(EU) 2025/38Nařízení Evropského parlamentu a Rady (EU) 2025/38 ze dne 19. prosince 2024, kterým se stanovují opatření k posílení solidarity a kapacit v Unii pro odhalování kybernetických hrozeb a incidentů a pro připravenost a reakci na ně a mění nařízení (EU) 2021/694 (nařízení o kybernetické solidaritě)

celoevropské sítě kybernetických center (dále jen „Evropský systém varování v oblasti kybernetické bezpečnosti“) s cílem vybudovat a posílit koordinované schopnosti odhalování a společného situačního povědomí,

mechanismu pro mimořádné události v oblasti kybernetické bezpečnosti, který bude podporovat členské státy při přípravě na významné kybernetické bezpečnostní incidenty a rozsáhlé kybernetické bezpečnostní incidenty, při reakci na ně, při omezování jejich dopadu a při zahajování obnovy po takových incidentech a podporovat další uživatele při reakci na významné kybernetické bezpečnostní incidenty nebo na incidenty obdobné rozsáhlým kybernetickým bezpečnostním incidentům,

evropského mechanismu přezkumu kybernetických bezpečnostních incidentů, který bude přezkoumávat a posuzovat významné kybernetické bezpečnostní incidenty nebo rozsáhlé kybernetické bezpečnostní incidenty.

posílit společné koordinované kapacity odhalování kybernetických hrozeb a incidentů v Unii a společné situační povědomí,

posílit připravenost subjektů působících ve vysoce kritických odvětvích nebo v dalších kritických odvětvích v celé Unii a upevnit solidaritu vytvořením koordinovaného testování připravenosti a kapacit posílené reakce a obnovy pro reakci na významné kybernetické bezpečnostní incidenty, rozsáhlé kybernetické bezpečnostní incidenty nebo incidenty obdobné rozsáhlým kybernetickým bezpečnostním incidentům, včetně možnosti zpřístupnění podpory Unie pro reakci na kybernetické bezpečnostní incidenty třetím zemím přidruženým k programu Digitální Evropa,

zvýšit odolnost Unie a přispět k účinné reakci na incidenty přezkumem a posouzením významných kybernetických bezpečnostních incidentů nebo rozsáhlých kybernetických bezpečnostních incidentů, včetně vyvození poučení a případných doporučení.

přispívá k lepší ochraně proti kybernetickým hrozbám a reakci na ně tím, že podporuje příslušné subjekty, zejména týmy CSIRT, síť CSIRT, síť EU-CyCLONe a příslušné orgány určené nebo zřízené podle článku 8 odst. 1 směrnice (EU) 2022/2555, spolupracuje s nimi a posiluje jejich schopnosti;

shromažďuje relevantní data a informace o kybernetických hrozbách a incidentech z různých zdrojů v rámci přeshraničních kybernetických center a sdílí analyzované nebo agregované informace prostřednictvím přeshraničních kybernetických center a případně se sítí CSIRT;

shromažďuje a podporuje získávání kvalitních a použitelných informací a poznatků o kybernetických hrozbách s využitím nejmodernějších nástrojů a pokročilých technologií a sdílí tyto informace a poznatky o kybernetických hrozbách;

přispívá k posilování koordinovaného odhalování kybernetických hrozeb, k získání společného situačního povědomí v celé Unii a k vydávání varování, v relevantních případech včetně poskytováním konkrétních doporučení subjektům;

poskytuje služby a zajišťuje činnost pro komunitu kybernetické bezpečnosti v Unii, mimo jiné přispívá k vývoji pokročilých nástrojů a technologií, jako je umělá inteligence a nástroje analýzy dat.

působit jako referenční bod a brána pro další veřejné a soukromé organizace na vnitrostátní úrovni pro účely shromažďování a analýzy informací o kybernetických bezpečnostních hrozbách a incidentech a přispívat k činnosti přeshraničního kybernetického centra podle článku 5; a

odhalovat, agregovat a analyzovat data a informace týkající se kybernetických hrozeb a incidentů, jako jsou poznatky o kybernetických hrozbách, zejména s využitím nejmodernějších technologií, s cílem předcházet incidentům.

v níž je stanoveno vnitřní ujednání k provádění dohody o hostování a užívání podle čl. 9 odst. 3,

kterou se zřizuje přeshraniční kybernetické centrum hostitelského konsorcia, a

která zahrnuje zvláštní ustanovení požadovaná podle čl. 6 odst. 1 a 2.

podporuje a zlepšuje odhalování kybernetických hrozeb a posiluje schopnosti sítě CSIRT předcházet incidentům a reagovat na ně nebo zmírňovat jejich dopad,

zvyšuje úroveň kybernetické bezpečnosti, například zvyšováním informovanosti o kybernetických hrozbách, omezováním nebo bráněním schopnosti těchto hrozeb šířit se, podporou obranných schopností, nápravou a zveřejňováním zranitelností, odhalováním hrozeb, technikami na zamezení šíření hrozeb a předcházení jim, strategií zmírňování, fází reakce a obnovy nebo podporou společného výzkumu hrozeb ze strany subjektů veřejného a soukromého sektoru.

závazek sdílet mezi členy hostitelského konsorcia informace uvedené v odstavci 1 a podmínky, za nichž mají být tyto informace sdíleny;

rámec řízení, který objasňuje sdílení relevantních a případně anonymizovaných informací uvedených v odstavci 1 všemi účastníky a který účastníky k jejich sdílení motivuje,

cíle pro přispění k vývoji pokročilých nástrojů a technologií, jako je umělá inteligence a nástroje analýzy dat.

orgány členských států pro řešení kybernetických krizí a týmy CSIRT ve smyslu čl. 9 odst. 1 a 2 a článku 10 směrnice (EU) 2022/2555;

CERT-EU v souladu s článkem 13 nařízení (EU, Euratom) 2023/2841;

příslušné orgány, jako jsou týmy pro reakce na počítačové bezpečnostní incidenty a orgány třetích zemí přidružených k programu Digitální Evropa pro řešení kybernetických krizí v souladu s čl. 19 odst. 8.

v případě uživatelů uvedených v čl. 14 odst. 3 písm. a) tohoto nařízení prostřednictvím jednotného kontaktního místa určeného nebo zřízeného členským státem podle čl. 8 odst. 3 směrnice (EU) 2022/2555;

v případě uživatele uvedeného v čl. 14 odst. 3 písm. b) uvedeným uživatelem;

v případě uživatelů uvedených v čl. 14 odst. 3 písm. c) prostřednictvím jednotného kontaktního místa uvedeného v čl. 19 odst. 9.

příslušné informace týkající se zasaženého subjektu a možného dopadu incidentu:

informace o požadované službě spolu s plánovaným využitím požadované podpory, včetně odhadovaných potřeb,

příslušné informace o opatřeních přijatých ke zmírnění následků incidentu, pro který je podpora požadována, jak je uvedeno v odstavci 2,

případně dostupné informace o dalších formách podpory, které má zasažený subjekt k dispozici.

omezit používání a sdílení těchto informací na to, co je nezbytné pro plnění jejich povinností nebo funkcí podle tohoto nařízení,

používat a sdílet veškeré informace, které jsou podle unijního a vnitrostátního práva důvěrné nebo utajované, pouze v souladu s tímto právem, a

zajistit účinnou, účelnou a bezpečnou výměnu informací, případně využíváním a dodržováním příslušných protokolů pro sdílení informací, včetně protokolu TLP (Traffic Light Protocol).

rozsah a závažnost incidentu,

druh zasaženého subjektu, přičemž vyšší prioritu mají incidenty, které mají vliv na základní subjekty podle čl. 3 odst. 1 směrnice (EU) 2022/2555;

potenciální dopad incidentu na zasažené členské státy, orgány, instituce nebo jiné subjekty Unie nebo třetí země přidružené k programu Digitální Evropa;

potenciální přeshraniční povahu incidentu a riziko rozšíření do jiných členských států, orgánů, institucí nebo jiných subjektů Unie nebo do třetích zemí přidružených k programu Digitální Evropa;

opatření přijatá uživatelem na pomoc při reakci a počáteční obnově podle čl. 15 odst. 2.

subjekty působící ve vysoce kritických odvětvích nebo subjekty působící v dalších kritických odvětvích v případě uživatelů uvedených v čl. 14 odst. 3 písm. a) a na rovnocenné subjekty v případě uživatelů uvedených v čl. 14 odst. 3 písm. c) a

orgány, instituce a jiné subjekty Unie v případě uživatele uvedeného v čl. 14 odst. 3 písm. b).

uživatelé uvedení v čl. 14 odst. 3 písm. a) předloží souhrnnou zprávu Komisi, agentuře ENISA, síti CSIRT a síti EU-CyCLONe,

uživatel uvedený v čl. 14 odst. 3 písm. b) předloží souhrnnou zprávu Komisi, agentuře ENISA a interinstitucionálnímu výboru pro kybernetickou bezpečnost,

uživatelé uvedení v čl. 14 odst. 3 písm. c) předloží tuto zprávu Komisi.

zajistit, aby služby zahrnuté do rezervy EU pro kybernetickou bezpečnost byly jako celek takové, aby rezerva EU pro kybernetickou bezpečnost zahrnovala služby, které mohou být využívány ve všech členských státech, zejména s ohledem na vnitrostátní požadavky na poskytování takových služeb, včetně požadavků na jazyky, certifikaci nebo akreditaci,

zajistit ochranu základních bezpečnostních zájmů Unie a jejích členských států,

zajistit, aby rezerva EU pro kybernetickou bezpečnost přinášela Unii přidanou hodnotu tím, že přispěje k dosažení cílů stanovených v článku 3 nařízení (EU) 2021/694, včetně podpory rozvoje dovedností v oblasti kybernetické bezpečnosti v Unii.

poskytovatel prokáže, že jeho zaměstnanci mají nejvyšší stupeň profesní bezúhonnosti, nezávislosti, zodpovědnosti a požadované technické způsobilosti k výkonu činnosti v jejich konkrétním oboru a zajistí trvalost a kontinuitu odborných znalostí i potřebných technických zdrojů;

poskytovatel a veškeré příslušné dceřiné společnosti a subdodavatelé dodržují příslušná pravidla na ochranu utajovaných informací a mají zavedena vhodná opatření, včetně případných vzájemných dohod, na ochranu důvěrných informací týkajících se služby, a zejména důkazů, zjištění a zpráv;

poskytovatel předloží dostatečný důkaz o tom, že jeho řídicí struktura je transparentní a neohrozí jeho nestrannost a kvalitu jeho služeb ani nezpůsobí střet zájmů;

poskytovatel má odpovídající bezpečnostní prověrku, alespoň v případě pracovníků určených k nasazení v rámci dané služby, pokud to vyžaduje členský stát;

poskytovatel má odpovídající úroveň zabezpečení svých IT systémů;

poskytovatel je vybaven hardwarem a softwarem nezbytným pro podporu požadované služby, které neobsahují známé zneužitelné zranitelnosti, zahrnují nejnovější bezpečnostní aktualizace a v každém případě splňují veškerá použitelná ustanovení nařízení Evropského parlamentu a Rady (EU) 2024/2847 ( 2 );

poskytovatel je schopen prokázat, že má zkušenosti s poskytováním podobných služeb příslušným vnitrostátním orgánům, subjektům působícím ve vysoce kritických odvětvích nebo subjektům působícím v dalších kritických odvětvích;

poskytovatel je schopen poskytnout službu v krátkém časovém rámci v členských státech, v nichž může službu poskytovat;

poskytovatel je schopen poskytnout službu v jednom nebo ve více úředních jazycích orgánů Unie nebo v jazyce členského státu, pokud to členské státy, v nichž může poskytovatel službu poskytovat, nebo uživatelé uvedení v čl. 14 odst. 3 písm. b) a c) vyžadují;

jakmile budou zavedena evropská schémata certifikace kybernetické bezpečnosti pro řízené bezpečnostní služby podle nařízení (EU) 2019/881, bude poskytovatel certifikován v souladu s těmito schématy do dvou let ode dne začátku uplatňování těchto schémat;

poskytovatel musí do nabídky zahrnout pro jakékoliv nevyužité služby určené k reakci na incidenty, které by mohly být přeměněny na služby připravenosti úzce související s reakcí na incidenty, jako jsou cvičení nebo školení, podmínky takové přeměny.

zda tato země dodržuje podmínky dohody uvedené v odstavci 1, pokud se týkají účasti v rezervě EU pro kybernetickou bezpečnost,

zda tato země přijala odpovídající kroky k přípravě na významné kybernetické bezpečnostní incidenty nebo incidenty obdobné rozsáhlým kybernetickým bezpečnostním incidentům na základě informací uvedených v odstavci 2 a

zda je poskytování podpory v souladu s politikou Unie vůči této zemi a s celkovými vztahy Unie s touto zemí a zda je v souladu s ostatními politickými opatřeními Unie v oblasti bezpečnosti.

počet zřízených národních kybernetických center a přeshraničních kybernetických center, rozsah sdílených informací, pokud možno včetně dopadu na činnost sítě CSIRT, a do jaké míry přispěla tato centra k posílení společného odhalování kybernetických hrozeb a incidentů v Unii a situačního povědomí o nich a k rozvoji nejmodernějších technologií; využívání financování programu Digitální Evropa na nástroje, infrastrukturu nebo služby v oblasti kybernetické bezpečnosti, které byly společně pořízeny, a pokud jsou k dispozici příslušné informace, úroveň spolupráce mezi národními kybernetickými centry a odvětvovými a meziodvětvovými komunitami základních a důležitých subjektů podle článku 3 směrnice (EU) 2022/2555;

využívání a účinnost akcí v rámci mechanismu pro mimořádné události v oblasti kybernetické bezpečnosti na podporu připravenosti, včetně školení, reakce na významné kybernetické bezpečnostní incidenty, rozsáhlé kybernetické bezpečnostní incidenty a na incidenty obdobné rozsáhlým kybernetickým bezpečnostním incidentům a počáteční obnovy, včetně využití financování programu Digitální Evropa a poučení a doporučení získaných při uplatňování mechanismu pro mimořádné události v oblasti kybernetické bezpečnosti;

využívání a účinnost rezervy EU pro kybernetickou bezpečnost ve vztahu k druhu uživatelů, včetně využívání financování programu Digitální Evropa, využívání služeb, včetně jejich druhu, průměrné doby potřebné k reakci na žádosti a k využití rezervy EU pro kybernetickou bezpečnost, procentního podílu služeb přeměněných na služby připravenosti související s předcházením incidentům a reakcí na ně a poučení a doporučení získaných při provádění rezervy EU pro kybernetickou bezpečnost;

příspěvek tohoto nařízení k posílení konkurenčního postavení průmyslu a služeb v Unii v celé digitální ekonomice, včetně mikropodniků, malých a středních podniků a začínajících podniků, a příspěvek k dosažení celkového cíle, jímž je posílit dovednosti a kapacity pracovníků týkající se kybernetické bezpečnosti.