38 straipsnis. Didelio poveikio ir ypatingos svarbos poveikio subjektų vaidmuo dalijantis informacija

1. Kiekvienas didelio poveikio ir ypatingos svarbos poveikio subjektas:

a) nustato bent šiuos viso savo turto, esančio kibernetinio saugumo perimetre, nustatytame pagal 26 straipsnio 4 dalies c punktą, KSOC pajėgumus:

i) užtikrinti, kad atitinkamose tinklų ir informacinėse sistemose bei taikomosiose programose būtų daromi saugumo įrašai saugumo stebėsenai vykdyti, kad būtų galima aptikti anomalijas ir rinkti informaciją apie kibernetinius išpuolius;

ii) vykdyti saugumo stebėseną, įskaitant įsilaužimo aptikimą ir tinklų bei informacinių sistemų pažeidžiamumo vertinimą;

iii) analizuoti ir, jei reikia, imtis visų veiksmų, kurių reikia atsižvelgiant į jo pareigą ir gebėjimą apsaugoti subjektą;

iv) rinkti informaciją ir ja dalytis, kaip apibūdinta šiame straipsnyje;

b) turi teisę pirkti visus šiuos pajėgumus arba jų dalį pagal a punktą per valdomų saugumo paslaugų teikėjus (VSPT). Ypatingos svarbos poveikio ir didelio poveikio subjektai išlieka atsakingi už VSPT ir prižiūri jų pastangas;

c) paskiria vieną subjekto lygmens bendrąjį kontaktinį punktą dalytis informacija.

2. Vykdydama Reglamento (ES) 2019/881 6 straipsnio 2 dalyje nustatytą užduotį ENISA gali paskelbti neprivalomas gaires dėl tokių pajėgumų užtikrinimo arba subrangos sutarties su VSPT sudarymo.

3. Kiekvienas ypatingos svarbos poveikio ir didelio poveikio subjektas nepagrįstai nedelsdamas ir ne vėliau kaip per keturias valandas nuo tada, kai sužinojo, kad incidentas yra praneštinas, pasidalija atitinkama informacija apie praneštiną kibernetinį išpuolį su savo CSIRT ir savo kompetentinga institucija.

4. Informacija, susijusi su kibernetiniu išpuoliu, laikoma praneština, kai kibernetinio išpuolio kritiškumą įvertinęs paveiktas subjektas nustato, kad pagal kibernetinio išpuolio klasifikavimo skalės metodiką pagal 37 straipsnio 8 dalį jis yra „didelis“ arba „kritinis“. Pagal 1 dalies c punktą paskirtas subjekto lygmens bendrasis kontaktinis punktas praneša incidento klasifikavimo rezultatą.

5. Kai ypatingos svarbos poveikio ir didelio poveikio subjektai perduoda CSIRT aktualią informaciją, susijusią su nepašalintu aktyviai išnaudojamu pažeidžiamumu, ši gali perduoti šią informaciją savo kompetentingai institucijai. Atsižvelgdama į praneštos informacijos slaptumo lygį, CSIRT gali informacijos neatskleisti arba atidėti jos perdavimą dėl pagrįstų su kibernetiniu saugumu susijusių priežasčių.

6. Kiekvienas ypatingos svarbos poveikio ir didelio poveikio subjektas savo CSIRT nepagrįstai nedelsdamas pateikia visą informaciją, susijusią su praneština kibernetine grėsme, kurios poveikis gali būti tarpvalstybinis. Informacija, susijusi su kibernetine grėsme, laikoma praneština, kai įvykdyta bent viena iš šių sąlygų:

a) tai yra kitam ypatingos svarbos poveikio ar didelio poveikio subjektui siekiant išvengti rizikos, ją nustatyti, į ją reaguoti ar sušvelninti jos poveikį aktuali informacija;

b) dėl nustatytų metodų, taktikos ir procedūrų, naudojamų vykdant išpuolį, gauta informacija, pvz., paveikti URL arba IP adresai, maišos vertės ar bet koks kitas požymis, yra naudinga išpuolio aplinkybėms nustatyti ir išpuoliui susieti;

c) kibernetinė grėsmė gali būti toliau vertinama ir jos aplinkybės papildomos remiantis informacija, kurią pateikia paslaugų teikėjai arba trečiosios šalys, kuriems šis reglamentas netaikomas.

7. Kiekvienas ypatingos svarbos poveikio subjektas ir didelio poveikio subjektas, dalydamiesi informacija pagal šį straipsnį, nurodo:

a) kad informacija pateikiama pagal šį reglamentą;

b) ar informacija yra susijusi su:

i) praneštinu kibernetiniu išpuoliu, nurodytu 3 dalyje;

ii) 4 dalyje nurodytu nepašalintu aktyviai išnaudojamu pažeidžiamumu, apie kurį viešai nežinoma;

iii) praneština kibernetine grėsme, nurodyta 5 dalyje;

c) praneštino kibernetinio išpuolio atveju – kibernetinio išpuolio lygį pagal 37 straipsnio 8 dalyje nurodytą kibernetinių išpuolių klasifikavimo skalės metodiką ir informaciją, kuria remiantis nustatytas toks lygis, įskaitant bent jau kibernetinio išpuolio kritiškumą.

8. Kai ypatingos svarbos poveikio arba didelio poveikio subjektas praneša apie didelį incidentą pagal Direktyvos (ES) 2022/2555 23 straipsnį ir pranešime apie incidentą pagal tą straipsnį pateikiama aktuali informacija, kaip reikalaujama pagal šio straipsnio 3 dalį, subjekto pranešimas pagal tos direktyvos 23 straipsnio 1 dalį laikomas informacijos pranešimu pagal šio straipsnio 3 dalį.

9. Kiekvienas ypatingos svarbos poveikio ir didelio poveikio subjektas pranešime savo kompetentingai institucijai arba CSIRT aiškiai nurodo konkrečią informaciją, kuria dalijasi tik su kompetentinga institucija arba CSIRT, tais atvejais, kai toks dalijimasis informacija galėtų būti kibernetinio išpuolio šaltinis. Kiekvienas ypatingos svarbos poveikio ir didelio poveikio subjektas turi teisę kompetentingai CSIRT pateikti nekonfidencialią informacijos versiją.