Document UE

Consolidarea capacității tuturor instituțiilor, organismelor și agențiilor Uniunii Europene de a aborda amenințările și vulnerabilitățile cibernetice și de a preveni, a detecta și a combate atacurile cibernetice îndreptate împotriva propriilor infrastructuri de tehnologie a informației și comunicațiilor (TIC) reprezintă în continuare o prioritate esențială, funcționarea rețelelor și sistemelor TIC fiind critică pentru capacitatea acestora de a își îndeplini misiunile.

În urma unei inițiative a vicepreședinților Comisiei, Neelie Kroes și Maroš Ševčovič, secretarii generali ai instituțiilor și organismelor Uniunii au decis, în luna mai 2011, să constituie o echipă de preconfigurare a unui centru de răspuns la incidente de securitate cibernetică pentru instituțiile, organismele și agențiile Uniunii (CERT-UE), supervizată de un comitet director interinstituțional.

În iulie 2012, secretarii generali au confirmat modalitățile practice și au convenit să mențină CERT-UE ca entitate permanentă, pentru a contribui în continuare la îmbunătățirea nivelului general de securitate a tehnologiei informației (TI) la nivelul instituțiilor, organismelor și agențiilor Uniunii, ca exemplu de cooperare interinstituțională vizibilă în domeniul securității cibernetice.

Evaluările realizate în 2014 și 2016 au arătat că CERT-UE a continuat să se maturizeze, ajungând în prezent la stadiul în care ar trebui formalizat, cu o structură de guvernanță și financiară mai durabilă și mai transparentă.

Directiva (UE) 2016/1148 a Parlamentului European și a Consiliului (Directiva privind securitatea rețelelor și a informațiilor) instituie o rețea de centre de răspuns la incidente de securitate cibernetică (CSIRT), care urmează să fie compusă din reprezentanți ai CSIRT ale statelor membre și ai CERT-UE, pentru a contribui la dezvoltarea încrederii între statele membre și pentru a promova cooperarea operațională rapidă și eficace.

Structura de guvernanță a CERT-UE ar trebui să stabilească rolul și atribuțiile CERT-UE, responsabilitățile șefului acestuia, rolul și atribuțiile comitetului său director, precum și responsabilitățile instituțiilor, organismelor și agențiilor Uniunii în ceea ce privește sprijinirea CERT-UE.

CERT-UE ar trebui să beneficieze de resurse financiare și de personal durabile, asigurând totodată cel mai bun raport calitate-preț și un nucleu adecvat de personal permanent, menținând la minimum cheltuielile indirecte ale CERT-UE.

Prezentul acord este semnat de instituțiile și organismele participante ale Uniunii, în urma încheierii de către acestea a procedurilor lor interne respective în acest scop; agențiile Uniunii enumerate în anexa I care sunt responsabile de propria lor infrastructură TIC au confirmat oficial în scris președintelui comitetului director al CERT-UE faptul că vor aplica acordul,

Obiectivul prezentului acord este de a stabili normele privind funcționarea și organizarea Centrului interinstituțional de răspuns la incidente de securitate cibernetică pentru instituțiile, organismele și agențiile Uniunii (CERT-UE).

Misiunea CERT-UE este de a contribui la securitatea infrastructurii TIC a tuturor instituțiilor, organismelor și agențiilor Uniunii (entitățile constitutive), prin contribuția sa la prevenirea, detectarea, atenuarea atacurilor cibernetice și răspunsul la acestea, precum și prin acțiunea sa în calitate de centru de coordonare a schimbului de informații și a răspunsului la incidente de securitate cibernetică pentru entitățile constitutive.

CERT-UE colectează, gestionează, analizează și face schimb de informații cu entitățile constitutive cu privire la amenințările, vulnerabilitățile și incidentele legate de infrastructura TIC neclasificată. CERT-UE coordonează răspunsurile la incidente la nivel interinstituțional și la nivelul entităților constitutive, inclusiv prin furnizarea de asistență operațională specializată sau prin coordonarea acesteia.

CERT-UE oferă servicii CERT standard pentru toate entitățile constitutive. Catalogul care prezintă oferta detaliată de servicii a CERT-UE și eventualele actualizări ale acestuia sunt aprobate de comitetul director. Atunci când revizuiește lista de servicii, șeful CERT-UE ține seama de resursele care i-au fost alocate.

CERT-UE poate monitoriza traficul în rețea al entităților constitutive, cu aprobarea entităților constitutive relevante.

CERT-UE poate oferi entităților constitutive asistență referitoare la incidentele privind rețelele și sistemele IT clasificate, dacă i se solicită explicit acest lucru de către entitatea constitutivă vizată.

CERT-UE nu inițiază activități și nici nu intervine cu bună-știință în nicio chestiune din sfera de competență a serviciilor naționale de securitate și de informații, sau a serviciilor sau departamentelor specializate din cadrul entităților constitutive. Orice contacte cu CERT-UE, inițiate sau solicitate de către serviciile naționale de securitate și de informații, sunt comunicate fără întârziere Direcției Securitate a Comisiei și președintelui comitetului director al CERT-UE.

CERT-UE informează entitățile constitutive cu privire la procedurile și procesele sale de gestionare a incidentelor.

La solicitarea explicită a departamentelor tematice ale entităților constitutive, CERT-UE își poate prezenta avizul tehnic sau contribuția cu privire la aspecte de politică relevante.

CERT-UE și entitățile constitutive își desfășoară activitatea pe baza principiului partajării informațiilor în funcție de nevoi, sub rezerva alineatului (3). CERT-UE se asigură că sunt disponibile mijloace eficiente de comunicare, în scopul de a facilita schimbul de informații cu entitățile constitutive.

Entitățile constitutive furnizează CERT-UE informații cu privire la amenințările și vulnerabilitățile în materie de securitate cibernetică care le afectează. Atunci când este informat cu privire la o amenințare sau o vulnerabilitate care afectează sau care poate afecta o entitate constitutivă, CERT-UE avertizează entitatea constitutivă vizată, furnizându-i toate informațiile relevante, inclusiv nivelul de gravitate, cât mai curând posibil, astfel încât să permită punerea în aplicare a unor măsuri de protecție sau de remediere. CERT-UE poate oferi asistență privind astfel de măsuri de protecție sau de remediere. În cazul în care amenințarea sau vulnerabilitatea are potențialul de a afecta alte entități constitutive, acestea sunt informate în acest sens.

Entitățile constitutive informează CERT-UE, fără întârzieri nejustificate, în cazul în care se confruntă cu un incident cibernetic semnificativ, și furnizează toate detaliile tehnice relevante, cu excepția cazului în care acest lucru ar pune în pericol interesele în materie de securitate ale unei entități constitutive sau ale unui terț. Orice incident este considerat important, cu excepția cazului în care este repetitiv sau elementar și cel mai probabil a fost deja bine înțeles ca metodă și tehnologii. Informațiile fără caracter tehnic pot fi partajate cu CERT-UE, la aprecierea entității constitutive afectate. Informațiile privind incidentele comunicate către CERT-UE nu sunt partajate în afara CERT-UE, nici măcar în formă anonimizată, cu excepția cazului în care entitatea constitutivă afectată și-a dat consimțământul în acest sens. Pentru a se pregăti pentru situațiile în care informațiile trebuie partajate rapid pentru a proteja rețelele și sistemele entităților constitutive, CERT-UE colaborează în prealabil cu entitățile constitutive cu privire la modalitatea de realizare a acestui lucru.

CERT-UE, acționând în dialog cu entitățile constitutive, menține un catalog al expertizei disponibile în rândul acestora care ar putea fi utilizată, în limita mijloacelor și a capacităților, în cazul unor incidente cibernetice majore care afectează una sau mai multe dintre acestea. Dacă este cazul, CERT-UE poate să organizeze și să coordoneze schimbul de informații și asistența tehnică în mod direct între entitățile constitutive, pentru a soluționa un incident de securitate cibernetică.

În limita competențelor sale, CERT-UE cooperează îndeaproape cu Agenția Uniunii Europene pentru Securitatea Rețelelor și a Informațiilor (ENISA) și cu Centrul european de combatere a criminalității informatice din cadrul Europol.

CERT-UE face schimb de informații privind anumite incidente cu autoritățile de aplicare a legii, numai cu acordul prealabil al serviciilor competente ale entității sau entităților constitutive relevante.

CERT-UE păstrează o evidență a tuturor informațiilor comunicate entităților constitutive și partajate cu alte părți. Entitățile constitutive pot solicita ca CERT-UE să furnizeze detalii cu privire la informațiile partajate cu alte părți.

În cazul în care este necesar, CERT-UE poate încheia acorduri privind nivelul serviciilor sau de cooperare cu orice entități constitutive pentru furnizarea de servicii CERT. De asemenea, CERT-UE poate încheia acorduri privind nivelul serviciilor sau de cooperare privind furnizarea de servicii CERT în schimbul unei plăți, pentru operațiile civile ale UE de gestionare a crizelor, în temeiul titlului V capitolul 2 din Tratatul privind Uniunea Europeană. În fiecare caz, aceste acorduri privind nivelul serviciilor sau de cooperare sunt supuse aprobării comitetului director.

CERT-UE cooperează și face schimb de informații cu CERT sau CSIRT naționale sau guvernamentale ale statelor membre cu privire la amenințări, vulnerabilități și incidente de securitate cibernetică, la posibile contramăsuri și la toate chestiunile relevante pentru îmbunătățirea protecției infrastructurii TIC a entităților constitutive, inclusiv prin intermediul rețelei CSIRT menționate la articolul 12 din Directiva privind securitatea rețelelor și a informațiilor.

CERT-UE cooperează cu CERT ale statelor membre pentru a colecta informații privind amenințări generale și specifice la adresa entităților constitutive, precum și privind instrumente sau metode, inclusiv tehnici, tactici și proceduri, bune practici și vulnerabilități generale, pentru a le disemina către entitățile sale constitutive. CERT-UE poate face schimb de informații privind instrumente sau metode, inclusiv tehnici, tactici și proceduri, bune practici și amenințări și vulnerabilități generale cu astfel de CERT.

CERT-UE poate face schimb de informații specifice incidentelor cu astfel de CERT, cu consimțământul entității constitutive afectate.

CERT-UE poate colabora cu CERT specifice unor sectoare industriale și cu CERT din afara UE cu privire la instrumente și metode, precum tehnici, tactici și proceduri, cu privire la bune practici și la amenințări și vulnerabilități generale. Pentru orice formă de cooperare cu astfel de CERT, inclusiv într-un cadru în care CERT din afara UE cooperează cu CERT din statele membre, CERT-UE solicită aprobarea prealabilă a comitetului director.

CERT-UE poate coopera cu alți parteneri, precum entități comerciale sau experți individuali, pentru a colecta informații cu privire la amenințări și vulnerabilități, generale și specifice, precum și posibile contramăsuri. Pentru o cooperare mai extinsă cu astfel de parteneri, CERT-UE solicită aprobarea prealabilă a comitetului director.

Sub rezerva existenței unui acord sau a unui contract de nedivulgare de informații cu partenerul relevant, CERT-UE poate, cu consimțământul entității constitutive afectate, să furnizeze respectivilor parteneri informații privind un anumit incident petrecut la o entitate constitutivă, astfel încât partenerii să poată contribui la analiza incidentului respectiv. Aceste acorduri sau contracte de nedivulgare de informații sunt supuse unei verificări juridice în conformitate cu procedurile interne ale Comisiei. Acordurile sau contractele de nedivulgare de informații nu necesită aprobarea prealabilă a comitetului director, dar președintele acestuia trebuie să fie informat.

În mod excepțional, CERT-UE poate încheia acorduri privind nivelul serviciilor cu alte entități decât entitățile constitutive, cu aprobarea prealabilă a comitetului director.

Șeful CERT-UE este responsabil pentru buna funcționare a CERT-UE, în limita competențelor sale, sub conducerea comitetului director. Acesta este responsabil de punerea în aplicare a direcției strategice, orientării, obiectivelor și priorităților stabilite de comitetul director, precum și de buna gestionare a CERT-UE, inclusiv a resurselor sale financiare și umane. Acesta raportează periodic președintelui comitetului director.

Șeful CERT-UE este obligat să respecte normele aplicabile Comisiei și acționează în calitate de ordonator de credite subdelegat atunci când execută bugetul general al Uniunii Europene, în conformitate cu normele interne relevante ale Comisiei privind delegarea de competențe și limitele în astfel de cazuri. Acesta acționează sub autoritatea Comisiei exclusiv în scopul aplicării normelor și procedurilor administrative și financiare.

Șeful CERT-UE prezintă comitetului director rapoarte trimestriale privind performanța CERT-UE, execuția bugetului, contracte sau alte acorduri încheiate și misiunile întreprinse de personal. Acesta transmite, de asemenea, un raport anual comitetului director în temeiul articolului 8 alineatul (1) litera (e).

Șeful CERT-UE acordă ordonatorului de credite delegat responsabil asistență la întocmirea raportului de activitate anual, care conține informații financiare și de gestiune, inclusiv rezultatele controalelor, în conformitate cu articolul 66 alineatul (9) din Regulamentul financiar, și îi raportează periodic acestuia cu privire la punerea în aplicare a măsurilor pentru care i-au fost subdelegate competențe.

Șeful CERT-UE întocmește anual un plan financiar al veniturilor și cheltuielilor administrative pentru activitățile sale, care trebuie să fie aprobat de comitetul director în conformitate cu articolul 8 alineatul (1) litera (c).

Comitetul director oferă CERT-UE o direcție strategică și orientări și monitorizează punerea în aplicare a priorităților și a obiectivelor sale generale. Membrii săi sunt reprezentanți ai personalului de conducere de nivel superior desemnați de fiecare dintre părțile semnatare ale prezentului acord, precum și de ENISA, care reprezintă interesele agențiilor incluse în anexa I care își gestionează propriile infrastructuri TIC. Membrii pot fi asistați de un supleant. Alți reprezentanți ai entităților constitutive pot fi invitați de președinte să asiste la reuniunile comitetului director.

Comitetul director numește un președinte din rândul membrilor săi, pentru o perioadă de doi ani. Supleantul acestuia devine membru cu drepturi depline al comitetului pentru aceeași durată.

Comitetul director se reunește la inițiativa președintelui său sau la cererea oricăruia dintre membrii săi. Acesta adoptă regulamentul intern de procedură.

Fiecare semnatar al prezentului acord și ENISA dețin câte un vot, exercitat de membrul sau membrii corespunzători. Deciziile comitetului director sunt adoptate cu majoritate simplă, cu excepția cazurilor în care se prevede altfel. Președintele votează numai în cazul egalității de voturi, atunci când își poate exercita un vot decisiv.

În cazul în care se impune luarea unor decizii urgente din motive operaționale, comitetul director poate, în mod excepțional, să acționeze pe baza acordului exprimat de președinte și de membrii numiți de Comisia Europeană, Consiliu, Parlamentul European și entitatea sau entitățile constitutive afectate.

Comitetul director poate acționa printr-o procedură scrisă simplificată inițiată de președinte, în temeiul căreia decizia relevantă este considerată aprobată în termenul stabilit de președinte, cu excepția cazului în care un membru formulează obiecții.

Șeful CERT-UE participă la reuniunile comitetului director, cu excepția cazului în care acesta din urmă decide altfel.

Secretariatul comitetului director este asigurat de instituția al cărei reprezentant al conducerii de nivel superior este președinte.

Secretariatul informează agențiile Uniunii enumerate în anexa I cu privire la deciziile comitetului director. Orice agenție a Uniunii are dreptul să supună atenției președintelui comitetului director orice chestiune care, în opinia sa, ar trebui adusă în atenția comitetului director.

În ceea ce privește furnizarea de direcție strategică și orientări către CERT-UE, comitetul director își exercită, în special, următoarele atribuții:

aprobă, pe baza unei propuneri din partea șefului CERT-UE, programul anual de lucru pentru CERT-UE și monitorizează punerea în aplicare a acestuia;

aprobă, pe baza unei propuneri din partea șefului CERT-UE, catalogul de servicii al CERT-UE;

aprobă, pe baza unei propuneri înaintate de șeful CERT-UE, planul financiar al veniturilor și cheltuielilor, inclusiv în ceea ce privește personalul, pentru activitățile CERT-UE;

aprobă în fiecare an, pe baza unei propuneri din partea șefului CERT-UE, creditele anuale care vor fi prevăzute pentru serviciile care urmează să fie prestate entităților constitutive și terților care au încheiat acorduri privind nivelul serviciilor cu CERT-UE;

examinează și aprobă raportul anual întocmit de șeful CERT-UE, care acoperă activitățile și gestionarea fondurilor de către CERT-UE;

aprobă și monitorizează indicatorii de performanță-cheie pentru CERT-UE, definiți pe baza propunerii șefului CERT-UE;

aprobă documentele CERT-UE care stabilesc politicile și orientările generale prin care se recomandă bune practici în materie de securitate TIC care trebuie urmate de entitățile constitutive;

aprobă acordurile de cooperare, acordurile privind nivelul serviciilor sau contractele dintre CERT-UE și alte entități, în conformitate cu articolul 3 alineatul (8) și cu articolul 5 alineatul (4);

instituie, în funcție de necesități, grupuri consultative tehnice pentru a sprijini activitatea comitetului director, stabilește mandatul și desemnează președintele acestora şi

modifică lista agențiilor Uniunii care aplică prezentul acord, astfel cum figurează în anexa I.

Președintele poate reprezenta comitetul director sau acționa în numele acestuia, în conformitate cu modalitățile convenite de comitetul director.

Deși este instituit ca un furnizor de servicii interinstituțional autonom pentru toate instituțiile, organismele și agențiile Uniunii, CERT-UE este integrat în structura administrativă a unei direcții generale a Comisiei, pentru a beneficia de structurile de sprijin de ordin administrativ, de gestiune financiară și contabile ale Comisiei. Comisia informează comitetul director cu privire la amplasarea administrativă a CERT-UE și la eventuale modificări ale acesteia.

După obținerea unei aprobări unanime din partea comitetului director, Comisia numește șeful CERT-UE. Comitetul director este consultat în toate etapele procedurii care precede numirea șefului CERT-UE, în special în ceea ce privește elaborarea anunțurilor privind posturile vacante, examinarea dosarelor de candidatură și desemnarea comitetelor de selecție pentru acest post.

Funcționarii tuturor instituțiilor și organismelor Uniunii sunt informați cu privire la orice anunț de post vacant pentru posturile din cadrul CERT-UE.

Sub rezerva prerogativelor autorității bugetare a Uniunii, instituțiile și organismele Uniunii care participă la prezentul acord, cu excepția Curții de Conturi Europene, a Băncii Centrale Europene și a Băncii Europene de Investiții, se angajează să transfere sau să cesioneze către CERT-UE numărul de posturi prevăzut în anexa II înainte de exercițiul bugetar 2019 sau în orice alt mod prevăzut în anexa II. Instituțiile și organismele Uniunii care cesionează sau transferă numărul definit de posturi beneficiază de servicii complete din partea CERT-UE. Numărul de posturi prevăzut în anexa II se revizuiește cel puțin o dată la cinci ani.

CERT-UE poate conveni cu instituțiile și organismele participante ale Uniunii cu privire la alocarea temporară de personal suplimentar către CERT-UE.

Curtea de Conturi Europeană, Banca Centrală Europeană și Banca Europeană de Investiții încheie acorduri privind nivelul serviciilor referitoare la serviciile oferite de CERT-UE în conformitate cu catalogul său de servicii și la compensarea financiară anuală care trebuie acordată de fiecare dintre aceste instituții, în conformitate cu anexa II, la începutul fiecărui exercițiu financiar în schimbul serviciilor furnizate de CERT-UE pe parcursul exercițiului financiar anterior.

Compensarea financiară care trebuie acordată de fiecare agenție a Uniunii pentru a acoperi costurile ofertei de servicii a CERT-UE este convenită cu agențiile respective și este inclusă în cadrul administrativ general care reglementează furnizarea de servicii ale Comisiei către agențiile Uniunii.

Șeful CERT-UE raportează în fiecare an cuantumul compensării financiare anuale care trebuie acordată de entitățile constitutive care au încheiat acorduri privind nivelul serviciilor cu CERT-UE, în temeiul alineatului (6), precum și de agențiile Uniunii, în temeiul alineatului (7). Comitetul director revizuiește în fiecare an acest cuantum al compensării financiare anuale.

Gestiunea bugetară și financiară a activităților CERT-UE, inclusiv a veniturilor alocate de alte instituții sau organisme ale Uniunii, este realizată de Comisie în conformitate cu Regulamentul (UE, Euratom) nr. 966/2012 al Parlamentului European și al Consiliului privind normele financiare aplicabile bugetului general al Uniunii și cu alte norme și reglementări relevante. Orice credite sau venituri bugetare puse la dispoziția CERT-UE pe baza unor acorduri privind nivelul serviciilor sunt identificate ca atare în cadrul planurilor financiare ale acestuia.

CERT-UE și entitățile constitutive tratează orice informație primită de la o altă entitate constitutivă sau de la un terț ca fiind supusă obligației de păstrare a secretului profesional, în conformitate cu articolul 339 din Tratatul privind funcționarea Uniunii Europene sau cadrele echivalente aplicabile. Acestea nu dezvăluie nicio astfel de informație terților, cu excepția cazului în care sunt autorizate explicit în acest sens de către entitatea constitutivă sau terțul în cauză.

Prelucrarea datelor cu caracter personal efectuată în temeiul prezentului acord face obiectul Regulamentului (CE) nr. 45/2001 al Parlamentului European și al Consiliului.

Funcția de auditor intern este exercitată de Serviciul de Audit Intern al Comisiei, cu respectarea dispozițiilor articolului 10. Comitetul director poate propune Serviciului de Audit Intern al Comisiei efectuarea anumitor audituri.

Șefului CERT-UE îi revine responsabilitatea de a răspunde întrebărilor formulate de Ombudsmanul European și de Autoritatea Europeană pentru Protecția Datelor, în conformitate cu procedurile interne ale Comisiei.

Procedurile Comisiei bazate pe Regulamentul (CE) nr. 1049/2001 al Parlamentului European și al Consiliului se aplică în ceea ce privește cererile de acces public la documentele deținute de CERT-UE, ținând cont de obligația, în temeiul regulamentului menționat, de a consulta alte entități constitutive ori de câte ori o cerere se referă la documentele lor.

Având în vedere mediul în continuă evoluție al amenințărilor cibernetice și răspunsul Uniunii la acesta, inclusiv prioritățile de politică stabilite în Strategia de securitate cibernetică a UE, comitetul director revizuiește periodic modul de organizare și de funcționare a CERT-UE. Acesta poate formula recomandări de revizuire sau modificare a prezentului acord sau orice alte recomandări pentru funcționarea eficace a CERT-UE, adresate instituțiilor și organismelor participante.

Prezentul acord se aplică instituțiilor și organismelor Uniunii care sunt semnatare ale prezentului acord, precum și agențiilor Uniunii care își gestionează propriile infrastructuri TIC, enumerate în anexa I.

Prezentul acord se aplică de la data semnării. Prezentul acord se publică în Jurnalul Oficial al Uniunii Europene.

Întocmit la Frankfurt, Luxemburg și Bruxelles, 20.12.2017.Pentru Parlamentul EuropeanSecretarul generalK. WellePentru Consiliul European și ConsiliuSecretarul generalJ. Tranholm-MikkelsenPentru Comisia EuropeanăSecretarul generalA. ItalianerPentru Curtea de Justiție a Uniunii EuropeneDirectorul general al DG InfrastructurăF. SchaffPentru Banca Centrală EuropeanăDirectorul general pentru sisteme de informațiiK. De GeestResponsabilul șef pentru serviciiM. DiemerPentru Curtea de Conturi EuropeanăSecretarul generalE. Ruiz GarcíaPentru Serviciul European de Acțiune ExternăDirectorul general pentru buget și administrațieG. Di VitaPentru Comitetul Economic și Social EuropeanSecretarul generalL. Planas PuchadesPentru Comitetul European al RegiunilorSecretarul generalJ. BuriánekPentru Banca Europeană de InvestițiiDirectorul general și controlorul financiarP. Klaedtke

ANEXA ILista agențiilor Uniunii menționate la articolul 14 alineatul (1)

ANEXA IIPosturi exprimate în echivalent normă întreagă sau contribuții bugetare angajate pentru CERT-UE de către entitățile participante

POSTURI ÎN SCHEMA DE PERSONAL

Angajamentele financiare anuale către CERT-UE

Tabelul 1

Tabelul 2