 13 ods. 2  Článok 15  Článok 16 ods. 2 písm. e)	Normy pre dôvernosť a zaobchádzanie s citlivými informáciami  Pri vykonávaní činností uvedených v článku 11 ods. 1 písm. a) až e) a v odseku 2 agentúra ENISA využíva svoje vlastné analýzy a v náležitých prípadoch informácie získané pri plnení svojich úloh vrátane: a) informácií uvedených vo verejne dostupných zdrojoch vrátane verejne známych zraniteľností produktov IKT alebo služieb IKT, ktoré sú k dispozícii v európskej databáze zraniteľností zriadenej podľa článku 12 ods. 2 smernice (EÚ) 2022/2555; b) informácií zdieľaných členskými štátmi, subjektmi Únie, tímom CERT-EU, partnermi zo súkromného sektora alebo mimovládnymi partnermi a tretími krajinami a medzinárodnými organizáciami, s výhradou akýchkoľvek obmedzení vo forme viditeľného označenia týkajúceho sa ďalšieho šírenia týchto informácií.
Údaje týkajúce sa európskych schém osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti a autorizácie poskytovateľov  Údaje relevantné pre ciele, účel a obsah európskych schém certifikácie kybernetickej bezpečnosti	Článok 17  Článok 18  Články 19 až 23  Články 72, 73, 74, 75, 76, 77, 79, 81, 83, 84	Európska schéma osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti zahŕňa (...): pravidlá uchovávania záznamov autorizovanými poskytovateľmi osvedčení. Autorizovaní poskytovatelia zabezpečia, aby sa na žiadosť jednotlivca vydávali elektronické osvedčenia európskych osvedčení o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti ako elektronické osvedčenia atribútov vo formáte, ktorý možno uložiť do európskych peňaženiek digitálnej identity stanovených v nariadení (EÚ) č. 910/2014.    Komisia a agentúra ENISA by sa pri zriaďovaní európskej schémy certifikácie kybernetickej bezpečnosti mali riadiť príslušnými ustanoveniami právnych predpisov Únie, ktoré sa týkajú údajov.
Údaje týkajúce sa riadenia európskeho rámca certifikácie kybernetickej bezpečnosti	Články 85, 86, 88, 89, 90, 92, 93, 94, 95, 96, 97	Agentúra ENISA, orgány posudzovania zhody a vnútroštátne orgány pre certifikáciu kybernetickej bezpečnosti by mali zabezpečiť dôvernosť údajov a dodržiavať ustanovenia príslušnej schémy odkazujúce na medzinárodné normy, v ktorých sa špecifikujú požiadavky.
Údaje relevantné pre vnútorné funkcie agentúry ENISA (rozpočet, jednotný programový dokument, vnútorné stratégie)	Článok 25  Článok 28 ods. 1  Článok 30  Článok 31 ods. 8  Článok 32 ods. 3, 5  Článok 35 ods. 5, 6  Článok 36 – 43  Článok 44  Článok 45  Článok 47 ods. 10  Články 48 a 49  Článok 52, článok 58	Vzory a usmernenia pre rozpočtové pravidlá; interné usmernenia
Osobné údaje	Článok 22  Hlava II kapitola III oddiel 6 Odvolacia rada  Článok 66  Článok 80 ods. 1 písm. c), x)  Článok 81 ods. 2 Článok 88 ods. 6 písm. h)  Článok 95  Článok 96	Nariadenie (EÚ) 2018/1725  Nariadenie (EÚ) 2016/679
Údaje zozbierané a analyzované v súvislosti s vykonávaním koordinovaných posúdení rizík, vypracovaním rizikových scenárov a určením kľúčových aktív IKT	Článok 98 Článok 99 Článok 102 Článok 103 Článok 105	Bez toho, aby bol dotknutý článok 13 nariadenia (EÚ) 2024/2847 a článok 21 smernice (EÚ) 2022/2555
Údaje týkajúce sa tretích krajín/subjektov tretích krajín	Článok 100 ods. 1, 3, 4 Článok 104 Článok 105 Článok 107 Článok 113	Neuplatňuje sa.
Údaje týkajúce sa vnútroštátnych orgánov	Článok 112 Článok 114 Článok 116	Neuplatňuje sa.
Údaje relevantné pre posúdenie rizík	Článok 5 ods. 2	Normy pre dôvernosť a zaobchádzanie s citlivými informáciami
Vzájomná pomoc medzi členskými štátmi	5 ods. 1 písm. g) nariadenia a článok 1 ods. 12 smernice	/

Zosúladenie s Európskou dátovou stratégiou

Vysvetlite, ako sú požiadavky zosúladené s Európskou dátovou stratégiou

Požiadavky v rámci návrhu aktu o kybernetickej bezpečnosti 2 sú zosúladené bez osobitného vplyvu na Európsku dátovú stratégiu.

Zosúladenie so zásadou „jedenkrát a dosť“     

Vysvetlite, ako sa zohľadnila zásada „jedenkrát a dosť“ a ako sa skúmala možnosť opätovného použitia existujúcich údajov 

Jedným z cieľov návrhu je maximalizovať úsilie Komisie o zjednodušenie a znížiť administratívne zaťaženie členských štátov a zainteresovaných strán. V posledných rokoch sa agentúra ENISA stala informačným centrom, ktoré zhromažďuje informácie z rôznych zdrojov. V tomto zmysle sú mnohé úlohy agentúry ENISA spojené s opätovným používaním a recykláciou informácií na účely rôznych analýz. Napríklad: na niektoré účely opätovné použitie informácií oznámených podľa článkov 23 a 30 smernice (EÚ) 2022/2555; oznámené, zdieľané alebo analyzované podľa článku 14 ods. 1 až 3, článku 15 a článku 17 ods. 1 a 3 nariadenia (EÚ) 2024/2847. V ustanoveniach rámca dodávateľského reťazca sa predpokladá, že jeho vykonávanie bude podporené údajmi získanými prostredníctvom článku 22 smernice (EÚ) 2022/2555, v ktorom sa poukazuje na opakované použitie informácií a koordináciu.

Vysvetlite, ako sú novo vytvorené údaje vyhľadateľné, prístupné, interoperabilné a opätovne použiteľné a ako spĺňajú štandardy vysokej kvality 

V legislatívnom návrhu sa výslovne uvádza, kedy by sa údaje mali sprístupniť verejnosti. Návrhom sa zohľadňuje povaha ustanovení berúc striktne do úvahy aspekty bezpečnosti a dôvernosti, a preto nie všetky údaje vytvorené v rámci preskúmania aktu o kybernetickej bezpečnosti budú určené na verejnú spotrebu. V prípade potrebných ustanovení sa zabezpečilo zosúladenie s európskou peňaženkou digitálnej identity. Úlohou agentúry ENISA je poskytovať službu včasného varovania v strojovo čitateľnom formáte.

Toky údajov

Všeobecný opis údajov v rozsahu pôsobnosti a všetky súvisiace normy/špecifikácie

Typ údajov	Vysvetlite tok údajov		Odkazy
Agentúra ENISA poskytuje správy a analýzy, technické usmernenia a najlepšie postupy.	Ide o tok údajov, ktorý je určený zainteresovaným stranám agentúry ENISA a podporuje vykonávanie politiky a právnych predpisov EÚ. V týchto tokoch údajov agentúra ENISA zhromažďuje informácie, väčšinou z verejných zdrojov, vykonáva analýzy a zdieľa ich výsledky so zainteresovanými stranami. Agentúra ENISA vykonáva určité úlohy aj na žiadosť Komisie.		Článok 5 ods. 1 písm. a), b), c), e), f), h) Článok 5 ods. 2; Článok 5 ods. 3; Článok 5 ods. 5 Článok 6  Článok 7 Článok 8  Článok 9 Článok 10 Článok 11 ods. 2  Článok 11 ods. 4  Článok 14
Toky údajov medzi Komisiou, agentúrou ENISA, členskými štátmi a ďalšími relevantnými aktérmi v rámci ekosystému kybernetickej bezpečnosti EÚ v zmysle operačnej spolupráce.	Tento typ tokov údajov sa vytvára na účely operačnej spolupráce a situačného povedomia. Výmena informácií prebieha oboma smermi, dovnútra aj von. Ide o výmenu prevádzkových údajov.		Článok 10 ods. 4 písm. a) až g)  Článok 11 ods. 1 písm. b) až g)  Článok 11 ods. 2 písm. a), b) Článok 11 ods. 3  Článok 15 Článok 16 ods. 2 písm. e)
Toky údajov vytvorené na podporu ECSF a európskych schém osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti a ich vykonávania	Tieto toky údajov podporujú výmeny vstupov a výstupov na: – udržiavanie a využívanie ECSF, s tokmi medzi agentúrou ENISA a jej členmi ad hoc pracovných skupín a medzi agentúrou ENISA a Komisiou, – vývoj a udržiavanie európskych schém osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti s tokmi medzi agentúrou ENISA a členmi jej ad hoc pracovných skupín a medzi agentúrou ENISA, Komisiou a členskými štátmi, – zavedenie európskych schém osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti s tokmi údajov medzi žiadateľmi a agentúrou ENISA, – toky údajov medzi odvolacou radou, agentúrou ENISA, Komisiou a žiadateľmi.		Článok 19 až 23  Články 36 až 43
Údaje relevantné pre ciele, účel a obsah európskych schém certifikácie kybernetickej bezpečnosti	Tento typ tokov údajov je dôležitý pre plánovanie, predkladanie žiadostí, vývoj, prijímanie a údržbu (vrátane prípadného preskúmania) európskych schém certifikácie kybernetickej bezpečnosti. Týka sa najmä zapojenia a odborného poradenstva zainteresovaných strán, agentúry ENISA a orgánov členských štátov prostredníctvom ECCG v rôznych fázach postupu. Okrem toho ďalšie toky údajov súvisia s poskytovaním príslušných informácií širokej verejnosti prostredníctvom špecializovaných webových sídel Komisie a agentúry ENISA. V rámci sa napokon predpokladá, že výrobcovia alebo poskytovatelia produktov IKT, služieb IKT alebo procesov IKT, pre ktoré bolo vydané EÚ vyhlásenie o zhode alebo európsky certifikát kybernetickej bezpečnosti, zverejnia dodatočné informácie o kybernetickej bezpečnosti vlastnými prostriedkami.	Článok 18 Článok 19 Články 72, 73, 74, 75, 76, 77, 79, 81, 83, 84
Údaje týkajúce sa riadenia európskeho rámca certifikácie kybernetickej bezpečnosti	Tieto toky údajov podporujú výmeny vstupov a výstupov na: – koordináciu a riadenie európskych schém certifikácie kybernetickej bezpečnosti, – akreditáciu a autorizáciu orgánov posudzovania zhody, ako aj ich následnú notifikáciu prostredníctvom príslušnej platformy a súvisiacich postupov, – opravné prostriedky, ako je právo podať sťažnosť, súdny prostriedok nápravy alebo odvolanie a postupy na zmenu.	Články 85, 86, 88, 89, 90, 92, 93, 94, 95, 96
Toky údajov v súvislosti s administratívnymi činnosťami agentúry	Toky medzi agentúrou ENISA, správnou radou, členskými štátmi a Komisiou. Informácie sa týkajú administratívnych činností agentúry v oboch smeroch. V niektorých prípadoch sa informácie zasielajú aj Európskemu parlamentu (tok údajov v tejto súvislosti je uvedený ďalej)		Článok 25  Článok 28 ods. 1 Článok 30  Článok 31 ods. 8 Článok 32 ods. 3, 5  Článok 35 ods. 5, 6  Článok 36 až 43  Článok 44 Článok 45
Údaje zaslané Európskemu parlamentu	Toky do Európskeho parlamentu týkajúce sa činností a plnenia úloh agentúry ENISA; rozpočtu a finančného riadenia, spolupráce s tretími krajinami a medzinárodnými organizáciami, vypočutia kandidáta na výkonného riaditeľa; záležitostí týkajúcich sa európskej certifikácie kybernetickej bezpečnosti		Článok 28 ods. 1 písm. f), článok 31 ods. 8, článok 32 ods. 3, článok 44 ods. 3, článok 49 ods. 6, článok 49 ods. 9, článok 70 ods. 5, článok 72 ods. 4 a 5, článok 119 ods. 3 Výkon delegácie, článok 120 Hodnotenie a preskúmanie
Údaje zaslané Rade EÚ	Toky do Európskeho parlamentu týkajúce sa činností a plnenia úloh agentúry ENISA; rozpočtu a finančného riadenia, spolupráce s tretími krajinami a medzinárodnými organizáciami, vypočutia kandidáta na výkonného riaditeľa; kandidátskych schém, ktoré sa vyvíjajú podľa európskeho rámca certifikácie kybernetickej bezpečnosti.		Článok 28 ods. 1 písm. f), článok 31 ods. 8, článok 32 ods. 3, článok 32 ods. 7, článok 49 ods. 6, článok 49 ods. 9, článok 70 ods. 5, článok 72 ods. 4 a 5, článok 119 ods. 3 Výkon delegácie, článok 120 Hodnotenie a preskúmanie
Toky údajov v súvislosti s podaním sťažnosti	Vybavovanie sťažností fyzických alebo právnických osôb v súvislosti s európskymi certifikátmi kybernetickej bezpečnosti vydanými vnútroštátnymi orgánmi pre certifikáciu kybernetickej bezpečnosti alebo európskymi certifikátmi kybernetickej bezpečnosti vydanými orgánmi posudzovania zhody v súlade s článkom 84 ods. 4 alebo v súvislosti s EÚ vyhláseniami o zhode Fyzické a právnické osoby majú právo podať sťažnosť vydavateľovi európskeho certifikátu kybernetickej bezpečnosti, alebo ak sťažnosť súvisí s európskym certifikátom kybernetickej bezpečnosti, ktorý vydal orgán posudzovania zhody		Článok 55 ods. 3; Článok 88 ods. 7 písm. f); Článok 96
Toky údajov týkajúce sa ransomvérových útokov	Hlásenie určitých informácií v prípade ransomvérových útokov		Článok 1 ods. 8 smernice

   

Typ údajov	Odkazy na požiadavky	Subjekty, ktoré poskytujú údaje	Subjekty, ktoré prijímajú údaje	Dôvod výmeny údajov	Periodicita (ak sa uplatňuje)
Toky údajov medzi Komisiou a členskými štátmi v súvislosti s vykonávaním koordinovaných posúdení bezpečnostných rizík na úrovni Únie.	Článok 99 Posúdenia bezpečnostných rizík	Komisia a členské štáty	Členské štáty (skupina pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti)	Článok 99 Posúdenia bezpečnostných rizík	Neuplatňuje sa.
Toky údajov medzi Komisiou a Radou v súvislosti s určením tretích krajín, ktoré vzbudzujú obavy z hľadiska kybernetickej bezpečnosti	Článok 100 Určenie tretích krajín, ktoré vzbudzujú obavy z hľadiska kybernetickej bezpečnosti	Komisia	Rada	Článok 100 Overenie hrozby zo strany tretej krajiny Komisiou
Toky údajov medzi Komisiou a členskými štátmi v súvislosti so zmierňujúcimi opatreniami v prípade výnimočných okolností	Článok 103 ods. 6 Zmierňujúce opatrenia v dodávateľských reťazcoch IKT	Komisia	Členské štáty	Výnimočné okolnosti	Neuplatňuje sa.
Toky údajov medzi Komisiou a dodávateľmi a Komisiou a príslušnými orgánmi, pokiaľ ide o posúdenie sídla, vlastníctva a kontroly dodávateľov	Článok 104 ods. 4, 5, 6 Identifikácia vysokorizikových dodávateľov	Dodávatelia Komisia Príslušné orgány	Príslušné orgány Dodávatelia Komisia	Vykonávacie akty prijaté v súlade s článkom 103 ods. 1 a v súvislosti so zákazom podľa článku 111 ods. 1	Neuplatňuje sa.
Tok údajov medzi Komisiou a členskými štátmi v súvislosti s právomocami dozoru nad vykonávaním rámca bezpečnosti dôveryhodného dodávateľského reťazca IKT	Článok 112 ods. 1, 4 Príslušné orgány Článok 114 Opatrenia v oblasti dozoru a presadzovania práva	Členské štáty	Komisia	Článok 112 ods. 1, 4 Príslušné orgány Článok 114 Opatrenia v oblasti dozoru a presadzovania práva (Komisia v spolupráci s členskými štátmi vydá zoznam subjektov prepojených s vysokorizikovými dodávateľmi)	Neuplatňuje sa.
Tok údajov medzi Komisiou a tretími stranami v prípade výnimiek	Článok 105 Výnimka pre subjekty usadené v tretej krajine, ktorá vzbudzuje obavy z hľadiska kybernetickej bezpečnosti, alebo kontrolované z takejto tretej krajiny	Tretie strany [subjekty usadené v tretej krajine, ktorá vzbudzuje obavy z hľadiska kybernetickej bezpečnosti, alebo kontrolované subjektmi z takejto tretej krajiny (v zmysle článku 100) (pri podaní žiadosti o výnimku)] Európska komisia (pri vydávaní rozhodnutí)	Komisia (pri prijatí žiadosti o výnimku) Tretie strany [subjekty usadené v tretej krajine, ktorá vzbudzuje obavy z hľadiska kybernetickej bezpečnosti, alebo kontrolované subjektmi z takejto tretej krajiny (v zmysle článku 100) (pri prijatí rozhodnutia Komisie)]	Rozhodnutie podľa článku 100 Určenie tretích krajín, ktoré vzbudzujú obavy z hľadiska kybernetickej bezpečnosti	Neuplatňuje sa.
Tok údajov medzi členskými štátmi a tretími stranami v súvislosti so zákazmi v elektronických komunikačných sieťach	Článok 111 Zákazy týkajúce sa mobilných, pevných a satelitných elektronických komunikačných sietí	Členské štáty (príslušné orgány)	Tretie strany (poskytovatelia mobilných, pevných a satelitných elektronických komunikačných sietí)	Príslušný orgán určený podľa tohto nariadenia bezodkladne informuje príslušný orgán podľa nariadenia (EÚ) XX/XXXX [návrh aktu o digitálnych sieťach] o opatreniach uložených poskytovateľom mobilných, pevných a satelitných elektronických komunikačných sietí.	Neuplatňuje sa.
Tok údajov medzi Komisiou a členskými štátmi v rámci siete pre spoluprácu a podporné služby	Článok 113 Sieť pre spoluprácu a podporné služby Komisie	Komisia Členské štáty (príslušné orgány)	Komisia Členské štáty (príslušné orgány)	Určenie tretích krajín, ktoré vzbudzujú obavy z hľadiska kybernetickej bezpečnosti
Tok údajov medzi členskými štátmi a tretími stranami v súvislosti s opatreniami dozoru a presadzovania práva	Článok 114 Opatrenia v oblasti dozoru a presadzovania práva	Tretie strany [subjekty typu uvedeného v prílohách I a II k smernici (EÚ) 2022/2555]	Členské štáty (príslušné orgány)	Vykonávanie opatrení stanovených v hlave IV
Tok údajov medzi členskými štátmi na účely vzájomnej pomoci	Článok 116 Vzájomná pomoc	Členské štáty	Členské štáty	Ak subjekt uvedený v prílohe I alebo II k smernici (EÚ) 2022/2555 poskytuje služby vo viac ako jednom členskom štáte alebo poskytuje služby v jednom alebo viacerých členských štátoch a jeho kľúčové aktíva IKT sú umiestnené v jednom alebo vo viacerých iných členských štátoch, príslušné orgány dotknutých členských štátov navzájom spolupracujú a v prípade potreby si navzájom pomáhajú.	Neuplatňuje sa.

4.3.Digitálne riešenia

Všeobecný opis digitálnych riešení 

Pre každé digitálne riešenie vysvetlenie, ako je digitálne riešenie v súlade s platnými digitálnymi politikami a právnymi predpismi 

Digitálne riešenie	Odkazy na požiadavky	Hlavné požadované funkcie	Zodpovedný orgán	Ako sa zabezpečuje prístupnosť?	Ako sa zohľadňuje opätovná použiteľnosť?	Používanie technológií umelej inteligencie (ak sa uplatňuje)
Agentúra ENISA je sekretariátom siete jednotiek CSIRT a siete EU-CyCLONe a v rámci siete jednotiek CSIRT a siete EU-CyCLONe nasadzuje nástroje bezpečnej komunikácie, ktoré poskytujú právne subjekty, ktoré nie sú usadené v tretích krajinách, ani nie sú kontrolované tretími krajinami alebo štátnymi príslušníkmi tretích krajín.	Článok 10 ods. 2, 3, 5	Neverejné informácie	ENISA	Neverejné informácie	Neverejné informácie	Neverejné informácie
V spolupráci so sieťou EU-CyCLONe, sieťou jednotiek CSIRT, Komisiou, Europolom a tímom CERT-EU a príslušnými subjektmi Únie vyvíja archívy overených a spoľahlivých informácií o kybernetických hrozbách vrátane trendov v oblasti incidentov, taktík, techník a postupov.	Článok 11 ods. 1 písm. a)	overené a spoľahlivé spravodajské informácie o kybernetických hrozbách vrátane trendov v oblasti incidentov, taktík, techník a postupov	ENISA Sieť EU-CyCLONe, sieť jednotiek CSIRT, Komisia, Europol a tím CERT-EU a príslušné subjekty Únie	Neuplatňuje sa.	Neuplatňuje sa.	Neuplatňuje sa.
Agentúra ENISA vedie archív získaných poznatkov.	Článok 14 ods. 2	Agentúra ENISA vedie archív poznatkov získaných z cvičení a odporúča členským štátom a v náležitých prípadoch subjektom Únie, ako možno získané skúsenosti účinne a efektívne implementovať.	ENISA	Neuplatňuje sa.	Neuplatňuje sa.	Neuplatňuje sa.
Agentúra ENISA zriadi, poskytuje, prevádzkuje, udržiava a podľa potreby aktualizuje operačné technické nástroje, ako sú platformy týkajúce sa kybernetickej bezpečnosti na úrovni Únie, najmä jednotnú oznamovaciu platformu na oznamovanie zriadenú podľa článku 16 ods. 1 nariadenia (EÚ) 2024/2847 [a jednotné kontaktné miesto na ohlasovanie incidentov zriadené podľa článku 23a smernice (EÚ) 2022/2555], alebo testovacie nástroje na podporu vykonávania postupov posudzovania zhody v súlade s príslušnými právnymi predpismi Únie.	Článok 15	Jednotná oznamovacia platforma   Článok 16 ods. 1 nariadenia (EÚ) 2024/2847   [jednotné kontaktné miesto   Článok 23a smernice (EÚ) 2022/2555]	ENISA	Neuplatňuje sa.	Neuplatňuje sa.	Neuplatňuje sa.
Udržiavať európsku databázu zraniteľností zriadenú podľa článku 12 ods. 2 smernice (EÚ) 2022/2555 a poskytovať služby riadenia zraniteľností	Článok 16 ods. 2	Článok 12 ods. 2 smernice (EÚ) 2022/2555   Udržiavať databázu a poskytovať služby riadenia zraniteľností	ENISA	Neuplatňuje sa.	Neuplatňuje sa.	Neuplatňuje sa.
Agentúra ENISA spravuje a pravidelne aktualizuje špecializované webové sídlo, na ktorom sa poskytujú verejné informácie	Článok 19 – 23	Udržiavať a pravidelne aktualizovať špecializované webové sídlo, na ktorom sa poskytujú verejné informácie o ECSF vrátane rámca a časového harmonogramu jeho aktualizácie; európskych schémach osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti, ich pokroku a časových harmonogramov ich vývoja; poplatkoch spojených s jednotlivými európskymi schémami osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti; orientačných nákladoch na európske osvedčenia o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti; zozname autorizovaných poskytovateľov osvedčení.	ENISA	Neuplatňuje sa.	Neuplatňuje sa.	Neuplatňuje sa.
Komisia udržiava a pravidelne aktualizuje špecializované verejné webové sídlo.	Článok 72	Tieto informácie: a)    európske schémy certifikácie kybernetickej bezpečnosti, ktorých vypracovanie sa požaduje; b)    strategické priority harmonizácie produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb alebo bezpečnostných požiadaviek právnych predpisov Únie vrátane potenciálnych oblastí, v prípade ktorých by sa mohla požadovať európska schéma certifikácie kybernetickej bezpečnosti.	Európska komisia	Dodržiavanie usmernení	Dodržiavanie usmernení	Neuplatňuje sa.
Agentúra ENISA spravuje špecializované webové sídlo venované certifikácii	Článok 79	Poskytovanie informácií o: a) európskych schémach certifikácie kybernetickej bezpečnosti; b) poplatkoch spojených s udržiavaním každej európskej schémy certifikácie kybernetickej bezpečnosti; c) príslušných technických špecifikáciách agentúry ENISA; d) európskych certifikátoch kybernetickej bezpečnosti a EÚ vyhláseniach o zhode vrátane informácií o certifikátoch a vyhláseniach, ktoré už nie sú platné alebo ktorých platnosť bola pozastavená, zrušená alebo sa skončila; e) príslušných doplňujúcich informáciách o kybernetickej bezpečnosti poskytnutých v súlade s článkom 84 ods. 2; f)zhrnutiach partnerských preskúmaní podľa článku 89 ods. 7; g)technických špecifikáciách uvedených v európskej schéme certifikácie kybernetickej bezpečnosti podľa článku 74 ods. 10.	ENISA	Dodržiavanie usmernení	Dodržiavanie usmernení	Neuplatňuje sa.
Register (výnimiek pre subjekty so sídlom v tretej krajine, ktorá vzbudzuje obavy z hľadiska kybernetickej bezpečnosti, alebo kontrolované subjektmi z takejto tretej krajiny)	Článok 107 Register	Komisia vedie verejne prístupný register svojich rozhodnutí uvedených v článku 105 ods. 4. V registri sa uvádzajú názvy subjektov, ktoré boli predmetom rozhodnutí. Komisia ho pravidelne aktualizuje.	Komisia	„Komisia vedie verejne prístupný register.“	Neuplatňuje sa.	Neuplatňuje sa.
Platforma (na spoluprácu a výmenu informácií medzi Komisiou a príslušnými orgánmi)	Článok 113	Komisia zriadi sieť pre spoluprácu príslušných orgánov členských štátov a Komisie, ktorá bude slúžiť ako platforma pre spoluprácu a výmenu informácií. Komisia poskytuje sieti administratívnu podporu.	Komisia	Neverejné, len pre príslušné orgány	Neuplatňuje sa.	Neuplatňuje sa.
Agentúra ENISA vytvorí a bude viesť register kľúčových a dôležitých subjektov, ako aj subjektov poskytujúcich služby registrácie názvov domén.	Článok 1 ods. 11 smernice	Register kľúčových a dôležitých subjektov, ako aj subjektov poskytujúcich služby registrácie názvov domén	ENISA	Neuplatňuje sa.	Na základe informácií získaných od jednotných kontaktných miest v súlade s odsekom 2. (článok 27 smernice NIS 2)	Neuplatňuje sa.

Digitálne riešenia zahrnuté v uvedenej tabuľke 

Digitálna a/alebo odvetvová politika (v náležitých prípadoch)	Spôsob, akým sa dosahuje súlad
Akt o umelej inteligencii	Neuplatňuje sa.
Rámec kybernetickej bezpečnosti EÚ	Neuplatňuje sa.
eIDAS	Neuplatňuje sa.
Jednotná digitálna brána a IMI	Neuplatňuje sa.
Iné	Neuplatňuje sa.

Všeobecný opis digitálnych verejných služieb, ktorých sa požiadavky týkajú

Digitálna verejná služba alebo kategória digitálnych verejných služieb	Opis	Odkazy na požiadavky	Riešenie (-a) pre interoperabilnú Európu  (NEUPLATŇUJE SA)	Iné riešenia týkajúce sa interoperability
Agentúra ENISA ako sekretariát sietí a zavádzanie bezpečných komunikačných nástrojov	Agentúra ENISA zabezpečuje sekretariát siete jednotiek CSIRT podľa článku 15 ods. 2 smernice (EÚ) 2022/2555. Agentúra ENISA poskytuje sekretariát sieti EU-CyCLONe podľa článku 16 ods. 2 smernice (EÚ) 2022/2555 [a jednotné kontaktné miesto na podávanie správ o incidentoch zriadené podľa článku 23a smernice (EÚ) 2022/2555] a testovacie nástroje na podporu vykonávania postupov posudzovania zhody v súlade s príslušnými právnymi predpismi Únie. Agentúra ENISA používa v rámci siete jednotiek CSIRT a siete EU-CyCLONe nástroje bezpečnej komunikácie, ktoré poskytujú právne subjekty, ktoré nie sú usadené v tretích krajinách, nie sú nimi kontrolované ani nie sú kontrolované štátnymi príslušníkmi tretích krajín.	Článok 11	//	Neuplatňuje sa.
Včasné varovania	Vydávanie včasných varovaní	Článok 11 Článok 12
Podpora v súvislosti s konkrétnym potenciálnym alebo prebiehajúcim incidentom alebo kybernetickou hrozbou	Na žiadosť jedného alebo viacerých členských štátov poskytovanie poradenstva a posúdení v súvislosti s konkrétnym potenciálnym alebo prebiehajúcim incidentom alebo kybernetickou hrozbou, a to aj formou poskytovania odborných znalostí a uľahčovania technického riešenia takýchto incidentov a podporou dobrovoľného zdieľania príslušných informácií a technických riešení medzi členskými štátmi;	Článok 10
Podpora koordinovaného riadenia rozsiahlych kybernetických bezpečnostných incidentov a kríz na operatívnej úrovni	Prispievanie k podpore koordinovaného riadenia rozsiahlych kybernetických bezpečnostných incidentov a kríz na operatívnej úrovni, najmä prostredníctvom pomoci sieti EU-CyCLONe pri príprave správ pre politickú úroveň, uľahčovaním včasnej výmeny informácií medzi sieťou jednotiek CSIRT a sieťou EU-CyCLONe.	Článok 10
Archívy overených a spoľahlivých informácií o kybernetických hrozbách	V spolupráci so sieťou EU-CyCLONe, sieťou jednotiek CSIRT, Komisiou, Europolom a tímom CERT-EU a ďalšími príslušnými subjektmi Únie vyvíjať archívy overených a spoľahlivých informácií o kybernetických hrozbách vrátane trendov v oblasti incidentov, taktík, techník a postupov.	Článok 11
Archív získaných poznatkov	Agentúra ENISA vedie archív poznatkov získaných z týchto cvičení a odporúča členským štátom a v náležitých prípadoch subjektom Únie, ako možno získané skúsenosti účinne a efektívne implementovať.	Článok 14
Agentúra ENISA zriadi, poskytuje, prevádzkuje, udržiava a podľa potreby aktualizuje operačné technické nástroje, ako sú platformy.	Agentúra ENISA zriadi, poskytuje, prevádzkuje, udržiava a podľa potreby aktualizuje operačné technické nástroje, ako sú platformy týkajúce sa kybernetickej bezpečnosti na úrovni Únie, najmä jednotnú oznamovaciu platformu zriadenú podľa článku 16 ods. 1 nariadenia (EÚ) 2024/2847 [a jednotné kontaktné miesto na podávanie správ o incidentoch zriadené podľa článku 23a smernice (EÚ) 2022/2555], a testovacie nástroje na podporu vykonávania postupov posudzovania zhody v súlade s príslušnými právnymi predpismi Únie.	Článok 15
Viesť európsku databázu zraniteľností zriadenú podľa článku 12 ods. 2 smernice (EÚ) 2022/2555	Viesť európsku databázu zraniteľností zriadenú podľa článku 12 ods. 2 smernice (EÚ) 2022/2555. Poskytovať služby riadenia zraniteľností zainteresovaným stranám, pričom sa vychádza z európskej databázy zraniteľností a využívajú sa príslušné informácie, ktoré má agentúra ENISA k dispozícii. Nadviazať štruktúrovanú spoluprácu s organizáciami, ktoré poskytujú programy, registre alebo databázy podobné európskej databáze zraniteľností. Aktívne podporovať jednotky CSIRT určené ako koordinátori podľa článku 12 ods. 1 smernice (EÚ) 2022/2555, pokiaľ ide o riadenie koordinovaného zverejňovania zraniteľností, ktoré môžu mať významný vplyv na subjekty vo viac ako jednom členskom štáte. Vypracovať a udržiavať metodiky a mechanizmy riadenia na identifikáciu zraniteľností a ich koordinované zverejňovanie v spolupráci s príslušnými vnútroštátnymi orgánmi, jednotkami CSIRT, odvetvím a výskumnou komunitou.	Článok 16
Vypracovanie kandidátskych európskych schém certifikácie kybernetickej bezpečnosti („kandidátske schémy“)	Vypracovanie kandidátskych európskych schém certifikácie kybernetickej bezpečnosti (ďalej len „kandidátske schémy“) pre produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby alebo úroveň kybernetickej bezpečnosti subjektov a súvisiacich technických špecifikácií v súlade s článkom 74. Udržiavanie prijatých európskych schém certifikácie kybernetickej bezpečnosti v súlade s článkom 75, a to aj vzhľadom na možné preskúmanie prijatých európskych schém certifikácie kybernetickej bezpečnosti v súlade s článkom 76.	Článok 17
Agentúra ENISA vypracuje a udržiava európske schémy osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti	Agentúra ENISA vypracuje a udržiava európske schémy osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti. Agentúra ENISA vydá odôvodnené rozhodnutie, ktorým buď udelí žiadateľovi autorizáciu na vydávanie európskych individuálnych osvedčení na poskytovanie a udržiavanie schém a autorizácie, alebo autorizáciu neudelí, alebo ukončí spracovanie žiadosti z dôvodu nedostatočných informácií poskytnutých žiadateľom, alebo z dôvodu jeho nečinnosti po žiadosti o doplňujúce informácie.	Články 20 – 22
Agentúra ENISA spravuje a pravidelne aktualizuje špecializované webové sídlo	Agentúra ENISA spravuje a pravidelne aktualizuje špecializované webové sídlo, na ktorom sa poskytujú verejné informácie o: a)    ECSF vrátane rámca a časového harmonogramu jeho aktualizácie; b)    európskych schémach osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti, ich pokroku a časových harmonogramoch ich vývoja; c)    poplatkoch spojených s každou európskou schémou osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti prijatých podľa článku 47 tohto nariadenia; d)    orientačných nákladoch na európske osvedčenie o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti v súlade s článkom 20 ods. 4; e)    zozname autorizovaných poskytovateľov osvedčení.	Článok 23
Komisia spravuje a pravidelne aktualizuje špecializované verejné webové sídlo	Komisia spravuje a pravidelne aktualizuje špecializované webové sídlo, na ktorom sa poskytujú informácie o týchto aspektoch: a) európske schémy certifikácie kybernetickej bezpečnosti, ktorých vypracovanie sa požaduje; b) strategické priority harmonizácie produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb alebo bezpečnostných požiadaviek právnych predpisov Únie vrátane potenciálnych oblastí, v prípade ktorých by sa mohla požadovať európska schéma certifikácie kybernetickej bezpečnosti.	Článok 72
Agentúra ENISA spravuje špecializované webové sídlo venované certifikácii	Agentúra ENISA spravuje a pravidelne aktualizuje špecializované webové sídlo, na ktorom sa poskytujú verejné informácie o: a) európskych schémach certifikácie kybernetickej bezpečnosti; b) poplatkoch spojených s udržiavaním každej európskej schémy certifikácie kybernetickej bezpečnosti; c) príslušných technických špecifikáciách agentúry ENISA; d) európskych certifikátoch kybernetickej bezpečnosti a EÚ vyhláseniach o zhode vrátane informácií o certifikátoch a vyhláseniach, ktoré už nie sú platné alebo ktorých platnosť bola pozastavená, zrušená alebo sa skončila; e) príslušných doplňujúcich informáciách o kybernetickej bezpečnosti poskytnutých v súlade s článkom 84 ods. 2; f)    zhrnutiach partnerských preskúmaní podľa článku 89 ods. 7; g)    technických špecifikáciách uvedených v európskej schéme certifikácie kybernetickej bezpečnosti podľa článku 74 ods. 10.	Článok 79
Prešetrovania	Komisia prešetrí všetky prípady, v ktorých má pochybnosti alebo v ktorých jej boli oznámené pochybnosti o spôsobilosti orgánu posudzovania zhody splniť požiadavky a povinnosti, ktorým podlieha, alebo o tom, či ich orgán posudzovania zhody naďalej spĺňa. Komisia zabezpečí dôverné zaobchádzanie so všetkými citlivými informáciami získanými počas prešetrovania.	Článok 94
Agentúra ENISA vytvorí a bude viesť register kľúčových a dôležitých subjektov, ako aj subjektov poskytujúcich služby registrácie názvov domén	Register kľúčových a dôležitých subjektov, ako aj subjektov poskytujúcich služby registrácie názvov domén. Na požiadanie ENISA umožní príslušným orgánom prístup k informáciám týkajúcim sa poskytovateľov služieb DNS, registrov názvov TLD, subjektov poskytujúcich služby registrácie názvov domén, poskytovateľov služieb cloud computingu, poskytovateľov služieb dátových centier, poskytovateľov sietí na doručovanie obsahu, poskytovateľov riadených služieb, poskytovateľov riadených bezpečnostných služieb, ako aj poskytovateľov online trhovísk, online vyhľadávačov a platforiem služieb sociálnych sietí uložených v tomto registri, pričom v náležitých prípadoch zabezpečí ochranu dôvernosti informácií.	Článok 1 ods. 11 smernice

4.4.Posúdenie interoperability

Pri každej digitálnej verejnej službe vplyv požiadaviek na cezhraničnú interoperabilitu 

Archívy/platformy/včasné varovania/sekretariát/operačná spolupráca/databáza údajov o koordinovanom zverejňovaní informácií o zraniteľnostiach 

Posúdenie	Opatrenia	Potenciálne pretrvávajúce prekážky
Hodnotenie súladu s existujúcimi digitálnymi a odvetvovými politikami  Uveďte identifikované uplatniteľné digitálne a odvetvové politiky	Kybernetická bezpečnosť	Žiadne známe prekážky
Hodnotenie organizačných opatrení na bezproblémové cezhraničné poskytovanie digitálnych verejných služieb  Uveďte plánované opatrenia v oblasti správy	Správna rada agentúry ENISA Sieť jednotiek CSIRT  EU-CyCLONe  Skupina pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti    Všetky tieto fóra sú miestom, kde možno predkladať problémy.	Neuplatňuje sa.
Hodnotenie opatrení prijatých na zabezpečenie spoločného chápania údajov  Uveďte zoznam takýchto opatrení	Neuplatňuje sa.	Neuplatňuje sa.
Hodnotenie používania spoločne dohodnutých otvorených technických špecifikácií a noriem  Uveďte zoznam takýchto opatrení	Neuplatňuje sa.	Neuplatňuje sa.

Európske schémy osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti

Posúdenie	Opatrenia	Potenciálne pretrvávajúce prekážky
Hodnotenie súladu s existujúcimi digitálnymi a odvetvovými politikami  Uveďte identifikované uplatniteľné digitálne a odvetvové politiky	Návrh vychádza z dokumentu COM(2023) 207 final (Akadémia zručností v oblasti kybernetickej bezpečnosti): „agentúra ENISA vypracuje pilotný projekt, v rámci ktorého preskúma vytvorenie európskej schémy osvedčovania kybernetickobezpečnostných zručností“.  Využíva nariadenie (EÚ) 2024/1183 (európska peňaženka digitálnej identity) tak, že stanovuje, že „agentúra ENISA a autorizovaní poskytovatelia osvedčení zabezpečia, aby sa elektronické osvedčenia európskych osvedčení o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti vydávali do európskych peňaženiek digitálnej identity“.  Kybernetická bezpečnosť  GDPR (uchovávanie záznamov poskytovateľmi)	Žiadne známe prekážky
Hodnotenie organizačných opatrení na bezproblémové cezhraničné poskytovanie digitálnych verejných služieb  Uveďte plánované opatrenia v oblasti správy	Konzultácie so zainteresovanými stranami pri príprave európskej schémy osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti  Oddelenie činností v rámci agentúry ENISA s cieľom zabezpečiť ich nezávislý výkon  Odvolacia rada	Používanie a uznávanie európskych schém osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti zostáva pre verejné a súkromné subjekty dobrovoľné.
Hodnotenie opatrení prijatých na zabezpečenie spoločného chápania údajov  Uveďte zoznam takýchto opatrení	Vypracovanie schém, v ktorých sa okrem iného podrobne stanovujú pravidlá týkajúce sa obsahu a formátu osvedčení.  Oprávnení poskytovatelia zabezpečia, aby sa na žiadosť jednotlivca vydávali elektronické osvedčenia európskych osvedčení o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti ako elektronické osvedčenia atribútov vo formáte, ktorý možno uložiť do európskych peňaženiek digitálnej identity. Agentúra ENISA poskytuje usmernenia a vykonáva povinnú odbornú prípravu pre posudzovateľov týkajúcu sa požiadaviek a metód posudzovania zahrnutých do európskej schémy osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti.  Poskytovanie verejných informácií na webovom sídle  Vykonávacie akty o poplatkoch	Hoci by schémy mali byť také podrobné, aby sa zabezpečilo ich spoločné chápanie a uľahčilo ich vykonávanie, a hoci agentúra ENISA bude poskytovať usmernenia posudzovateľom a vykonávať ich povinnú odbornú prípravu s cieľom zabezpečiť konzistentné vykonávanie schém, mohli by sa vyskytnúť nepredvídané aspekty, keď by autorizovaní poskytovatelia osvedčení museli komunikovať s agentúrou ENISA, inými poskytovateľmi alebo posudzovateľmi.
Hodnotenie používania spoločne dohodnutých otvorených technických špecifikácií a noriem  Uveďte zoznam takýchto opatrení	Európske schémy osvedčovania individuálnych zručností v oblasti kybernetickej bezpečnosti sa vyvíjajú s podporou príslušných zainteresovaných strán.	Neuplatňuje sa.

Príprava kandidátskych európskych schém certifikácie kybernetickej bezpečnosti („kandidátske schémy“)/prideľovanie čísel orgánom posudzovania zhody 

Posúdenie	Opatrenia	Potenciálne pretrvávajúce prekážky
Hodnotenie súladu s existujúcimi digitálnymi a odvetvovými politikami  Uveďte identifikované uplatniteľné digitálne a odvetvové politiky	Cieľom návrhu je zosúladiť správu a riadenie s novým legislatívnym rámcom, najmä pokiaľ ide o nariadenie (ES) 765/200826.  Cieľom návrhu je uľahčiť dodržiavanie príslušných sektorových právnych predpisov v oblasti kybernetickej bezpečnosti vytvorením špecializovaných európskych schém certifikácie kybernetickej bezpečnosti.	Žiadne známe prekážky
Hodnotenie organizačných opatrení na bezproblémové cezhraničné poskytovanie digitálnych verejných služieb  Uveďte plánované opatrenia v oblasti správy	Európska skupina pre certifikáciu kybernetickej bezpečnosti;  ENISA;  Pracovné skupiny ad hoc;  Európske zhromaždenie pre certifikáciu v oblasti kybernetickej bezpečnosti;  Konzultácie so zainteresovanými stranami pri požadovaní, vývoji a prijímaní európskych schém certifikácie kybernetickej bezpečnosti;  Komitologické postupy pre plánované vykonávacie akty týkajúce sa európskych schém certifikácie kybernetickej bezpečnosti.	Používanie európskej certifikácie kybernetickej bezpečnosti je dobrovoľné, pokiaľ nie je v európskych právnych predpisoch stanovené inak.
Hodnotenie opatrení prijatých na zabezpečenie spoločného chápania údajov  Uveďte zoznam takýchto opatrení	Vykonávacie akty uvedené v oddiele 4.5.	Používanie európskej certifikácie kybernetickej bezpečnosti je dobrovoľné, pokiaľ nie je v európskych právnych predpisoch stanovené inak.
Hodnotenie používania spoločne dohodnutých otvorených technických špecifikácií a noriem  Uveďte zoznam takýchto opatrení	Vykonávacie akty uvedené v oddiele 4.5.  Špecifikované požiadavky európskej schémy certifikácie kybernetickej bezpečnosti musia byť v súlade s požiadavkami právnych predpisov Únie.  V európskych schémach certifikácie kybernetickej bezpečnosti sa využívajú medzinárodné, európske alebo vnútroštátne normy uplatňované pri hodnotení, alebo ak takéto normy nie sú k dispozícii alebo nie sú vhodné, technické špecifikácie vypracované agentúrou ENISA a na tieto normy a špecifikácie sa v nich odkazuje.	Neuplatňuje sa.

Verejne prístupné webové sídla 

Posúdenie	Opatrenia	Potenciálne pretrvávajúce prekážky
Hodnotenie súladu s existujúcimi digitálnymi a odvetvovými politikami  Uveďte identifikované uplatniteľné digitálne a odvetvové politiky	Akt EÚ o prístupnosti a smernica o prístupnosti webových sídel  Kybernetická bezpečnosť	Žiadne známe prekážky
Hodnotenie organizačných opatrení na bezproblémové cezhraničné poskytovanie digitálnych verejných služieb  Uveďte plánované opatrenia v oblasti správy	Neuplatňuje sa.	Neuplatňuje sa.
Hodnotenie opatrení prijatých na zabezpečenie spoločného chápania údajov  Uveďte zoznam takýchto opatrení		Neuplatňuje sa.
Hodnotenie používania spoločne dohodnutých otvorených technických špecifikácií a noriem  Uveďte zoznam takýchto opatrení		Neuplatňuje sa.

4.5.Opatrenia na podporu digitálneho vykonávania

Všeobecný opis opatrení na podporu digitálneho vykonávania 

Opis opatrenia	Odkazy na požiadavky	Úloha Komisie  (ak sa uplatňuje)	Subjekty, ktoré sa majú zapojiť  (ak sa uplatňuje)	Očakávaný harmonogram  (ak sa uplatňuje)
Komisia je na základe prijatej kandidátskej schémy vypracovanej agentúrou ENISA splnomocnená prijímať vykonávacie akty, ktorými sa stanoví európska schéma certifikácie kybernetickej bezpečnosti pre produkty IKT, služby IKT, procesy IKT, riadené bezpečnostné služby alebo úroveň kybernetickej bezpečnosti subjektov, ktorá spĺňa požiadavky stanovené v článkoch 80 a 81. Uvedený vykonávací akt sa prijme v súlade s postupom preskúmania uvedeným v článku 118 ods. 2.	Článok 75 ods. 9	Komisia je splnomocnená prijímať vykonávacie akty		Neuplatňuje sa.
Komisia je splnomocnená prijímať delegované akty v súlade s článkom 119 s cieľom zmeniť odsek 1 tohto článku doplnením alebo úpravou bezpečnostných cieľov s cieľom zabezpečiť, aby odrážali najnovší technologický vývoj a nové súvisiace hrozby, ako aj prijatie nových právnych predpisov Únie, v ktorých sa stanoví predpoklad zhody prostredníctvom európskej certifikácie kybernetickej bezpečnosti s príslušnými požiadavkami kybernetickej bezpečnosti uvedenými v týchto právnych predpisoch.	Článok 80 ods. 2	Komisia je splnomocnená prijímať delegované akty.		Neuplatňuje sa.
Komisia je splnomocnená prijímať vykonávacie akty, ktorými sa stanovujú spoločné zásady a vzorové ustanovenia pre prvky uvedené v odsekoch 1, 2 a 3 v rámci európskych schém certifikácie kybernetickej bezpečnosti. V náležitých prípadoch a ak sú tieto zásady a vzorové ustanovenia dostupné, môže európska schéma certifikácie kybernetickej bezpečnosti na ne obsahovať odkazy. Vykonávacie akty uvedené v prvom pododseku sa prijmú v súlade s postupom preskúmania uvedeným v článku 118 ods. 2. Pri vypracúvaní alebo revízii spoločných zásad a vzorových ustanovení pre prvky európskych schém certifikácie kybernetickej bezpečnosti Komisia konzultuje s agentúrou ENISA a v náležitých prípadoch zohľadní názory ECCG, príslušných zainteresovaných strán a iných príslušných orgánov.	Článok 81 ods. 5	Komisia je splnomocnená prijímať vykonávacie akty	ENISA ECCG	Neuplatňuje sa.
Komisia je splnomocnená prijímať vykonávacie akty, ktorými sa stanovujú postupy pre modely predchádzajúceho schválenia alebo všeobecného delegovania uvedené v odseku 4 tohto článku. V procese prípravy týchto vykonávacích aktov Komisia konzultuje s ECCG. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 118 ods. 2.	Článok 85 ods. 5	Komisia je splnomocnená prijímať vykonávacie akty	ECCG	Neuplatňuje sa.
Certifikáty produktov IKT, služieb IKT, procesov IKT, riadených bezpečnostných služieb a úrovne kybernetickej bezpečnosti subjektov vydané v tretích krajinách môžu byť prostredníctvom vykonávacieho aktu alebo uzavretím dohody medzi Úniou a príslušnou treťou krajinou alebo medzinárodnou organizáciou uznané za rovnocenné s európskymi certifikátmi kybernetickej bezpečnosti, ak sa požiadavky príslušnej schémy tretej krajiny alebo schémy medzinárodnej organizácie považujú za rovnocenné s požiadavkami európskych schém certifikácie kybernetickej bezpečnosti. Komisia je splnomocnená prijímať takéto vykonávacie akty. Vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 118 ods. 2.	Článok 87 ods. 1	Komisia je splnomocnená prijímať vykonávacie akty		Neuplatňuje sa.
Komisia je splnomocnená prijímať vykonávacie akty, v ktorých stanoví plán partnerského preskúmania na obdobie najmenej piatich rokov, kritériá zloženia tímu partnerského preskúmania, metodiku partnerského preskúmania a časový harmonogram, periodicitu a ďalšie úlohy súvisiace s partnerským preskúmaním. Pri príprave týchto vykonávacích aktov Komisia konzultuje s ECCG a agentúrou ENISA. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 118 ods. 2.	Článok 89 ods. 6	Komisia je splnomocnená prijímať vykonávacie akty		Neuplatňuje sa.
Komisia je splnomocnená prijímať vykonávacie akty, v ktorých sa stanovia postupy udeľovania autorizácie orgánom posudzovania zhody vrátane postupov cezhraničnej spolupráce. V procese prípravy vykonávacích aktov Komisia konzultuje s agentúrou ENISA a ECCG. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 118 ods. 2.	Článok 92 ods. 8	Komisia je splnomocnená prijímať vykonávacie akty	ENISA ECCG	Neuplatňuje sa.
Komisia je splnomocnená prijímať vykonávacie akty, ktorými stanoví okolnosti, formáty a postupy pre notifikácie uvedené v odseku 1 tohto článku vrátane postupu vznášania námietok inými členskými štátmi počas procesu notifikácie, jednoznačnej identifikácie orgánov posudzovania zhody, ako aj okolností obmedzenia, pozastavenia alebo zrušenia notifikácie. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 118 ods. 2.	Článok 93 ods. 3	Komisia je splnomocnená prijímať vykonávacie akty		Neuplatňuje sa.
Komisia môže prijať vykonávacie akty v súlade s článkom 100 s cieľom určiť tretiu krajinu, ktorá vzbudzuje obavy z hľadiska kybernetickej bezpečnosti dodávateľských reťazcov IKT.	Článok 100 ods. 2 Určenie tretích krajín, ktoré vzbudzujú obavy z hľadiska kybernetickej bezpečnosti	Prijatie vykonávacích aktov		Neuplatňuje sa. Žiadny časový harmonogram, ale vykonávacie akty by sa mali pravidelne preskúmavať
Komisia môže prijať vykonávacie akty na stanovenie jedného alebo viacerých zmierňujúcich opatrení uvedených v článku 103 ods. 2.	Článok 103 ods. 2 Zmierňujúce opatrenia v dodávateľskom reťazci IKT	Prijatie vykonávacích aktov	Neuplatňuje sa.	Neuplatňuje sa. Žiadny časový harmonogram, ale majú sa preskúmať každých 36 mesiacov (v súlade s postupom preskúmania uvedeným v článku 118 ods. 2)
Komisia môže prijať vykonávacie akty v súlade s článkom 102 s cieľom určiť kľúčové aktíva IKT používané na výrobu produktov alebo poskytovanie služieb typmi subjektov uvedenými v prílohe I a prílohe II k smernici (EÚ) 2022/2555.	Článok 102 ods. 1 Určenie kľúčových aktív IKT	Prijatie vykonávacích aktov	Neuplatňuje sa.	Neuplatňuje sa.
Komisia môže prijať vykonávacie akty, ktorými zakáže používať, inštalovať alebo integrovať v akejkoľvek forme komponenty IKT od vysokorizikových dodávateľov určených v súlade s článkom 100 ods. 2 alebo komponenty, ktoré obsahujú takéto komponenty IKT, v kľúčových aktívach IKT určených v súlade s článkom 102.	Článok 103 ods. 1 Zmierňujúce opatrenia v dodávateľskom reťazci IKT	Prijatie vykonávacích aktov	Neuplatňuje sa.	Neuplatňuje sa.
Komisia môže prijať vykonávacie akty s cieľom stanoviť, že subjektom typov uvedených v prílohách I a II k smernici (EÚ) 2022/2555 sa zakazuje používať, inštalovať alebo integrovať komponenty IKT od konkrétneho subjektu alebo komponenty, ktoré obsahujú takéto komponenty IKT.	Článok 103 ods. 7	Prijatie vykonávacích aktov	Konzultácie s členskými štátmi a príslušnými subjektmi	Neuplatňuje sa.
Komisia prostredníctvom vykonávacích aktov stanoví zoznamy vysokorizikových dodávateľov relevantných pre zákazy stanovené vo vykonávacích aktoch prijatých v súlade s článkom 103 ods. 1 alebo zákaz uvedený v článku 111 ods. 1.	Článok 104 ods. 1	Prijatie vykonávacích aktov	Neuplatňuje sa.	Neuplatňuje sa.
Komisia môže prijať vykonávacie akty s cieľom bližšie špecifikovať podmienky uvedené v článku 105 ods. 2 písm. b) a stanoviť podrobné pravidlá týkajúce sa postupov uvedených v článku 105.	Článok 105 Výnimka pre subjekty usadené v tretej krajine, ktorá vzbudzuje obavy z hľadiska kybernetickej bezpečnosti, alebo kontrolované subjektmi z takejto tretej krajiny	Prijatie vykonávacích aktov	Neuplatňuje sa.	Neuplatňuje sa.
Komisia môže prijať vykonávacie akty, v ktorých stanoví podrobné pravidlá týkajúce sa poplatkov, určí výšku poplatkov a spôsob ich úhrady.	Článok 109 Poplatky	Prijatie vykonávacích aktov	Neuplatňuje sa.	Neuplatňuje sa.
Komisia prijme vykonávacie akty s cieľom určiť lehoty na postupné vyradenie komponentov IKT, ktoré poskytujú vysokorizikoví dodávatelia, alebo komponentov, ktoré zahŕňajú takéto komponenty IKT, pokiaľ ide o pevné a satelitné elektronické komunikačné siete.	Článok 110 ods. 4 Kľúčové aktíva IKT pre mobilné, pevné a satelitné elektronické komunikačné siete	Prijatie vykonávacích aktov	Neuplatňuje sa.	Neuplatňuje sa.
Komisia môže v súlade s článkom 119 prijať delegované akty s cieľom zmeniť prílohu II, aby sa prispôsobila technologickému vývoju zohľadnením prvkov uvedených v článku 103 ods. 3.	Článok 110 ods. 5	Prijatie delegovaných aktov	Neuplatňuje sa.	Neuplatňuje sa.
7.    Článok 21 ods. 5 sa mení takto: a)    Druhý pododsek sa nahrádza takto: „Komisia môže prijať vykonávacie akty, ktorými stanoví technické a metodické a v prípade potreby aj odvetvové požiadavky na opatrenia uvedené v odseku 2, pokiaľ ide o iné kľúčové a dôležité subjekty, než sú subjekty uvedené v prvom pododseku tohto odseku. Komisia pravidelne posudzuje, či sa majú prijať vykonávacie akty uvedené v tomto pododseku pre konkrétne odvetvia alebo typy subjektov s cieľom zlepšiť fungovanie vnútorného trhu. Na základe výsledkov týchto posúdení môže Komisia navrhnúť takéto vykonávacie akty pre určené odvetvia alebo typy subjektov. Pri príprave takýchto posúdení sa Komisia zameria najmä na cezhraničný charakter odvetví alebo typov subjektov a uskutoční otvorený, transparentný a inkluzívny konzultačný proces s príslušnými zainteresovanými stranami a členskými štátmi.“; b)    Za štvrtý pododsek sa vkladá tento pododsek: „Ak Komisia prijme vykonávacie akty uvedené v prvom a druhom pododseku tohto odseku, členské štáty neukladajú subjektom, na ktoré sa vzťahujú tieto vykonávacie akty, žiadne ďalšie technické alebo metodické požiadavky na opatrenia uvedené v článku 21 ods. 2 smernice (EÚ) 2022/2555.“	Článok 1 ods. 7 smernice  Maximálna harmonizácia	Komisia môže prijať vykonávacie akty		Neuplatňuje sa.

(1)    ENISA, ENISA Threat Landscape 2024 (Panoráma hrozieb v roku 2024 podľa agentúry ENISA), https://www.enisa.europa.eu/publications/enisa-threat-landscape-2024 .

(2)    ENISA, ENISA Threat Landscape 2025 (Panoráma hrozieb v roku 2025 podľa agentúry ENISA).

(3)    Európska komisia, Budúcnosť európskej konkurencieschopnosti,      https://commission.europa.eu/document/download/97e481fd-2dc3-412d-be4c-f152a8232961_en?filename=The%20future%20of%20European%20competitiveness%20_%20A%20competitiveness%20strategy%20for%20Europe.pdf .

(4)    JOIN(2025) 130 final.

(5)    COM(2025) 148 final.

(6)    JOIN(2025) 977 final.

(7)    COM(2025) 66 final.

(8)    COM(2025) 10 final.

(9)    COM(2023) 207 final.

(10)    Vykonávacie nariadenie Komisie (EÚ) 2023/203 a delegované nariadenie Komisie (EÚ) 2022/1645.

(11)    Nariadenie Európskeho parlamentu a Rady (EÚ) 2023/1781 z 13. septembra 2023, ktorým sa zriaďuje rámec opatrení na posilnenie európskeho ekosystému polovodičov a mení nariadenie (EÚ) 2021/694 (akt o čipoch) (Ú. v. EÚ L 229, 18.9.2023, s. 1 – 53).

(12)    Najmä smernice 2014/23/EÚ, 2014/24/EÚ a 2014/25/EÚ.

(13)    Európska komisia, Komisia zverejňuje výzvu na predkladanie podkladov a verejnú konzultáciu o hodnotení smerníc o verejnom obstarávaní,    
https://single-market-economy.ec.europa.eu/news/commission-launches-call-evidence-and-public-consultation-evaluation-public-procurement-directives-2024-12-13_sk .

(14)    COM(2025) 837 final.

(15)    JOIN(2023) 20 final.

(16)    JOIN(2025) 120 final.

(17)    JOIN(2025) 977 final.

(18)     Nariadenie – 2019/881 – SK – EUR-Lex .

(19)    Horizontálna pracovná skupina pre kybernetické otázky.

(20)    Nariadenie (EÚ) 2019/881 ( http://data.europa.eu/eli/reg/2019/881/oj ).

(21)     http://data.europa.eu/eli/dir/2022/2555/oj .

(22)     http://data.europa.eu/eli/reg/2008/765/oj .

(23)     http://data.europa.eu/eli/reg/2012/1025/oj .

(24)    Ú. v. EÚ C , , s. .

(25)    Ú. v. EÚ C , , s. .

(26)    Nariadenie Európskeho parlamentu a Rady (EÚ) 2019/881 zo 17. apríla 2019 o agentúre ENISA (Agentúra Európskej únie pre kybernetickú bezpečnosť) a o certifikácii kybernetickej bezpečnosti informačných a komunikačných technológií a o zrušení nariadenia (EÚ) č. 526/2013 (akt o kybernetickej bezpečnosti) (Ú. v. EÚ L 151, 7.6.2019, s. 15, ELI:     http://data.europa.eu/eli/reg/2019/881/oj).

(27)    Smernica Európskeho parlamentu a Rady (EÚ) 2022/2555 zo 14. decembra 2022 o opatreniach na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v Únii, ktorou sa mení nariadenie (EÚ) č. 910/2014 a smernica (EÚ) 2018/1972 a zrušuje smernica (EÚ) 2016/1148 (smernica NIS 2) (Ú. v. EÚ L 333, 27.12.2022, s. 80, ELI: http://data.europa.eu/eli/dir/2022/2555/oj).

(28)    Smernica Európskeho parlamentu a Rady (EÚ) 2022/2557 zo 14. decembra 2022 o odolnosti kritických subjektov a o zrušení smernice Rady 2008/114/ES (Ú. v. EÚ L 333, 27.12.2022, s. 164, ELI: http://data.europa.eu/eli/dir/2022/2557/oj).

(29)    Nariadenie Európskeho parlamentu a Rady (EÚ) 2024/2847 z 23. októbra 2024 o horizontálnych požiadavkách kybernetickej bezpečnosti pre produkty s digitálnymi prvkami a o zmene nariadení (EÚ) č. 168/2013 a (EÚ) 2019/1020 a smernice (EÚ) 2020/1828 (akt o kybernetickej odolnosti) (Ú. v. EÚ L, 2024/2847, 20.11.2024, ELI: http://data.europa.eu/eli/reg/2024/2847/oj).

(30)    Nariadenie Európskeho parlamentu a Rady (EÚ) 2025/38 z 19. decembra 2024, ktorým sa stanovujú opatrenia na posilnenie solidarity a kapacít v Únii na odhaľovanie kybernetických hrozieb a incidentov, prípravu a reakciu na ne a ktorým sa mení nariadenie (EÚ) 2021/694 (akt o kybernetickej solidarite) (Ú. v. EÚ L, 2025/38, 15.1.2025, ELI:     http://data.europa.eu/eli/reg/2025/38/oj).

(31)    Ú. v. EÚ C, C/2025/3445, 20.6.2025, ELI: http://data.europa.eu/eli/C/2025/3445/oj.

(32)    Kybernetická bezpečnosť sietí 5G – súbor nástrojov EÚ na zmiernenie rizík, skupina pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti, 1/2020, k dispozícii na adrese: https://digital-strategy.ec.europa.eu/en/library/cybersecurity-5g-networks-eu-toolbox-risk-mitigating-measures .

(33)    Oznámenie Komisie Európskemu parlamentu a Rade Riešenie nedostatku odborníkov v oblasti kybernetickej bezpečnosti s cieľom posilniť konkurencieschopnosť, rast a odolnosť EÚ (Akadémia zručností v oblasti kybernetickej bezpečnosti) [COM(2023) 207 final, 18. apríl 2023].

(34)    Nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554 zo 14. decembra 2022 o digitálnej prevádzkovej odolnosti finančného sektora a o zmene nariadení (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014, (EÚ) č. 909/2014 a (EÚ) 2016/1011 (Ú. v. EÚ L 333, 27.12.2022, s. 1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj).

(35)    Delegované nariadenie Komisie (EÚ) 2024/1366 z 11. marca 2024, ktorým sa dopĺňa nariadenie Európskeho parlamentu a Rady (EÚ) 2019/943 stanovením sieťového predpisu pre odvetvové pravidlá týkajúce sa aspektov kybernetickej bezpečnosti cezhraničných tokov elektriny (Ú. v. EÚ L, 2024/1366, 24.5.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1366/oj).

(36)    Delegované nariadenie Komisie (EÚ) 2022/1645 zo 14. júla 2022, ktorým sa stanovujú pravidlá uplatňovania nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1139, pokiaľ ide o požiadavky na riadenie rizík v oblasti informačnej bezpečnosti s potenciálnym vplyvom na bezpečnosť letectva pre organizácie, na ktoré sa vzťahujú nariadenia Komisie (EÚ) č. 748/2012 a (EÚ) č. 139/2014, a ktorým sa menia nariadenia Komisie (EÚ) č. 748/2012 a (EÚ) č. 139/2014 (Ú. v. EÚ L 248, 26.9.2022, s. 18 – 31, ELI:  http://data.europa.eu/eli/reg_del/2022/1645/oj ).

(37)    Vykonávacie nariadenie Komisie (EÚ) 2023/203 z 27. októbra 2022, ktorým sa stanovujú pravidlá uplatňovania nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1139, pokiaľ ide o požiadavky na riadenie rizík v oblasti informačnej bezpečnosti s potenciálnym vplyvom na bezpečnosť letectva pre organizácie, na ktoré sa vzťahujú nariadenia Komisie (EÚ) č. 1321/2014, (EÚ) č. 965/2012, (EÚ) č. 1178/2011, (EÚ) 2015/340, vykonávacie nariadenia Komisie (EÚ) 2017/373 a (EÚ) 2021/664, a pre príslušné orgány, na ktoré sa vzťahujú nariadenia Komisie (EÚ) č. 748/2012, (EÚ) č. 1321/2014, (EÚ) č. 965/2012, (EÚ) č. 1178/2011, (EÚ) 2015/340, vykonávacie nariadenia Komisie (EÚ) 2017/373, (EÚ) č. 139/2014 a (EÚ) 2021/664, a ktorým sa menia nariadenia Komisie (EÚ) č. 1178/2011, (EÚ) č. 748/2012, (EÚ) č. 965/2012, (EÚ) č. 139/2014, (EÚ) č. 1321/2014, (EÚ) 2015/340 a vykonávacie nariadenia Komisie (EÚ) 2017/373 a (EÚ) 2021/664 (Ú. v. EÚ L 31, 2.2.2023, s. 1, ELI: http://data.europa.eu/eli/reg_impl/2023/203/oj).

(38)    Vykonávacie nariadenie Komisie (EÚ) 2019/1583 z 25. septembra 2019, ktorým sa mení vykonávacie nariadenie (EÚ) 2015/1998, ktorým sa stanovujú podrobné opatrenia na vykonávanie spoločných základných noriem bezpečnostnej ochrany letectva, pokiaľ ide o opatrenia kybernetickej bezpečnosti (Ú. v. EÚ L 246, 26.9.2019, s. 15 – 18, ELI:  http://data.europa.eu/eli/reg_impl/2019/1583/oj ).

(39)    Oznámenie Komisie Európskemu parlamentu, Rade, Európskemu hospodárskemu a sociálnemu výboru a Výboru regiónov Európsky akčný plán pre kybernetickú bezpečnosť nemocníc a poskytovateľov zdravotnej starostlivosti [COM(2025) 10 final, 15. január 2025].

(40)    Nariadenie Európskeho parlamentu a Rady (EÚ, Euratom) 2023/2841 z 13. decembra 2023, ktorým sa stanovujú opatrenia na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v inštitúciách, orgánoch, úradoch a agentúrach Únie (Ú. v. EÚ L, 2023/2841, 18.12.2023, ELI: http://data.europa.eu/eli/reg/2023/2841/oj).

(41)    Oznámenie Komisie Európskemu parlamentu, Rade, Európskemu hospodárskemu a sociálnemu výboru a Výboru regiónov ProtectEU: európska stratégia vnútornej bezpečnosti [COM(2025) 148 final, 1. apríl 2025].

(42)    Spoločné oznámenie Európskemu parlamentu, Európskej rade, Rade, Európskemu hospodárskemu a sociálnemu výboru a Výboru regiónov o Európskej stratégii únie pripravenosti [JOIN(2025) 130 final].

(43)    Spoločné oznámenie Európskemu parlamentu a Rade Posilnenie hospodárskej bezpečnosti EÚ [JOIN(2025) 977 final].

(44)    COM(2025) 837 final.

(45)    Nariadenie Európskeho parlamentu a Rady (ES) č. 460/2004 z 10. marca 2004 o zriadení Európskej agentúry pre bezpečnosť sietí a informácií (Ú. v. EÚ L 77, 13.3.2004, s. 1, ELI:     http://data.europa.eu/eli/reg/2004/460/oj).

(46)    Nariadenie Európskeho parlamentu a Rady (EÚ) č. 910/2014 z 23. júla 2014 o elektronickej identifikácii a dôveryhodných službách pre elektronické transakcie na vnútornom trhu a o zrušení smernice 1999/93/ES (Ú. v. EÚ L 257, 28.8.2014, s. 73. ELI:     http://data.europa.eu/eli/reg/2014/910/oj).

(47)    Nariadenie Európskeho parlamentu a Rady (EÚ) 2021/887 z 20. mája 2021, ktorým sa zriaďuje Európske centrum priemyselných, technologických a výskumných kompetencií v oblasti kybernetickej bezpečnosti a sieť národných koordinačných centier (Ú. v. EÚ L 202, 8.6.2021, s. 1, ELI:     http://data.europa.eu/eli/reg/2021/887/oj).

(48)    Oznámenie Komisie Európskemu parlamentu, Európskej rade, Rade, Európskemu hospodárskemu a sociálnemu výboru a Výboru regiónov Únia zručností [COM(2025) 90 final, 5. marec 2025].

(49)    JOIN(2025) 791 final.

(50)    Nariadenie Európskeho parlamentu a Rady (EÚ, Euratom) 2024/2509 z 23. septembra 2024 o rozpočtových pravidlách, ktoré sa vzťahujú na všeobecný rozpočet Únie (Ú. v. EÚ L, 2024/2509, 26.9.2024, ELI: http://data.europa.eu/eli/reg/2024/2509/oj).

(51)    Európske osvedčenia o individuálnych zručnostiach v oblasti kybernetickej bezpečnosti by sa mali chápať ako osvedčenia, ktoré sa riadia prístupom podobným tomu, čo trh uznáva ako „certifikáty kybernetickej bezpečnosti“. Aby sa však predišlo nejasnostiam v súvislosti s európskym rámcom certifikácie kybernetickej bezpečnosti, uprednostňuje sa výraz „osvedčenie“, ktorý sa už používa v oznámení o Akadémii zručností v oblasti kybernetickej bezpečnosti.

(52)    Vykonávacie nariadenie (EÚ) 2025/1569.

(53)    Spoločný prístup, ktorý je prílohou spoločného vyhlásenia Európskeho parlamentu, Rady EÚ a Európskej komisie o decentralizovaných agentúrach prijatého 19. júla 2012 a dostupného na adrese: https://european-union.europa.eu/document/download/d4199ff4-1e3d-45e6-af7e-90cf1a7b10bc_en?filename=joint_statement_on_decentralised_agencies_en.pdf .

(54)    Nariadenie Európskeho parlamentu a Rady (ES) č. 1049/2001 z 30. mája 2001 o prístupe verejnosti k dokumentom Európskeho parlamentu, Rady a Komisie (Ú. v. ES L 145, 31.5.2001, s. 43, ELI: http://data.europa.eu/eli/reg/2001/1049/oj).

(55)    Nariadenie Európskeho parlamentu a Rady (EÚ) 2018/1725 z 23. októbra 2018 o ochrane fyzických osôb pri spracúvaní osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie a o voľnom pohybe takýchto údajov, ktorým sa zrušuje nariadenie (ES) č. 45/2001 a rozhodnutie č. 1247/2002/ES (Ú. v. EÚ L 295, 21.11.2018, s. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

(56)    Smernica Európskeho parlamentu a Rady 2014/24/EÚ z 26. februára 2014 o verejnom obstarávaní a o zrušení smernice 2004/18/ES (Ú. v. EÚ L 94, 28.3.2014, s. 65, ELI:     http://data.europa.eu/eli/dir/2014/24/oj).

(57)    Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 4.5.2016, s. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(58)    Smernica Európskeho parlamentu a Rady (EÚ) 2022/2555 zo 14. decembra 2022 o opatreniach na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v Únii, ktorou sa mení nariadenie (EÚ) č. 910/2014 a smernica (EÚ) 2018/1972 a zrušuje smernica (EÚ) 2016/1148 (smernica NIS 2) (Ú. v. EÚ L 333, 27.12.2022, s. 80, ELI:  http://data.europa.eu/eli/dir/2022/2555/oj ).

(59)    Vykonávacie nariadenie Komisie (EÚ) 2024/482 z 31. januára 2024, ktorým sa stanovujú pravidlá uplatňovania nariadenia Európskeho parlamentu a Rady (EÚ) 2019/881, pokiaľ ide o prijatie európskej schémy certifikácie kybernetickej bezpečnosti založenej na spoločných kritériách (EUCC) (Ú. v. EÚ L, 2024/482, 7.2.2024, ELI: http://data.europa.eu/eli/reg_impl/2024/482/oj).

(60)    Vykonávacie nariadenie Komisie (EÚ) 2025/2540 z 9. decembra 2025, ktorým sa stanovujú pravidlá uplatňovania nariadenia Európskeho parlamentu a Rady (EÚ) 2019/881, pokiaľ ide o stanovenie plánu vzájomného preskúmania (Ú. v. EÚ L 2540, 12.12.2025,     ELI:  http://data.europa.eu/eli/reg_impl/2025/2540/oj ).

(61)    Nariadenie Európskeho parlamentu a Rady (ES) č. 765/2008 z 9. júla 2008, ktorým sa stanovujú požiadavky akreditácie a dohľadu nad trhom v súvislosti s uvádzaním výrobkov na trh a ktorým sa zrušuje nariadenie (EHS) č. 339/93 (Ú. v. EÚ L 218, 13.8.2008, s. 30, ELI:     http://data.europa.eu/eli/reg/2008/765/oj).

(62)    Vykonávacie nariadenie Komisie (EÚ) 2024/3143 z 18. decembra 2024, ktorým sa stanovujú okolnosti, formáty a postupy oznamovania podľa článku 61 ods. 5 nariadenia Európskeho parlamentu a Rady (EÚ) 2019/881 o agentúre ENISA (Agentúra Európskej únie pre kybernetickú bezpečnosť) a o certifikácii kybernetickej bezpečnosti informačných a komunikačných technológií (Ú. v. EÚ L 3143, 19.12.2025, ELI:  http://data.europa.eu/eli/reg_impl/2024/3143/oj ).

(63)    ENISA Threat Landscape 2025 (ENISA, Panoráma hrozieb v roku 2025), október 2025.

(64)    Smernica Európskeho parlamentu a Rady (EÚ) 2022/2555 zo 14. decembra 2022 o opatreniach na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v Únii, ktorou sa mení nariadenie (EÚ) č. 910/2014 a smernica (EÚ) 2018/1972 a zrušuje smernica (EÚ) 2016/1148 (smernica NIS 2) (Ú. v. EÚ L 333, 27.12.2022, s. 80 – 152, ELI: https://eur-lex.europa.eu/eli/dir/2022/2555/oj).

(65)    Nariadenie Európskeho parlamentu a Rady (EÚ) 2024/2847 z 23. októbra 2024 o horizontálnych požiadavkách kybernetickej bezpečnosti pre produkty s digitálnymi prvkami a o zmene nariadení (EÚ) č. 168/2013 a (EÚ) 2019/1020 a smernice (EÚ) 2020/1828 (akt o kybernetickej odolnosti) (Ú. v. EÚ L, 2024/2847, 20.11.2024, ELI: https://eur-lex.europa.eu/eli/reg/2024/2847/oj).

(66)    Spoločné oznámenie Európskemu parlamentu a Rade Posilnenie hospodárskej bezpečnosti EÚ, 3. decembra 2025 [JOIN(2025) 977 final].

(67)    Smernica Európskeho parlamentu a Rady 2014/24/EÚ z 26. februára 2014 o verejnom obstarávaní a o zrušení smernice 2004/18/ES (Ú. v. EÚ L 94, 28.3.2014, s. 65 – 242, ELI: https://eur-lex.europa.eu/eli/dir/2014/24/oj).

(68)    Smernica Európskeho parlamentu a Rady 2014/25/EÚ z 26. februára 2014 o obstarávaní vykonávanom subjektmi pôsobiacimi v odvetviach vodného hospodárstva, energetiky, dopravy a poštových služieb a o zrušení smernice 2004/17/ES (Ú. v. EÚ L 94, 28.3.2014, s. 243 – 374, ELI: https://eur-lex.europa.eu/eli/dir/2014/25/oj).

(69)    Oznámenie Komisie o vykonávaní súboru nástrojov pre kybernetickú bezpečnosť 5G, 15. júna 2023 [C(2023) 4049 final].

(70)    Nariadenie Európskeho parlamentu a Rady (EÚ) 2018/1725 z 23. októbra 2018 o ochrane fyzických osôb pri spracúvaní osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie a o voľnom pohybe takýchto údajov, ktorým sa zrušuje nariadenie (ES) č. 45/2001 a rozhodnutie č. 1247/2002/ES (Ú. v. EÚ L 295, 21.11.2018, ELI:  http://data.europa.eu/eli/reg/2018/1725/oj ).

(71)    Nariadenie Európskeho parlamentu a Rady (EÚ) č. 1025/2012 z 25. októbra 2012 o európskej normalizácii, ktorým sa menia a dopĺňajú smernice Rady 89/686/EHS a 93/15/EHS a smernice Európskeho parlamentu a Rady 94/9/ES, 94/25/ES, 95/16/ES, 97/23/ES, 98/34/ES, 2004/22/ES, 2007/23/ES, 2009/23/ES a 2009/105/ES a ktorým sa zrušuje rozhodnutie Rady 87/95/EHS a rozhodnutie Európskeho parlamentu a Rady č. 1673/2006/ES (Ú. v. EÚ L 316, 14.11.2012, s. 12, ELI: http://data.europa.eu/eli/reg/2012/1025/oj).

(72)    Nariadenie Európskeho parlamentu a Rady (EÚ) 2023/2675 z 22. novembra 2023 o ochrane Únie a jej členských štátov pred hospodárskym nátlakom tretích krajín (Ú. v. EÚ L, 2023/2675, 7.12.2023, ELI: http://data.europa.eu/eli/reg/2023/2675/oj).

(73)    Ú. v. ES L 56, 4.3.1968, s. 1., ELI: http://data.europa.eu/eli/reg/1968/259(1)/oj.

(74)    Delegované nariadenie Komisie (EÚ) 2019/715 z 18. decembra 2018 o rámcovom nariadení o rozpočtových pravidlách pre subjekty zriadené podľa ZFEÚ a Zmluvy o Euratome a uvedené v článku 70 nariadenia Európskeho parlamentu a Rady (EÚ, Euratom) 2018/1046 (Ú. v. EÚ L 122, 10.5.2019, s. 1, ELI: http://data.europa.eu/eli/reg_del/2019/715/oj).

(75)    Nariadenie Európskeho parlamentu a Rady (EÚ, Euratom) č. 883/2013 z 11. septembra 2013 o vyšetrovaniach vykonávaných Európskym úradom pre boj proti podvodom (OLAF), ktorým sa zrušuje nariadenie Európskeho parlamentu a Rady (ES) č. 1073/1999 a nariadenie Rady (Euratom) č. 1074/1999 (Ú. v. EÚ L 248, 18.9.2013, s. 1, ELI: http://data.europa.eu/eli/reg/2013/883/oj).

(76)    Ú. v. ES L 136, 31.5.1999, s. 15., ELI: http://data.europa.eu/eli/agree_interinstit/1999/531/oj.

(77)    Nariadenie Rady (Euratom, ES) č. 2185/96 z 11. novembra 1996 o kontrolách a inšpekciách na mieste, vykonávaných Komisiou s cieľom ochrany finančných záujmov Európskych spoločenstiev pred spreneverou a inými podvodmi (Ú. v. ES L 292, 15.11.1996, s. 2, ELI:     http://data.europa.eu/eli/reg/1996/2185/oj).

(78)    Smernica Európskeho parlamentu a Rady (EÚ) 2017/1371 z 5. júla 2017 o boji proti podvodom, ktoré poškodzujú finančné záujmy Únie, prostredníctvom trestného práva (Ú. v. EÚ L 198, 28.7.2017, s. 29, ELI: http://data.europa.eu/eli/dir/2017/1371/oj).

(79)    Nariadenie Rady č. 1 o používaní jazykov v Európskom hospodárskom spoločenstve (Ú. v. ES 17, 6.10.1958, s. 385, ELI: http://data.europa.eu/eli/reg/1958/1(1)/oj).

(80)    Rozhodnutie Komisie (EÚ, Euratom) 2015/443 z 13. marca 2015 o bezpečnosti v Komisii (Ú. v. EÚ L 72, 17.3.2015, s. 41, ELI: http://data.europa.eu/eli/dec/2015/443/oj).

(81)    Rozhodnutie Komisie (EÚ, Euratom) 2015/444 z 13. marca 2015 o bezpečnostných predpisoch na ochranu utajovaných skutočností EÚ (Ú. v. EÚ L 72, 17.3.2015, s. 53, ELI:     http://data.europa.eu/eli/dec/2015/444/oj).

(82)    Smernica Európskeho parlamentu a Rady (EÚ) 2022/2555 zo 14. decembra 2022 o opatreniach na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v Únii, ktorou sa mení nariadenie (EÚ) č. 910/2014 a smernica (EÚ) 2018/1972 a zrušuje smernica (EÚ) 2016/1148 (smernica NIS 2) (Ú. v. EÚ L 333, 27.12.2022, s. 80, ELI: http://data.europa.eu/eli/dir/2022/2555/oj).

(83)    Nariadenie Európskeho parlamentu a Rady (ES) č. 1008/2008 z 24. septembra 2008 o spoločných pravidlách prevádzky leteckých dopravných služieb v Spoločenstve (prepracované znenie) (Ú. v. EÚ L 293, 31.10.2008, s. 3 – 20, ELI: https://eur-lex.europa.eu/eli/reg/2008/1008/oj/eng).

(84)    Podľa článku 58 ods. 2 písm. a) alebo b) nariadenia o rozpočtových pravidlách.

(85)     Politické usmernenia 2024 .

(86)     Poverovací list výkonnej podpredsedníčke Virkkunenovej .

(87)     Správa Sauliho Niinistöa .

(88)     Draghiho správa o konkurencieschopnosti EÚ .

(89)     Enrico Letta – Oveľa viac než len trh (apríl 2024) .

(90)    Doplní sa po uverejnení.

(91)     Akt o kybernetickej bezpečnosti EÚ | EUR-Lex .

(92)     Nariadenie o rozpočtových pravidlách, ktoré sa vzťahujú na všeobecný rozpočet Únie (prepracované znenie) – Úrad pre vydávanie publikácií EÚ .

(93)     https://europa.eu/european-union/sites/europaeu/files/docs/body/joint_statement_and_common_approach_2012_sk.pdf .

(94)     Delegované nariadenie – 2019/715 – SK – EUR-Lex .

(95)     https://eur-lex.europa.eu/eli/reg/2019/881/oj/eng .

(96)     CNECT_AAR_2024_final .

(97)     enisa.europa.eu/sites/default/files/2024-11/2023 Consolidated Annual Activity Report_1.pdf .

(98)     MB Decision 2019_8 Financial rules_adopted.pdf .

(99)    DRP = diferencované rozpočtové prostriedky / NRP = nediferencované rozpočtové prostriedky.

(100)    EZVO: Európske združenie voľného obchodu.

(101)    Kandidátske krajiny a prípadne potenciálni kandidáti zo západného Balkánu.

(102)    Výstupy sú produkty, ktoré sa majú dodať, a služby, ktoré sa majú poskytnúť (napr.: počet financovaných výmen študentov, vybudované cesty v km atď.).

(103)    Ako je uvedené v bode 1.3.2. „Špecifické ciele…“

(104)    Pod tabuľkou spresnite, koľko ekvivalentov plného pracovného času v rámci uvedeného počtu je už pridelených na riadenie akcie a/alebo môže byť prerozdelených v rámci vášho GR a aké sú vaše čisté potreby.

(105)    Pokiaľ ide o tradičné vlastné zdroje (clá, odvody z produkcie cukru), uvedené sumy musia predstavovať čisté sumy, t. j. hrubé sumy po odčítaní 20 % na náklady na výber.

(106)     Rozhodnutie RR-02: Cenník služieb SNAS :  https://www.snas.sk/storage/app/uploads/public/677/e79/e4c/677e79e4cac62903312474.pdf , 

(107)    Konkrétne sa v rámci údržby zohľadňujú 2 osobné stretnutia s odborníkmi ročne (100 000 EUR), náklady na dodávateľov, ktorí podporujú vypracovanie a preskúmanie podpornej dokumentácie pre schému, zavádzanie schém certifikácie, partnerské hodnotenia a vykonávanie posudzovania zhody (4 x 15 000 = 60 000 EUR). Náklady zahŕňajú aj prevádzkovú časť platformy CEF a webové sídlo agentúry ENISA venované certifikácii (40 000 EUR).