21 straipsnis. Kibernetinio saugumo rizikos valdymo priemonės

1. Valstybės narės užtikrina, kad esminiai ir svarbūs subjektai imtųsi tinkamų ir proporcingų techninių, operatyvinių ir organizacinių priemonių, siekdami valdyti tinklų ir informacinių sistemų, kurias tie subjektai naudoja savo veiklai arba teikdami savo paslaugas, saugumui kylančią riziką ir užkirsti kelią incidentų poveikiui jų paslaugų gavėjams ir kitoms paslaugoms arba juos sumažinti iki minimumo.

Atsižvelgiant į naujausius technikos laimėjimus ir, kai taikytina, atitinkamus Europos ir tarptautinius standartus, taip pat į įgyvendinimo sąnaudas, pirmoje pastraipoje nurodytomis priemonėmis užtikrinamas toks tinklų ir informacinių sistemų saugumo lygis, kuris atitinka kilusią riziką. Vertinant tų priemonių proporcingumą, tinkamai atsižvelgiama į subjekto galimybės patirti riziką laipsnį, subjekto dydį ir incidentų tikimybę bei jų sunkumą, įskaitant jų socialinį ir ekonominį poveikį.

2. 1 dalyje nurodytos priemonės grindžiamos visus pavojus apimančiu požiūriu, kuriuo siekiama apsaugoti tinklų ir informacines sistemas bei jų fizinę aplinką nuo incidentų, ir jos apima bent šiuos elementus:

a) rizikos analizės ir informacinių sistemų saugumo politiką;

b) incidentų valdymą;

c) veiklos tęstinumą, pvz., atsarginių kopijų valdymą ir veiklos atkūrimą po ekstremaliųjų įvykių, ir krizių valdymą;

d) tiekimo grandinės saugumą, įskaitant su saugumu susijusius aspektus, susijusius su kiekvieno subjekto ir jo tiesioginių tiekėjų ar paslaugų teikėjų santykiais;

e) tinklų ir informacinių sistemų įsigijimo, plėtojimo ir priežiūros saugumą, įskaitant pažeidžiamumo valdymą ir atskleidimą;

f) politiką ir procedūras, skirtas kibernetinio saugumo rizikos valdymo priemonių veiksmingumui įvertinti;

g) pagrindinę kibernetinės higienos praktiką ir kibernetinio saugumo mokymus;

h) kriptografijos ir, kai taikytina, šifravimo naudojimo politiką ir procedūras;

i) žmogiškųjų išteklių saugumą, prieigos kontrolės politiką ir turto valdymą;

j) kai taikytina, kelių veiksnių tapatumo nustatymo ar nuolatinio tapatumo nustatymo sprendimų, saugių balso, vaizdo ir teksto ryšių bei saugių avarinių ryšių sistemų subjekto viduje naudojimą.

3. Valstybės narės užtikrina, kad, subjektai, svarstydami, kurios šio straipsnio 2 dalies d punkte nurodytos priemonės yra tinkamos, atsižvelgtų į kiekvieno tiesioginio tiekėjo ir paslaugų teikėjo pažeidžiamumą ir į jų tiekėjų ir paslaugų teikėjų produktų bendrą kokybę ir kibernetinio saugumo praktiką, įskaitant jų saugumo plėtojimo procedūras. Valstybės narės taip pat užtikrina, kad subjektai, svarstydami, kurios tame punkte nurodytos priemonės yra tinkamos, privalėtų atsižvelgti į pagal 22 straipsnio 1 dalį atliktų koordinuojamų ypatingos svarbos tiekimo grandinių rizikos vertinimų rezultatus.

4. Valstybės narės užtikrina, kad subjektas, kuris nustato, kad jis nesilaiko 2 dalyje numatytų priemonių, nepagrįstai nedelsdamas imtųsi visų būtinų, tinkamų ir proporcingų taisomųjų priemonių.

5. Komisija ne vėliau kaip 2024 m. spalio 17 d. priima įgyvendinimo aktus, kuriais nustatomi 2 dalyje nurodytų priemonių techniniai ir metodiniai reikalavimai, taikomi DNS paslaugų teikėjams, aukščiausio lygio domenų vardų registrams, debesijos kompiuterijos paslaugų teikėjams, duomenų centrų paslaugų teikėjams, turinio teikimo tinklo teikėjams, valdomų paslaugų teikėjams, valdomų saugumo paslaugų teikėjams, elektroninių prekyviečių, interneto paieškos sistemų ir socialinių tinklų paslaugų platformų ir patikimumo užtikrinimo paslaugų teikėjams.

Komisija gali priimti įgyvendinimo aktus, kuriais nustatomi 2 dalyje nurodytų priemonių būtinieji techniniai ir metodiniai reikalavimai, taip pat sektoriams taikomi reikalavimai, taikomi kitiems esminiams ir svarbiems subjektams nei nurodytieji šios dalies pirmoje pastraipoje.

Rengdama šios dalies pirmoje ir antroje pastraipose nurodytus įgyvendinimo aktus, Komisija, kiek įmanoma, laikosi Europos ir tarptautinių standartų bei atitinkamų techninių specifikacijų. Komisija keičiasi rekomendacijomis ir bendradarbiauja su Bendradarbiavimo grupe ir ENISA dėl įgyvendinimo aktų projektų pagal 14 straipsnio 4 dalies e punktą.

Tie įgyvendinimo aktai priimami laikantis 39 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.