14 straipsnis. ES kibernetinio saugumo rezervo sukūrimas

1. Siekiant 3 dalyje nurodytiems naudotojams jų prašymu padėti reaguoti į reikšmingus kibernetinio saugumo incidentus, didelio masto kibernetinio saugumo incidentus arba didelio masto kibernetinio saugumo incidentams lygiaverčius kibernetinio saugumo incidentus arba teikti reagavimo į tokius incidentus paramą ir inicijuoti veiklos atkūrimą po tokių incidentų, sukuriamas ES kibernetinio saugumo rezervas.

2. ES kibernetinio saugumo rezervą sudaro reagavimo paslaugos, kurias teikia patikimi valdomų saugumo paslaugų teikėjai, atrinkti pagal 17 straipsnio 2 dalyje nustatytus kriterijus. ES kibernetinio saugumo rezervas gali apimti iš anksto įsipareigotas teikti paslaugas. Patikimo valdomų saugumo paslaugų teikėjo iš anksto įsipareigotas teikti paslaugas galima paversti parengties paslaugomis, susijusiomis su incidentų prevencija ir reagavimu į juos, tais atvejais, kai tos iš anksto įsipareigotas teikti paslaugos nenaudojamos reagavimui į incidentus tuo laikotarpiu, kuriuo iš anksto įsipareigota teikti tas paslaugas. Pateikus prašymą, ES kibernetinio saugumo rezervą galima naudoti visose valstybėse narėse, Sąjungos institucijose, organuose, įstaigose ir agentūrose ir SEP asocijuotosiose trečiosiose valstybėse, nurodytose 19 straipsnio 1 dalyje.

3. ES kibernetinio saugumo rezervo paslaugų naudotojai yra:

a) valstybių narių kibernetinio saugumo krizių valdymo institucijos ir CSIRT, nurodyti atitinkamai Direktyvos (ES) 2022/2555 9 straipsnio 1 ir 2 dalyse ir 10 straipsnyje;

b) CERT-EU pagal Reglamento (ES, Euratomas) 2023/2841 13 straipsnį;

c) kompetentingos institucijos, pavyzdžiui, SEP asocijuotųjų trečiųjų valstybių reagavimo į kompiuterinius saugumo incidentus tarnybos ir kibernetinių krizių valdymo institucijos pagal 19 straipsnio 8 dalį.

4. Komisijai tenka bendra atsakomybė už ES kibernetinio saugumo rezervo įgyvendinimą. Komisija, koordinuodama veiksmus su TIS bendradarbiavimo grupe ir atsižvelgdama į 3 dalyje nurodytų naudotojų reikalavimus, nustato ES kibernetinio saugumo rezervo prioritetus ir raidą, prižiūri jo įgyvendinimą ir užtikrina papildomumą, nuoseklumą, sinergiją ir sąsajas su kitais paramos veiksmais pagal šį reglamentą, taip pat su kitais Sąjungos veiksmais ir programomis. Tie prioritetai peržiūrimi ir, prireikus, patikslinami kas 2 metus. Komisija informuoja Europos Parlamentą ir Tarybą apie tuos prioritetus ir bet kokius jų patikslinimus.

5. Nedarant poveikio bendrai šio straipsnio 4 dalyje nurodytai Komisijos atsakomybei už ES kibernetinio saugumo rezervo įgyvendinimą ir laikantis susitarimo dėl įnašo, kaip apibrėžta Reglamento (ES, Euratomas) 2024/2509 2 straipsnio 19 punkte, Komisija visiškai arba iš dalies paveda ES kibernetinio saugumo rezervo veikimą ir administravimą ENISA. ENISA nepavestus aspektus ir toliau tiesiogiai valdo Komisija.

6. ENISA ne rečiau kaip kas 2 metus parengia šio straipsnio 3 dalies a ir b punktuose nurodytiems naudotojams reikalingų paslaugų aprašą. Į aprašą taip pat įtraukiama informacija apie tokių paslaugų prieinamumą, įskaitant paslaugas, kurias teikia valstybėse narėse įsisteigę arba laikomi jose įsisteigusiais teisės subjektai, kuriuos kontroliuoja valstybės narės arba valstybių narių piliečiai. Įtraukdama į aprašą informaciją apie tą prieinamumą, ENISA įvertina Sąjungos kibernetinio saugumo srities darbuotojų įgūdžius ir pajėgumus, susijusius su ES kibernetinio saugumo rezervo tikslais. Rengdama aprašą ENISA konsultuojasi su TIS bendradarbiavimo grupe, EU-CyCLONe, Komisija ir, kai taikytina, Tarpinstitucine kibernetinio saugumo taryba, įsteigta pagal Reglamento (ES, Euratomas) 2023/2841 10 straipsnį (toliau – TKST). Įtraukdama į aprašą informaciją apie paslaugų prieinamumą, ENISA taip pat konsultuojasi su atitinkamais kibernetinio saugumo pramonės suinteresuotaisiais subjektais, įskaitant valdomų saugumo paslaugų teikėjus. ENISA, informavusi Tarybą ir pasikonsultavusi su EU-CyCLONe, Komisija ir, kai aktualu, vyriausiuoju įgaliotiniu, parengia panašų aprašą, siekdama nustatyti šio straipsnio 3 dalies c punkte nurodytų naudotojų poreikius.

7. Komisijai pagal 23 straipsnį suteikiami įgaliojimai priimti deleguotuosius aktus, siekiant papildyti šį reglamentą, nustatant ES kibernetinio saugumo rezervui reikalingų reagavimo paslaugų rūšis ir skaičių. Rengdama tuos deleguotuosius aktus Komisija atsižvelgia į šio straipsnio 6 dalyje nurodytą aprašą ir gali keistis patarimais ir bendradarbiauti su TIS bendradarbiavimo grupe ir ENISA.