Art. 19 Directiva (UE) 2022/2555 - Securitate Cibernetică (NIS2) — Evaluări inter pares

(1)   Grupul de cooperare stabilește, până la 17 ianuarie 2025, cu sprijinul Comisiei și al ENISA și, după caz, al rețelei CSIRT, metodologia și aspectele organizatorice ale evaluărilor inter pares pentru a învăța din experiențele comune, a consolida încrederea reciprocă, a atinge un nivel comun ridicat de securitate cibernetică, precum și a consolida capacitățile și politicile de securitate cibernetică ale statelor membre necesare pentru punerea în aplicare a prezentei directive. Participarea la evaluările inter pares se face pe bază voluntară. Evaluările inter pares sunt efectuate de experți în materie de securitate cibernetică. Experții în materie de securitate cibernetică sunt desemnați de cel puțin două state membre, diferite de statul membru care face obiectul evaluării.

Evaluările inter pares acoperă cel puțin unul din următoarele elemente:

(a)

nivelul punerii în aplicare a măsurilor de gestionare a riscurilor în materie de securitate cibernetică și a obligațiilor de raportare menționate la articolele 21 și 23;

(b)

nivelul capacităților, inclusiv resursele financiare, tehnice și umane disponibile, precum și eficacitatea exercitării sarcinilor autorităților competente;

(c)

capacitățile operaționale ale echipelor CSIRT;

(d)

nivelul de punere în aplicare a asistenței reciproce menționate la articolul 37;

(e)

nivelul de punere în aplicare a acordurilor privind schimbul de informații în materie de securitate cibernetică menționate la articolul 29;

(f)

aspecte specifice de natură transfrontalieră sau transsectorială.

(2)   Metodologia menționată la alineatul (1) include criterii obiective, nediscriminatorii, echitabile și transparente pe baza cărora statele membre desemnează experți în domeniul securității cibernetice eligibili pentru efectuarea evaluărilor inter pares. ENISA și Comisia participă în calitate de observatori la evaluările inter pares.

(3)   Statele membre pot identifica aspecte specifice, astfel cum sunt menționate la alineatul (1) litera (f), pentru o evaluare inter pares.

(4)   Înainte de a începe o evaluare inter pares, astfel cum este menționată la alineatul (1), statele membre informează statele membre participante cu privire la domeniul de aplicare al acesteia, inclusiv aspectele specifice identificate în temeiul alineatului (3).

(5)   Înainte de începerea evaluării inter pares, statele membre pot efectua o autoevaluare a aspectelor analizate și furniza autoevaluarea respectivă experților în materie de securitate cibernetică desemnați. Grupul de cooperare, cu sprijinul Comisiei și al ENISA, stabilește metodologia pentru autoevaluarea statelor membre.

(6)   Evaluările inter pares implică vizite fizice sau virtuale și schimburi de informații ex situ. În conformitate cu principiul bunei cooperări, statul membru supus evaluării inter pares le furnizează experților în materie de securitate cibernetică desemnați informațiile necesare pentru evaluare, fără a aduce atingere dreptului Uniunii sau dreptului intern privind protecția informațiilor confidențiale sau clasificate și protejării funcțiilor esențiale ale statului, cum ar fi securitatea națională. Grupul de cooperare, în colaborare cu Comisia și ENISA, elaborează coduri de conduită adecvate care stau la baza metodelor de lucru ale experților în materie de securitate cibernetică desemnați. Orice informație obținută prin intermediul evaluării inter pares este utilizată exclusiv în acest scop. Experții în materie de securitate cibernetică care participă la evaluarea inter pares nu divulgă terților nicio informație sensibilă sau confidențială obținută în cursul evaluării inter pares respective.

(7)   Odată ce au făcut obiectul unei evaluări inter pares, aceleași aspecte evaluate într-un stat membru nu fac obiectul unei noi evaluări inter pares în statul membru respectiv timp de doi ani de la încheierea evaluării inter pares, cu excepția cazului în care statul membru decide altfel sau se convine astfel la propunerea Grupului de cooperare.

(8)   Statele membre se asigură că orice risc de conflict de interese în ceea ce privește experții în materie de securitate cibernetică desemnați este dezvăluit celorlalte state membre, Grupului de cooperare, Comisiei și ENISA, înainte de începerea evaluării inter pares. Statul membru supus evaluării inter pares se poate opune desemnării anumitor experți în materie de securitate cibernetică din motive justificate corespunzător, comunicate statului membru care i-a desemnat.

(9)   Experții în materie de securitate cibernetică care participă la evaluări inter pares elaborează rapoarte cu privire la constatările și concluziile evaluărilor inter pares. Statele membre care fac obiectul unei evaluări inter pares pot prezenta observații cu privire la proiectele de rapoarte care le privesc, iar aceste observații se anexează la rapoarte. Rapoartele includ recomandări care să faciliteze îmbunătățirea aspectelor acoperite de evaluarea inter pares. Rapoartele sunt transmise Grupului de cooperare și rețelei CSIRT atunci când este cazul. Un stat membru care face obiectul unei evaluări inter pares poate decide să pună la dispoziția publicului raportul său sau o versiune ocultată a acestuia.

MĂSURI DE GESTIONARE A RISCURILOR ÎN MATERIE DE SECURITATE CIBERNETICĂ ȘI OBLIGAȚII DE RAPORTARE