14 straipsnis. Gamintojų pareiga pranešti

1. Gamintojas praneša apie visus aktyviai išnaudojamus produkto su skaitmeniniais elementais pažeidžiamumus, apie kuriuos sužino, tuo pačiu metu koordinatore paskirtai CSIRT pagal šio straipsnio 7 dalį ir ENISA. Gamintojas apie tą aktyviai išnaudojamą pažeidžiamumą praneša per bendrą pranešimų teikimo platformą, sukurtą pagal 16 straipsnį.

2. 1 dalyje nurodyto pranešimo tikslais gamintojas:

a) nepagrįstai nedelsdamas ir bet kuriuo atveju per 24 valandas nuo tada, kai gamintojas apie jį sužino, pateikia ankstyvąjį perspėjimą apie aktyviai išnaudojamą pažeidžiamumą, nurodydamas, kai taikytina, valstybes nares, kurių teritorijoje, gamintojo žiniomis, jo produktas su skaitmeniniais elementais yra prieinamas;

b) išskyrus atvejus, kai atitinkama informacija jau yra pateikta, nepagrįstai nedelsdamas ir bet kuriuo atveju ne vėliau kaip per 72 valandas nuo tada, kai gamintojas sužino apie aktyviai išnaudojamą pažeidžiamumą, pateikia pranešimą apie pažeidžiamumą, kuriame pateikiama turima bendro pobūdžio informacija apie atitinkamą produktą su skaitmeniniais elementais, bendrą išnaudojimo ir atitinkamo pažeidžiamumo pobūdį, taip pat apie visas taisomąsias ar rizikos mažinimo priemones, kurių imtasi, ir apie taisomąsias ar rizikos mažinimo priemones, kurių gali imtis naudotojai, ir kuriame taip pat nurodoma, kai taikytina, kiek neskelbtina, gamintojo nuomone, yra jo pateikta informacija;

c) išskyrus atvejus, kai atitinkama informacija jau yra pateikta, pateikia galutinį pranešimą ne vėliau kaip per 14 dienų po to, kai buvo imtasi taisomosios ar rizikos mažinimo priemonės, įskaitant bent šią informaciją:

i) pažeidžiamumo aprašymą, įskaitant jo sunkumą ir poveikį;

ii) jei turima, informaciją apie bet kurį piktavalį subjektą, kuris išnaudojo arba išnaudoja pažeidžiamumą;

iii) duomenis apie saugumo naujinius arba kitas taisomąsias priemones, kurių buvo imtasi siekiant pašalinti pažeidžiamumą.

3. Gamintojas praneša apie didelį incidentą, darantį poveikį produkto su skaitmeniniais elementais saugumui, apie kurį sužino, tuo pačiu metu koordinatore paskirtai CSIRT pagal šio straipsnio 7 dalį ir ENISA. Gamintojas apie tą incidentą praneša per bendrą pranešimų teikimo platformą, sukurtą pagal 16 straipsnį.

4. 3 dalyje nurodyto pranešimo tikslais gamintojas:

a) pateikia ankstyvąjį perspėjimą apie didelį incidentą, darantį poveikį produkto su skaitmeniniais elementais saugumui, nepagrįstai nedelsdamas ir bet kuriuo atveju per 24 valandas nuo tada, kai gamintojas apie jį sužino, be kita ko, bent tuo momentu, kai įtariama, kad incidentą sukėlė neteisėti ar piktavališki veiksmai, kuriame taip pat nurodomos, kai taikytina, valstybės narės, kurių teritorijoje, gamintojo žiniomis, jo produktas su skaitmeniniais elementais yra prieinamas;

b) išskyrus atvejus, kai atitinkama informacija jau yra pateikta, nepagrįstai nedelsdamas ir bet kuriuo atveju ne vėliau kaip per 72 valandas nuo tada, kai gamintojas sužino apie incidentą, pateikia pranešimą apie incidentą, kuriame pateikiama turima bendro pobūdžio informacija apie incidentą, pradinį incidento vertinimą, taip pat apie visas taisomąsias ar rizikos mažinimo priemones, kurių imtasi, visas taisomąsias ar rizikos mažinimo priemones, kurių gali imtis naudotojai, ir kuriame taip pat nurodoma, kai taikytina, kiek neskelbtina, gamintojo nuomone, yra jo pateikta informacija;

c) išskyrus atvejus, kai atitinkama informacija jau yra pateikta, pateikia galutinį pranešimą per vieną mėnesį nuo b punkte nurodyto pranešimo apie incidentą pateikimo dienos, įskaitant bent šią informaciją:

i) išsamų incidento, įskaitant jo sunkumą ir poveikį, aprašymą;

ii) grėsmės arba pagrindinės priežasties, dėl kurios incidentas galėjo būti sukeltas, tipą;

iii) taikomas ir įgyvendinamas rizikos mažinimo priemones.

5. 3 dalies tikslais incidentas, darantis poveikį produkto su skaitmeniniais elementais saugumui, laikomas dideliu, jei:

a) jis neigiamai veikia arba gali neigiamai paveikti produkto su skaitmeniniais elementais gebėjimą apsaugoti neskelbtinų ar svarbių duomenų arba funkcijų prieinamumą, autentiškumą, vientisumą ar konfidencialumą, arba

b) jis lėmė arba gali lemti piktavališko kodo įdiegimą į produktą su skaitmeniniais elementais arba produkto su skaitmeniniais elementais naudotojo tinklų ir informacines sistemas ar tokio kodo vykdymą.

6. Prireikus, koordinatore paskirta CSIRT, kuri pirmoji gavo pranešimą, gali paprašyti gamintojų pateikti tarpinį pranešimą apie atitinkamą atnaujintą padėties informaciją apie aktyviai išnaudojamą pažeidžiamumą arba didelį incidentą, darantį poveikį produkto su skaitmeniniais elementais saugumui.

7. Šio straipsnio 1 ir 3 dalyse nurodyti pranešimai teikiami per 16 straipsnyje nurodytą bendrą pranešimų teikimo platformą, naudojant vieną iš 16 straipsnio 1 dalyje nurodytų elektroninio pranešimo galinių įrenginių. Pranešimas pateikiamas naudojant valstybės narės, kurioje yra gamintojo pagrindinė buveinė Sąjungoje, koordinatore paskirtos CSIRT elektroninio pranešimo galinį įrenginį ir jis tuo pačiu metu turi būti prieinamas ENISA.

Šio reglamento tikslais laikoma, kad gamintojo pagrindinė buveinė Sąjungoje yra toje valstybėje narėje, kurioje daugiausia priimami su to gamintojo produktų su skaitmeniniais elementais kibernetiniu saugumu susiję sprendimai. Jei tokios valstybės narės neįmanoma nustatyti, laikoma, kad pagrindinė buveinė yra valstybėje narėje, kurioje atitinkamas gamintojas turi padalinį, kuriame dirba daugiausia darbuotojų Sąjungoje.

Jei gamintojas neturi pagrindinės buveinės Sąjungoje, jis 1 ir 3 dalyse nurodytus pranešimus pateikia naudodamas valstybės narės, kuri nustatoma laikantis toliau nurodytos tvarkos ir remiantis gamintojo turima informacija, koordinatore paskirtos CSIRT elektroninio pranešimo galinį įrenginį:

a) valstybė narė, kurioje įsisteigęs gamintojo vardu veikiantis įgaliotasis atstovas, atstovaujantis didžiausiam skaičiui to gamintojo produktų su skaitmeniniais elementais;

b) valstybė narė, kurioje įsisteigęs importuotojas, pateikiantis rinkai didžiausią to gamintojo produktų su skaitmeniniais elementais skaičių;

c) valstybė narė, kurioje įsisteigęs platintojas, tiekiantis rinkai didžiausią to gamintojo produktų su skaitmeniniais elementais skaičių;

d) valstybė narė, kurioje yra didžiausias to gamintojo produktų su skaitmeniniais elementais naudotojų skaičius.

Kiek tai susiję su trečios pastraipos d punktu, gamintojas gali pateikti pranešimus, susijusius su bet kokiu vėlesniu aktyviai išnaudojamu pažeidžiamumu arba dideliu incidentu, darančiu poveikį produkto su skaitmeniniais elementais saugumui, tai pačiai koordinatore paskirtai CSIRT, kuriai jis pirmą kartą pateikė pranešimą.

8. Sužinojęs apie aktyviai išnaudojamą pažeidžiamumą arba didelį incidentą, darantį poveikį produkto su skaitmeniniais elementais saugumui, gamintojas informuoja paveiktus produkto su skaitmeniniais elementais naudotojus ir, kai tinkama, visus naudotojus apie tą pažeidžiamumą arba didelį incidentą, ir, jei būtina, apie visas rizikos mažinimo ir taisomąsias priemones, kurių naudotojai gali imtis, kad sumažintų to pažeidžiamumo ar incidento poveikį, kai tinkama, struktūrizuotu, kompiuterio skaitomu formatu, kuris būtų lengvai automatiškai apdorojamas. Jei gamintojas laiku neinformuoja produkto su skaitmeniniais elementais naudotojų, koordinatorėmis paskirtos CSIRT, gavusios pranešimą, gali pateikti tokią informaciją naudotojams, kai manoma, kad tai proporcinga ir būtina siekiant užkirsti kelią to pažeidžiamumo ar incidento poveikiui arba jį sumažinti.

9. Ne vėliau kaip 2025 m. gruodžio 11 d. Komisija pagal šio reglamento 61 straipsnį priima deleguotuosius aktus, siekiant šį reglamentą papildyti, kuriais nustatomos sąlygos, kuriomis taikomos su kibernetiniu saugumu susijusios priežastys, dėl kurių atidedamas pranešimų platinimas, kaip nurodyta šio reglamento 16 straipsnio 2 dalyje. Rengdama deleguotųjų aktų projektus Komisija bendradarbiauja su CSIRT tinklu, sukurtu pagal Direktyvos (ES) 2022/2555 15 straipsnį, ir ENISA.

10. Komisija gali įgyvendinimo aktais išsamiau nustatyti šiame straipsnyje ir 15 bei 16 straipsniuose nurodytų pranešimų formatą ir procedūras. Tie įgyvendinimo aktai priimami laikantis 62 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros. Rengdama tų įgyvendinimo aktų projektus Komisija bendradarbiauja su CSIRT tinklu ir ENISA.