Вимоги до безпеки й повідомлення про інциденти
1. Держави-члени повинні забезпечувати, щоб оператори основних послуг вживали відповідних та пропорційних технічних та організаційних заходів для управління ризиками, пов‘язаним з безпекою мережевих та інформаційних систем, які вони використовують у своїх операціях. З огляду на новітні знання, такі заходи повинні забезпечувати рівень безпеки мережевих та інформаційних систем, що відповідає ризику, який виник.
2. Держави-члени забезпечують, щоб оператори основних послуг вживали відповідних заходів для запобігання та мінімізації впливу інцидентів, що впливають на безпеку мережевих та інформаційних систем, що використовуються для надання таких основних послуг з метою забезпечення безперервності таких послуг.
3. Держави-члени забезпечують, щоб оператори основних послуг без неналежної затримки повідомляли компетентний орган або CSIRT про інциденти, що мають значний вплив на безперервність основних послуг, які вони надають. Повідомлення повинні включати інформацію, що надає змогу компетентному органу або CSIRT визначати будь-який транскордонний вплив інциденту. Повідомлення повинне не призводити до збільшення відповідальності сторони, яка його надсилає.
4. Для визначення ступеня значності впливу інциденту, необхідно враховувати, зокрема, такі параметри:
(a) число користувачів, які піддаються негативній дії перебоїв основної послуги;
(b) тривалість інциденту;
(c) географічне поширення стосовно місцевості, яка піддається негативній дії інциденту.
5. На основі інформації, яку надав у повідомленні оператор основних послуг, компетентний орган або CSIRT інформує іншу державу-член (держави-члени), яка піддається негативній дії, про те, чи має інцидент значний вплив на безперервність основних послуг у такій державі-члені. При цьому компетентний орган або CSIRT згідно із законодавством Союзу або національним законодавством, що відповідає законодавству Союзу, повинна зберігати безпеку та комерційні інтереси оператора основних послуг, а також конфіденційність інформації, наданої в його повідомленні.
Якщо дозволяють обставини, компетентний орган або CSIRT надає оператору основних послуг, що надсилає повідомлення, відповідну інформацію про подальші заходи щодо його повідомлення, таку як інформація, що може допомогти результативному врегулюванню інциденту.
На запит компетентного органу або CSIRT єдиний контактний пункт пересилає повідомлення, вказані в першому підпараграфі, єдиним контактним пунктам інших держав-членів, які піддаються негативній дії.
6. Проконсультувавшись із оператором основних послуг, який надсилає повідомлення, компетентний орган або CSIRT можуть повідомити населення про окремі інциденти, якщо поінформованість громадськості необхідна для запобігання інциденту або врегулювання поточного інциденту.
7. Компетентні органи, які діють спільно в межах Групи співпраці, можуть розробляти та ухвалювати настанови щодо обставин, за яких від операторів основних послуг вимагається повідомляти про інциденти, у тому числі про параметри для визначення значності впливу інциденту, як вказано в параграфі 4.