Партнерські перевірки
1. 17 січня 2025 року Група співпраці за сприяння Комісії, ENISA та, у відповідних випадках, мережі CSIRT запроваджує методологію й організаційні аспекти партнерських перевірок з метою вивчення спільного досвіду, зміцнення взаємної довіри, досягнення вищого спільного рівня кібербезпеки, а також вдосконалення спроможностей у сфері кібербезпеки і політик держав-членів, необхідних для імплементації цієї Директиви. Участь у партнерських перевірках є добровільною. Проводять партнерські перевірки експерти з кібербезпеки. Експертів із кібербезпеки призначають принаймні дві держави-члени, відмінні від держави-члена, яку перевіряють.
Партнерські перевірки охоплюють принаймні одне з такого:
(a) рівень реалізації заходів управління ризиками й обов’язків щодо звітування у сфері кібербезпеки, встановлених у статтях 21 та 23;
(b) рівень спроможностей, включно з наявними фінансовими, технічними та людськими ресурсами, та дієвість виконання завдань компетентними органами;
(b) оперативні спроможності груп CSIRT;
(d) рівень реалізації взаємодопомоги, зазначеної в статті 37;
(e) рівень реалізації механізмів обміну інформацією щодо кібербезпеки, зазначених у статті 29;
(f) конкретні питання транскордонного або міжсекторального характеру.
2. Методологія, зазначена у параграфі 1, включає об’єктивні, недискримінаційні, справедливі та прозорі критерії, на підставі яких держави-члени призначають експертів із кібербезпеки, які відповідають критеріям, здійснювати партнерські перевірки. Комісія та ENISA беруть участь у партнерських перевірках як спостерігачі.
3. Держави-члени можуть визначати конкретні питання, зазначені в пункті (f) параграфа 1, для цілей партнерської перевірки.
4. Перед початком партнерської перевірки, згаданої в параграфі 1, держави-члени повідомляють державам-членам, що беруть у ній участь, про її обсяг, зокрема про конкретні питання, визначені відповідно до параграфа 3.
5. До початку партнерської перевірки держави-члени можуть провести самооцінювання аспектів, що їх перевіряють, і надати його результати призначеним експертам із кібербезпеки. Група співпраці, за сприяння Комісії та ENISA, встановлює методологію самооцінювання для держав-членів.
6. Партнерські перевірки передбачають як фізичні або віртуальні виїзди на місця, так і дистанційний обмін інформацією. Згідно з принципом належної співпраці держава-член, яка є об’єктом партнерської перевірки, надає призначеним експертам із кібербезпеки необхідну для оцінювання інформацію без обмеження дії права Союзу чи національного права, що стосується захисту конфіденційної або секретної інформації, та захисту основних функцій держави, як-от національна безпека. Група співпраці, у співпраці з Комісією та ENISA, розробляють належні кодекси поведінки, які лежать в основі методів роботи призначених експертів з кібербезпеки. Будь-яка інформація, отримана в ході партнерської перевірки, може бути використана виключно з цією метою. Експерти з кібербезпеки, які беруть участь у партнерській перевірці, не повинні розголошувати будь-яку чутливу або конфіденційну інформацію, отриману під час цієї партнерської перевірки, третім особам.
7. Ставши предметом партнерської перевірки, ті самі аспекти, які було перевірено в державі-члені, не можуть бути предметом наступної партнерської перевірки в тій самій державі-члені впродовж двох років після завершення першої партнерської перевірки, інакше як на вимогу самої держави-члена або за її згодою на пропозицію Групи співпраці.
8. Держави-члени забезпечують, щоб будь-який ризик конфлікту інтересів стосовно призначених експертів із кібербезпеки було розкрито іншим державам-членам, Групі співпраці, Комісії та ENISA до початку партнерської перевірки. Держава-член, яка є об'єктом партнерської перевірки, може оскаржити призначення певних експертів з кібербезпеки на належним чином обґрунтованих підставах, повідомлених державі-члену, яка їх призначає.
9. Експерти з кібербезпеки, які беруть участь у партнерських перевірках, готують проєкти звітів за результатами і висновками партнерських перевірок. Держави-члени, які є об’єктами партнерських перевірок, можуть надавати зауваження до проєктів звітів стосовно себе, і такі зауваження долучають до звітів. Ці звіти включають рекомендації, що дають змогу покращити аспекти, які були предметом партнерської перевірки. Ці звіти подають до Групи співпраці та мережі CSIRT, якщо доречно. Держава-член, яка є об’єктом партнерської перевірки, може вирішити оприлюднити звіт за її результатами або його відредаговану версію.