Безпека мереж і послуг
1. Держави-члени повинні забезпечити, щоб надавачі електронних комунікаційних мереж загального користування або загальнодоступних електронних комунікаційних послуг вживали належних та пропорційних технічних та організаційних заходів для належного управління ризиками, що виникають для безпеки мереж та послуг. Беручи до уваги сучасний рівень техніки, такі заходи повинні забезпечувати рівень безпеки, що відповідає наявним ризикам. Зокрема, для запобігання та мінімізації впливу інцидентів безпеки на користувачів та на інші мережі та послуги необхідно, де доцільно, вживати заходів, включаючи забезпечення шифрування.
Європейське агентство з питань мережевої та інформаційної безпеки ("ENISA") має сприяти, відповідно до Регламенту Європейського Парламенту і Ради (ЄС) № 526/2013 ( - 3), координації держав-членів з метою уникнення розбіжностей між національними вимогами, що можуть спричинити ризики для безпеки та бар’єри для внутрішнього ринку.
2. Держави-члени повинні забезпечити, щоб надавачі електронних комунікаційних мереж загального користування або загальнодоступних електронних комунікаційних послуг без зайвої затримки повідомляли компетентний орган про інцидент безпеки, який суттєво вплинув на роботу мереж або послуг.
З метою визначення значущості впливу інциденту безпеки, за наявності, слід враховувати, зокрема, такі параметри:
(a) кількість користувачів, які постраждали від інциденту безпеки;
(b) тривалість інциденту безпеки;
(c) розмір території, що постраждала від інциденту безпеки;
(d) ступінь впливу на функціонування мережі або послуги;
(e) ступінь впливу на економічну та соціальну діяльність.
Якщо доцільно, відповідний компетентний орган має поінформувати компетентні органи інших держав-членів та ENISA. Відповідний компетентний орган може інформувати громадськість або вимагати цього від надавачів, якщо він приходить до висновку, що розкриття інформації про інцидент безпеки відповідає інтересам суспільства.
Один раз на рік відповідний компетентний орган повинен надати Комісії та ENISA підсумковий звіт про отримані повідомлення та заходи, вжиті відповідно до цього параграфа.
3. Держави-члени повинні забезпечити, щоб у разі виникнення особливої та істотної загрози інциденту безпеки в електронних комунікаційних мережах загального користування або загальнодоступних електронних комунікаційних послугах, надавачі таких мереж або послуг інформували своїх користувачів, які можуть постраждати від такої загрози, про можливі захисні заходи або засоби захисту, які можуть вжити користувачі. Там, де це доцільно, надавачі також мають інформувати своїх користувачів про саму загрозу.
4. Ця стаття не обмежує дію Регламенту (ЄС) 2016/679 та Директиви 2002/58/ЄС.
5. Комісія, максимально враховуючи висновок ENISA, може ухвалювати імплементаційні акти, в яких детально описані технічні та організаційні заходи, зазначені в параграфі 1, а також обставини, формат і процедури, що застосовуються до вимог щодо повідомлення згідно з параграфом 2. Вони, наскільки це можливо, мають базуватись на європейських та міжнародних стандартах і не перешкоджати державам-членам ухвалювати додаткові вимоги для досягнення цілей, встановлених в параграфі 1.
Такі імплементаційні акти ухвалюють згідно з експертною процедурою, зазначеною в статті 118(4).