33 straipsnis. Būtinoji ir sustiprinta kibernetinio saugumo kontrolė tiekimo grandinėje

1. Per 7 mėnesius nuo pirmosios Sąjungos masto kibernetinio saugumo rizikos vertinimo ataskaitos projekto pateikimo pagal 19 straipsnio 4 dalį PSO, padedami ENTSO-E ir bendradarbiaudami su ES SSO subjektu, parengia pasiūlymą dėl būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemonių tiekimo grandinėje, kuriomis būtų mažinama rizika tiekimo grandinėje, identifikuota atliekant Sąjungos masto kibernetinio saugumo rizikos vertinimus, ir kurios papildytų pagal 29 straipsnį parengtas būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemones. Būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemonės tiekimo grandinėje rengiamos kartu su būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemonėmis pagal 29 straipsnį. Būtinoji ir sustiprinta kibernetinio saugumo kontrolė tiekimo grandinėje apima visą visų IRT produktų, paslaugų ir procesų gyvavimo ciklą didelio poveikio arba ypatingos svarbos poveikio subjekto didelio poveikio arba ypatingos svarbos poveikio perimetruose. Rengiant pasiūlymą dėl būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemonių tiekimo grandinėje konsultuojamasi su TIS bendradarbiavimo grupe.

2. Būtinąją kibernetinio saugumo kontrolę tiekimo grandinėje sudaro didelio poveikio ir ypatingos svarbos poveikio subjektų kontrolės priemonės:

a) į kurias įtrauktos rekomenduojamos susijusių IRT produktų, paslaugų ir procesų viešojo pirkimo kibernetinio saugumo specifikacijos, kurios apima bent:

i) asmens patikrinimus, taikomus tiekėjo darbuotojams, dalyvaujantiems tiekimo grandinėje ir dirbantiems su neskelbtina informacija arba turintiems prieigą prie subjekto didelio poveikio arba ypatingos svarbos poveikio turto. Asmens patikrinimas gali apimti subjekto darbuotojų ar rangovų tapatybės ir patikimumo patikrinimą pagal nacionalinę teisę ir procedūras bei aktualią ir taikytiną Sąjungos teisę, įskaitant Reglamentą (ES) 2016/679 ir Europos Parlamento ir Tarybos direktyvą (ES) 2016/680. Asmens patikrinimai turi būti proporcingi ir griežtai apsiriboti tuo, kas būtina. Jie atliekami vieninteliu tikslu – įvertinti galimą saugumo riziką atitinkamam subjektui. Jie turi būti proporcingi veiklos reikalavimams, informacijos, prie kurios bus suteikiama prieiga, neskelbtinumui ir numanomai rizikai ir juos gali atlikti pats subjektas, atranką vykdanti išorės įmonė arba tai gali būti valstybinis asmens patikimumo patikrinimas;

ii) saugaus ir kontroliuojamo IRT produktų, paslaugų ir procesų projektavimo, kūrimo ir gamybos procesus, kuriais skatinamas IRT produktų, paslaugų ir procesų projektavimas ir kūrimas, apimantis tinkamas technines priemones kibernetiniam saugumui užtikrinti;

iii) tinklų ir informacinių sistemų sandarą, kurioje įrenginiai nelaikomi patikimais, net jei jie yra saugiame perimetre, reikalaujama tikrinti visas gaunamas užklausas ir taikomas minimaliosios prieigos teisės principas;

iv) tiekėjo prieigą prie subjekto turto;

v) sutartines tiekėjo pareigas apsaugoti subjekto neskelbtiną informaciją ir apriboti prieigą prie jos;

vi) pagrindines kibernetinio saugumo viešųjų pirkimų specifikacijas tiekėjo subrangovams;

vii) kibernetinio saugumo specifikacijų taikymo atsekamumą nuo IRT produktų, paslaugų ar procesų kūrimo ir gamybos iki pateikimo;

viii) saugumo naujinių palaikymą per visą IRT produktų, paslaugų ar procesų naudojimo laikotarpį;

ix) teisę atlikti tiekėjo projektavimo, kūrimo ir gamybos procesų kibernetinio saugumo auditą ir

x) tiekėjo rizikos profilio vertinimą;

b) kuriomis reikalaujama, kad tokie subjektai, su tiekėjais, bendradarbiavimo partneriais ir kitomis tiekimo grandinės šalimis sudarydami sutartis, apimančias įprastą IRT produktų tiekimą, IRT paslaugų teikimą ir IRT procesus, taip pat neplanuotus įvykius ir aplinkybes, pvz., sutarčių nutraukimą ir perdavimą sutarties partnerio aplaidumo atvejais, atsižvelgtų į a punkte nurodytas viešojo pirkimo rekomendacijas;

c) kuriomis reikalaujama, kad tokie subjektai atsižvelgtų į atitinkamų koordinuojamų ypatingos svarbos tiekimo grandinių saugumo rizikos vertinimų, atliktų pagal Direktyvos (ES) 2022/2555 22 straipsnio 1 dalį, rezultatus;

d) kurios apima kriterijus, pagal kuriuos atrenkami tiekėjai, kurie gali įvykdyti a punkte nurodytas kibernetinio saugumo specifikacijas ir kurių kibernetinio saugumo lygis atitinka jų tiekiamo IRT produkto, teikiamos IRT paslaugos ar IRT procesų kibernetinio saugumo riziką;

e) į kurias įtraukti kriterijai, pagal kuriuos būtų diversifikuojami IRT produktų tiekimo, paslaugų teikimo ir procesų šaltiniai ir mažinama susaistymo su pardavėju rizika;

f) į kurias įtraukti kriterijai, pagal kuriuos būtų reguliariai stebimos, peržiūrimos arba audituojamos tiekėjų vidaus veiklos procesų kibernetinio saugumo specifikacijos per visą kiekvieno IRT produkto, IRT paslaugos ir IRT proceso gyvavimo ciklą.

3. Kibernetinio saugumo viešojo pirkimo rekomendacijoje, nurodytoje 2 dalies a punkte, kibernetinio saugumo specifikacijoms didelio poveikio arba ypatingos svarbos poveikio subjektai taiko Europos Parlamento ir Tarybos direktyvoje 2014/24/ES nustatytus viešųjų pirkimų principus pagal 35 straipsnio 4 dalį arba nustato savo specifikacijas, remdamiesi subjekto lygmens kibernetinio saugumo rizikos vertinimo rezultatais.

4. Sustiprintos kibernetinio saugumo kontrolės priemonės tiekimo grandinėje apima ypatingos svarbos poveikio subjektų kontrolės priemones, kuriomis siekiama viešojo pirkimo metu patikrinti, ar IRT produktai, paslaugos ir procesai, kurie bus naudojami kaip ypatingos svarbos poveikio turtas, atitinka kibernetinio saugumo specifikacijas. IRT produktas, paslauga arba procesas tikrinami taikant 31 straipsnyje nurodytą Europos kibernetinio saugumo sertifikavimo schemą arba vykdant subjekto pasirinktą ir organizuojamą tikrinimo veiklą. Tikrinimo veiklos išsamumas ir apimtis turi būti pakankami, kad būtų galima užtikrinti, jog IRT produktas, paslauga ar procesas gali būti naudojami rizikai, nustatytai atliekant subjekto lygmens rizikos vertinimą, sumažinti. Ypatingos svarbos poveikio subjektas dokumentais pagrindžia veiksmus, kurių imtasi nustatytai rizikai sumažinti.

5. Atitinkamo IRT produkto, paslaugų ir procesų viešajam pirkimui taikomos būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemonės tiekimo grandinėje. Būtinoji ir sustiprinta tiekimo grandinės kibernetinio saugumo kontrolė taikoma viešojo pirkimo procesams, kuriuos vykdo subjektai, pagal 24 straipsnį identifikuoti kaip ypatingos svarbos poveikio ir didelio poveikio subjektai, ir kurie pradedami praėjus šešiems mėnesiams nuo 29 straipsnyje nurodytų būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemonių patvirtinimo arba atnaujinimo.

6. Per 6 mėnesius nuo kiekvienos regioninio kibernetinio saugumo rizikos vertinimo ataskaitos projekto pateikimo pagal 21 straipsnio 2 dalį PSO, padedami ENTSO-E ir bendradarbiaudami su ES SSO subjektu, pasiūlo kompetentingai institucijai būtinosios ir sustiprintos kibernetinio saugumo kontrolės priemonių tiekimo grandinėje pakeitimus. Pasiūlymas pateikiamas pagal 8 straipsnio 10 dalį ir jame atsižvelgiama į riziką, identifikuotą regioniniame rizikos vertinime.