17 straipsnis. Patikimi valdomų saugumo paslaugų teikėjai

1. Viešojo pirkimo procedūrose, vykdomose siekiant sukurti ES kibernetinio saugumo rezervą, perkančioji organizacija veikia laikydamasi Reglamente (ES, Euratomas) 2024/2509 nustatytų principų ir šių principų:

a) užtikrinti, kad į ES kibernetinio saugumo rezervą įtrauktos paslaugos kaip visuma būtų tokios, kad ES kibernetinio saugumo rezervas apimtų paslaugas, kurios gali būti diegiamos visose valstybėse narėse, visų pirma atsižvelgiant į nacionalinius tokių paslaugų teikimo reikalavimus, įskaitant kalbų, sertifikavimo ar akreditavimo reikalavimus;

b) užtikrinti esminių Sąjungos ir jos valstybių narių saugumo interesų apsaugą;

c) užtikrinti, kad ES kibernetinio saugumo rezervas duotų Sąjungos pridėtinę vertę – padėtų siekti Reglamento (ES) 2021/694 3 straipsnyje nustatytų tikslų, be kita ko, skatinant kibernetinio saugumo įgūdžių ugdymą Sąjungoje.

2. Pirkdama ES kibernetinio saugumo rezervui skirtas paslaugas, perkančioji organizacija į pirkimo dokumentus įtraukia šiuos kriterijus ir reikalavimus:

a) paslaugų teikėjas turi įrodyti, kad jo darbuotojams būdingas aukščiausio lygio profesinis sąžiningumas, nepriklausomumas, atsakomybė ir reikiama techninė kompetencija, kad galėtų vykdyti veiklą savo konkrečioje srityje, ir užtikrina ekspertinių žinių pastovumą ir tęstinumą, taip pat reikiamus techninius išteklius;

b) paslaugų teikėjas ir visos atitinkamos patronuojamosios įmonės bei subrangovai turi laikytis taikytinų įslaptintos informacijos apsaugos taisyklių ir taikyti tinkamas priemones, įskaitant, kai aktualu, tarpusavio susitarimus, kad apsaugotų su paslauga susijusią konfidencialią informaciją, visų pirma įrodymus, išvadas ir ataskaitas;

c) paslaugų teikėjas turi tinkamai įrodyti, kad jo valdymo struktūra yra skaidri, dėl jos nekyla pavojus jo nešališkumui ir paslaugų kokybei ir negali kilti interesų konfliktų;

d) paslaugų teikėjas turi būti atlikęs tinkamą patikimumo patikrinimą, bent jau personalo, kurį ketina priskirti paslaugoms teikti, kai to reikalauja valstybė narė;

e) paslaugų teikėjas turi užtikrinti tinkamą savo IT sistemų saugumo lygį;

f) paslaugų teikėjas turi turėti aparatinę ir programinę įrangą, kurios reikia prašomai paslaugai teikti ir kuri neturi žinomų išnaudojamų pažeidžiamumų, apima naujausius saugumo naujinius ir bet kuriuo atveju atitinka visas taikytinas Europos Parlamento ir Tarybos reglamento (ES) 2024/2847 nuostatas; nuostatas;

g) paslaugų teikėjas turi gebėti įrodyti, kad turi panašių paslaugų teikimo atitinkamoms nacionalinėms institucijoms, subjektams, vykdantiems veiklą ypatingos svarbos sektoriuose, arba subjektams, vykdantiems veiklą kituose itin svarbiuose sektoriuose, patirties;

h) paslaugų teikėjas turi gebėti suteikti paslaugą per trumpą laikotarpį valstybėse narėse, kuriose jis gali teikti paslaugą;

i) paslaugų teikėjas turi galėti teikti paslaugą viena ar daugiau Sąjungos institucijų arba valstybės narės oficialiųjų kalbų, jei to reikalauja valstybės narės arba 14 straipsnio 3 dalies b ir c punktuose nurodyti naudotojai, jei paslaugų teikėjas gali suteikti tokią paslaugą;

j) kai pagal Reglamentą (ES) 2019/881 bus įdiegta valdomų saugumo paslaugų Europos kibernetinio saugumo sertifikavimo sistema, paslaugų teikėjas turės būti sertifikuotas pagal tą sistemą per 2 metus nuo tos sistemos taikymo pradžios;

k) paslaugų teikėjas į pasiūlymą turi įtraukti bet kokios nepanaudotos reagavimo į incidentus paslaugos, kuri galėtų būti paversta parengties paslaugomis, glaudžiai susijusiomis su reagavimu į incidentus, pavyzdžiui, pratybomis ar mokymais, konvertavimo sąlygas.

3. Paslaugų pirkimo ES kibernetinio saugumo rezervui tikslu perkančioji organizacija, glaudžiai bendradarbiaudama su valstybėmis narėmis, prireikus, gali parengti kriterijus ir reikalavimus, papildančius 2 dalyje nurodytus kriterijus.