16 straipsnis. ES kibernetinio saugumo rezervo paramos įgyvendinimas

1. 14 straipsnio 3 dalies a ir b punktuose nurodytų naudotojų prašymų atveju prašymus suteikti paramą iš ES kibernetinio saugumo rezervo vertina perkančioji organizacija. Siekiant užtikrinti paramos veiksmingumą, atsakymas 14 straipsnio 3 dalies a ir b punktuose nurodytiems naudotojams perduodamas nedelsiant ir bet kuriuo atveju ne vėliau kaip per 48 valandas nuo prašymo pateikimo. Perkančioji organizacija informuoja Tarybą ir Komisiją apie proceso rezultatus.

2. Kiek tai susiję su informacija, kuria dalijamasi prašant ES kibernetinio saugumo rezervo paslaugų ir jas teikiant, visos šalys, dalyvaujančios taikant šį reglamentą:

a) užtikrina, kad ta informacija būtų naudojama ir ja būtų dalijamasi tik tiek, kiek tai būtina jų pareigoms ar funkcijoms pagal šį reglamentą vykdyti;

b) naudoja konfidencialią arba pagal Sąjungos ir nacionalinę teisę įslaptintą informaciją ir ja dalijasi tik pagal tą teisę, ir

c) užtikrina veiksmingą, efektyvų ir saugų keitimąsi informacija, kai tinkama, naudojant atitinkamus dalijimosi informacija protokolus, įskaitant Srauto kontrolės protokolą, ir jų laikantis.

3. Vertindama atskirus prašymus pagal 16 straipsnio 1 dalį ir 19 straipsnio 10 dalį, perkančioji organizacija arba, kai taikytina, Komisija pirmiausia įvertina, ar tenkinami 15 straipsnio 1 ir 2 dalyse nurodyti kriterijai. Jei taip yra, jos įvertina, kokia paramos trukmė ir pobūdis yra tinkami, atsižvelgdamos į 1 straipsnio 3 dalies b punkte nurodytą tikslą ir, kai aktualu, į šiuos kriterijus:

a) incidento mastą ir sunkumą;

b) paveikto subjekto rūšį, didesnę pirmenybę teikiant incidentams, darantiems poveikį esminiams subjektams, nurodytiems Direktyvos (ES) 2022/2555 3 straipsnio 1 dalyje;

c) galimą poveikį paveiktoms valstybėms narėms, Sąjungos institucijoms, organams, įstaigoms ar agentūroms, arba SEP asocijuotosioms trečiosioms valstybėms;

d) galimą incidento tarpvalstybinį pobūdį ir išplitimo į kitas valstybes nares, Sąjungos institucijas, organus, įstaigas ar agentūras arba SEP asocijuotąsias trečiąsias valstybes riziką;

e) priemones, kurių naudotojas ėmėsi siekdamas padėti reaguoti, ir pradinio veiklos atkūrimo pastangas, nurodytas 15 straipsnio 2 dalyje.

4. Kai vienu metu pateikiami keli 14 straipsnio 3 dalyje nurodytų naudotojų prašymai, siekiant nustatyti jų pirmenybę, kai aktualu, atsižvelgiama į šio straipsnio 3 dalyje nurodytus kriterijus, nedarant poveikio lojalaus valstybių narių ir Sąjungos institucijų, organų, įstaigų ir agentūrų bendradarbiavimo principui. Kai du ar daugiau prašymų vertinami kaip lygiaverčiai pagal tuos kriterijus, pirmenybė teikiama valstybių narių naudotojų prašymams. Kai pagal 14 straipsnio 5 dalį ENISA visiškai arba iš dalies patikėtas ES kibernetinio saugumo rezervo veikimas ir administravimas, ENISA ir Komisija glaudžiai bendradarbiauja, kad pagal šią dalį nustatytų prašymų pirmenybę.

5. ES kibernetinio saugumo rezervo paslaugos teikiamos pagal konkrečius patikimo valdomų saugumo paslaugų teikėjo ir naudotojo, kuriam teikiama parama iš ES kibernetinio saugumo rezervo, susitarimus. Tos paslaugos gali būti teikiamos pagal konkrečius patikimo valdomų saugumo paslaugų teikėjo, naudotojo ir paveikto subjekto susitarimus. Į visus šioje dalyje nurodytus susitarimus įtraukiamos, be kita ko, atsakomybės sąlygos.

6. 5 dalyje nurodyti susitarimai grindžiami šablonais, kuriuos rengia ENISA, pasikonsultavusi su valstybėmis narėmis ir, prireikus, su kitais ES kibernetinio saugumo rezervo naudotojais.

7. Komisija, ENISA ir ES kibernetinio saugumo rezervo naudotojai neprisiima sutartinės atsakomybės už žalą, sukeltą trečiosioms valstybėms dėl paslaugų, teikiamų įgyvendinant ES kibernetinio saugumo rezervą.

8. Naudotojai gali naudotis ES kibernetinio saugumo rezervo paslaugomis, teikiamomis atsakant į prašymą pagal 15 straipsnio 1 dalį, tik tam, kad padėtų reaguoti į reikšmingus kibernetinio saugumo incidentus, didelio masto kibernetinio saugumo incidentus arba didelio masto incidentams lygiaverčius kibernetinio saugumo incidentus ir inicijuoti veiklos atkūrimą po tokių incidentų. Tomis paslaugomis jie gali naudotis tik jeigu tai susiję su:

a) 14 straipsnio 3 dalies a punkte nurodytų naudotojų atveju – subjektais, vykdančiais veiklą ypatingos svarbos sektoriuose, arba subjektais, vykdančiais veiklą kituose itin svarbiuose sektoriuose, o 14 straipsnio 3 dalies c punkte nurodytų naudotojų atveju – lygiaverčiais subjektais, ir

b) 14 straipsnio 3 dalies b punkte nurodyto naudotojo atveju – Sąjungos institucijomis, organais, įstaigomis ir agentūromis.

9. Per du mėnesius nuo paramos pabaigos visi paramą gavę naudotojai pateikia apibendrinamąją suteiktos paslaugos, pasiektų rezultatų ir įgytos patirties ataskaitą:

a) 14 straipsnio 3 dalies a punkte nurodytų naudotojų atveju – Komisijai, ENISA, CSIRT tinklui ir EU-CyCLONe;

b) 14 straipsnio 3 dalies b punkte nurodyto naudotojo atveju – Komisijai, ENISA ir TKST;

c) 14 straipsnio 3 dalies c punkte nurodytų naudotojų atveju – Komisijai.

Visas apibendrinamąsias ataskaitas, gautas iš 14 straipsnio 3 dalyje nurodytų naudotojų pagal šios dalies pirmos pastraipos c punktą, Komisija perduoda Tarybai ir vyriausiajam įgaliotiniui.

10. Jei pagal šio reglamento 14 straipsnio 5 dalį ENISA visiškai arba iš dalies pavestas ES kibernetinio saugumo rezervo veikimas ir administravimas, ENISA tuo klausimu reguliariai teikia ataskaitas Komisijai ir su ja konsultuojasi. Tomis aplinkybėmis ENISA nedelsdama siunčia Komisijai visus prašymus, kuriuos ji gauna iš šio reglamento 14 straipsnio 3 dalies c punkte nurodytų naudotojų, ir, kai to reikia prioritetų nustatymo pagal šį straipsnį tikslais, visus prašymus, kuriuos ji gavo iš šio reglamento 14 straipsnio 3 dalies a arba b punkte nurodytų naudotojų. Šioje dalyje nustatytomis pareigomis nedaromas poveikis Reglamento (ES) 2019/881 14 straipsniui.

11. 14 straipsnio 3 dalies a ir b punktuose nurodytų naudotojų atveju perkančioji organizacija reguliariai ir bent du kartus per metus teikia ataskaitas TIS bendradarbiavimo grupei apie paramos naudojimą ir rezultatus.

12. 14 straipsnio 3 dalies c punkte nurodytų naudotojų atveju Komisija reguliariai, bent du kartus per metus, teikia ataskaitas Tarybai ir informuoja vyriausiąjį įgaliotinį apie paramos naudojimą ir rezultatus.