Il-Ġurnal Uffiċjali
ta'l-Unjoni Ewropea
MT
Serje L
2023/2841
18.12.2023
REGOLAMENT (UE, Euratom) 2023/2841 TAL-PARLAMENT EWROPEW U TAL-KUNSILL
tat-13 ta’ Diċembru 2023
li jistabbilixxi miżuri għal livell għoli komuni ta’ ċibersigurtà fl-istituzzjonijiet, fil-korpi, fl-uffiċċji u fl-aġenziji tal-Unjoni
IL-PARLAMENT EWROPEW U L-KUNSILL TAL-UNJONI EWROPEA,
Wara li kkunsidraw it-Trattat dwar il-Funzjonament tal-Unjoni Ewropea, u b’mod partikolari l-Artikolu 298 tiegħu,
Wara li kkunsidraw it-Trattat li jistabbilixxi l-Komunità Ewropea tal-Enerġija Atomika, u b’mod partikolari l-Artikolu 106a tiegħu,
Wara li kkunsidraw il-proposta tal-Kummissjoni Ewropea,
Wara li l-abbozz tal-att leġiżlattiv intbagħat lill-parlamenti nazzjonali,
Filwaqt li jaġixxu skont il-proċedura leġiżlattiva ordinarja (1),
Billi:
(1)
Fl-era diġitali, it-teknoloġija tal-informazzjoni u tal-komunikazzjoni hija pedament ta’ amministrazzjoni Ewropea miftuħa, effiċjenti u indipendenti. It-teknoloġija li qiegħda tevolvi u ż-żieda fil-kumplessità u fl-interkonnettività tas-sistemi diġitali jamplifikaw ir-riskji taċ-ċibersigurtà li jagħmlu l-entitajiet tal-Unjoni aktar vulnerabbli għat-theddid u l-inċidenti ċibernetiċi, li toħloq theddida għall-kontinwità tan-negozju u għall-kapaċità tagħhom li żżommu d-data tagħhom sigura. Filwaqt li l-użu akbar tas-servizzi tal-cloud, l-użu kullimkien tat-teknoloġija tal-informazzjoni u tal-komunikazzjoni (ICT), id-diġitalizzazzjoni għolja, ix-xogħol mill-bogħod u t-teknoloġija u l-konnettività li qegħdin jevolvu huma karatteristiċi ewlenin tal-attivitajiet kollha tal-entitajiet tal-Unjoni, ir-reżiljenza diġitali għadha mhijiex inkorporata biżżejjed.
(2)
Ix-xenarju tat-theddid ċibernetiku li qegħdin jiffaċċjaw l-entitajiet tal-Unjoni jinsab f’evoluzzjoni kostanti. It-tattiki, it-tekniki u l-proċeduri użati mill-awturi ta’ theddid qed jevolvu b’mod kostanti, filwaqt li l-motivi prominenti għal tali attakki ftit jinbidlu; mis-serq ta’ informazzjoni mhux divulgata ta’ valur, sal-akkwist ta’ flus, sal-manipulazzjoni tal-opinjoni pubblika jew li tkun imminata l-infrastruttura diġitali. Il-pass li bih l-awturi ta’ theddid iwettqu l-attakki ċibernetiċi tagħhom qiegħed ikompli jiżdied, filwaqt li l-kampanji tagħhom huma dejjem aktar sofistikati u awtomatizzati, u jimmiraw lejn uċuħ ta’ attakk esposti li jkomplu jespandu u jisfruttaw malajr il-vulnerabbiltajiet.
(3)
L-ICT tal-entitajiet tal-Unjoni għandhom interdipendenzi u flussi integrati tad-data, u l-utenti tagħhom jikkollaboraw mill-qrib. Dik l-interkonnessjoni tfisser li kwalunkwe tfixkil, anke meta inizjalment ikun limitat għal entità waħda tal-Unjoni, jista’ jkollu effetti kaskata b’mod aktar wiesa’, li potenzjalment jirriżulta f’impatti negattivi estensivi u fit-tul fuq entitajiet oħrajn tal-Unjoni. Minbarra dan, l-ICT tal-entitajiet tal-Unjoni huma konnessi mal-ambjenti tal-ICT tal-Istati Membri, li jfisser li inċident f’entità waħda tal-Unjoni joħloq riskju għaċ-ċibersigurtà tal-ambjenti tal-ICT tal-Istati Membri u viċi versa. Il-kondiviżjoni ta’ informazzjoni dwar inċidenti speċifiċi tista’ wkoll tiffaċilita d-detezzjoni ta’ theddid ċibernetiku jew inċidenti ċibernetiċi simili li jaffettwaw lill-Istati Membri.
(4)
L-entitajiet tal-Unjoni huma miri attraenti li jiffaċċjaw awturi ta’ theddid b’ħiliet għolja u b’riżorsi tajbin, kif ukoll theddid ieħor. Fl-istess ħin, il-livell u l-maturità tar-reżiljenza ċibernetika u l-kapaċità ta’ detezzjoni u ta’ rispons għal attivitajiet ċibernetiċi malizzjużi jvarjaw b’mod sinifikanti fost dawk l-entitajiet. Għaldaqstant, għall-funzjonament tal-entitajiet tal-Unjoni huwa meħtieġ li jiksbu livell għoli komuni ta’ ċibersigurtà permezz tal-implimentazzjoni ta’ miżuri taċ-ċibersigurtà li jkunu proporzjonati mar-riskji identifikati taċ-ċibersigurtà, l-iskambju tal-informazzjoni u l-kollaborazzjoni.
(5)
Id-Direttiva (UE) 2022/2555 tal-Parlament Ewropew u tal-Kunsill (2) għandha l-għan li ttejjeb aktar ir-reżiljenza ċibernetika u l-kapaċitajiet ta’ rispons għall-inċidenti tal-entitajiet pubbliċi u privati, tal-awtoritajiet u tal-korpi kompetenti kif ukoll tal-Unjoni kollha. Għalhekk huwa meħtieġ li jiġi żgurat li l-entitajiet tal-Unjoni jagħmlu l-istess billi jipprovdu regoli li jkunu konsistenti mad-Direttiva (UE) 2022/2555 u jirriflettu l-livell ta’ ambizzjoni tagħha.
(6)
Sabiex jintlaħaq livell għoli komuni ta’ ċibersigurtà, huwa meħtieġ li kull entità tal-Unjoni tistabbilixxi qafas intern għall-ġestjoni, il-governanza u l-kontroll tar-riskju taċ-ċibersigurtà (il-“Qafas”), li jiżgura ġestjoni effettiva u prudenti tar-riskji kollha taċ-ċibersigurtà, u li jqis il-kontinwità tal-operat u l-ġestjoni ta’ kriżijiet. Il-Qafas jenħtieġ li jistabbilixxi politiki taċ-ċibersigurtà, inklużi objettivi u prijoritajiet, għas-sigurtà tan-networks u tas-sistemi tal-informazzjoni li jinkludu l-ambjent kollu tal-ICT mhux klassifikat. Jenħtieġ li l-Qafas ikun ibbażat fuq approċċ li jkopri l-perikli kollha li għandu l-għan li jipproteġi n-networks u s-sistemi tal-informazzjoni u l-ambjent fiżiku ta’ dawk is-sistemi minn avvenimenti bħal serq, nirien, għargħar, qtugħ tas-servizzi ta’ telekomunikazzjoni jew tal-elettriku, jew aċċess fiżiku mhux awtorizzat u ħsara lill-faċilitajiet ta’ informazzjoni u ta’ pproċessar tal-informazzjoni ta’ entità tal-Unjoni, u l-interferenza tagħhom, li jistgħu jikkompromettu d-disponibbiltà, l-awtentiċità, l-integrità jew il-kunfidenzjalità tad-data maħżuna, trażmessa, ipproċessata jew aċċessibbli permezz tan-networks u tas-sistemi tal-informazzjoni.
(7)
Biex timmaniġġja r-riskji taċ-ċibersigurtà identifikati fl-ambitu tal-Qafas, jenħtieġ li kull entità tal-Unjoni tieħu miżuri tekniċi, operazzjonali u organizzattivi xierqa u proporzjonati. Jenħtieġ li dawk il-miżuri jindirizzaw l-oqsma u l-miżuri ta’ ġestjoni tar-riskji taċ-ċibersigurtà previsti f’dan ir-Regolament biex tissaħħaħ iċ-ċibersigurtà ta’ kull entità tal-Unjoni.
(8)
Jenħtieġ li l-assi u r-riskji taċ-ċibersigurtà identifikati fil-Qafas kif ukoll il-konklużjonijiet derivati minn valutazzjonijiet regolari tal-maturità taċ-ċibersigurtà jiġu riflessi fil-pjan taċ-ċibersigurtà stabbilit minn kull entità tal-Unjoni. Jenħtieġ li l-pjan taċ-ċibersigurtà jinkludi l-miżuri adottati għall-ġestjoni tar-riskji taċ-ċibersigurtà.
(9)
Peress li l-iżgurar taċ-ċibersigurtà huwa proċess kontinwu, jenħtieġ li l-adegwatezza u l-effettività tal-miżuri meħuda skont dan ir-Regolament jiġu riveduti regolarment fid-dawl tat-tibdil tar-riskji taċ-ċibersigurtà, l-assi u l-maturità taċ-ċibersigurtà tal-entitajiet tal-Unjoni. Jenħtieġ li l-Qafas jiġi rieżaminat fuq bażi regolari u mill-inqas kull erba’ snin, filwaqt li jenħtieġ li l-pjan taċ-ċibersigurtà jiġi rivedut kull sentejn, jew aktar ta’ spiss fejn neċessarju, wara l-valutazzjonijiet tal-maturità taċ-ċibersigurtà jew kwalunkwe rieżami sostanzjali tal-Qafas.
(10)
Il-miżuri ta’ ġestjoni tar-riskji taċ-ċibersigurtà stabbiliti mill-entitajiet tal-Unjoni jenħtieġ li, meta jkun possibbli, jinkludu politiki li jkollhom l-għan li jagħmlu l-kodiċi tas-sors trasparenti, filwaqt li jqisu s-salvagwardji għad-drittijiet ta’ partijiet terzi jew entitajiet tal-Unjoni. Dawk il-politiki jenħtieġ li jkunu proporzjonati għar-riskju taċ-ċibersigurtà u huma maħsuba biex jiffaċilitaw l-analiżi tat-theddid ċibernetiku, filwaqt li ma joħolqux obbligi ta’ divulgazzjoni jew drittijiet ta’ aċċess għall-kodiċi ta’ parti terza lil hinn mit-termini kuntrattwali applikabbli.
(11)
L-għodod u l-applikazzjonijiet taċ-ċibersigurtà b’sors miftuħ jistgħu jikkontribwixxu għal livell ogħla ta’ ftuħ. L-istandards miftuħa jiffaċilitaw l-interoperabbiltà bejn l-għodod tas-sigurtà, għall-benefiċċju tas-sigurtà tal-partijiet ikkonċernati. L-għodod u l-applikazzjonijiet taċ-ċibersigurtà b’sors miftuħ jistgħu jixprunaw il-komunità usa’ ta’ żviluppaturi, u b’hekk jippermettu d-diversifikazzjoni tal-fornituri. Is-sors miftuħ jista’ jwassal għal proċess ta’ verifika aktar trasparenti tal-għodod relatati maċ-ċibersigurtà u proċess xprunat mill-komunità biex jiġu skoperti l-vulnerabbiltajiet. Għaldaqstant, jenħtieġ li l-entitajiet tal-Unjoni jkunu jistgħu jippromwovu l-użu ta’ software b’sors miftuħ u standards miftuħa billi jsegwu politiki relatati mal-użu ta’ data miftuħa u sors miftuħ bħala parti mis-sigurtà permezz tat-trasparenza.
(12)
Id-differenzi bejn l-entitajiet tal-Unjoni jirrikjedu flessibbiltà fl-implimentazzjoni ta’ dan ir-Regolament. Il-miżuri għal livell għoli komuni ta’ ċibersigurtà previsti f’dan ir-Regolament jenħtieġ li ma jinkludu l-ebda obbligu li jinterferixxi direttament fl-eżerċizzju tal-missjonijiet tal-entitajiet tal-Unjoni jew li jindaħal fl-awtonomija istituzzjonali tagħhom. Għalhekk, dawk l-entitajiet jenħtieġ li jistabbilixxu l-Oqfsa tagħhom stess u jenħtieġ li jadottaw il-miżuri ta’ ġestjoni tar-riskji taċ-ċibersigurtà u l-pjanijiet taċ-ċibersigurtà tagħhom stess. Meta jiġu implimentati tali miżuri, jenħtieġ li debitament jitqiesu s-sinerġiji eżistenti bejn l-entitajiet tal-Unjoni, bil-għan ta’ ġestjoni xierqa tar-riżorsi u ottimizzazzjoni tal-kostijiet. Jenħtieġ li debitament jitqies ukoll li l-miżuri ma jaffettwawx b’mod negattiv l-iskambju effiċjenti tal-informazzjoni u l-kooperazzjoni fost l-entitajiet tal-Unjoni u bejn l-entitajiet tal-Unjoni u l-kontropartijiet tal-Istati Membri.
(13)
Fl-interess tal-ottimizzazzjoni tal-użu tar-riżorsi, jenħtieġ li dan ir-Regolament jipprevedi l-possibbiltà li żewġ entitajiet tal-Unjoni jew aktar bi strutturi simili jikkooperaw fit-twettiq tal-valutazzjonijiet tal-maturità taċ-ċibersigurtà għall-entitajiet rispettivi tagħhom.
(14)
Sabiex tiġi evitata l-impożizzjoni ta’ piż finanzjarju u amministrattiv sproporzjonat fuq l-entitajiet tal-Unjoni, ir-rekwiżiti tal-ġestjoni tar-riskji taċ-ċibersigurtà jenħtieġ li jkunu proporzjonati għar-riskju taċ-ċibersigurtà kkawżat fuq in-network u s-sistema ta’ informazzjoni kkonċernati, filwaqt li jiġi kkunsidrat l-ogħla livell ta’ żvilupp tekniku ta’ dawn il-miżuri. Kull entità tal-Unjoni jenħtieġ li timmira li talloka perċentwal adegwat tal-baġit tal-ICT tagħha biex ittejjeb il-livell tagħha taċ-ċibersigurtà. Jenħtieġ li fit-tul tiġi segwita mira indikattiva ta’ madwar mill-inqas 10 %. Jenħtieġ li l-valutazzjoni tal-maturità taċ-ċibersigurtà tevalwa wkoll jekk l-infiq tal-entità tal-Unjoni għaċ-ċibersigurtà huwiex proporzjonat mar-riskji taċ-ċibersigurtà li tiffaċċa. Mingħajr preġudizzju għar-regoli relatati mal-baġit annwali tal-Unjoni skont it-Trattati, fil-proposta tagħha għall-ewwel baġit annwali li għandu jiġi adottat wara d-dħul fis-seħħ ta’ dan ir-Regolament, jenħtieġ li l-Kummissjoni tqis l-obbligi li jirriżultaw minn dan ir-Regolament meta tivvaluta l-ħtiġijiet tal-ibbaġitjar u tal-persunal tal-entitajiet tal-Unjoni kif jirriżultaw mill-istimi tal-infiq tagħhom.
(15)
Livell għoli komuni ta’ ċibersigurtà jirrikjedi li ċ-ċibersigurtà tiġi sorveljata fl-ogħla livell ta’ maniġment ta’ kull entità tal-Unjoni. Jenħtieġ li l-ogħla livell ta’ maniġment tal-entità tal-Unjoni jkun responsabbli għall-implimentazzjoni ta’ dan ir-Regolament, inkluż għall-istabbiliment tal-Qafas, it-teħid ta’ miżuri ta’ ġestjoni tar-riskji taċ-ċibersigurtà u l-approvazzjoni tal-pjan taċ-ċibersigurtà. Parti integrali mill-Qafas u l-miżuri korrispondenti tal-ġestjoni tar-riskji taċ-ċibersigurtà fl-entitajiet kollha tal-Unjoni, hija li tiġi indirizzata l-kultura taċ-ċibersigurtà, jiġifieri l-prattika ta’ kuljum taċ-ċibersigurtà.
(16)
Is-sigurtà tan-networks u tas-sistemi tal-informazzjoni li jimmaniġġjaw informazzjoni klassifikata tal-UE (IKUE) hija essenzjali. L-entitajiet tal-Unjoni li jimmaniġġjaw l-IKUE huma meħtieġa japplikaw l-oqfsa regolatorji komprensivi fis-seħħ għall-protezzjoni ta’ tali informazzjoni, inklużi l-governanza, il-politiki u l-proċeduri ta’ ġestjoni tar-riskju speċifiċi. Huwa meħtieġ li s-sistemi tan-networks u tal-informazzjoni li jimmaniġġjaw l-IKUE jikkonformaw ma’ standards ta’ sigurtà aktar stretti minn networks u sistemi ta’ informazzjoni mhux klassifikati. Għalhekk, is-sistemi tan-networks u tal-informazzjoni li jimmaniġġjaw l-IKUE huma aktar reżiljenti għat-theddid u l-inċidenti ċibernetiċi. Konsegwentement, filwaqt li tiġi rikonoxxuta l-ħtieġa għal qafas komuni f’dan ir-rigward, jenħtieġ li dan ir-Regolament ma japplikax għal networks u sistemi tal-informazzjoni li jimmaniġġjaw l-IKUE. Madankollu, jekk tintalab b’mod espliċitu biex tagħmel dan minn entità tal-Unjoni, l-Iskwadra ta’ Rispons f’Emerġenza relatata mal-Kompjuters għall-istituzzjonijiet, il-korpi u l-aġenziji tal-UE (CERT-UE) jenħtieġ li tkun tista’ tipprovdi assistenza lil dik l-entità tal-Unjoni fir-rigward ta’ inċidenti f’ambjenti tal-ICT ikklassifikati.
(17)
L-entitajiet tal-Unjoni jenħtieġ li jivvalutaw ir-riskji relatati mar-relazzjonijiet mal-fornituri u mal-fornituri tas-servizzi, inklużi l-fornituri ta’ servizzi ta’ ħżin u pproċessar ta’ data jew servizzi tas-sigurtà ġestiti, u jieħdu miżuri xierqa biex jindirizzawhom. Il-miżuri taċ-ċibersigurtà jenħtieġ li jiġu speċifikati aktar fid-dokumenti ta’ gwida jew fir-rakkomandazzjonijiet maħruġa mis-CERT-UE. Meta jiġu definiti l-miżuri u l-linji gwida, jenħtieġ li jitqiesu kif xieraq l-ogħla livell ta’ żvilupp tekniku u, meta applikabbli, l-istandards Ewropej u internazzjonali rilevanti, kif ukoll il-liġi u l-politiki tal-Unjoni rilevanti, inkluż il-valutazzjonijiet tar-riskju taċ-ċibersigurtà u r-rakkomandazzjonijiet maħruġa mill-Grupp ta’ Kooperazzjoni tal-NIS stabbilit skont l-Artikolu 14 tad-Direttiva (UE) 2022/2555, bħall-valutazzjoni tar-riskju kkoordinata tal-UE taċ-ċibersigurtà tal-5G u s-sett ta’ għodod tal-UE dwar iċ-ċibersigurtà tal-5G. Barra minn hekk, meta jitqiesu x-xenarju tat-theddida ċibernetika u l-importanza tal-bini tar-reżiljenza ċibernetika għall-entitajiet tal-Unjoni, tista’ tkun meħtieġa ċertifikazzjoni ta’ prodotti, servizzi u proċessi tal-ICT rilevanti, fil-qafas ta’ skemi speċifiċi Ewropej taċ-ċertifikazzjoni taċ-ċibersigurtà adottati skont l-Artikolu 49 tar-Regolament (UE) 2019/881 tal-Parlament Ewropew u tal-Kunsill (3).
(18)
F’Mejju 2011, is-Segretarji Ġenerali tal-istituzzjonijiet u l-korpi tal-Unjoni ddeċidew li jistabbilixxu tim ta' prekonfigurazzjoni għal CERT-UE, sorveljata minn Bord ta’ Tmexxija interistituzzjonali. F’Lulju 2012, is-Segretarji Ġenerali kkonfermaw l-arranġamenti prattiċi u qablu li s-CERT-UE tinżamm bħala entità permanenti biex tkompli tgħin fit-titjib tal-livell ġenerali tas-sigurtà tat-teknoloġija tal-informazzjoni tal-istituzzjonijiet, tal-korpi u tal-aġenziji tal-Unjoni bħala eżempju ta’ kooperazzjoni interistituzzjonali viżibbli fiċ-ċibersigurtà. F’Settembru 2012, is-CERT-UE ġiet stabbilita bħala task force tal-Kummissjoni b’mandat interistituzzjonali. F’Diċembru 2017, l-istituzzjonijiet u l-korpi tal-Unjoni kkonkludew arranġament interistituzzjonali dwar l-organizzazzjoni u l-operat tas-CERT-UE (4). Jenħtieġ li dan ir-Regolament jipprovdi sett komprensiv ta’ regoli dwar l-organizzazzjoni, il-funzjonament u l-operat tas-CERT-UE. Id-dispożizzjonijiet ta’ dan ir-Regolament għandhom prevalenza fuq id-dispożizzjonijiet tal-arranġament interistituzzjonali dwar l-organizzazzjoni u l-operat tas-CERT-UE li ġie konkluż f’Diċembru 2017.
(19)
L-isem tas-CERT-UE jenħtieġ li jinbidel għal Servizz taċ-Ċibersigurtà għall-istituzzjonijiet, il-korpi, l-uffiċċju u l-aġenziji tal-Unjoni, iżda jenħtieġ li jinżamm l-isem qasir “CERT-UE” minħabba r-rikonoxximent tal-isem.
(20)
Minbarra li s-CERT-UE jingħata aktar kompiti u rwol estiż, dan ir-Regolament jistabbilixxi l-Bord Interistituzzjonali taċ-Ċibersigurtà (IICB) sabiex jiffaċilita livell għoli komuni ta’ ċibersigurtà fost l-entitajiet tal-Unjoni. L-IICB jenħtieġ li jkollu rwol esklużiv fil-monitoraġġ u l-appoġġ tal-implimentazzjoni ta’ dan ir-Regolament mill-entitajiet tal-Unjoni u fis-sorveljanza tal-implimentazzjoni tal-prijoritajiet u l-objettivi ġenerali mis-CERT-UE u fl-għoti ta’ direzzjoni strateġika lis-CERT-UE. Għaldaqstant jenħtieġ li l-IICB jiżgura r-rappreżentanza tal-istituzzjonijiet tal-Unjoni u jenħtieġ li jinkludi rappreżentanti ta’ korpi, uffiċċji u aġenziji tal-Unjoni permezz tan-Network tal-Aġenziji tal-UE (EUAN). Jenħtieġ li l-organizzazzjoni u l-funzjonament tal-IICB jiġu rregolati ulterjorment permezz ta’ regoli interni ta’ proċedura, li jistgħu jinkludu speċifikazzjoni ulterjuri ta’ laqgħat regolari tal-IICB, inklużi laqgħat annwali tal-livell politiku fejn rappreżentanti tal-ogħla livell ta’ maniġment ta’ kull membru tal-IICB jippermettu li l-IICB ikollu diskussjoni strateġika u jipprovdi gwida strateġika lill-IICB. Barra minn hekk, jenħtieġ li l-IICB jistabbilixxi kumitat eżekuttiv biex jassisti fil-ħidma tiegħu u biex jiddelega xi wħud mill-kompiti u s-setgħat tiegħu, b’mod partikolari f’termini ta’ kompiti li jeħtieġu għarfien espert speċifiku tal-membri tiegħu, pereżempju l-approvazzjoni tal-katalogu tas-servizzi u kwalunkwe aġġornament sussegwenti għalih, arranġamenti għal ftehimiet dwar il-livell ta’ servizz, valutazzjonijiet ta’ dokumenti u rapporti sottomessi mill-entitajiet tal-Unjoni lill-IICB skont dan ir-Regolament jew kompiti relatati mat-tħejjija ta’ deċiżjonijiet dwar miżuri ta’ konformità maħruġa mill-IICB u għall-monitoraġġ tal-implimentazzjoni tagħhom. Jenħtieġ li l-IICB jistabbilixxi r-regoli ta’ proċedura tal-kumitat eżekuttiv, inkluż il-kompiti u s-setgħat tiegħu.
(21)
L-IICB għandu l-għan li jappoġġja lill-entitajiet biex jgħollu l-qagħdiet taċ-ċibersigurtà rispettivi tagħhom permezz tal-implimentazzjoni ta’ dan ir-Regolament. Sabiex jappoġġja lill-entitajiet tal-Unjoni, jenħtieġ li l-IICB jipprovdi gwida lill-Kap tas-CERT-UE, jadotta strateġija pluriennali biex jgħolli l-livell taċ-ċibersigurtà fl-entitajiet tal-Unjoni, jistabbilixxi l-metodoloġija għar-rieżamijiet volontarji bejn il-pari u aspetti oħra tagħhom, u jiffaċilita l-istabbiliment ta’ grupp informali ta’ uffiċjali lokali taċ-ċibersigurtà, appoġġat mill-Aġenzija tal-Unjoni Ewropea għaċ-Ċibersigurtà (ENISA), bil-għan li jiġu skambjati l-aħjar prattiki u informazzjoni b’rabta mal-implimentazzjoni ta’ dan ir-Regolament.
(22)
Sabiex jinkiseb livell għoli ta’ ċibersigurtà fl-entitajiet kollha tal-Unjoni, l-interessi tal-korpi, l-uffiċċji u l-aġenziji tal-Unjoni li jħaddmu l-ambjent tal-ICT tagħhom stess jenħtieġ li jkunu rrappreżentati fl-IICB minn tliet rappreżentanti maħtura mill-EUAN. Is-sigurtà tal-ipproċessar tad-data personali, u għalhekk ukoll iċ-ċibersigurtà tagħha, hija pedament tal-protezzjoni tad-data. Fid-dawl tas-sinerġiji bejn il-protezzjoni tad-data u ċ-ċibersigurtà, jenħtieġ li l-Kontrollur Ewropew għall-Protezzjoni tad-Data jkun rappreżentat fl-IICB fil-kapaċità tiegħu bħala entità tal-Unjoni soġġetta għal dan ir-Regolament, b’għarfien espert speċifiku fil-qasam tal-protezzjoni tad-data, inkluża s-sigurtà tan-networks tal-komunikazzjoni elettronika. Meta titqies l-importanza tal-innovazzjoni u l-kompetittività fiċ-ċibersigurtà, jenħtieġ li ċ-Ċentru Ewropew ta’ Kompetenza Industrijali, Teknoloġika u tar-Riċerka fil-qasam taċ-Ċibersigurtà jkun rappreżentat fl-IICB. Fid-dawl tar-rwol tal-ENISA bħala ċentru ta’ għarfien espert fiċ-ċibersigurtà, u l-appoġġ li l-ENISA tipprovdi, u fid-dawl tal-importanza taċ-ċibersigurtà tal-infrastruttura u s-servizzi spazjali tal-Unjoni, jenħtieġ li l-ENISA u l-Aġenzija tal-Unjoni Ewropea għall-Programm Spazjali jkunu rappreżentati fl-IICB. Fid-dawl tar-rwol assenjat lis-CERT-UE skont dan ir-Regolament, jenħtieġ li l-Kap tas-CERT-UE jkun mistieden mill-President tal-IICB għal-laqgħat kollha tal-IICB, ħlief meta l-IICB jiddiskuti kwistjonijiet relatati direttament mal-Kap tas-CERT-UE.
(23)
Jenħtieġ li l-IICB jimmonitorja l-konformità ma’ dan ir-Regolament, kif ukoll l-implimentazzjoni tal-linji gwida u r-rakkomandazzjonijiet, u tas-sejħiet għal azzjoni. Fi kwistjonijiet tekniċi, jenħtieġ li l-IICB jingħata għajnuna minn gruppi konsultattivi tekniċi, magħmula kif jidhirlu l-IICB. Dawk il-gruppi konsultattivi tekniċi jenħtieġ li jaħdmu mill-qrib mas-CERT-UE, mal-entitajiet tal-Unjoni u ma’ partijiet ikkonċernati oħra, kif xieraq.
(24)
Meta l-IICB isib li entità tal-Unjoni ma implimentatx b’mod effettiv dan ir-Regolament jew il-linji gwida, ir-rakkomandazzjonijiet jew is-sejħiet għal azzjoni maħruġa skont ir-Regolament, jenħtieġ li l-IICB jkun jista’, mingħajr preġudizzju għall-proċeduri interni tal-entità tal-Unjoni kkonċernata, jipproċedi b’miżuri ta’ konformità: Jenħtieġ li l-IICB japplika l-miżuri ta’ konformità progressivament, fi kliem ieħor, jenħtieġ li l-IICB l-ewwel jadotta l-inqas miżura severa, jiġifieri opinjoni motivata, u, biss jekk ikun meħtieġ, miżuri dejjem aktar severi, li jwasslu għall-aktar miżura severa, jiġifieri rakkomandazzjoni ta’ sospensjoni temporanja tal-flussi tad-data lejn l-entità tal-Unjoni kkonċernata. Tali rakkomandazzjoni jenħtieġ li tiġi applikata biss f’każijiet eċċezzjonali ta’ ksur fit-tul, intenzjonat, ripetittiv jew serju ta’ dan ir-Regolament mill-entità tal-Unjoni kkonċernata.
(25)
L-opinjoni motivata tirrappreżenta l-inqas miżura ta’ konformità severa li tindirizza l-lakuni osservati fl-implimentazzjoni ta’ dan ir-Regolament. Jenħtieġ li l-IICB ikun jista’ jsegwi opinjoni motivata bi gwida biex jgħin lill-entità tal-Unjoni tiżgura li l-Qafas, il-miżuri ta’ ġestjoni tar-riskji taċ-ċibersigurtà, il-pjan taċ-ċibersigurtà u r-rapportar tagħha jikkonformaw ma’ dan ir-Regolament, u mbagħad permezz ta’ twissija biex jiġu indirizzati n-nuqqasijiet identifikati tal-entità tal-Unjoni f’perjodu speċifikat. Jekk in-nuqqasijiet identifikati fit-twissija ma jkunux ġew indirizzati biżżejjed, jenħtieġ li l-IICB ikun jista’ joħroġ notifika motivata.
(26)
Jenħtieġ li l-IICB ikun jista’ jirrakkomanda li jitwettaq awditu tal-entità tal-Unjoni. Jenħtieġ li l-entità tal-Unjoni tkun tista’ tuża l-kapaċità tal-awditjar intern tagħha għal dak il-fini. Jenħtieġ li l-IICB ikun jista’ jitlob ukoll li jitwettaq awditu minn servizz ta’ awditjar ta’ parti terza, inkluż minn fornitur ta’ servizzi tas-settur privat miftiehem b’mod reċiproku.
(27)
F’każijiet eċċezzjonali ta’ ksur fit-tul, intenzjonat, ripetittiv jew serju ta’ dan ir-Regolament minn entità tal-Unjoni, jenħtieġ li l-IICB ikun jista’ jirrakkomanda, bħala miżura tal-aħħar istanza, lill-Istati Membri u lill-entitajiet tal-Unjoni kollha, sospensjoni temporanja tal-flussi ta’ data lill-entità tal-Unjoni, li tkun effettiva sakemm l-entità tal-Unjoni ma tibqax fi stat ta’ ksur. Jenħtieġ li tali rakkomandazzjoni tiġi kkomunikata permezz ta’ mezzi ta’ komunikazzjoni xierqa u siguri.
(28)
Sabiex tiġi żgurata l-implimentazzjoni korretta ta’ dan ir-Regolament, jenħtieġ li l-IICB, jekk iqis li ksur kontinwu ta’ dan ir-Regolament minn entità tal-Unjoni ġie kkawżat direttament mill-azzjonijiet jew l-ommissjonijiet ta’ membru tal-persunal tagħha, inkluż fl-ogħla livell ta’ maniġment, jitlob lill-entità tal-Unjoni kkonċernata tieħu azzjoni xierqa, inkluż billi jitlobha tikkunsidra li tieħu azzjoni ta’ natura dixxiplinari, f’konformità mar-regoli u l-proċeduri stabbiliti fir-Regolamenti tal-Persunal għall-Uffiċjali tal-Unjoni Ewropea u l-Kundizzjonijiet tal-Impjieg Applikabbli għall-Aġenti l-Oħra tal-Unjoni, stabbiliti fir-Regolament tal-Kunsill (KEE, Euratom, KEFA) Nru 259/68 (5) (ir-“Regolamenti tal-Persunal”) u kwalunkwe regola u proċedura applikabbli oħra.
(29)
Is-CERT-UE jenħtieġ li jikkontribwixxi għas-sigurtà tal-ambjent tal-ICT tal-entitajiet kollha tal-Unjoni. Meta jkun qed iqis jekk jipprovdix parir tekniku jew input dwar kwistjonijiet ta’ politika rilevanti fuq talba ta’ entità tal-Unjoni, jenħtieġ li s-CERT-UE jiżgura li dan ma jkunx ta’ tfixkil fit-twettiq tal-kompiti l-oħra tiegħu stabbiliti skont dan ir-Regolament. Jenħtieġ li s-CERT-EU jaġixxi f’isem l-entitajiet tal-Unjoni bħala l-ekwivalenti tal-koordinatur iddeżinjat għall-finijiet ta’ divulgazzjoni kkoordinata tal-vulnerabbiltajiet skont l-Artikolu 12(1) tad-Direttiva (UE) 2022/2555.
(30)
Is-CERT-UE jenħtieġ li jappoġġja l-implimentazzjoni ta’ miżuri għal livell għoli komuni ta’ ċibersigurtà permezz ta’ proposti għal linji gwida u rakkomandazzjonijiet lill-IICB jew billi joħroġ sejħiet għal azzjoni. Tali linji gwida u rakkomandazzjonijiet jenħtieġ li jiġu approvati mill-IICB. Meta jkun meħtieġ, is-CERT-UE jenħtieġ li joħroġ sejħiet għal azzjoni li jiddeskrivu miżuri ta’ sigurtà urġenti li l-entitajiet tal-Unjoni huma mħeġġa jieħdu f’perjodu ta’ żmien stabbilit. L-IICB jista’ jagħti struzzjonijiet lis-CERT-UE biex joħroġ, jirtira jew jimmodifika proposta għal linji gwida jew rakkomandazzjonijiet, jew sejħa għal azzjoni.
(31)
Is-CERT-UE jenħtieġ li jaqdi wkoll ir-rwol previst għalih fid-Direttiva (UE) 2022/2555 dwar il-kooperazzjoni u l-iskambju ta’ informazzjoni man-network ta’ skwadri ta’ rispons għal inċidenti relatati mas-sigurtà tal-kompjuters (CSIRTs) stabbilit skont l-Artikolu 15 ta’ dik id-Direttiva. Barra minn hekk, b’mod konformi mar-Rakkomandazzjoni tal-Kummissjoni (UE) 2017/1584 (6), is-CERT-UE jenħtieġ li jikkoopera u jikkoordina rispons mal-partijiet ikkonċernati rilevanti. Sabiex jikkontribwixxi għal livell għoli ta’ ċibersigurtà fl-Unjoni kollha, is-CERT-UE jenħtieġ li jikkondividi informazzjoni speċifika għall-inċidenti mal-kontropartijiet nazzjonali. Is-CERT-UE jenħtieġ li jikkollabora wkoll ma’ kontropartijiet pubbliċi kif ukoll privati oħrajn, inkluż fl-Organizzazzjoni tat-Trattat tal-Atlantiku tat-Tramuntana, soġġett għall-approvazzjoni minn qabel mill-IICB.
(32)
Waqt li jappoġġja ċ-ċibersigurtà operazzjonali, jenħtieġ li s-CERT-UE juża l-għarfien espert disponibbli tal-ENISA permezz ta’ kooperazzjoni strutturata kif previst fir-Regolament (UE) 2019/881. Meta jkun xieraq, jenħtieġ li jiġu stabbiliti arranġamenti dedikati bejn iż-żewġ entitajiet sabiex tiġi ddefinita l-implimentazzjoni prattika ta’ kooperazzjoni bħal din u sabiex tkun evitata d-duplikazzjoni tal-attivitajiet. Jenħtieġ li s-CERT-UE jikkoopera mal-ENISA dwar l-analiżi tat-theddid u jaqsam ir-rapport tiegħu dwar ix-xenarju tat-theddid mal-ENISA fuq bażi regolari.
(33)
Is-CERT-UE jenħtieġ li jkun jista’ jikkoopera u jiskambja informazzjoni mal-komunitajiet taċ-ċibersigurtà rilevanti fl-Unjoni u fl-Istati Membri tagħha biex titrawwem il-kooperazzjoni operazzjonali u biex in-networks eżistenti jkunu jistgħu jilħqu l-potenzjal sħiħ tagħhom fil-protezzjoni tal-Unjoni.
(34)
Peress li s-servizzi u l-kompiti tas-CERT-UE huma fl-interess tal-entitajiet kollha tal-Unjoni, kull entità tal-Unjoni b’nefqa tal-ICT jenħtieġ li tikkontribwixxi sehem ġust għal dawk is-servizzi u l-kompiti. Dawn il-kontribuzzjonijiet huma mingħajr preġudizzju għall-awtonomija baġitarja tal-entitajiet tal-Unjoni.
(35)
Ħafna attakki ċibernetiċi huma parti minn kampanji aktar estensivi li jimmiraw fuq gruppi ta’ entitajiet tal-Unjoni jew komunitajiet ta’ interess li jinkludu entitajiet tal-Unjoni. Sabiex tkun possibbli d-detezzjoni proattiva, ir-rispons għal inċidenti jew miżuri ta’ mitigazzjoni u l-irkupru mill-inċidenti, l-entitajiet tal-Unjoni jenħtieġ li jinnotifikaw lis-CERT-UE dwar inċidenti, theddid ċibernetiku, vulnerabbiltajiet u kważi inċidenti u jaqsmu d-dettalji tekniċi xierqa li jippermettu d-detezzjoni jew il-mitigazzjoni ta’ inċidenti simili, theddid ċibernetiku, vulnerabbiltajiet u kważi inċidenti f’entitajiet oħra tal-Unjoni, kif ukoll ir-rispons għalihom. Fuq il-bażi tal-istess approċċ bħal fid-Direttiva (UE) 2022/2555, l-entitajiet tal-Unjoni jenħtieġ li jkunu meħtieġa jippreżentaw twissija bikrija lis-CERT-UE fi żmien 24 siegħa minn meta jsiru jafu b’inċident sinifikanti. Tali skambju ta’ informazzjoni jenħtieġ li jippermetti lis-CERT-UE jaqsam l-informazzjoni ma’ entitajiet oħra tal-Unjoni, kif ukoll mal-kontropartijiet xierqa, biex l-ambjenti tal-ICT tal-entitajiet tal-Unjoni u l-ambjenti tal-ICT tal-kontropartijiet tal-entitajiet tal-Unjoni jkunu protetti kontra inċidenti simili.
(36)
Dan ir-Regolament jistabbilixxi approċċ f’diversi stadji għar-rapportar ta’ inċidenti sinifikanti biex jintlaħaq il-bilanċ it-tajjeb bejn, minn naħa, ir-rapportar rapidu li jgħin biex itaffi l-firxa potenzjali ta’ inċidenti sinifikanti u jippermetti lill-entitajiet tal-Unjoni jfittxu l-għajnuna, u, min-naħa l-oħra, ir-rapportar approfondit li jislet tagħlimiet siewja minn inċidenti individwali u li maż-żmien itejjeb ir-reżiljenza ċibernetika tal-entitajiet individwali tal-Unjoni u jikkontribwixxi għaż-żieda tal-qagħda ġenerali taċ-ċibersigurtà tagħhom. F’dak ir-rigward, dan ir-Regolament jenħtieġ li jinkludi r-rapportar ta’ inċidenti li, abbażi ta’ valutazzjoni inizjali mwettqa mill-entità tal-Unjoni kkonċernata, jistgħu jikkawżaw tfixkil operazzjonali sostanzjali fil-funzjonament tal-entità tal-Unjoni jew telf finanzjarju għall-entità tal-Unjoni kkonċernata, jew jaffettwaw persuni fiżiċi jew ġuridiċi oħra billi jikkawżaw dannu materjali jew mhux materjali konsiderevoli. Jenħtieġ li tali valutazzjoni inizjali tqis, fost l-oħrajn, in-network u s-sistemi tal-informazzjoni affettwati, b’mod partikolari l-importanza tagħhom għall-funzjonament tal-entità tal-Unjoni, is-severità u l-karatteristiċi tekniċi ta’ theddida ċibernetika u kwalunkwe vulnerabbiltà sottostanti li qed tiġi sfruttata, kif ukoll l-esperjenza tal-entità tal-Unjoni b’inċidenti simili. Indikaturi bħal sa liema punt jiġi affettwat il-funzjonament tal-entità tal-Unjoni, kemm idum għaddej inċident jew l-għadd tal-utenti affettwati jista’ jkollhom rwol importanti biex jiġi identifikat jekk l-interruzzjoni operazzjonali tas-servizz tkunx severa.
(37)
Peress li l-infrastruttura u n-networks u sistemi tal-informazzjoni tal-entità rilevanti tal-Unjoni u tal-Istat Membru fejn tinsab dik l-entità tal-Unjoni huma interkonnessi, huwa kruċjali li dak l-Istat Membru jiġi infurmat mingħajr dewmien żejjed dwar inċident sinifikanti fi ħdan dik l-entità tal-Unjoni. Għal dak l-għan, l-entità tal-Unjoni affettwata jenħtieġ li tinforma lil kwalunkwe kontroparti rilevanti tal-Istati Membri ddeżinjata jew stabbilita skont l-Artikoli 8 u 10 tad-Direttiva (UE) 2022/2555 dwar l-okkorrenza ta’ inċident sinifikanti li dwaru tkun qed tirrapporta lis-CERT-UE. Jenħtieġ li meta s-CERT-UE jsir jaf b’inċident sinifikanti li jseħħ fi Stat Membru, huwa jinnotifika lil kwalunkwe kontroparti rilevanti f’dak l-Istat Membru.
(38)
Jenħtieġ li jiġi implimentat mekkaniżmu li jiżgura skambju effettiv ta’ informazzjoni, koordinazzjoni u kooperazzjoni tal-entitajiet tal-Unjoni f’każ ta’ inċidenti kbar, inkluż identifikazzjoni ċara tar-rwoli u r-responsabbiltajiet tal-entitajiet tal-Unjoni involuti. Ir-rappreżentant tal-Kummissjoni fl-IICB jenħtieġ li, soġġett għall-pjan ta’ ġestjoni tal-kriżijiet ċibernetiċi, ikun il-punt ta’ kuntatt biex jiffaċilita l-kondiviżjoni mill-IICB ta’ informazzjoni rilevanti fir-rigward ta’ inċidenti kbar man-Network Ewropew ta’ Organizzazzjoni ta’ Kollegament f’każ ta’ Ċiberkriżijiet (EU-CyCLONe), bħala kontribut għall-għarfien kondiviż tas-sitwazzjoni. Ir-rwol tar-rappreżentant tal-Kummissjoni fl-IICB bħala l-punt ta’ kuntatt jenħtieġ li jkun mingħajr preġudizzju għar-rwol separat u distint tal-Kummissjoni fl-EU-CyCLONe skont l-Artikolu 16(2) tad-Direttiva (UE) 2022/2555.
(39)
Ir-Regolament (UE) 2018/1725 tal-Parlament Ewropew u tal-Kunsill (7) japplika għall-ipproċessar tad-data personali mwettaq skont dan ir-Regolament. L-ipproċessar tad-data personali jista’ jsir b’rabta mal-miżuri adottati fil-kuntest tal-ġestjoni tar-riskju taċ-ċibersigurtà, il-ġestjoni tal-vulnerabbiltà u tal-inċidenti, il-kondiviżjoni tal-informazzjoni dwar l-inċidenti, it-theddid ċibernetiku u l-vulnerabbiltajiet, u l-koordinazzjoni u l-kooperazzjoni tar-rispons għall-inċidenti. Tali miżuri jistgħu jirrikjedu l-ipproċessar ta’ ċerti kategoriji ta’ data personali, bħal indirizzi IP, lokalizzaturi uniformi tar-riżorsi (URLs), ismijiet ta’ dominji, indirizzi tal-posta elettronika, rwoli organizzattivi tas-suġġett tad-data, timbri tal-ħin, suġġetti tal-posta elettronika jew ismijiet ta’ fajls. Il-miżuri kollha meħuda skont dan ir-Regolament jenħtieġ li jikkonformaw mal-qafas tal-protezzjoni tad-data u tal-privatezza, u l-entitajiet tal-Unjoni, is-CERT-UE u, meta rilevanti, l-IICB, jenħtieġ li jieħdu s-salvagwardji tekniċi u organizzattivi rilevanti kollha biex jiżguraw tali konformità b’mod responsabbli.
(40)
Dan ir-Regolament jistabbilixxi l-bażi ġuridika għall-ipproċessar ta’ data personali mill-entitajiet tal-Unjoni, mis-CERT-UE u, meta rilevanti, mill-IICB, għall-fini tat-twettiq tal-kompiti tagħhom u t-twettiq tal-obbligi tagħhom skont dan ir-Regolament, f’konformità mal-Artikolu 5(1), il-punt (b), tar-Regolament (UE) 2018/1725. Is-CERT-UE jista’ jaġixxi bħala proċessur jew kontrollur skont il-kompitu li jwettaq skont ir-Regolament (UE) 2018/1725.
(41)
F’ċerti każijiet, għall-fini tal-konformità mal-obbligi tagħhom skont dan ir-Regolament biex jiġi żgurat livell għoli ta’ ċibersigurtà u b’mod partikolari fil-kuntest tat-trattament tal-vulnerabbiltà u tal-inċidenti, jista’ jkun meħtieġ li l-entitajiet tal-Unjoni u s-CERT-UE jipproċessaw kategoriji speċjali ta’ data personali kif imsemmi fl-Artikolu 10(1) tar-Regolament (UE) 2018/1725. Dan ir-Regolament jistabbilixxi l-bażi ġuridika għall-ipproċessar ta’ kategoriji speċjali ta’ data personali mill-entitajiet tal-Unjoni u mis-CERT-UE f’konformità mal-Artikolu 10(2), il-punt (g), tar-Regolament (UE) 2018/1725. L-ipproċessar ta’ kategoriji speċjali ta’ data personali skont dan ir-Regolament jenħtieġ li jkun strettament proporzjonat mal-għan segwit. Soġġett għall-kundizzjonijiet stabbiliti fl-Artikolu 10(2), il-punt (g), ta’ dak ir-Regolament, l-entitajiet tal-Unjoni u s-CERT-UE jenħtieġ li jkunu jistgħu jipproċessaw tali data biss sa fejn ikun meħtieġ u fejn previst b’mod espliċitu f’dan ir-Regolament. Meta jipproċessaw kategoriji speċjali ta’ data personali, l-entitajiet tal-Unjoni u s-CERT-EU jenħtieġ li jirrispettaw l-essenza tad-dritt għall-protezzjoni tad-data u jipprevedu miżuri xierqa u speċifiċi sabiex jiġu ssalvagwardjati d-drittijiet fundamentali u l-interessi tas-suġġetti tad-data.
(42)
Skont l-Artikolu 33 tar-Regolament (UE) 2018/1725, jenħtieġ li l-entitajiet tal-Unjoni u s-CERT-UE, filwaqt li jqisu l-ogħla livell ta’ żvilupp tekniku, il-kostijiet tal-implimentazzjoni u n-natura, il-kamp ta’ applikazzjoni, il-kuntest u l-finijiet tal-ipproċessar kif ukoll ir-riskji ta’ probabbiltà u severità li jvarjaw għad-drittijiet u l-libertajiet tal-persuni fiżiċi, jimplimentaw miżuri tekniċi u organizzattivi xierqa biex jiżguraw livell xieraq ta’ sigurtà tad-data personali, bħall-għoti ta’ drittijiet ta’ aċċess ristretti fuq bażi ta’ ħtieġa ta’ tagħrif, l-applikazzjoni tal-prinċipji tar-rekord tal-awditjar, l-adozzjoni ta’ katina tal-kustodja, il-ħżin ta’ data stazzjonarja f’ambjent ikkontrollat u verifikabbli, proċeduri operazzjonali standardizzati u miżuri ta’ preservazzjoni tal-privatezza bħall-psewdonimizzazzjoni jew il-kriptaġġ. Dawk il-miżuri jenħtieġ li ma jiġux implimentati b’mod li jaffettwa l-finijiet tat-trattament tal-inċidenti u l-integrità tal-evidenza. Meta entità tal-Unjoni jew is-CERT-UE jittrasferixxu data personali relatata ma’ inċident, inklużi kategoriji speċjali ta’ data personali, lil kontroparti jew sieħeb għall-finijiet ta’ dan ir-Regolament, jenħtieġ li tali trasferimenti jikkonformaw mar-Regolament (UE) 2018/1725. Meta kategoriji speċjali ta’ data personali jiġu ttrasferiti lil parti terza, l-entitajiet tal-Unjoni u s-CERT-UE jenħtieġ li jiżguraw li l-parti terza tapplika miżuri li jikkonċernaw il-protezzjoni tad-data personali f’livell ekwivalenti għar-Regolament (UE) 2018/1725.
(43)
Id-data personali pproċessata għall-finijiet ta’ dan ir-Regolament jenħtieġ li tinżamm biss sakemm ikun meħtieġ f’konformità mar-Regolament (UE) 2018/1725. L-entitajiet tal-Unjoni u, meta applikabbli, is-CERT-UE li jaġixxi bħala kontrollur, jenħtieġ li jistabbilixxu perjodi ta’ żamma li huma limitati għal dak li huwa meħtieġ biex jinkisbu l-finijiet speċifikati. B’mod partikolari fir-rigward tad-data personali miġbura għat-trattament tal-inċidenti, l-entitajiet tal-Unjoni u s-CERT-UE jenħtieġ li jiddifferenzjaw bejn data personali li tinġabar għad-detezzjoni ta’ theddida ċibernetika fl-ambjenti tal-ICT tagħhom biex jipprevjenu inċident u data personali li tinġabar għall-mitigazzjoni ta’ inċident, ir-rispons għalih u l-irkupru minnu. Għad-detezzjoni ta’ theddida ċibernetika, huwa importanti li jitqies iż-żmien li attur ta’ theddida jista’ jibqa’ mhux identifikat f’sistema. Għall-mitigazzjoni ta’ inċident, ir-rispons għalih u l-irkupru minnu, huwa importanti li jiġi kkunsidrat jekk id-data personali hijiex meħtieġa biex jiġi ttraċċat u ttrattat inċident rikorrenti jew inċident ta’ natura simili li għalih tista’ tintwera korrelazzjoni.
(44)
L-immaniġġar tal-informazzjoni mill-entitajiet tal-Unjoni u mis-CERT-UE jenħtieġ li jkun konformi mar-regoli applikabbli dwar is-sigurtà tal-informazzjoni. L-inklużjoni tas-sigurtà tar-riżorsi umani bħala miżura ta’ ġestjoni tar-riskji taċ-ċibersigurtà jenħtieġ li tikkonforma wkoll mar-regoli applikabbli.
(45)
Għall-fini tal-kondiviżjoni ta’ informazzjoni, jintużaw marki viżibbli biex jindikaw li l-konfini tal-kondiviżjoni għandhom jiġu applikati mir-riċevituri ta’ informazzjoni abbażi ta’, b’mod partikolari, ftehimiet ta’ nondivulgazzjoni, jew ftehimiet informali ta’ nondivulgazzjoni bħat-Traffic Light Protocol jew indikazzjonijiet ċari oħra mis-sors. It-Traffic Light Protocol għandu jinftiehem li huwa mezz biex tingħata informazzjoni dwar kwalunkwe limitazzjoni rigward it-tixrid ulterjuri tal-informazzjoni. Dan jintuża fi kważi s-CSIRTs kollha u f’xi ċentri ta’ analiżi u kondiviżjoni tal-informazzjoni.
(46)
Jenħtieġ li dan ir-Regolament jiġi evalwat fuq bażi regolari fid-dawl ta’ negozjati futuri ta’ oqfsa baġitarji, sabiex ikunu jistgħu jittieħdu aktar deċiżjonijiet fir-rigward tal-funzjonament u r-rwol istituzzjonali tas-CERT-UE, inkluż l-istabbiliment possibbli tas-CERT-UE bħala uffiċċju tal-Unjoni.
(47)
L-IICB, bl-għajnuna tas-CERT-UE, jenħtieġ li jirrieżamina u jevalwa l-implimentazzjoni ta’ dan ir-Regolament u jenħtieġ li jirrapporta s-sejbiet tiegħu lill-Kummissjoni. Fuq il-bażi ta’ dan l-input, il-Kummissjoni jenħtieġ li tirrapporta lill-Parlament Ewropew, lill-Kunsill, lill-Kumitat Ekonomiku u Soċjali Ewropew u lill-Kumitat tar-Reġjuni. Dak ir-rapport, bl-input tal-IICB, jenħtieġ li jevalwa l-adegwatezza tal-inklużjoni tan-network u tas-sistemi tal-informazzjoni li jimmaniġġjaw l-IKUE fil-kamp ta’ applikazzjoni ta’ dan ir-Regolament, b’mod partikolari fin-nuqqas ta’ regoli dwar is-sigurtà tal-informazzjoni komuni għall-entitajiet tal-Unjoni.
(48)
F’konformità mal-prinċipju tal-proporzjonalità, huwa meħtieġ u xieraq għall-ilħuq tal-objettiv bażiku li jinkiseb livell komuni għoli ta’ ċibersigurtà fl-entitajiet tal-Unjoni, li jiġu stabbiliti regoli dwar iċ-ċibersigurtà għall-entitajiet tal-Unjoni. Dan ir-Regolament ma jmurx lil hinn minn dak li hu meħtieġ sabiex jintlaħaq l-objettiv maħsub, f’konformità mal-Artikolu 5(4) tat-Trattat dwar l-Unjoni Ewropea.
(49)
Dan ir-Regolament jirrifletti l-fatt li l-entitajiet tal-Unjoni jvarjaw fid-daqs u fil-kapaċità, inkluż f’termini ta’ riżorsi finanzjarji u umani.
(50)
Il-Kontrollur Ewropew għall-Protezzjoni tad-Data ġie kkonsultat skont l-Artikolu 42(1) tar-Regolament (UE) 2018/1725 u ta l-opinjoni tiegħu fis-17 ta’ Mejju 2022 (8),
ADOTTAW DAN IR-REGOLAMENT:
KAPITOLU I
DISPOŻIZZJONIJIET ĠENERALI
Artikolu 1
Suġġett
Dan ir-Regolament jistabbilixxi miżuri li għandhom l-għan li jiksbu livell għoli komuni ta’ ċibersigurtà fl-entitajiet tal-Unjoni fir-rigward ta’:
(a)
l-istabbiliment minn kull entità tal-Unjoni ta’ qafas intern għall-ġestjoni, il-governanza u l-kontroll tar-riskji taċ-ċibersigurtà skont l-Artikolu 6;
(b)
il-ġestjoni tar-riskji taċ-ċibersigurtà, ir-rapportar u l-kondiviżjoni tal-informazzjoni;
(c)
l-organizzazzjoni, il-funzjonament u l-operat tal-Bord Interistituzzjonali taċ-Ċibersigurtà stabbilit skont l-Artikolu 10, kif ukoll l-organizzazzjoni, il-funzjonament u l-operat tas-Servizz taċ-Ċibersigurtà għall-istituzzjonijiet, il-korpi, l-uffiċċji u l-aġenziji tal-Unjoni (CERT-UE);
(d)
il-monitoraġġ u l-implimentazzjoni ta ’ dan ir-Regolament.
Artikolu 2
Kamp ta’ applikazzjoni
1. Dan ir-Regolament japplika għall-entitajiet tal-Unjoni, għall-Bord Interistituzzjonali taċ-Ċibersigurtà stabbilit skont l-Artikolu 10 u għas-CERT-UE.
2. Dan ir-Regolament japplika mingħajr preġudizzju għall-awtonomija istituzzjonali skont it-Trattati.
3. Bl-eċċezzjoni tal-Artikolu 13(8), dan ir-Regolament ma japplikax għal network u sistemi tal-informazzjoni li jimmaniġġjaw Informazzjoni Klassifikata tal-UE (IKUE).
Artikolu 3
Definizzjonijiet
Għall-finijiet ta’ dan ir-Regolament, japplikaw id-definizzjonijiet li ġejjin:
(1)
“entitajiet tal-Unjoni” tfisser l-istituzzjonijiet, il-korpi, l-uffiċċji u l-aġenziji tal-Unjoni stabbiliti mit-Trattat dwar l-Unjoni Ewropea, mit-Trattat dwar il-Funzjonament tal-Unjoni Ewropea (TFUE) jew mit-Trattat li jistabbilixxi l-Komunità Ewropea dwar l-Enerġija Atomika, jew skonthom;
(2)
“network u sistema tal-informazzjoni” tfisser network u sistema tal-informazzjoni kif definit fl-Artikolu 6, il-punt (1), tad-Direttiva (UE) 2022/2555;
(3)
“sigurtà tan-network u tas-sistemi ta’ informazzjoni” tfisser is-sigurtà tan-network u tas-sistemi ta’ informazzjoni kif definit fl-Artikolu 6, il-punt (2), tad-Direttiva (UE) 2022/2555;
(4)
“ċibersigurtà” tfisser iċ-ċibersigurtà kif definit fl-Artikolu 2, il-punt (1), tar-Regolament (UE) 2019/881;
(5)
“l-ogħla livell ta’ maniġment” tfisser maniġer, korp maniġerjali jew korp ta’ koordinazzjoni u sorveljanza li huwa responsabbli għall-funzjonament ta’ entità tal-Unjoni, fl-aktar livell amministrattiv għoli, b’mandat li jadotta jew jawtorizza deċiżjonijiet f’konformità mal-arranġamenti ta’ governanza ta’ livell għoli ta’ dik l-entità tal-Unjoni, mingħajr preġudizzju għar-responsabbiltajiet formali ta’ livelli oħra ta’ maniġment għall-konformità u l-ġestjoni tar-riskji taċ-ċibersigurtà fl-oqsma ta’ responsabbiltà rispettivi tagħhom;
(6)
“kważi inċident” tfisser kważi inċident kif definit fl-Artikolu 6, il-punt (5), tad-Direttiva (UE) 2022/2555;
(7)
“inċident” tfisser inċident kif definit fl-Artikolu 6, il-punt (6), tad-Direttiva (UE) 2022/2555;
(8)
“inċident kbir” tfisser inċident li jikkawża livell ta’ tfixkil li jeċċedi l-kapaċità ta’ entità tal-Unjoni u tas-CERT-UE li jirrispondu għalih jew li jkollu impatt sinifikanti fuq mill-inqas żewġ entitajiet tal-Unjoni;
(9)
“inċident taċ-ċibersigurtà fuq skala kbira” tfisser inċident taċ-ċibersigurtà fuq skala kbira kif definit fl-Artikolu 6, il-punt (7), tad-Direttiva (UE) 2022/2555;
(10)
“trattament tal-inċident” tfisser it-trattament tal-inċident kif definit fl-Artikolu 6, il-punt 8, tad-Direttiva (UE) 2022/2555;
(11)
“theddida ċibernetika” tfisser theddida ċibernetika kif definit fl-Artikolu 2, il-punt (8), tar-Regolament (UE) 2019/881;
(12)
“theddida ċibernetika sinifikanti” tfisser theddida ċibernetika sinifikanti kif definit fl-Artikolu 6, il-punt (11), tad-Direttiva (UE) 2022/2555;
(13)
“vulnerabbiltà” tfisser vulnerabbiltà kif definit fl-Artikolu 6, il-punt (15), tad-Direttiva (UE) 2022/2555;
(14)
“riskju taċ-ċibersigurtà” tfisser riskju kif definit fl-Artikolu 6, il-punt (9), tad-Direttiva (UE) 2022/2555;
(15)
“servizz tal-cloud computing” tfisser servizz tal-cloud computing kif definit fl-Artikolu 6, il-punt (30), tad-Direttiva (UE) 2022/2555.
Artikolu 4
Proċessar ta’ data personali
1. L-ipproċessar ta’ data personali skont dan ir-Regolament mis-CERT-UE, mill-Bord Interistituzzjonali taċ-Ċibersigurtà stabbilit skont l-Artikolu 10 u mill-entitajiet tal-Unjoni għandu jitwettaq f’konformità mar-Regolament (UE) 2018/1725.
2. Meta jwettqu kompiti jew jissodisfaw obbligi skont dan ir-Regolament, is-CERT-UE, il-Bord Interistituzzjonali taċ-Ċibersigurtà stabbilit skont l-Artikolu 10 u l-entitajiet tal-Unjoni għandhom jipproċessaw u jiskambjaw data personali biss sa fejn ikun meħtieġ u għall-iskop uniku li jwettqu dawk il-kompiti jew li jissodisfaw dawk l-obbligi.
3. L-ipproċessar ta’ kategoriji speċjali ta’ data personali kif imsemmi fl-Artikolu 10(1) tar-Regolament (UE) 2018/1725 għandu jitqies meħtieġ għal raġunijiet ta’ interess pubbliku sostanzjali skont l-Artikolu 10(2), il-punt (g), ta’ dak ir-Regolament. Tali data tista’ tiġi pproċessata biss sal-punt meħtieġ għall-implimentazzjoni tal-miżuri tal-ġestjoni tar-riskji taċ-ċibersigurtà msemmija fl-Artikoli 6 u 8, għall-forniment ta’ servizzi mis-CERT-UE skont l-Artikolu 13, għall-kondiviżjoni ta’ informazzjoni speċifika għall-inċidenti skont l-Artikolu 17(3) u l-Artikolu 18(3), għall-kondiviżjoni ta’ informazzjoni skont l-Artikolu 20, għall-obbligi ta’ rapportar skont l-Artikolu 21, għall-koordinazzjoni u l-kooperazzjoni tar-rispons għall-inċidenti skont l-Artikolu 22 u għall-ġestjoni ta’ inċidenti kbar skont l-Artikolu 23 ta’ dan ir-Regolament. L-entitajiet tal-Unjoni u s-CERT-UE, meta jaġixxu bħala kontrolluri tad-data, għandhom japplikaw miżuri tekniċi biex jipprevjenu l-ipproċessar ta’ kategoriji speċjali ta’ data personali għal finijiet oħra u għandhom jipprevedu miżuri xierqa u speċifiċi biex jissalvagwardjaw id-drittijiet fundamentali u l-interessi tas-suġġetti tad-data.
KAPITOLU II
MIŻURI GĦAL LIVELL KOMUNI GĦOLI TA’ ĊIBERSIGURTÀ
Artikolu 5
Implimentazzjoni tal-miżuri
1. Sat-8 ta’ Settembru 2024, il-Bord Interistituzzjonali taċ-Ċibersigurtà stabbilit skont l-Artikolu 10 għandu, wara li jikkonsulta mal-Aġenzija tal-Unjoni Ewropea għaċ-Ċibersigurtà (ENISA) u wara li jirċievi gwida mis-CERT-UE, joħroġ linji gwida għall-entitajiet tal-Unjoni għall-fini li jwettqu rieżami inizjali taċ-ċibersigurtà u jistabbilixxu qafas intern għall-ġestjoni, il-governanza u l-kontroll tar-riskji taċ-ċibersigurtà skont l-Artikolu 6, iwettqu valutazzjonijiet tal-maturità taċ-ċibersigurtà skont l-Artikolu 7, jieħdu miżuri ta’ ġestjoni tar-riskji taċ-ċibersigurtà skont l-Artikolu 8, u jadottaw il-pjan taċ-ċibersigurtà skont l-Artikolu 9.
2. Meta jimplimentaw l-Artikoli 6 sa 9, l-entitajiet tal-Unjoni għandhom iqisu l-linji gwida msemmija fil-paragrafu 1 ta’ dan l-Artikolu, kif ukoll il-linji gwida u r-rakkomandazzjonijiet rilevanti adottati skont l-Artikoli 11 u 14.
Artikolu 6
Qafas għall-ġestjoni, il-governanza u l-kontroll tar-riskji taċ-ċibersigurtà
1. Sat-8 ta’ April 2025, kull entità tal-Unjoni għandha, wara li twettaq rieżami inizjali taċ-ċibersigurtà, bħal awditu, tistabbilixxi qafas intern għall-ġestjoni, il-governanza u l-kontroll tar-riskji taċ-ċibersigurtà (il-“Qafas”). L-istabbiliment tal-Qafas għandu jiġi ssorveljat mill-ogħla livell ta’ maniġment tal-entità tal-Unjoni u taħt ir-responsabbiltà tiegħu.
2. Il-qafas għandu jkopri l-ambjent tal-ICT mhux klassifikat kollu tal-entità tal-Unjoni kkonċernata, inkluż kwalunkwe ambjent tal-ICT fuq il-post, network tat-teknoloġija operazzjonali, assi u servizzi esternalizzati f’ambjenti tal-cloud computing jew ospitati minn partijiet terzi, apparati mobbli, networks korporattivi, networks tan-negozju mhux konnessi mal-internet u kwalunkwe apparat konness ma’ dawk l-ambjenti (“ambjent tal-ICT”). Il-Qafas għandu jkun ibbażat fuq approċċ li jkopri l-perikli kollha.
3. Il-Qafas għandu jiżgura livell għoli ta’ ċibersigurtà. Il-Qafas għandu jistabbilixxi politiki interni dwar iċ-ċibersigurtà, inklużi objettivi u prijoritajiet, għas-sigurtà tan-networks u tas-sistemi tal-informazzjoni, u r-rwoli u r-responsabbiltajiet tal-persunal tal-entità tal-Unjoni inkarigat li jiżgura l-implimentazzjoni effettiva ta’ dan ir-Regolament. Il-Qafas għandu jinkludi wkoll mekkaniżmi biex titkejjel l-effettività tal-implimentazzjoni.
4. Il-Qafas għandu jiġi rieżaminat fuq bażi regolari, fid-dawl tar-riskji taċ-ċibersigurtà li jinbidlu, u mill-inqas kull erba’ snin. Meta xieraq u wara talba mill-Bord Interistituzzjonali taċ-Ċibersigurtà stabbilit skont l-Artikolu 10, Qafas ta’ entità tal-Unjoni jista’ jiġi aġġornat abbażi tal-gwida tas-CERT-UE dwar inċidenti identifikati jew lakuni possibbli osservati fl-implimentazzjoni ta’ dan ir-Regolament.
5. L-ogħla livell ta’ ġestjoni ta’ kull entità tal-Unjoni għandu jkun responsabbli għall-implimentazzjoni ta’ dan ir-Regolament u għandu jissorvelja l-konformità tal-organizzazzjoni tiegħu mal-obbligi relatati mal-Qafas.
6. Meta xieraq u mingħajr preġudizzju għar-responsabbiltà tiegħu għall-implimentazzjoni ta’ dan ir-Regolament, l-ogħla livell ta’ maniġment ta’ kull entità tal-Unjoni jista’ jiddelega obbligi speċifiċi skont dan ir-Regolament lil uffiċjali għolja skont it-tifsira tal-Artikolu 29(2) tar-Regolamenti tal-Persunal jew uffiċjali oħra f’livell ekwivalenti, fl-entità tal-Unjoni kkonċernata. Irrispettivament minn kwalunkwe delega bħal din, l-ogħla livell ta’ maniġment jista’ jinżamm responsabbli għall-ksur ta’ dan ir-Regolament mill-entità tal-Unjoni kkonċernata.
7. Kull entità tal-Unjoni għandu jkollha mekkaniżmi effettivi fis-seħħ biex jiżguraw li perċentwal adegwat tal-baġit tal-ICT jintefaq fuq iċ-ċibersigurtà. Meta jiġi stabbilit dak il-perċentwal għandu jittieħed kont debitu tal-Qafas.
8. Kull entità tal-Unjoni għandha taħtar uffiċjal lokali taċ-ċibersigurtà jew funzjoni ekwivalenti, li għandu jaġixxi bħala l-punt uniku ta’ kuntatt tagħha fir-rigward tal-aspetti kollha taċ-ċibersigurtà. L-uffiċjal lokali taċ-ċibersigurtà għandu jiffaċilita l-implimentazzjoni ta’ dan ir-Regolament u jirrapporta direttament lill-ogħla livell ta’ maniġment fuq bażi regolari dwar l-istat tal-implimentazzjoni. Mingħajr preġudizzju għar-rwol tal-uffiċjal lokali taċ-ċibersigurtà bħala l-punt uniku ta’ kuntatt f’kull entità tal-Unjoni, entità tal-Unjoni tista’ tiddelega ċerti kompiti tal-uffiċjal lokali taċ-ċibersigurtà fir-rigward tal-implimentazzjoni ta’ dan ir-Regolament lis-CERT-UE abbażi ta’ ftehim dwar il-livell ta’ servizz konkluż bejn dik l-entità tal-Unjoni u s-CERT-UE, jew dawk il-kompiti jistgħu jiġu kondiviżi bejn diversi entitajiet tal-Unjoni. Meta dawk il-kompiti jiġu delegati lis-CERT-EU, il-Bord Interistituzzjonali taċ-Ċibersigurtà stabbilit skont l-Artikolu 10 għandu jiddeċiedi jekk il-forniment ta’ dak is-servizz għandux ikun parti mis-servizzi tal-linja bażi tas-CERT-UE, b’kont meħud tar-riżorsi umani u finanzjarji tal-entità tal-Unjoni kkonċernata. Kull entità tal-Unjoni għandha, mingħajr dewmien żejjed, tinnotifika lis-CERT-EU dwar l-uffiċjal lokali taċ-ċibersigurtà maħtur u kwalunkwe bidla sussegwenti tiegħu.
Is-CERT-UE għandu jistabbilixxi u jżomm aġġornata lista tal-uffiċjali lokali taċ-ċibersigurtà maħtura.
9. L-uffiċjali għolja skont it-tifsira tal-Artikolu 29(2) tar-Regolamenti tal-Persunal jew uffiċjali oħra ta’ livell ekwivalenti ta’ kull entità tal-Unjoni, kif ukoll il-membri rilevanti tal-persunal inkarigati bl-implimentazzjoni tal-miżuri tal-ġestjoni tar-riskji taċ-ċibersigurtà u bl-issodisfar tal-obbligi stabbiliti f’dan ir-Regolament, għandhom isegwu taħriġ speċifiku fuq bażi regolari bil-għan li jiksbu għarfien u ħiliet suffiċjenti sabiex jifhmu u jivvalutaw ir-riskji taċ-ċibersigurtà u l-prattiki tal-ġestjoni tar-riskji taċ-ċibersigurtà u l-impatt tagħhom fuq l-operazzjonijiet tal-entità tal-Unjoni.
Artikolu 7
Valutazzjonijiet tal-maturità taċ-ċibersigurtà
1. Sat-8 ta’ Lulju 2025 u mill-inqas kull sentejn minn hemm ’il quddiem, kull entità tal-Unjoni għandha twettaq valutazzjoni tal-maturità taċ-ċibersigurtà li tinkorpora l-elementi kollha tal-ambjent tal-ICT tagħha.
2. Il-valutazzjonijiet tal-maturità taċ-ċibersigurtà għandhom, meta xieraq, jitwettqu bl-għajnuna ta’ parti terza speċjalizzata.
3. L-entitajiet tal-Unjoni bi strutturi simili jistgħu jikkooperaw fit-twettiq ta’ valutazzjonijiet tal-maturità taċ-ċibersigurtà għall-entitajiet rispettivi tagħhom.
4. Abbażi ta’ talba mill-Bord Interistituzzjonali taċ-Ċibersigurtà stabbilit skont l-Artikolu 10 u bil-kunsens espliċitu tal-entità tal-Unjoni kkonċernata, ir-riżultati ta’ valutazzjoni tal-maturità taċ-ċibersigurtà jistgħu jiġu diskussi fi ħdan dak il-Bord jew fi ħdan il-grupp informali ta’ uffiċjali lokali taċ-ċibersigurtà bil-ħsieb li wieħed jitgħallem mill-esperjenzi u jikkondividi l-aħjar prattiki.
Artikolu 8
Miżuri ta’ ġestjoni tar-riskji taċ-ċibersigurtà
1. Mingħajr dewmien żejjed u fi kwalunkwe każ sat-8 ta’ Settembru 2025, kull entità tal-Unjoni għandha, taħt is-sorveljanza tal-ogħla livell ta’ maniġment tagħha, tieħu miżuri tekniċi, operazzjonali u organizzattivi xierqa u proporzjonati biex jiġu ġestiti r-riskji taċ-ċibersigurtà identifikati fl-ambitu tal-Qafas, u biex tipprevjeni u/jew timminimizza l-impatt tal-inċidenti. B’kont meħud tal-ogħla livell ta’ żvilupp tekniku u, meta applikabbli, tal-istandards Ewropej u internazzjonali rilevanti, dawk il-miżuri għandhom jiżguraw livell ta’ sigurtà tan-networks u tas-sistemi tal-informazzjoni fl-ambjent tal-ICT kollu kemm hu proporzjonat mar-riskji taċ-ċibersigurtà kkawżati. Meta tiġi vvalutata l-proporzjonalità ta’ dawk il-miżuri, għandu jittieħed kont debitu tal-grad tal-espożizzjoni tal-entità tal-Unjoni għar-riskji taċ-ċibersigurtà, id-daqs tagħha, il-probabbiltà tal-okkorrenza ta’ inċidenti u tas-severità tagħhom, inkluż l-impatt soċjetali, ekonomiku u interistituzzjonali tagħhom.
2. L-entitajiet tal-Unjoni għandhom jindirizzaw mill-inqas l-oqsma li ġejjin fl-implimentazzjoni tal-miżuri tal-ġestjoni tar-riskji taċ-ċibersigurtà:
(a)
il-politika taċ-ċibersigurtà, inklużi l-miżuri meħtieġa biex jintlaħqu l-objettivi u l-prijoritajiet imsemmija fl-Artikolu 6 u fil-paragrafu 3 ta’ dan l-Artikolu;
(b)
il-politiki dwar l-analiżi tar-riskji taċ-ċibersigurtà u s-sigurtà tas-sistema tal-informazzjoni;
(c)
l-objettivi ta’ politika rigward l-użu tas-servizzi tal-cloud computing;
(d)
l-awditu taċ-ċibersigurtà, meta xieraq, li jista’ jinkludi valutazzjoni tar-riskju taċ-ċibersigurtà, tal-vulnerabbiltà u tat-theddid ċibernetiku, u ttestjar tal-penetrazzjoni mwettaq minn fornitur privat fdat fuq bażi regolari;
(e)
l-implimentazzjoni tar-rakkomandazzjonijiet li jirriżultaw mill-awditi taċ-ċibersigurtà msemmija fil-punt (d) permezz ta’ aġġornamenti taċ-ċibersigurtà u tal-politika;
(f)
l-organizzazzjoni taċ-ċibersigurtà, inkluż l-istabbiliment tar-rwoli u r-responsabbiltajiet;
(g)
l-immaniġġar ta’ assi, inkluż l-inventarju tal-assi tal-ICT u l-kartografija tan-network tal-ICT;
(h)
is-sigurtà tar-riżorsi umani u l-kontroll tal-aċċess;
(i)
is-sigurtà operazzjonali tan-network;
(j)
is-sigurtà tal-komunikazzjoni;
(k)
l-akkwiżizzjoni, l-iżvilupp u l-manutenzjoni tas-sistema, inklużi l-politiki dwar it-trattament u d-divulgazzjoni tal-vulnerabbiltajiet;
(l)
meta jkun possibbli, il-politiki dwar it-trasparenza tal-kodiċi sors;
(m)
is-sigurtà tal-katina tal-provvista, inkluż l-aspetti relatati mas-sigurtà li jikkonċernaw ir-relazzjonijiet bejn kull entità tal-Unjoni u l-fornituri diretti jew il-fornituri ta’ servizzi diretti tagħha.
(n)
it-trattament tal-inċidenti u l-kooperazzjoni mas-CERT-UE, bħall-manutenzjoni tal-monitoraġġ tas-sigurtà u reġistrazzjonijiet;
(o)
il-ġestjoni tal-kontinwità tal-operat, bħall-ġestjoni ta’ riżerva u l-irkupru minn diżastri, u l-ġestjoni tal-kriżijiet; u
(p)
il-promozzjoni u l-iżvilupp ta’ programmi ta’ edukazzjoni, ħiliet, sensibilizzazzjoni, eżerċizzju u taħriġ fil-qasam taċ-ċibersigurtà.
Għall-finijiet tal-ewwel subparagrafu, il-punt (m), l-entitajiet tal-Unjoni għandhom iqisu l-vulnerabbiltajiet speċifiċi għal kull fornitur dirett u kull fornitur ta’ servizzi dirett u l-kwalità ġenerali tal-prodotti u l-prattiki taċ-ċibersigurtà tal-fornituri u l-fornituri tas-servizzi tagħhom, inkluż il-proċeduri ta’ żvilupp siguri tagħhom.
3. L-entitajiet tal-Unjoni għandhom jieħdu mill-inqas il-miżuri speċifiċi tal-ġestjoni tar-riskji taċ-ċibersigurtà li ġejjin:
(a)
l-arranġamenti tekniċi li jippermettu u jsostnu t-telexogħol;
(b)
passi konkreti li jimxu lejn prinċipji ta’ fiduċja żero;
(c)
l-użu tal-awtentikazzjoni b’diversi fatturi bħala norma fin-network u s-sistema tal-informazzjoni;
(d)
l-użu tal-kriptografija u l-kriptaġġ, b’mod partikolari l-kriptaġġ minn tarf sa tarf, kif ukoll l-iffirmar diġitali sigur;
(e)
meta xieraq, l-użu ta’ komunikazzjonijiet bil-vuċi, bil-vidjo u bil-kitba siguri, u sistemi ta’ komunikazzjonijiet ta’ emerġenza siguri fi ħdan l-entità tal-Unjoni;
(f)
miżuri proattivi għad-detezzjoni u t-tneħħija ta’ malware u spyware;
(g)
l-istabbiliment ta’ sigurtà tal-katina tal-provvista tas-software permezz ta’ kriterji għall-iżvilupp u l-evalwazzjoni ta’ software sigur;
(h)
l-istabbiliment u l-adozzjoni ta’ programmi ta’ taħriġ dwar iċ-ċibersigurtà proporzjonati għall-kompiti preskritti u l-kapaċitajiet mistennija għall-ogħla livell ta’ maniġment u l-membri tal-persunal tal-entità tal-Unjoni inkarigati biex jiżguraw l-implimentazzjoni effettiva ta’ dan ir-Regolament;
(i)
it-taħriġ regolari dwar iċ-ċibersigurtà tal-membri tal-persunal;
(j)
fejn rilevanti, il-parteċipazzjoni fl-analiżijiet tar-riskji tal-interkonnettività bejn l-entitajiet tal-Unjoni;
(k)
it-titjib tar-regoli dwar l-akkwist pubbliku għall-faċilitazzjoni ta’ livell komuni għoli ta’ ċibersigurtà permezz ta’:
(i)
it-tneħħija tal-ostakli kuntrattwali li jillimitaw il-kondiviżjoni tal-informazzjoni mill-fornituri tas-servizzi tal-ICT dwar inċidenti, vulnerabbiltajiet u theddid ċibernetiku mas-CERT-UE;
(ii)
l-obbligu kuntrattwali li jiġu rrapportati inċidenti, vulnerabbiltajiet u theddid ċibernetiku kif ukoll li jkun hemm fis-seħħ mekkaniżmi ta’ rispons u monitoraġġ xierqa għall-inċidenti.
Artikolu 9
Pjanijiet taċ-ċibersigurtà
1. Wara l-konklużjoni tal-valutazzjoni tal-maturità taċ-ċibersigurtà mwettqa skont l-Artikolu 7 u waqt li jitqiesu l-assi u r-riskji taċ-ċibersigurtà identifikati fil-Qafas kif ukoll il-miżuri tal-ġestjoni tar-riskji taċ-ċibersigurtà meħuda skont l-Artikolu 8, l-ogħla livell ta’ maniġment ta’ kull entità tal-Unjoni għandu japprova pjan taċ-ċibersigurtà mingħajr dewmien żejjed u fi kwalunkwe każ sat-8 ta’ Jannar 2026. Il-pjan taċ-ċibersigurtà għandu jkollu l-għan li jżid iċ-ċibersigurtà kumplessiva tal-entità tal-Unjoni kkonċernata u b’hekk għandu jikkontribwixxi għat-titjib ta’ livell għoli komuni ta’ ċibersigurtà fi ħdan l-entitajiet tal-Unjoni. Il-pjan taċ-ċibersigurtà għandu mill-inqas jinkludi l-miżuri ta’ ġestjoni tar-riskji taċ-ċibersigurtà meħuda skont l-Artikolu 8. Il-pjan taċ-ċibersigurtà għandu jiġi rrivedut kull sentejn, jew aktar ta’ spiss fejn neċessarju, wara l-valutazzjonijiet tal-maturità taċ-ċibersigurtà mwettqa skont l-Artikolu 7 jew wara kwalunkwe rieżami sostanzjali tal-Qafas.
2. Il-pjan taċ-ċibersigurtà għandu jinkludi l-pjan ta’ ġestjoni tal-kriżijiet ċibernetiċi tal-entità tal-Unjoni għal inċidenti kbar.
3. L-entità tal-Unjoni għanda tissottometti l-pjan taċ-ċibersigurtà komplut lill-Bord Interistituzzjonali taċ-Ċibersigurtà stabbilit skont l-Artikolu 10.
KAPITOLU III
BORD INTERISTITUZZJONALI TAĊ-ĊIBERSIGURTÀ
Artikolu 10
Bord Interistituzzjonali taċ-Ċibersigurtà
1. B’dan qed jiġi stabbilit Bord Interistituzzjonali taċ-Ċibersigurtà (IICB).
2. L-IICB għandu jkun responsabbli:
(a)
għall-monitoraġġ u l-appoġġ tal-implimentazzjoni ta’ dan ir-Regolament mill-entitajiet tal-Unjoni;
(b)
għas-superviżjoni tal-implimentazzjoni tal-prijoritajiet u l-objettivi ġenerali mis-CERT-UE u l-għoti ta’ direzzjoni strateġika lis-CERT-UE.
3. L-IICB għandu jikkonsisti minn:
(a)
rappreżentant wieħed iddeżinjat minn kull wieħed minn dawn li ġejjin:
(i)
il-Parlament Ewropew;
(ii)
il-Kunsill Ewropew;
(iii)
il-Kunsill tal-Unjoni Ewropea;
(iv)
il-Kummissjoni;
(v)
il-Qorti tal-Ġustizzja tal-Unjoni Ewropea;
(vi)
il-Bank Ċentrali Ewropew;
(vii)
il-Qorti tal-Awdituri;
(viii)
is-Servizz Ewropew għall-Azzjoni Esterna;
(ix)
il-Kumitat Ekonomiku u Soċjali Ewropew;
(x)
il-Kumitat Ewropew tar-Reġjuni;
(xi)
il-Bank Ewropew tal-Investiment;
(xii)
iċ-Ċentru Ewropew ta’ Kompetenza Industrijali, Teknoloġika u tar-Riċerka fil-qasam taċ-Ċibersigurtà;
(xiii)
l-ENISA;
(xiv)
il-Kontrollur Ewropew għall-Protezzjoni tad-Data (KEPD);
(xv)
l-Aġenzija tal-Unjoni Ewropea għall-Programm Spazjali.
(b)
tliet rappreżentanti ddeżinjati min-Network tal-Aġenziji tal-UE (EUAN) abbażi ta’ proposta tal-Kumitat Konsultattiv tal-ICT tiegħu biex jirrappreżentaw l-interessi tal-korpi, l-uffiċċji u l-aġenziji tal-Unjoni li jmexxu l-ambjent tal-ICT tagħhom stess, għajr dawk imsemmija fil-punt (a).
L-entitajiet tal-Unjoni rappreżentati fuq l-IICB għandu jkollhom l-għan li jiksbu bilanċ bejn il-ġeneri fost ir-rappreżentanti ddeżinjati.
4. Il-membri tal-IICB jistgħu jiġu megħjuna minn sostitut. Rappreżentanti oħra tal-entitajiet tal-Unjoni msemmija fil-paragrafu 3 jew ta’ entitajiet oħra tal-Unjoni jistgħu jiġu mistiedna mill-President biex jattendu laqgħat tal-IICB mingħajr id-dritt tal-vot.
5. Il-Kap tas-CERT-UE u l-Presidenti tal-Grupp ta’ Kooperazzjoni, in-Network tas-CSIRTs u l-EU-CyCLONe stabbiliti, rispettivament, skont l-Artikoli 14, 15 u 16 tad-Direttiva (UE) 2022/2555, jew is-sostituti tagħhom, jistgħu jipparteċipaw fil-laqgħat tal-IICB bħala osservaturi. F’każijiet eċċezzjonali, l-IICB jista’, f’konformità mar-regoli ta’ proċedura interni tiegħu, jiddeċiedi mod ieħor.
6. L-IICB għandu jadotta r-regoli ta’ proċedura interni tiegħu.
7. L-IICB għandu jiddeżinja President f’konformità mar-regoli ta’ proċedura interni tiegħu, minn fost il-membri tiegħu għal perjodu ta’ tliet snin. Is-sostitut tal-President għandu jsir membru sħiħ tal-IICB għall-istess durata.
8. L-IICB għandu jiltaqa’ mill-inqas tliet darbiet fis-sena fuq inizjattiva tal-President tiegħu, fuq talba tas-CERT-UE jew fuq talba ta’ xi wieħed mill-membri tiegħu.
9. Kull membru tal-IICB għandu jkollu vot wieħed. Id-deċiżjonijiet tal-IICB għandhom jittieħdu b’maġġoranza sempliċi ħlief meta jkun previst mod ieħor f’dan ir-Regolament. Il-President tal-IICB ma għandux ikollu vot ħlief fil-każ ta’ voti ndaqs, f’liema każ il-President jista’ jitfa’ vot deċiżiv.
10. L-IICB jista’ jaġixxi permezz ta’ proċedura bil-miktub simplifikata mibdija f’konformità mar-regoli ta’ proċedura interni tiegħu. Fil-qafas ta’ dik il-proċedura, id-deċiżjoni rilevanti għandha titqies li hija approvata fil-perjodu ta’ żmien stabbilit mill-President, ħlief meta membru joġġezzjona.
11. Is-segretarjat tal-IICB għandu jiġi pprovdut mill-Kummissjoni u għandu jagħti rendikont lill-President tal-IICB.
12. Ir-rappreżentanti nnominati mill-EUAN għandhom jgħaddu d-deċiżjonijiet tal-IICB lill-membri tal-EUAN. Kwalunkwe membru tal-EUAN għandu jkun intitolat li jqajjem ma’ dawk ir-rappreżentanti jew mal-President tal-IICB kwalunkwe kwistjoni li jqis li jenħtieġ li tiġi indirizzata mill-IICB.
13. L-IICB jista’ jistabbilixxi kumitat eżekuttiv biex jassistih fil-ħidma tiegħu, u jiddelegalu xi wħud mill-kompiti u s-setgħat tiegħu. L-IICB għandu jistabbilixxi r-regoli ta’ proċedura tal-kumitat eżekuttiv, inklużi l-kompiti u s-setgħat tiegħu, u l-mandati tal-membri tiegħu.
14. Sat-8 ta’ Jannar 2025 u fuq bażi annwali minn hemm ’il quddiem, l-IICB għandu jissottometti rapport lill-Parlament Ewropew u lill-Kunsill li fih jagħti dettalji dwar il-progress li jkun sar bl-implimentazzjoni ta’ dan ir-Regolament u li jispeċifika b’mod partikolari l-firxa tal-kooperazzjoni tas-CERT-UE mal-kontropartijiet tal-Istati Membri f’kull wieħed mill-Istati Membri. Ir-rapport għandu jikkostitwixxi input għar-rapport biennali dwar l-istat taċ-ċibersigurtà fl-Unjoni adottat skont l-Artikolu 18 tad-Direttiva (UE) 2022/2555.
Artikolu 11
Kompiti tal-IICB
Meta jeżerċita r-responsabbiltajiet tiegħu, l-IICB għandu, b’mod partikolari:
(a)
jipprovdi gwida lill-Kap tas-CERT-UE;
(b)
jimmonitorja u jissorvelja b’mod effettiv l-implimentazzjoni ta’ dan ir-Regolament u jappoġġja lill-entitajiet tal-Unjoni fit-tisħiħ taċ-ċibersigurtà tagħhom, inkluż, meta xieraq, billi jitlob rapporti ad hoc mill-entitajiet tal-Unjoni u mis-CERT-UE;
(c)
wara diskussjoni strateġika, jadotta strateġija pluriennali dwar żieda fil-livell taċ-ċibersigurtà fl-entitajiet tal-Unjoni, jivvaluta dik l-istrateġija fuq bażi regolari u fi kwalunkwe każ kull ħames snin u, meta meħtieġ, jemenda dik l-istrateġija;
(d)
jistabbilixxi l-metodoloġija u l-aspetti organizzattivi għat-twettiq ta’ rieżamijiet bejn il-pari volontarji mill-entitajiet tal-Unjoni, bil-ħsieb li wieħed jitgħallem mill-esperjenzi kondiviżi, li tissaħħaħ il-fiduċja reċiproka, jinkiseb livell għoli komuni ta’ ċibersigurtà, kif ukoll jissaħħu l-kapaċitajiet ta’ ċibersigurtà tal-entitajiet tal-Unjoni, filwaqt li jiżgura li tali rieżamijiet bejn il-pari jitwettqu minn esperti taċ-ċibersigurtà ddeżinjati minn entità tal-Unjoni differenti mill-entità tal-Unjoni li tkun qed tiġi rieżaminata u li l-metodoloġija tkun ibbażata fuq l-Artikolu 19 tad-Direttiva (UE) 2022/2555 u, meta xieraq, tkun adattata għall-entitajiet tal-Unjoni;
(e)
japprova, abbażi ta’ proposta tal-Kap tas-CERT-UE, il-programm ta’ ħidma annwali tas-CERT-UE u jimmonitorja l-implimentazzjoni tiegħu;
(f)
japprova, abbażi ta’ proposta tal-Kap tas-CERT-UE, il-katalgu tas-servizzi tas-CERT-UE u kwalunkwe aġġornament tiegħu;
(g)
japprova, abbażi ta’ proposta tal-Kap tas-CERT-UE, l-ippjanar finanzjarju annwali tad-dħul u tan-nefqa, inkluż tal-persunal, għall-attivitajiet tas-CERT-UE;
(h)
japprova, abbażi ta’ proposta mill-Kap tas-CERT-UE, l-arranġamenti għall-ftehimiet dwar il-livell ta’ servizz;
(i)
jeżamina u japprova r-rapport annwali mfassal mill-Kap tas-CERT-UE li jkopri l-attivitajiet tas-CERT-UE u l-ġestjoni tal-fondi mis-CERT-UE;
(j)
japprova u jimmonitorja indikaturi ewlenin tal-prestazzjoni (KPIs) għas-CERT-UE stabbiliti abbażi ta’ proposta tal-Kap tas-CERT-UE;
(k)
japprova l-arranġamenti ta’ kooperazzjoni, il-ftehimiet dwar il-livell ta’ servizz jew il-kuntratti bejn is-CERT-UE u entitajiet oħrajn skont l-Artikolu 18;
(l)
jadotta linji gwida u rakkomandazzjonijiet abbażi ta’ proposta tas-CERT-UE f’konformità mal-Artikolu 14 u jagħti istruzzjonijiet lis-CERT-UE biex joħroġ, jirtira jew jimmodifika proposta għal linji gwida jew rakkomandazzjonijiet, jew sejħa għal azzjoni;
(m)
jistabbilixxi gruppi konsultattivi tekniċi b’kompiti speċifiċi biex jassistu l-ħidma tal-IICB, japprova t-termini ta’ referenza tagħhom u jiddeżinja l-Presidenti rispettivi tagħhom;
(n)
jirċievi u jivvaluta dokumenti u rapporti sottomessi mill-entitajiet tal-Unjoni skont dan ir-Regolament, bħal valutazzjonijiet tal-maturità taċ-ċibersigurtà;
(o)
jiffaċilita l-istabbiliment ta’ grupp informali ta’ uffiċjali lokali taċ-ċibersigurtà tal-entitajiet tal-Unjoni, appoġġati mill-ENISA, bl-għan tal-iskambju tal-aħjar prattiki u ta’ informazzjoni fir-rigward tal-implimentazzjoni ta’ dan ir-Regolament;
(p)
filwaqt li jqis l-informazzjoni dwar ir-riskji taċ-ċibersigurtà identifikati u t-tagħlimiet meħuda pprovduti mis-CERT-UE, jimmonitorja l-adegwatezza tal-arranġamenti tal-interkonnettività fost l-ambjenti tal-ICT tal-entitajiet tal-Unjoni u jagħti pariri dwar titjib possibbli;
(q)
jistabbilixxi pjan ta’ ġestjoni tal-kriżijiet ċibernetiċi bil-ħsieb li jappoġġja, f’livell operazzjonali, il-ġestjoni koordinata ta’ inċidenti kbar li jaffettwaw lill-entitajiet tal-Unjoni u li jikkontribwixxi għall-iskambju regolari ta’ informazzjoni rilevanti, b’mod partikolari fir-rigward tal-impatti u s-severità ta’ inċidenti kbar u l-modi possibbli biex l-effetti tagħhom jiġu mitigati;
(r)
jikkoordina l-adozzjoni tal-pjanijiet ta’ ġestjoni tal-kriżijiet ċibernetiċi tal-entitajiet individwali tal-Unjoni msemmija fl-Artikolu 9(2);
(s)
jadotta rakkomandazzjonijiet relatati mas-sigurtà tal-ktajjen tal-provvista msemmija fl-Artikolu 8(2), l-ewwel subparagrafu, il-punt (m), filwaqt li jqis ir-riżultati ta’ valutazzjonijiet tar-riskji tas-sigurtà kkoordinati fuq livell tal-Unjoni tal-ktajjen ta’ provvista kritiċi msemmija fl-Artikolu 22 tad-Direttiva (UE) 2022/2555 biex l-entitajiet tal-Unjoni jiġu appoġġati fl-adozzjoni ta’ miżuri effettivi u proporzjonati ta’ ġestjoni tar-riskji taċ-ċibersigurtà.
Artikolu 12
Konformità
1. L-IICB, skont l-Artikolu 10(2) u l-Artikolu 11, għandu jimmonitorja b’mod effettiv l-implimentazzjoni ta’ dan ir-Regolament u tal-linji gwida, tar-rakkomandazzjonijiet u tas-sejħiet għal azzjoni adottati mill-entitajiet tal-Unjoni. L-IICB jista’ jitlob l-informazzjoni jew id-dokumentazzjoni meħtieġa għal dak l-għan mill-entitajiet tal-Unjoni. Għall-fini tal-adozzjoni ta’ miżuri ta’ konformità skont dan l-Artikolu, meta l-entità tal-Unjoni kkonċernata tkun rappreżentata direttament fuq l-IICB, dik l-entità tal-Unjoni ma għandux ikollha drittijiet tal-vot.
2. Meta l-IICB isib li entità tal-Unjoni ma implimentatx b’mod effettiv dan ir-Regolament jew il-linji gwida, ir-rakkomandazzjonijiet jew is-sejħiet għal azzjoni maħruġa skont ir-Regolament, huwa jista’, mingħajr preġudizzju għall-proċeduri interni tal-entità tal-Unjoni kkonċernata, u wara li jagħti opportunità lill-entità tal-Unjoni kkonċernata biex tippreżenta l-osservazzjonijiet tagħha:
(a)
jikkomunika opinjoni motivata lill-entità tal-Unjoni kkonċernata dwar lakuni osservati fl-implimentazzjoni ta’ dan ir-Regolament;
(b)
jipprovdi, wara li jikkonsulta lis-CERT-UE, linji gwida lill-entità tal-Unjoni kkonċernata biex jiżgura li l-qafas, il-miżuri ta’ ġestjoni tar-riskji taċ-ċibersigurtà, il-pjanijiet taċ-ċibersigurtà u r-rapportar tagħha jikkonformaw ma’ dan ir-Regolament f’perjodu ta’ żmien speċifikat;
(c)
joħroġ twissija biex jiġu indirizzati n-nuqqasijiet identifikati f’perjodu ta’ żmien speċifikat, inklużi rakkomandazzjonijiet biex jiġu emendati miżuri adottati mill-entità tal-Unjoni kkonċernata skont dan ir-Regolament;
(d)
joħroġ notifika motivata lill-entità tal-Unjoni kkonċernata, f’każ li n-nuqqasijiet identifikati fi twissija maħruġa skont il-punt (c) ma jkunux ġew indirizzati biżżejjed fil-perjodu ta’ żmien speċifikat;
(e)
joħroġ:
(i)
rakkomandazzjoni biex isir awditu; jew
(ii)
talba li jsir awditu minn servizz tal-awditjar terz;
(f)
jekk applikabbli, jinforma lill-Qorti tal-Awdituri, fl-ambitu tal-mandat tagħha, dwar l-allegata nonkonformità;
(g)
joħroġ rakkomandazzjoni biex l-Istati Membri u l-entitajiet tal-Unjoni kollha jimplimentaw sospensjoni temporanja tal-flussi tad-data lill-entità tal-Unjoni kkonċernata.
Għall-finijiet tal-ewwel subparagrafu, il-punt (c), id-destinatarji ta’ twissija għandhom jiġu limitati b’mod xieraq, meta meħtieġ fid-dawl ta’ riskju taċ-ċibersigurtà.
It-twissijiet u r-rakkomandazzjonijiet maħruġa skont l-ewwel subparagrafu għandhom ikunu diretti lejn l-ogħla livell ta’ maniġment tal-entità tal-Unjoni kkonċernata.
3. Meta l-IICB ikun adotta miżuri skont il-paragrafu 2, l-ewwel subparagrafu, il-punti (a) sa (g), l-entità tal-Unjoni kkonċernata għandha tipprovdi dettalji tal-miżuri u l-azzjonijiet meħuda biex jiġu indirizzati n-nuqqasijiet allegati identifikati mill-IICB. L-entità tal-Unjoni għandha tissottometti dawk id-dettalji fi żmien raġonevoli li għandu jiġi miftiehem mal-IICB.
4. Meta l-IICB iqis li hemm ksur kontinwu ta’ dan ir-Regolament minn entità tal-Unjoni li jirriżulta direttament minn azzjonijiet jew ommissjonijiet ta’ uffiċjal jew aġent ieħor tal-Unjoni, inkluż fl-ogħla livell tal-maniġment, l-IICB għandu jitlob li l-entità tal-Unjoni kkonċernata tieħu azzjoni xierqa, inkluż li jikkunsidra li jitlobha tieħu azzjoni ta’ natura dixxiplinarja, f’konformità mar-regoli u l-proċeduri stabbiliti fir-Regolamenti tal-Persunal u f’xi regoli u proċeduri applikabbli oħra. Għal dak il-għan, l-IICB għandu jittrasferixxi l-informazzjoni meħtieġa lill-entità tal-Unjoni kkonċernata.
5. Meta l-entitajiet tal-Unjoni jinnotifikaw li ma jkunux jistgħu jissodisfaw l-iskadenzi stabbiliti fl-Artikolu 6(1) u fl-Artikolu 8(1), l-IICB jista’, f’każijiet debitament sostanzjati, filwaqt li jqis id-daqs tal-entità tal-Unjoni, jawtorizza l-estensjoni ta’ dawk l-iskadenzi.
KAPITOLU IV
CERT-UE
Artikolu 13
Missjoni u kompiti tas-CERT-UE
1. Il-missjoni tas-CERT-UE għandha tkun li jikkontribwixxi għas-sigurtà tal-ambjent tal-ICT mhux klassifikat tal-entitajiet tal-Unjoni, billi jgħinhom fil-prevenzjoni, fid-detezzjoni, fil-ġestjoni, fil-mitigazzjoni u fir-rispons għall-inċidenti u l-irkupru minnhom, u billi jaġixxi bħaċ-ċentru tagħhom ta’ koordinazzjoni tal-iskambju tal-informazzjoni u tar-rispons għall-inċidenti taċ-ċibersigurtà.
2. Is-CERT-UE għandu jiġbor, jamministra, janalizza u jikkondividi informazzjoni mal-entitajiet tal-Unjoni dwar theddidiet, vulnerabbiltajiet u inċidenti f’infrastruttura tal-ICT mhux klassifikata. Għandu jikkoordina r-risponsi għal inċidenti fil-livell interistituzzjonali u fil-livell tal-entitajiet tal-Unjoni, inkluż billi jipprovdi jew jikkoordina l-għoti ta’ assistenza operazzjonali speċjalizzata.
3. Is-CERT-UE għandu jwettaq il-kompiti li ġejjin biex jassisti lill-entitajiet tal-Unjoni:
(a)
jappoġġjahom fl-implimentazzjoni ta’ dan ir-Regolament u jikkontribwixxi għall-koordinazzjoni tal-implimentazzjoni ta’ dan ir-Regolament permezz tal-miżuri elenkati fl-Artikolu 14(1) jew permezz ta’ rapporti ad hoc mitluba mill-IICB;
(b)
joffri servizzi standard tas-CSIRT lill-entitajiet tal-Unjoni permezz ta’ pakkett ta’ servizzi taċ-ċibersigurtà deskritti fil-katalgu tas-servizzi tiegħu (servizzi tal-linja bażi);
(c)
iżomm network ta’ pari u sħab sabiex jappoġġjaw is-servizzi kif deskritti fl-Artikoli 17 u 18;
(d)
iġib għall-attenzjoni tal-IICB kwalunkwe problema relatata mal-implimentazzjoni ta’ dan ir-Regolament u mal-implimentazzjoni tal-linji gwida, tar-rakkomandazzjonijiet u tas-sejħiet għal azzjoni;
(e)
abbażi tal-informazzjoni msemmija fil-paragrafu 2, jikkontribwixxi għall-għarfien tas-sitwazzjoni ċibernetika tal-Unjoni f’kooperazzjoni mill-qrib mal-ENISA;
(f)
jikkoordina l-ġestjoni ta’ inċidenti kbar;
(g)
jaġixxi f’isem l-entitajiet tal-Unjoni bħala l-ekwivalenti tal-koordinatur iddeżinjat għall-finijiet ta’ divulgazzjoni kkoordinata tal-vulnerabbiltajiet skont l-Artikolu 12(1) tad-Direttiva (UE) 2022/2555;
(h)
jipprovdi, fuq talba ta’ entità tal-Unjoni, skennjar proattiv mhux intrużiv tan-network u s-sistemi tal-informazzjoni aċċessibbli għall-pubbliku ta’ dik l-entità tal-Unjoni.
L-informazzjoni msemmija fl-ewwel subparagrafu, il-punt (e), għandha tiġi kondiviża mal-IICB, man-network ta’ CSIRTs u maċ-Ċentru tal-Intelligence u tas-Sitwazzjonijiet tal-Unjoni Ewropea (INTCEN tal-UE), meta applikabbli u xieraq, u soġġett għal kundizzjonijiet xierqa ta’ kunfidenzjalità.
4. Is-CERT-UE jista’, f’konformità mal-Artikolu 17 jew 18, kif xieraq, jikkoopera mal-komunitajiet taċ-ċibersigurtà rilevanti fl-Unjoni u fl-Istati Membri tagħha, inkluż fl-oqsma li ġejjin:
(a)
it-tħejjija, il-koordinazzjoni tal-inċidenti, l-iskambju ta’ informazzjoni u r-rispons għall-kriżijiet fil-livell tekniku dwar każijiet marbuta mal-entitajiet tal-Unjoni;
(b)
il-kooperazzjoni operazzjonali rigward in-network ta’ CSIRTs, inkluż fir-rigward tal-assistenza reċiproka;
(c)
intelligence dwar it-theddid ċibernetiku, inkluż l-għarfien tas-sitwazzjoni;
(d)
dwar kwalunkwe suġġett li jeħtieġ l-għarfien espert tekniku dwar iċ-ċibersigurtà tas-CERT-UE.
5. Fl-ambitu tal-kompetenza tiegħu, is-CERT-UE għandu jinvolvi ruħu f’kooperazzjoni strutturata mal-ENISA dwar il-bini tal-kapaċitajiet, il-kooperazzjoni operazzjonali u l-analiżijiet strateġiċi fit-tul tat-theddid ċibernetiku f’konformità mar-Regolament (UE) 2019/881. Is-CERT-UE jista’ jikkoopera u jiskambja informazzjoni maċ-Ċentru Ewropew taċ-Ċiberkriminalità tal-Europol.
6. Is-CERT-UE jista’ jipprovdi s-servizzi li ġejjin mhux deskritti fil-katalgu tas-servizzi tiegħu (servizzi bi ħlas):
(a)
servizzi li jappoġġjaw iċ-ċibersigurtà tal-ambjent tal-ICT tal-entitajiet tal-Unjoni, għajr dawk imsemmija fil-paragrafu 3, fuq il-bażi ta’ ftehimiet dwar il-livell ta’ servizz u soġġett għar-riżorsi disponibbli, b’mod partikolari monitoraġġ tan-networks fuq firxa wiesgħa, inkluż monitoraġġ tal-ewwel linja 24/7 għal theddid ċibernetiku ta’ severità għolja;
(b)
servizzi li jappoġġjaw operazzjonijiet jew proġetti taċ-ċibersigurtà tal-entitajiet tal-Unjoni, għajr dawk li jipproteġu l-ambjent tal-ICT tagħhom, fuq il-bażi ta’ ftehimiet bil-miktub u bl-approvazzjoni minn qabel tal-IICB;
(c)
fuq talba, skennjar proattiv tan-network u tas-sistemi tal-informazzjoni tal-entità tal-Unjoni kkonċernata biex jiġu identifikati vulnerabbiltajiet b’impatt sinifikanti potenzjali;
(d)
servizzi li jappoġġjaw is-sigurtà tal-ambjent tal-ICT tagħhom lil organizzazzjonijiet għajr l-entitajiet tal-Unjoni li jikkooperaw mill-qrib mal-entitajiet tal-Unjoni, pereżempju bl-assenjar ta’ kompiti jew responsabbiltajiet skont il-liġi tal-Unjoni, fuq il-bażi ta’ ftehimiet bil-miktub u bl-approvazzjoni minn qabel tal-IICB.
Fir-rigward tal-ewwel subparagrafu, il-punt (d), is-CERT-UE jista’, fuq bażi eċċezzjonali, jidħol f’arranġamenti fil-livell tas-servizzi ma’ entitajiet oħra għajr l-entitajiet tal-Unjoni bl-approvazzjoni minn qabel tal-IICB.
7. Is-CERT-UE għandu jorganizza eżerċizzji taċ-ċibersigurtà, u jista’ jipparteċipa fihom, jew jirrakkomanda l-parteċipazzjoni f’eżerċizzji eżistenti, meta applikabbli f’kooperazzjoni mill-qrib mal-ENISA, biex jittestja l-livell ta’ ċibersigurtà tal-entitajiet tal-Unjoni.
8. Is-CERT-UE jista’ jipprovdi assistenza lill-entitajiet tal-Unjoni rigward inċidenti fin-networks u s-sistemi tal-informazzjoni li jamministraw l-EUCI meta jkun espliċitament mitlub jagħmel dan mill-entitajiet tal-Unjoni kkonċernati f’konformità mal-proċeduri rispettivi tagħhom. L-għoti ta’ assistenza mis-CERT-UE skont dan il-paragrafu għandu jkun mingħajr preġudizzju għar-regoli applikabbli li jikkonċernaw il-protezzjoni ta’ informazzjoni klassifikata.
9. Is-CERT-UE għandu jinforma lill-entitajiet tal-Unjoni dwar il-proċeduri u l-proċessi tiegħu ta’ trattament tal-inċidenti.
10. Is-CERT-UE għandu jikkontribwixxi, b’livell għoli ta’ kunfidenzjalità u affidabbiltà, permezz tal-mekkaniżmi ta’ kooperazzjoni u l-linji ta’ rapportar xierqa, informazzjoni rilevanti u anonimizzata dwar inċidenti kbar u l-mod li bih ġew ittrattati. Dik l-informazzjoni għandha tiġi inkluża fir-rapport imsemmi fl-Artikolu 10(14).
11. Is-CERT-UE, f’kooperazzjoni mal-KEPD, għandu jappoġġja lill-entitajiet tal-Unjoni kkonċernati meta jindirizzaw inċidenti li jirriżultaw fi ksur tad-data personali, mingħajr preġudizzju għall-kompetenzi u l-kompiti tal-KEPD bħala awtorità superviżorja skont ir-Regolament (UE) 2018/1725.
12. Jekk jintalab espressament mid-dipartimenti tal-politika tal-entitajiet tal-Unjoni, is-CERT-UE jista’ jagħti parir jew input tekniku dwar kwistjonijiet ta’ politika rilevanti.
Artikolu 14
Linji gwida, rakkomandazzjonijiet u sejħiet għal azzjoni
1. Is-CERT-UE għandu jappoġġja l-implimentazzjoni ta’ dan ir-Regolament billi joħroġ:
(a)
sejħiet għal azzjoni li jiddeskrivu miżuri ta’ sigurtà urġenti li l-entitajiet tal-Unjoni huma mħeġġa jieħdu f’perjodu ta’ żmien stabbilit;
(b)
proposti lill-IICB għal linji gwida indirizzati lill-entitajiet kollha tal-Unjoni jew lil subsett tagħhom;
(c)
proposti lill-IICB għal rakkomandazzjonijiet indirizzati lil entitajiet individwali tal-Unjoni.
Fir-rigward tal-ewwel subparagrafu, il-punt (a), l-entità tal-Unjoni kkonċernata għandha, mingħajr dewmien żejjed wara li tirċievi s-sejħa għal azzjoni, tinforma lis-CERT-UE dwar kif ġew applikati l-miżuri ta’ sigurtà urġenti.
2. Il-linji gwida u r-rakkomandazzjonijiet jistgħu jinkludu:
(a)
metodoloġiji komuni u mudell għall-valutazzjoni tal-maturità taċ-ċibersigurtà tal-entitajiet tal-Unjoni, inklużi l-iskali jew il-KPIs korrispondenti, li jservu bħala referenza b’appoġġ għat-titjib kontinwu taċ-ċibersigurtà fl-entitajiet kollha tal-Unjoni u li jiffaċilitaw il-prijoritizzazzjoni tad-dominji u l-miżuri taċ-ċibersigurtà filwaqt li titqies il-qagħda taċ-ċibersigurtà tal-entitajiet;
(b)
arranġamenti għall-ġestjoni tar-riskju taċ-ċibersigurtà jew it-titjib tagħha u l-miżuri ta’ ġestjoni tar-riskju taċ-ċibersigurtà;
(c)
arranġamenti għall-valutazzjonijiet tal-maturità taċ-ċibersigurtà u l-pjanijiet taċ-ċibersigurtà;
(d)
meta xieraq, l-użu ta’ teknoloġija komuni, arkitettura, sors miftuħ u l-aħjar prattiki assoċjati bil-għan li jinkisbu l-interoperabbiltà u l-istandards komuni, inkluż approċċ koordinat għas-sigurtà tal-ktajjen tal-provvista;
(e)
meta xieraq, informazzjoni biex jiġi ffaċilitat l-użu ta’ strumenti għal akkwist komuni għax-xiri ta’ servizzi u prodotti rilevanti taċ-ċibersigurtà minn fornituri terzi;
(f)
arranġamenti ta’ kondiviżjoni ta’ informazzjoni skont l-Artikolu 20.
Artikolu 15
Il-Kap tas-CERT-UE
1. Il-Kummissjoni, wara li tikseb l-approvazzjoni ta’ maġġoranza ta’ żewġ terzi tal-membri tal-IICB, għandha taħtar il-Kap tas-CERT-UE. L-IICB għandu jiġi kkonsultat fl-istadji kollha tal-proċedura tal-ħatra, b’mod partikolari fir-rigward tal-abbozzar ta’ avviżi dwar postijiet vakanti, tal-eżami ta’ applikazzjonijiet u tal-ħatra ta’ bordijiet tal-għażla fir-rigward tal-kariga. Il-proċedura tal-għażla, inkluża l-lista qasira finali ta’ kandidati li minnhom għandu jinħatar il-Kap tas-CERT-UE, għandha tiżgura rappreżentanza ġusta ta’ kull ġeneru, billi jitqiesu l-applikazzjonijiet sottomessi.
2. Il-Kap tas-CERT-UE għandu jkun responsabbli għall-funzjonament tajjeb tas-CERT-UE u għandu jaġixxi skont il-mandat tar-rwol tiegħu u taħt id-direzzjoni tal-IICB. Il-Kap tas-CERT-UE għandu jirrapporta regolarment lill-President tal-IICB u għandu jissottometti rapporti ad hoc lill-IICB fuq talba tiegħu.
3. Il-Kap tas-CERT-UE għandu jassisti lill-uffiċjal awtorizzanti b’delega responsabbli fl-abbozzar tar-rapport annwali tal-attività li jkun fih informazzjoni finanzjarja u ta’ ġestjoni, inklużi r-riżultati tal-kontrolli, imfassal f’konformità mal-Artikolu 74(9) tar-Regolament (UE, Euratom) 2018/1046 tal-Parlament Ewropew u tal-Kunsill (9), u għandu jirrapporta regolarment lill-uffiċjal awtorizzanti b’delega dwar l-implimentazzjoni tal-miżuri li fir-rigward tagħhom ġew sottodelegati setgħat lill-Kap tas-CERT-UE.
4. Il-Kap tas-CERT-UE għandu jfassal, fuq bażi annwali, ippjanar finanzjarju tad-dħul u tan-nefqa amministrattivi għall-attivitajiet tiegħu, programm propost ta’ ħidma annwali, katalgu propost tas-servizzi għas-CERT-UE, reviżjonijiet proposti tal-katalgu tas-servizzi, arranġamenti proposti għal ftehimiet dwar il-livell ta’ servizz u KPIs proposti għas-CERT-UE, li għandhom jiġu approvati mill-IICB f’konformità mal-Artikolu 11. Meta jirrevedi l-lista ta’ servizzi fil-katalgu tas-servizzi tas-CERT-UE, il-Kap tas-CERT-UE għandu jqis ir-riżorsi allokati lis-CERT-UE.
5. Il-Kap tas-CERT-UE għandu jissottometti rapporti mill-inqas annwalment lill-IICB u lill-President tal-IICB dwar l-attivitajiet u l-prestazzjoni tas-CERT-UE matul il-perjodu ta’ referenza, inkluż dwar l-implimentazzjoni tal-baġit, il-ftehimiet dwar il-livell ta’ servizz u l-ftehimiet bil-miktub konklużi, il-kooperazzjoni mal-kontropartijiet u s-sħab, u l-missjonijiet imwettqa mill-persunal, inklużi r-rapporti msemmija fl-Artikolu 11. Dawk ir-rapporti għandhom jinkludu programm ta’ ħidma għall-perjodu ta’ wara, ippjanar finanzjarju tad-dħul u n-nefqa, inkluż il-persunal, l-aġġornamenti ppjanati tal-katalgu tas-servizzi tas-CERT-UE u valutazzjoni tal-impatt mistenni li tali aġġornamenti jista’ jkollhom fir-rigward tar-riżorsi finanzjarji u umani.
Artikolu 16
Kwistjonijiet finanzjarji u ta’ persunal
1. Is-CERT-UE għandu jiġi integrat fl-istruttura amministrattiva ta’ direttorat ġenerali tal-Kummissjoni sabiex jibbenefika mill-istrutturi ta’ appoġġ amministrattiv, ta’ ġestjoni finanzjarja u kontabilistiku tal-Kummissjoni, filwaqt li jżomm l-istatus tiegħu bħala fornitur interistituzzjonali awtonomu ta’ servizzi għall-entitajiet kollha tal-Unjoni. Il-Kummissjoni għandha tinforma lill-IICB dwar is-sede amministrattiva tas-CERT-UE u kwalunkwe modifika tagħha. Il-Kummissjoni għandha teżamina mill-ġdid l-arranġamenti amministrattivi relatati mas-CERT-UE fuq bażi regolari u fi kwalunkwe każ qabel l-istabbiliment ta’ kwalunkwe qafas finanzjarju pluriennali skont l-Artikolu 312 tat-TFUE, sabiex tkun tista’ tittieħed azzjoni xierqa. Ir-rieżami għandu jinkludi l-possibbiltà li s-CERT-UE jiġi stabbilit bħala uffiċċju tal-Unjoni.
2. Għall-applikazzjoni tal-proċeduri amministrattivi u finanzjarji, il-Kap tas-CERT-UE għandu jaġixxi taħt l-awtorità tal-Kummissjoni u taħt is-superviżjoni tal-IICB.
3. Il-kompiti u l-attivitajiet tas-CERT-UE, inklużi s-servizzi pprovduti mis-CERT-UE skont l-Artikolu 13(3), (4), (5) u (7) u l-Artikolu 14(1) lill-entitajiet tal-Unjoni ffinanzjati mill-intestatura tal-qafas finanzjarju pluriennali ddedikata għall-amministrazzjoni pubblika Ewropea, għandhom jiġu ffinanzjati permezz ta’ linja baġitarja distinta tal-baġit tal-Kummissjoni. Il-karigi assenjati lis-CERT-UE għandhom jiġu spjegati f’nota f’qiegħ il-paġna tal-pjan ta’ stabbiliment tal-Kummissjoni.
4. L-entitajiet tal-Unjoni għajr dawk imsemmija fil-paragrafu 3 ta’ dan l-Artikolu għandhom jagħmlu kontribuzzjoni finanzjarja annwali lis-CERT-UE biex ikopru s-servizzi pprovduti mis-CERT-UE skont dak il-paragrafu. Il-kontribuzzjonijiet għandhom ikunu bbażati fuq l-orjentazzjonijiet mogħtija mill-IICB u miftiehma bejn kull entità tal-Unjoni u s-CERT-UE fi ftehimiet dwar il-livell ta’ servizz. Il-kontribuzzjonijiet għandhom jirrappreżentaw sehem ġust u proporzjonat tal-kostijiet totali tas-servizzi pprovduti. Għandhom jiġu riċevuti mil-linja baġitarja distinta msemmija fil-paragrafu 3 ta’ dan l-Artikolu, bħala dħul assenjat intern, kif previst fl-Artikolu 21(3), il-punt (c), tar-Regolament (UE, Euratom) 2018/1046.
5. Il-kostijiet tas-servizz previsti fl-Artikolu 13(6) għandhom jiġu rkuprati mill-entitajiet tal-Unjoni li jirċievu s-servizzi tas-CERT-UE. Id-dħul għandu jiġi assenjat lil-linji baġitarji li jappoġġjaw il-kostijiet.
Artikolu 17
Kooperazzjoni tas-CERT-UE mal-kontropartijiet tal-Istati Membri
1. Is-CERT-UE għandu, mingħajr dewmien żejjed, jikkoopera u jiskambja informazzjoni mal-kontropartijiet tal-Istati Membri, b’mod partikolari s-CSIRTs iddeżinjati jew stabbiliti skont l-Artikolu 10 tad-Direttiva (UE) 2022/2555, jew, meta applikabbli, l-awtoritajiet kompetenti u l-punti uniċi ta’ kuntatt iddeżinjati jew stabbiliti skont l-Artikolu 8 ta’ dik id-Direttiva, fir-rigward ta’ inċidenti, theddid ċibernetiku, vulnerabbiltajiet, kważi inċidenti, kontromiżuri possibbli kif ukoll l-aħjar prattiki u dwar il-kwistjonijiet kollha rilevanti għat-titjib tal-protezzjoni tal-ambjenti tal-ICT tal-entitajiet tal-Unjoni, inkluż permezz tan-network ta’ CSIRTs stabbilit skont l-Artikolu 15 tad-Direttiva (UE) 2022/2555. Is-CERT-UE għandu jappoġġja lill-Kummissjoni fl-EU-CyCLONe stabbilit skont l-Artikolu 16 tad-Direttiva (UE) 2022/2555 dwar il-ġestjoni koordinata ta’ inċidenti u kriżijiet taċ-ċibersigurtà fuq skala kbira.
2. Meta s-CERT-UE jsir jaf b’inċident sinifikanti li jseħħ fit-territorju ta’ Stat Membru, huwa għandu, mingħajr dewmien, jinnotifika lil kwalunkwe kontroparti f’dak l-Istat Membru, f’konformità mal-paragrafu 1.
3. Dment li d-data personali tkun protetta f’konformità mal-liġi applikabbli tal-Unjoni dwar il-protezzjoni tad-data, is-CERT-UE għandu, mingħajr dewmien żejjed, jiskambja informazzjoni rilevanti speċifika għall-inċident mal-kontropartijiet tal-Istati membri biex jiffaċilita d-detezzjoni ta’ theddid jew inċidenti ċibernetiċi simili, jew biex jikkontribwixxi għall-analiżi ta’ inċident, mingħajr l-awtorizzazzjoni tal-entità tal-Unjoni affettwata. Is-CERT-UE għandu jiskambja informazzjoni speċifika għall-inċidenti li tiżvela l-identità tal-mira tal-inċident biss fil-każ ta’ wieħed minn dan li ġej:
(a)
l-entità tal-Unjoni affettwata tkun tat il-kunsens tagħha;
(b)
l-entità tal-Unjoni affettwata ma tagħtix il-kunsens tagħha kif previst fil-punt (a) iżda d-divulgazzjoni tal-identità tal-entità tal-Unjoni affettwata żżid il-probabbiltà li l-inċidenti xi mkien ieħor jiġu evitati jew mitigati;
(c)
l-entità tal-Unjoni affettwata tkun diġà għamlet pubbliku l-fatt li kienet affettwata.
Id-deċiżjonijiet biex tiġi skambjata informazzjoni speċifika għall-inċidenti li tiżvela l-identità tal-mira tal-inċident skont l-ewwel subparagrafu, il-punt (b), għandhom jiġu approvati mill-Kap tas-CERT-UE. Qabel ma joħroġ tali deċiżjoni, is-CERT-UE għandu jikkuntattja lill-entità tal-Unjoni affettwata bil-miktub, filwaqt li jispjega b’mod ċar kif id-divulgazzjoni tal-identità tagħha tgħin biex jiġu evitati jew mitigati inċidenti xi mkien ieħor. Il-Kap tas-CERT-UE għandu jipprovdi l-ispjegazzjoni u jitlob b’mod espliċitu lill-entità tal-Unjoni biex tiddikjara jekk tagħtix il-kunsens tagħha f’perjodu ta’ żmien stabbilit. Il-Kap tas-CERT-UE għandu jinforma wkoll lill-entità tal-Unjoni li, fid-dawl tal-ispjegazzjoni pprovduta, jirriżerva d-dritt li jiddivulga l-informazzjoni anki fin-nuqqas ta’ kunsens. L-entità tal-Unjoni affettwata għandha tiġi infurmata qabel ma l-informazzjoni tiġi ddivulgata.
Artikolu 18
Kooperazzjoni tas-CERT-UE ma’ kontropartijiet oħra
1. Is-CERT-UE jista’ jikkoopera ma’ kontropartijiet fl-Unjoni għajr dawk imsemmija fl-Artikolu 17 li huma soġġetti għar-rekwiżiti ta’ ċibersigurtà tal-Unjoni, inklużi kontropartijiet speċifiċi għas-settur tal-industrija, dwar għodod u metodi, bħal tekniki, tattiki, proċeduri u l-aħjar prattiki, u dwar it-theddid ċibernetiku u l-vulnerabbiltajiet. Għall-kooperazzjoni kollha ma’ tali kontropartijiet, is-CERT-UE għandu jitlob approvazzjoni minn qabel mill-IICB fuq bażi ta’ każ b’każ. Meta s-CERT-UE jistabbilixxi kooperazzjoni ma’ tali kontropartijiet, għandu jinforma lil kwalunkwe kontroparti tal-Istati Membri msemmija fl-Artikolu 17(1), fl-Istat Membru li fih il-kontroparti tkun tinsab. Meta applikabbli u xieraq, tali kooperazzjoni u l-kundizzjonijiet tagħha, inkluż rigward iċ-ċibersigurtà, il-protezzjoni tad-data u l-immaniġġar tal-informazzjoni, għandhom jiġu stabbiliti f’arranġamenti speċifiċi ta’ kunfidenzjalità bħal kuntratti jew arranġamenti amministrattivi. Il-ftehimiet ta’ kunfidenzjalità ma għandhomx jirrikjedu approvazzjoni minn qabel mill-IICB, iżda l-President tal-IICB għandu jiġi infurmat. Fil-każ ta’ ħtieġa urġenti u imminenti li tiġi skambjata informazzjoni dwar iċ-ċibersigurtà fl-interessi tal-entitajiet tal-Unjoni jew ta’ parti oħra, is-CERT-UE jista’ jagħmel dan ma’ entità li l-kompetenza, il-kapaċità u l-għarfien espert speċifiċi tagħha jkunu meħtieġa b’mod ġustifikabbli biex tassisti b’tali ħtieġa urġenti u imminenti, anki jekk is-CERT-UE ma jkollux arranġament ta’ kunfidenzjalità fis-seħħ ma’ dik l-entità. F’każijiet bħal dawn, is-CERT-UE għandu jinforma minnufih lill-President tal-IICB, u għandu jirrapporta lill-IICB permezz ta’ rapporti jew laqgħat regolari.
2. Is-CERT-UE jista’ jikkoopera ma’ sħab, bħal entitajiet kummerċjali, inklużi entitajiet speċifiċi għas-settur tal-industrija, organizzazzjonijiet internazzjonali, entitajiet nazzjonali mhux tal-Unjoni jew esperti individwali, biex jiġbor informazzjoni dwar theddid ċibernetiku ġenerali u speċifiku, kważi inċidenti, vulnerabbiltajiet u kontromiżuri possibbli. Għal kooperazzjoni usa’ ma’ sħab bħal dawn, is-CERT-UE għandu jfittex approvazzjoni minn qabel mill-IICB fuq bażi ta’ każ b’każ.
3. Is-CERT-UE jista’, bil-kunsens tal-entità tal-Unjoni affettwata minn inċident u dment li jkun fis-seħħ arranġament jew kuntratt ta’ nondivulgazzjoni mal-kontroparti jew is-sieħeb rilevanti, jipprovdi informazzjoni relatata mal-inċident speċifiku lill-kontropartijiet jew lis-sħab imsemmija fil-paragrafi 1 u 2 unikament għall-fini li jikkontribwixxi għall-analiżi tiegħu.
KAPITOLU V
OBBLIGI TA’ KOOPERAZZJONI U TA’ RAPPORTAR
Artikolu 19
Immaniġġar tal-informazzjoni
1. L-entitajiet tal-Unjoni u s-CERT-UE għandhom jirrispettaw l-obbligu tas-segretezza professjonali f’konformità mal-Artikolu 339 tat-TFUE jew oqfsa applikabbli ekwivalenti.
2. Ir-Regolament (KE) Nru 1049/2001 tal-Parlament Ewropew u tal-Kunsill (10) għandu japplika fir-rigward ta’ talbiet għal aċċess pubbliku għal dokumenti miżmuma mis-CERT-UE, inkluż l-obbligu skont dak ir-Regolament li jiġu kkonsultati entitajiet oħra tal-Unjoni jew, meta rilevanti, Stati Membri oħra, kull meta talba tikkonċerna d-dokumenti tagħhom.
3. L-immaniġġar tal-informazzjoni mill-entitajiet tal-Unjoni u mis-CERT-UE għandu jkun konformi mar-regoli applikabbli dwar is-sigurtà tal-informazzjoni
Artikolu 20
Arranġamenti għall-kondiviżjoni tal-informazzjoni dwar iċ-ċibersigurtà
1. L-entitajiet tal-Unjoni jistgħu, fuq bażi volontarja, jinnotifikaw lis-CERT-UE dwar inċidenti, theddid ċibernetiku, kważi inċidenti u vulnerabbiltajiet li jaffettwawhom, u jagħtuh informazzjoni dwarhom. Is-CERT-UE għandu jiżgura li jkunu disponibbli mezzi ta’ komunikazzjoni, b’livell għoli ta’ traċċabbiltà, kunfidenzjalità u affidabbiltà, għall-finijiet tal-faċilitazzjoni tal-kondiviżjoni tal-informazzjoni mal-entitajiet tal-Unjoni. Meta jipproċessa n-notifiki, is-CERT-UE jista’ jagħti prijorità lill-ipproċessar tan-notifiki obbligatorji minflok lin-notifiki volontarji. Mingħajr preġudizzju għall-Artikolu 12, in-notifika volontarja ma għandhiex tirriżulta fl-impożizzjoni ta’ xi obbligu addizzjonali fuq l-entità tal-Unjoni li tirrapporta li ma kinitx tkun soġġetta għalih kieku ma saritx dik in-notifika.
2. Biex iwettaq il-missjoni u l-kompiti tiegħu mogħtija skont l-Artikolu 13, is-CERT-UE jista’ jitlob lill-entitajiet tal-Unjoni jipprovdulu informazzjoni mill-inventarji tas-sistemi tal-ICT rispettivi tagħhom, inkluża informazzjoni relatata mat-theddid ċibernetiku, il-kważi inċidenti, il-vulnerabbiltajiet, l-indikaturi ta’ kompromess, iċ-ċiberallerti u r-rakkomandazzjonijiet rigward il-konfigurazzjoni tal-għodod taċ-ċibersigurtà biex jiġu identifikati l-inċidenti. L-entità mitluba tal-Unjoni għandha tibgħat l-informazzjoni mitluba, u kwalunkwe aġġornament sussegwenti tagħha, mingħajr dewmien żejjed.
3. Is-CERT-UE jista’ tiskambja informazzjoni speċifika għall-inċident ma’ entitajiet tal-Unjoni li tiżvela l-identità tal-entità tal-Unjoni affettwata mill-inċident, dment li l-entità tal-Unjoni affettwata tagħti l-kunsens tagħha. Meta entità tal-Unjoni ma tagħtix il-kunsens tagħha, għandha tagħti lis-CERT-UE raġunijiet li jissostanzjaw dik id-deċiżjoni.
4. L-entitajiet tal-Unjoni għandhom, fuq talba, jikkondividu informazzjoni mal-Parlament Ewropew u mal-Kunsill dwar it-tlestija tal-pjanijiet taċ-ċibersigurtà.
5. L-IICB jew is-CERT-UE, kif applikabbli, għandu, fuq talba, jikkondividi linji gwida, rakkomandazzjonijiet u sejħiet għal azzjoni mal-Parlament Ewropew u mal-Kunsill.
6. L-obbligi ta’ rapportar stabbiliti f’dan l-Artikolu ma għandhomx jestendu:
(a)
għall-EUCI;
(b)
għal informazzjoni li d-distribuzzjoni ulterjuri tagħha ġiet eskluża permezz ta’ mmarkar viżibbli, sakemm il-kondiviżjoni tagħha mas-CERT-UE ma tkunx ġiet permessa b’mod espliċitu.
Artikolu 21
Obbligi ta’ rapportar
1. Inċident għandu jitqies li huwa sinifikanti jekk:
(a)
ikun ikkawża jew kapaċi jikkawża tfixkil operazzjonali gravi fil-funzjonament tal-entità tal-Unjoni kkonċernata, jew telf finanzjarju għaliha;
(b)
ikun affettwa jew kapaċi jaffettwa lil persuni fiżiċi jew ġuridiċi oħra billi jikkawża dannu materjali jew mhux materjali konsiderevoli.
2. L-entitajiet tal-Unjoni għandhom jissottomettu lis-CERT-UE:
(a)
mingħajr dewmien żejjed u fi kwalunkwe każ fi żmien 24 siegħa minn meta jsiru jafu bl-inċident sinifikanti, twissija bikrija, li, meta applikabbli, għandha tindika li l-inċident sinifikanti huwa ssuspettat li ġie kkawżat minn atti illegali jew malizzjużi jew jista’ jkollu impatt li jolqot lil diversi entitajiet jew impatt transfruntier;
(b)
mingħajr dewmien żejjed u fi kwalunkwe każ fi żmien 72 siegħa minn meta jsiru jafu bl-inċident sinifikanti, notifika tal-inċident, li, meta applikabbli, għandha taġġorna l-informazzjoni msemmija fil-punt (a) u tindika valutazzjoni inizjali tal-inċident sinifikanti, inklużi s-severità u l-impatt tiegħu, kif ukoll, meta disponibbli, l-indikaturi ta’ kompromess;
(c)
fuq talba tas-CERT-UE, rapport intermedju dwar aġġornamenti rilevanti tal-istatus;
(d)
rapport finali mhux aktar tard minn xahar wara s-sottomissjoni tan-notifika tal-inċident skont il-punt (b), li jinkludi dan li ġej:
(i)
deskrizzjoni dettaljata tal-inċident, inklużi s-severità u l-impatt tiegħu;
(ii)
it-tip ta’ theddida jew il-kawża ewlenija li aktarx wasslet għall-inċident;
(iii)
miżuri ta’ mitigazzjoni applikati u fis-seħħ;
(iv)
meta applikabbli, l-impatt transfruntier jew li jolqot lil diversi entitajiet tal-inċident;
(e)
fil-każ ta’ inċident li jkun għaddej fiż-żmien tas-sottomissjoni tar-rapport finali msemmi fil-punt (d), rapport tal-progress f’dak iż-żmien u rapport finali fi żmien xahar minn meta jittrattaw l-inċident.
3. Entità tal-Unjoni għandha, mingħajr dewmien żejjed u fi kwalunkwe każ fi żmien 24 siegħa minn meta ssir taf b’inċident sinifikanti, tinforma lil kwalunkwe kontroparti rilevanti tal-Istati Membri msemmija fl-Artikolu 17(1) fl-Istat Membru fejn tkun tinsab li seħħ inċident sinifikanti.
4. L-entitajiet tal-Unjoni għandhom jinnotifikaw, fost l-oħrajn, kwalunkwe informazzjoni li tippermetti lis-CERT-UE jiddetermina kwalunkwe impatt li jolqot lil diversi entitajiet, impatt fuq l-Istat Membru ospitanti jew impatt transfruntier wara inċident sinifikanti. Mingħajr preġudizzju għall-Artikolu 12, is-sempliċi att ta’ notifika ma għandux jimponi żieda fir-responsabbiltà għall-entità tal-Unjoni.
5. Meta applikabbli, l-entitajiet tal-Unjoni għandhom jikkomunikaw, mingħajr dewmien żejjed, lill-utenti tan-network u tas-sistemi tal-informazzjoni affettwati, jew ta’ komponenti oħra tal-ambjent tal-ICT, li jkunu potenzjalment affettwati minn inċident sinifikanti jew theddida ċibernetika sinifikanti, u, meta xieraq, jeħtieġ li jieħdu miżuri ta’ mitigazzjoni, kwalunkwe miżura jew rimedju li jistgħu jieħdu b’rispons għal dak l-inċident jew dik it-theddida. Meta jkun xieraq, l-entitajiet tal-Unjoni għandhom jinfurmaw lil dawk l-utenti bit-theddida ċibernetika sinifikanti nnifisha.
6. Meta inċident sinifikanti jew theddida ċibernetika sinifikanti jaffettwaw network u sistema tal-informazzjoni, jew komponent tal-ambjent tal-ICT ta’ entità tal-Unjoni li tkun konxjament konnessa ma’ ambjent tal-ICT ta’ entità oħra tal-Unjoni, is-CERT-UE għandu joħroġ ċiberallert rilevanti.
7. L-entitajiet tal-Unjoni, fuq talba tas-CERT-UE, għandhom, mingħajr dewmien żejjed, jagħtu lis-CERT-UE informazzjoni diġitali maħluqa bl-użu ta’ apparati elettroniċi involuti fl-inċidenti rispettivi tagħhom. Is-CERT-UE jista’ jipprovdi aktar dettalji tat-tipi ta’ informazzjoni li jeħtieġ għall-għarfien tas-sitwazzjoni u għar-rispons għall-inċidenti.
8. Is-CERT-UE għandu jissottometti lill-IICB, lill-ENISA, lill-INTCEN tal-UE u lin-network ta’ CSIRTs, kull tliet xhur, rapport ta’ sinteżi li jinkludi data anonimizzata u aggregata dwar inċidenti, theddid ċibernetiku sinifikanti, kważi inċidenti u vulnerabbiltajiet sinifikanti skont l-Artikolu 20 u inċidenti sinifikanti notifikati skont il-paragrafu 2 ta’ dan l-Artikolu. Ir-rapport ta’ sinteżi għandu jikkostitwixxi input għar-rapport biennali dwar l-istat taċ-ċibersigurtà fl-Unjoni adottat skont l-Artikolu 18 tad-Direttiva (UE) 2022/2555.
9. Sat-8 ta’ Lulju 2024, l-IICB għandu joħroġ linji gwida jew rakkomandazzjonijiet li jispeċifikaw aktar l-arranġamenti għar-rapportar skont dan l-Artikolu, u l-format u l-kontenut tiegħu. Meta jħejji tali linji gwida jew rakkomandazzjonijiet, l-IICB għandu jqis kwalunkwe att ta’ implimentazzjoni adottat skont l-Artikolu 23(11) tad-Direttiva (UE) 2022/2555 li jispeċifika t-tip ta’ informazzjoni, il-format u l-proċedura tan-notifiki. Is-CERT-UE għandu jxerred id-dettalji tekniċi xierqa biex jippermetti d-detezzjoni proattiva, ir-rispons għall-inċidenti jew il-miżuri ta’ mitigazzjoni mill-entitajiet tal-Unjoni.
10. L-obbligi ta’ rapportar stabbiliti f’dan l-Artikolu ma għandhomx jestendu:
(a)
għall-EUCI;
(b)
għal informazzjoni li d-distribuzzjoni ulterjuri tagħha ġiet eskluża permezz ta’ mmarkar viżibbli, sakemm il-kondiviżjoni tagħha mas-CERT-UE ma tkunx ġiet permessa b’mod espliċitu.
Artikolu 22
Koordinazzjoni u kooperazzjoni dwar ir-rispons għall-inċidenti
1. Meta jaġixxi bħala ċentru ta’ koordinazzjoni tal-iskambju ta’ informazzjoni dwar iċ-ċibersigurtà u tar-rispons għall-inċidenti ċibernetiċi, is-CERT-UE għandu jiffaċilita l-iskambju ta’ informazzjoni fir-rigward tat-theddid ċibernetiku, il-vulnerabbiltajiet u l-kważi inċidenti bejn:
(a)
l-entitajiet tal-Unjoni;
(b)
il-kontropartijiet imsemmija fl-Artikoli 17 u 18.
2. Is-CERT-UE, meta rilevanti u f’kooperazzjoni mill-qrib mal-ENISA, għandu jiffaċilita l-koordinazzjoni fost l-entitajiet tal-Unjoni dwar ir-rispons għall-inċidenti, inklużi:
(a)
kontribuzzjoni għal komunikazzjoni esterna konsistenti;
(b)
appoġġ reċiproku, bħall-kondiviżjoni ta’ informazzjoni rilevanti għall-entitajiet tal-Unjoni, jew l-għoti ta’ assistenza, meta rilevanti direttament fuq il-post;
(c)
l-aħjar użu tar-riżorsi operazzjonali;
(d)
koordinazzjoni ma’ mekkaniżmi oħra ta’ rispons għall-kriżijiet fil-livell tal-Unjoni.
3. Is-CERT-UE, f’kooperazzjoni mill-qrib mal-ENISA, għandu jappoġġja lill-entitajiet tal-Unjoni rigward l-għarfien tas-sitwazzjoni ta’ theddid ċibernetiku, vulnerabbiltajiet u kważi inċidenti kif ukoll jikkondividi żviluppi reċenti fil-qasam taċ-ċibersigurtà.
4. Sat-8 ta’ Jannar 2025, l-IICB, abbażi ta’ proposta tas-CERT-UE, għandu jadotta linji gwida jew rakkomandazzjonijiet dwar il-koordinazzjoni u l-kooperazzjoni tar-rispons għal inċidenti sinifikanti. Jekk ikun hemm suspett ta’ natura kriminali b’rabta ma’ inċident, is-CERT-UE għandu jagħti pariri dwar kif għandu jiġi rrapportat l-inċident lill-awtoritajiet tal-infurzar tal-liġi, mingħajr dewmien żejjed.
5. Wara talba speċifika minn Stat Membru u bl-approvazzjoni tal-entitajiet tal-Unjoni kkonċernati, is-CERT-UE jista’ jitlob esperti mil-lista msemmija fl-Artikolu 23(4), biex jikkontribwixxu għar-rispons għal inċident kbir li jkollu impatt f’dak l-Istat Membru, jew inċident taċ-ċibersigurtà fuq skala kbira f’konformità mal-Artikolu 15(3), il-punt (g), tad-Direttiva (UE) 2022/2555. Regoli speċifiċi dwar l-aċċess għal esperti tekniċi u l-użu tagħhom minn entitajiet tal-Unjoni għandhom jiġu approvati mill-IICB abbażi ta’ proposta mis-CERT-UE.
Artikolu 23
Ġestjoni ta’ inċidenti kbar
1. Sabiex jappoġġja fil-livell operazzjonali l-ġestjoni kkoordinata ta’ inċidenti kbar li jaffettwaw lill-entitajiet tal-Unjoni u biex jikkontribwixxi għall-iskambju regolari ta’ informazzjoni rilevanti fost l-entitajiet tal-Unjoni u mal-Istati Membri, l-IICB għandu, skont l-Artikolu 11, il-punt (q), jistabbilixxi pjan ta’ ġestjoni tal-kriżijiet ċibernetiċi bbażat fuq l-attivitajiet imsemmija fl-Artikolu 22(2), f’kooperazzjoni mill-qrib mas-CERT-UE u l-ENISA. Il-pjan ta’ ġestjoni tal-kriżijiet ċibernetiċi għandu jinkludi mill-inqas l-elementi li ġejjin:
(a)
arranġamenti li jikkonċernaw il-koordinazzjoni u l-fluss tal-informazzjoni fost l-entitajiet tal-Unjoni għall-ġestjoni ta’ inċidenti kbar fil-livell operazzjonali;
(b)
proċeduri operattivi standard (SOPs) komuni;
(c)
tassonomija komuni tas-severità ta’ inċidenti kbar u punti ta’ skattar ta’ kriżijiet;
(d)
eżerċizzji regolari;
(e)
kanali ta’ komunikazzjoni siguri li għandhom jintużaw.
2. Ir-rappreżentant tal-Kummissjoni fl-IICB għandu, soġġett għall-pjan ta’ ġestjoni tal-kriżijiet ċibernetiċi stabbilit skont il-paragrafu 1 ta’ dan l-Artikolu u mingħajr preġudizzju għall-Artikolu 16(2), l-ewwel subparagrafu, tad-Direttiva (UE) 2022/2555, ikun il-punt ta’ kuntatt għall-kondiviżjoni tal-informazzjoni rilevanti fir-rigward ta’ inċidenti kbar mal-EU-CyCLONe.
3. Is-CERT-UE għandu jikkoordina fost l-entitajiet tal-Unjoni l-ġestjoni ta’ inċidenti kbar. Għandu jżomm inventarju tal-għarfien espert tekniku disponibbli li jkun meħtieġ għar-rispons għal inċidenti fil-każ ta’ inċidenti kbar u jassisti lill-IICB fil-koordinazzjoni tal-pjanijiet ta’ ġestjoni ta’ kriżijiet ċibernetiċi tal-entitajiet tal-Unjoni għall-inċidenti kbar imsemmija fl-Artikolu 9(2a).
4. L-entitajiet tal-Unjoni għandhom jikkontribwixxu għall-inventarju ta’ għarfien espert tekniku billi jipprovdu lista aġġornata kull sena ta’ esperti disponibbli fl-organizzazzjonijiet rispettivi tagħhom bid-dettalji tal-ħiliet tekniċi speċifiċi tagħhom.
KAPITOLU VI
DISPOŻIZZJONIJIET FINALI
Artikolu 24
Riallokazzjoni baġitarja inizjali
Sabiex jiġi żgurat il-funzjonament xieraq u stabbli tas-CERT-UE, il-Kummissjoni tista’ tipproponi r-riallokazzjoni ta’ persunal u riżorsi finanzjarji għall-baġit tal-Kummissjoni biex jintużaw f’operazzjonijiet tas-CERT-UE. Ir-riallokazzjoni għandha tkun effettiva fl-istess ħin bħall-ewwel baġit annwali tal-Unjoni adottat wara d-dħul fis-seħħ ta’ dan ir-Regolament.
Artikolu 25
Rieżami
1. Sat-8 ta’ Jannar 2025, u fuq bażi annwali minn hemm ’il quddiem, l-IICB, bl-assistenza tas-CERT-UE, għandu jirrapporta lill-Kummissjoni dwar l-implimentazzjoni ta’ dan ir-Regolament. L-IICB jista’ jagħmel rakkomandazzjonijiet lill-Kummissjoni biex tirrieżamina dan ir-Regolament.
2. Sat-8 ta’ Jannar 2027 u kull sentejn wara dan, il-Kummissjoni għandha tivvaluta u tirrapporta dwar l-implimentazzjoni ta’ dan ir-Regolament u dwar l-esperjenza miksuba f’livell strateġiku u operazzjonali lill-Parlament Ewropew u lill-Kunsill.
Ir-rapport imsemmi fl-ewwel subparagrafu ta’ dan il-paragrafu għandu jinkludi r-rieżami msemmi fl-Artikolu 16(1), dwar il-possibbiltà li s-CERT-UE jiġi stabbilit bħala uffiċċju tal-Unjoni.
3. Sat-8 ta’ Jannar 2029, il-Kummissjoni għandha tevalwa l-funzjonament ta’ dan ir-Regolament u tissottometti rapport lill-Parlament Ewropew, lill-Kunsill, lill-Kumitat Ekonomiku u Soċjali Ewropew u lill-Kumitat tar-Reġjuni. Il-Kummissjoni għandha tevalwa wkoll l-adegwatezza tal-inklużjoni tan-network u s-sistemi tal-informazzjoni li jimmaniġġjaw l-EUCI fil-kamp ta’ applikazzjoni ta’ dan ir-Regolament, b’kont meħud ta’ atti leġiżlattivi oħra tal-Unjoni applikabbli għal dawk is-sistemi. Ir-rapport għandu jkun akkumpanjat, meta jkun hemm bżonn, minn proposta leġiżlattiva.
Artikolu 26
Dħul fis-seħħ
Dan ir-Regolament għandu jidħol fis-seħħ fl-għoxrin jum wara dak tal-pubblikazzjoni tiegħu f’Il-Ġurnal Uffiċjali tal-Unjoni Ewropea.
Dan ir-Regolament għandu jorbot fl-intier tiegħu u japplika direttament fl-Istati Membri kollha.
Magħmul fi Strasburgu, it-13 ta’ Diċembru 2023.
Għall-Parlament Ewropew
Il-President
R. METSOLA
Għall-Kunsill
Il-President
P. NAVARRO RÍOS
(1) Il-Pożizzjoni tal-Parlament Ewropew ta’ tal-21 ta' Novembru 2023 (għadha mhijiex ippubblikata fil-Ġurnal Uffiċjali) u d-Deċiżjoni tal-Kunsill tat-8 ta’ Diċembru 2023.
(2) Id-Direttiva (UE) 2022/2555 tal-Parlament Ewropew u tal-Kunsill tal-14 ta’ Diċembru 2022 dwar miżuri għal livell komuni għoli ta’ ċibersigurtà madwar l-Unjoni, li temenda r-Regolament (UE) Nru 910/2014 u d-Direttiva (UE) 2018/1972, u li tħassar id-Direttiva (UE) 2016/1148 (id-Direttiva NIS 2) (ĠU L 333, 27.12.2022, p. 80).
(3) Ir-Regolament (UE) 2019/881 tal-Parlament Ewropew u tal-Kunsill tas-17 ta’ April 2019 dwar l-ENISA (l-Aġenzija tal-Unjoni Ewropea għaċ-Ċibersigurtà) u dwar iċ-ċertifikazzjoni taċ-ċibersigurtà tat-teknoloġija tal-informazzjoni u tal-komunikazzjoni u li jħassar ir-Regolament (UE) Nru 526/2013 (l-Att dwar iċ-Ċibersigurtà) (ĠU L 151, 7.6.2019, p. 15).
(4) Arranġament Interistituzzjonali bejn il-Parlament Ewropew, il-Kunsill Ewropew, il-Kunsill tal-Unjoni Ewropea, il-Kummissjoni Ewropea, il-Qorti tal-Ġustizzja tal-Unjoni Ewropea, il-Bank Ċentrali Ewropew, il-Qorti Ewropea tal-Awdituri, is-Servizz Ewropew għall-Azzjoni Esterna, il-Kumitat Ekonomiku u Soċjali Ewropew, il-Kumitat Ewropew tar-Reġjuni u l-Bank Ewropew tal-Investiment dwar l-organizzazzjoni u l-operazzjoni ta’ skwadra ta’ rispons f’emerġenza relatata mal-kompjuters għall-istituzzjonijiet, il-korpi u l-aġenziji tal-Unjoni (CERT-UE) (ĠU C 12, 13.1.2018, p. 1).
(5) Ir-Regolament tal-Kunsill (KEE, Euratom, KEFA) Nru 259/68 tad-29 ta’ Frar 1968 li jistabbilixxi r-Regolamenti tal-Persunal tal-uffiċjali u l-kundizzjonijiet ta’ impjieg ta’ uffiċjali oħra tal-Komunitajiet Ewropej u li jistabbilixxi miżuri temporanji applikabbli għall-Uffiċjali tal-Kummissjoni (ĠU L 56, 4.3.1968, p. 1).
(6) Ir-Rakkomandazzjoni tal-Kummissjoni (UE) 2017/1584 tat-13 ta’ Settembru 2017 dwar Rispons Koordinat għal Inċidenti u Kriżijiet taċ-Ċibersigurtà fuq Skala Kbira (ĠU L 239, 19.9.2017, p. 36).
(7) Ir-Regolament (UE) 2018/1725 tal-Parlament Ewropew u tal-Kunsill tat-23 ta’ Ottubru 2018 dwar il-protezzjoni ta’ persuni fiżiċi fir-rigward tal-ipproċessar ta’ data personali mill-istituzzjonijiet, korpi, uffiċċji u aġenziji tal-Unjoni u dwar il-moviment liberu ta’ tali data, u li jħassar ir-Regolament (KE) Nru 45/2001 u d-Deċiżjoni Nru 1247/2002/KE (ĠU L 295, 21.11.2018, p. 39).
(8) ĠU C 258, 5.7.2022, p. 10.
(9) Ir-Regolament (UE, Euratom) 2018/1046 tal-Parlament Ewropew u tal-Kunsill tat-18 ta’ Lulju 2018 dwar ir-regoli finanzjarji applikabbli għall-baġit ġenerali tal-Unjoni, li jemenda r-Regolamenti (UE) Nru 1296/2013, (UE) Nru 1301/2013, (UE) Nru 1303/2013, (UE) Nru 1304/2013, (UE) Nru 1309/2013, (UE) Nru 1316/2013, (UE) Nru 223/2014, (UE) Nru 283/2014, u d-Deċiżjoni Nru 541/2014/UE u li jħassar ir-Regolament (UE, Euratom) Nru 966/2012 (ĠU L 193, 30.7.2018, p. 1).
(10) Ir-Regolament (KE) Nru 1049/2001 tal-Parlament Ewropew u tal-Kunsill tat-30 ta’ Mejju 2001 dwar l-aċċess pubbliku għad-dokumenti tal-Parlament Ewropew, tal-Kunsill u tal-Kummissjoni (ĠU L 145, 31.5.2001, p. 43).
ELI: http://data.europa.eu/eli/reg/2023/2841/oj
ISSN 1977-074X (electronic edition)
Top