21 straipsnis. Europos kibernetinio saugumo incidentų peržiūros mechanizmas

1. Komisijos arba EU-CyCLONe prašymu ENISA, padedama CSIRT tinklo ir gavusi atitinkamų valstybių narių pritarimą, peržiūri ir įvertina su konkrečiu reikšmingu kibernetinio saugumo incidentu arba didelio masto kibernetinio saugumo incidentu susijusias kibernetines grėsmes, žinomus pažeidžiamumus, kuriuos galima išnaudoti, ir poveikio mažinimo veiksmus. Užbaigusi incidento peržiūrą ir vertinimą ir siekdama, kad įgyta patirtis padėtų išvengti incidentų ateityje ar sumažinti jų padarinius, ENISA pateikia incidento peržiūros ataskaitą EU-CyCLONe, CSIRT tinklui, atitinkamoms valstybėms narėms ir Komisijai, kad padėtų joms atlikti savo užduotis, visų pirma Direktyvos (ES) 2022/2555 15 ir 16 straipsniuose nustatytas užduotis. Kai incidentas daro poveikį SEP asocijuotajai trečiajai valstybei, ENISA šią ataskaitą pateikia Tarybai. Tokiais atvejais Komisija tą ataskaitą pateikia vyriausiajam įgaliotiniui.

2. Rengdama šio straipsnio 1 dalyje nurodytą incidento peržiūros ataskaitą, ENISA bendradarbiauja su visais atitinkamais suinteresuotaisiais subjektais, įskaitant valstybių narių atstovus, Komisiją, kitas atitinkamas Sąjungos institucijas, organus, įstaigas ir agentūras, pramonę, įskaitant valdomų saugumo paslaugų teikėjus, ir kibernetinio saugumo paslaugų naudotojus, ir renka iš jų grįžtamąją informaciją. Kai tinkama, ENISA, bendradarbiaudama su CSIRT ir, kai tinkama, kompetentingomis institucijomis paskirtomis arba įsteigtomis pagal Direktyvos (ES) 2022/2555 8 straipsnio 1 dalį, taip pat bendradarbiauja su subjektais, paveiktais reikšmingų kibernetinio saugumo incidentų arba didelio masto kibernetinio saugumo incidentų. Atstovai, su kuriais konsultuojamasi, turi atskleisti informaciją apie bet kokį galimą interesų konfliktą.

3. Šio straipsnio 1 dalyje nurodytoje incidento peržiūros ataskaitoje pateikiama konkretaus reikšmingo kibernetinio saugumo incidento arba didelio masto kibernetinio saugumo incidento apžvalga ir analizė, apimanti pagrindines priežastis, žinomus pažeidžiamumus, kuriuos galima išnaudoti, ir įgytą patirtį. ENISA užtikrina, kad ataskaita atitiktų Sąjungos ar nacionalinę teisę dėl neskelbtinos ar įslaptintos informacijos apsaugos. Jei to prašo atitinkamos valstybės narės arba kiti 14 straipsnio 3 dalyje nurodyti naudotojai, kuriuos paveikė incidentas, ataskaitoje pateikiami duomenys ir informacija turi būti anonimizuoti. Joje nepateikiama jokios informacijos apie aktyviai išnaudotus pažeidžiamumus, kurie dar nepašalinti.

4. Kai tinkama, incidento peržiūros ataskaitoje pateikiamos rekomendacijos, kaip pagerinti Sąjungos kibernetinio saugumo būklę, ir joje gali būti pateikta geriausios praktikos pavyzdžių ir patirties, įgytos iš atitinkamų suinteresuotųjų subjektų.

5. ENISA gali paskelbti viešai prieinamą incidento peržiūros ataskaitos versiją. Toje ataskaitos versijoje pateikiama tik patikima vieša informacija arba kita patikima informacija gavus atitinkamų valstybių narių sutikimą, o informacijos, susijusios su 14 straipsnio 3 dalies b arba c punkte nurodytu naudotoju, atveju – gavus to naudotojo sutikimą.