11.1.2017   

SK

Úradný vestník Európskej únie

L 6/40

(1)

Komunikačné a informačné systémy Komisie sú neoddeliteľnou súčasťou fungovania Komisie a incidenty v oblasti bezpečnosti informačných technológií môžu mať vážny vplyv na činnosti Komisie, ako aj na tretie strany vrátane osôb, podnikov a členských štátov.

(2)

Existuje mnoho hrozieb, ktoré môžu poškodiť dôvernosť, integritu alebo dostupnosť komunikačných a informačných systémov Komisie a informácií, ktoré sa v nich spracovávajú. K týmto hrozbám patria nehody, chyby, úmyselné útoky a prírodné javy a treba ich uznať ako prevádzkové riziká.

(3)

Komunikačné a informačné systémy sa musia poskytovať s úrovňou ochrany zodpovedajúcou pravdepodobnosti, dosahu a povahe rizík, ktorým sú vystavené.

(4)

Bezpečnosťou informačných technológií by sa malo zaistiť, aby sa komunikačnými a informačnými systémami (CIS) Komisie chránili informácie, ktoré sa v nich spracovávajú, a aby fungovali tak, ako potrebujú, kedy potrebujú a pod kontrolou oprávnených používateľov.

(5)

Politika Komisie v oblasti bezpečnosti informačných technológií by sa mala vykonávať spôsobom, ktorý je v súlade s politikami týkajúcimi sa bezpečnosti v Komisii.

(6)

Riaditeľstvo pre bezpečnosť Generálneho riaditeľstva pre ľudské zdroje a bezpečnosť má všeobecnú zodpovednosť za bezpečnosť v Komisii pod dohľadom a zodpovednosťou člena Komisie, ktorý je zodpovedný za bezpečnosť.

(7)

V rámci prístupu Komisie by sa mali zohľadniť politické iniciatívy EÚ a právne predpisy týkajúce sa bezpečnosti sietí a informácií, priemyselné normy a osvedčené postupy, aby bol v súlade so všetkými príslušnými právnymi predpismi a aby sa umožnila interoperabilita a kompatibilita.

(8)

Oddelenia Komisie zodpovedné za informačné a komunikačné systémy by mali vypracovať a zaviesť vhodné opatrenia a bezpečnostné opatrenia v oblasti informačných technológií na ochranu komunikačných a informačných systémov by mali byť koordinované v rámci Komisie s cieľom zabezpečiť efektívnosť a účinnosť.

(9)

Pravidlá a postupy pre prístup k informáciám v súvislosti s bezpečnosťou informačných technológií vrátane riešenia incidentov v oblasti bezpečnosti informačných technológií by mali byť primerané vzhľadom na hrozbu pre Komisiu alebo jej zamestnancov a v súlade so zásadami stanovenými v nariadení Európskeho parlamentu a Rady (ES) č. 45/2001 (1) o ochrane jednotlivcov so zreteľom na spracovanie osobných údajov inštitúciami a orgánmi Únie a o voľnom pohybe takýchto údajov a malo by sa pri nich prihliadať na zásadu služobného tajomstva, ako je stanovené v článku 339 ZFEÚ.

(10)

Zásady a pravidlá pre komunikačné a informačné systémy, v rámci ktorých sa spracovávajú utajované informácie EÚ (EUCI), citlivé neutajované informácie a neutajované informácie, majú byť v plnom súlade s rozhodnutiami Komisie (EÚ, Euratom) 2015/443 (2) a (EÚ, Euratom) 2015/444 (3).

(11)

Je potrebné, aby Komisia preskúmala a aktualizovala ustanovenia o bezpečnosti komunikačných a informačných systémov používaných v rámci Komisie.

(12)

Rozhodnutie Komisie K(2006) 3602 by sa preto malo zrušiť,

1.

„zodpovedný“ je niekto, kto nesie zodpovednosť za kroky, rozhodnutia a výkon;

2.

„CERT-EU“ je tím reakcie na núdzové počítačové situácie v inštitúciách a agentúrach EÚ. Jeho poslaním je podporovať európske inštitúcie, aby sa chránili pred zámernými a škodlivými útokmi, ktoré by narušili integritu ich IT aktív a poškodzovali záujmy EÚ. Do rozsahu činností CERT-EÚ patrí prevencia, odhaľovanie, reakcia a obnova;

3.

„oddelenie Komisie“ je akékoľvek generálne riaditeľstvo či útvar Komisie alebo kabinet člena Komisie;

4.

„bezpečnostný orgán Komisie“ sa vzťahuje na úlohu stanovenú v rozhodnutí (EÚ, Euratom) 2015/444;

5.

„komunikačný a informačný systém“ alebo „CIS“ je každý systém, ktorý umožňuje manipuláciu s informáciami v elektronickej podobe vrátane všetkých prostriedkov potrebných na jeho prevádzku, ako aj infraštruktúry, organizácie, zamestnancov a informačných zdrojov. Toto vymedzenie pojmu zahŕňa podnikové aplikácie, spoločne využívané IT služieb, externé systémy a zariadenia koncových používateľov;

6.

„správna rada organizácie“ (CMB) poskytuje najvyššiu úroveň dohľadu manažmentu organizácie nad prevádzkovými a administratívnymi záležitosťami v Komisii;

7.

„vlastník údajov“ je osoba zodpovedná za zabezpečenie ochrany a používania určitého súboru údajov spracovávaného v rámci CIS;

8.

„súbor údajov“ je súbor informácií, ktoré slúžia osobitným pracovným postupom alebo činnosť Komisie;

9.

„núdzový postup“ je vopred určený súbor metód a zodpovedností v súvislosti s riešením naliehavých situácií s cieľom zabrániť výraznému dosahu na Komisiu;

10.

„politika v oblasti informačnej bezpečnosti“ je súbor cieľov v oblasti informačnej bezpečnosti, ktoré sú zavedené, vykonávané a kontrolované alebo ktoré sa musia zaviesť, vykonávať a kontrolovať. Zahŕňa okrem iného rozhodnutia (EÚ, Euratom) 2015/444 a (EÚ, Euratom) 2015/443;

11.

„Riadiaci výbor pre informačnú bezpečnosť“ (ISSB) je riadiaci orgán, ktorý podporuje správnu radu organizácie v jej úlohách týkajúcich sa bezpečnosti informačných technológií;

12.

„interný poskytovateľ IT služieb“ je oddelenie Komisie poskytujúce spoločne využívané IT služieb;

13.

„bezpečnosť informačných technológií“ alebo „bezpečnosť CIS“ je zachovanie dôvernosti, integrity a dostupnosti CIS a súborov údajov, ktoré spracúvajú;

14.

„usmernenia v oblasti bezpečnosti informačných technológií“ tvoria odporúčané, ale dobrovoľné opatrenia, ktoré pomáhajú pri podpore noriem v oblasti bezpečnosti informačných technológií alebo slúžia ako referencia, ak nie je zavedená žiadna platná norma;

15.

„incident v oblasti bezpečnosti informačných technológií“ je udalosť, ktorá by mohla mať negatívny vplyv na dôvernosť, integritu alebo dostupnosť CIS;

16.

„bezpečnostné opatrenie v oblasti informačných technológií“ je technické alebo organizačné opatrenie zamerané na zmiernenie bezpečnostných rizík v oblasti informačných technológií;

17.

„potreba v oblasti bezpečnosti informačných technológií“ je presné a jednoznačné vymedzenie úrovní dôvernosti, integrity a dostupnosti spojených s informáciou alebo s informačným systémom s cieľom stanoviť požadovanú úroveň ochrany;

18.

„cieľ v oblasti bezpečnosti informačných technológií“ je vyhlásenie o zámere čeliť špecifikovaným hrozbám a/alebo splniť špecifikované organizačné bezpečnostné požiadavky alebo predpoklady;

19.

„plán bezpečnosti informačných technológií“ je dokumentácia bezpečnostných opatrení v oblasti informačných technológií, ktorá je potrebná na splnenie potrieb CIS v oblasti bezpečnosti informačných technológií;

20.

„politika v oblasti bezpečnosti informačných technológií“ je súbor cieľov v oblasti bezpečnosti informačných technológií, ktoré sú zavedené, vykonávané a kontrolované alebo ktoré sa musia zaviesť, vykonávať a kontrolovať. Obsahuje toto rozhodnutie a jeho vykonávacie predpisy;

21.

„požiadavka na bezpečnosť informačných technológií“ je potreba v oblasti bezpečnosti informačných technológií formalizovaná vopred stanoveným postupom;

22.

„bezpečnostné riziko v oblasti informačných technológií“ je účinok na CIS, ktorý by pre bezpečnosť informačných technológií mohla predstavovať hrozba zneužitia zraniteľnosti. Bezpečnostné riziko v oblasti informačných technológií ako také charakterizujú dva faktory: 1. neistota, to znamená pravdepodobnosť, že bezpečnostná hrozba v oblasti informačných technológií spôsobí nežiaducu udalosť, a 2. vplyv, to znamená dôsledky, ktoré takáto nežiaduca udalosť môže mať na CIS;

23.

„bezpečnostné normy v oblasti informačných technológií“ sú osobitné povinné bezpečnostné opatrenia v oblasti informačných technológií, ktoré pomáhajú pri presadzovaní a podpore politiky v oblasti bezpečnosti informačných technológií;

24.

„stratégia v oblasti bezpečnosti informačných technológií“ je súbor projektov a činností, ktoré sú určené na dosiahnutie cieľov Komisie a ktoré sa majú zaviesť, vykonať a skontrolovať;

25.

„bezpečnostná hrozba v oblasti informačných technológií“ je faktor, ktorý môže potenciálne viesť k nežiaducej udalosti, ktorá môže mať za následok poškodenie CIS; Takéto hrozby môžu byť náhodné alebo úmyselné a sú charakterizované prvkami hrozby, potenciálnymi cieľmi a metódami útoku;

26.

„miestny úradník informačnej bezpečnosti“ je úradník, ktorý je pre určité oddelenie Komisie zodpovedný za spoluprácu v oblasti bezpečnosti informačných technológií;

27.

„osobné údaje“, „spracovávanie osobných údajov“, „prevádzkovateľ“ a „systém archivovania osobných údajov“ majú rovnaký význam ako v nariadení (ES) č. 45/2001, a najmä v jeho článku 2;

28.

„spracovanie informácií“ sú všetky funkcie CIS s ohľadom na súbory údajov vrátane vytvárania, úpravy, zobrazovania, ukladania, prenosu, vymazávania a archivovania informácií. Spracovanie informácií môže zabezpečiť CIS ako súbor funkcií pre používateľov a ako IT služby pre ostatné CIS;

29.

„služobné tajomstvo“ je ochrana informácií o obchodných údajoch, na ktoré sa vzťahuje povinnosť služobného tajomstva, najmä informácií o podnikoch, ich obchodných vzťahoch alebo zložkách nákladov, ako je stanovené v článku 339 ZFEÚ;

30.

„zodpovednosť“ je povinnosť konať a prijímať rozhodnutia s cieľom dosiahnuť požadované výsledky;

31.

„bezpečnosť v Komisii“ je bezpečnosť osôb, majetku a informácií v Komisii, a najmä fyzická integrita osôb a majetku, integrita, dôvernosť a dostupnosť informácií a komunikačných a informačných systémov, ako aj nerušený chod činností Komisie;

32.

„spoločne využívaná IT služba“ je služba, ktorú CIS poskytuje ostatným komunikačným a informačným systémom pri spracovávaní informácií;

33.

„vlastník systému“ je osoba zodpovedná za celkové obstaranie, vývoj, integráciu, úpravu, prevádzku, údržbu a vyradenie CIS;

34.

„používateľ“ je osoba, ktorá používa funkcie poskytované CIS, či už v Komisii alebo mimo nej.

a)

pravosti: záruka, že informácie sú pravé a pochádzajú z dôveryhodných zdrojov;

b)

dostupnosti: vlastnosť charakterizovaná prístupnosťou informácií a ich použiteľnosťou na požiadanie oprávneného subjektu;

c)

dôvernosti: vlastnosť, ktorá znamená, že informácie sa nesprístupnia neoprávneným osobám, subjektom či procesom;

d)

integrity: vlastnosť charakterizovaná zabezpečením presnosti a úplnosti informácií a majetku;

e)

nespochybniteľnosti: schopnosť preukázať, že sa činnosť alebo udalosť uskutočnila, takže túto činnosť alebo udalosť nemožno následne poprieť;

f)

ochrany osobných údajov: poskytnutie primeraných záruk v súvislosti so spracovaním osobných údajov v úplnom súlade s nariadením (ES) č. 45/2001;

g)

služobného tajomstva: ochrana informácií, na ktoré sa vzťahuje povinnosť služobného tajomstva, najmä informácií o podnikoch, ich obchodných vzťahoch alebo zložkách nákladov, ako je stanovené v článku 339 ZFEÚ.

1.

zaistiť súlad medzi politikou v oblasti bezpečnosti informačných technológií a politikou Komisie v oblasti informačnej bezpečnosti;

2.

vytvoriť rámec na povolenie používať šifrovacie technológie na ukladanie a komunikáciu informácií komunikačnými a informačnými systémami;

3.

informovať Generálne riaditeľstvo pre informatiku o špecifických hrozbách, ktoré by mohli mať významný vplyv na bezpečnosť komunikačných a informačných systémov a súborov údajov, ktoré spracovávajú,

4.

vykonávať kontroly bezpečnosti informačných technológií na posúdenie zhody komunikačných a informačných systémov Komisie s politikou v oblasti bezpečnosti a podávať správu o výsledkoch ISSB;

5.

vytvoriť rámec na povolenie prístupu a príslušné bezpečnostné predpisy pre komunikačné a informačné systémy Komisie z externých sietí a vypracovať súvisiace normy a usmernenia v oblasti bezpečnosti informačných technológií v úzkej spolupráci s Generálnym riaditeľstvom pre informatiku;

6.

navrhnúť zásady a pravidlá pre externé obstaranie komunikačných a informačných systémov na udržanie primeranej kontroly bezpečnosti informácií;

7.

vypracovať súvisiace bezpečnostné normy a usmernenia v oblasti informačných technológií v súvislosti s článkom 6, a to v úzkej spolupráci s Generálnym riaditeľstvom pre informatiku.

1.

v úzkej spolupráci s Generálnym riaditeľstvom pre ľudské zdroje a bezpečnosť vypracovať bezpečnostné normy a usmernenia v oblasti informačných technológií, s výnimkou uvedenou v článku 6, s cieľom zabezpečiť súlad medzi politikou v oblasti bezpečnosti informačných technológií a politikou Komisie v oblasti informačnej bezpečnosti a navrhnúť ich výboru ISSB;

2.

posudzovať metódy, procesy a výsledky riadenia bezpečnostných rizík v oblasti informačných technológií všetkých oddelení Komisie a pravidelne o tom podávať správu výboru ISSB;

3.

navrhnúť otvorenú stratégiu v oblasti bezpečnosti informačných technológií na revíziu a schválenie zo strany výboru ISSB a následné prijatie správnou radou organizácie a navrhnúť program vrátane plánovania projektov a činností, ktorými sa vykonáva stratégia v oblasti bezpečnosti informačných technológií,

4.

monitorovať vykonávanie stratégie Komisie v oblasti bezpečnosti informačných technológií a pravidelne o tom podávať správu výboru ISSB;

5.

monitorovať bezpečnostné riziká v oblasti informačných technológií a bezpečnostné opatrenia v oblasti informačných technológií, ktoré sa zaviedli v komunikačných a informačných systémoch a pravidelne o tom podávať správu výboru ISSB;

6.

pravidelne podávať správu o celkovom vykonávaní a súlade s týmto rozhodnutím výboru ISSB;

7.

po porade s Generálnym riaditeľstvom pre ľudské zdroje a bezpečnosť požadovať od vlastníkov systému, aby prijali osobitné bezpečnostné opatrenia v oblasti informačných technológií s cieľom zmierniť bezpečnostné riziká v oblasti informačných technológií pre komunikačné a informačné systémy Komisie;

8.

zaistiť, aby bol pre vlastníkov systému a vlastníkov údajov k dispozícii adekvátny katalóg služieb poskytovaných v oblasti bezpečnosti informačných technológií Generálneho riaditeľstva pre informatiku, aby si plnili svoje povinnosti súvisiace s bezpečnosťou informačných technológií a dodržať politiku v oblasti bezpečnosti informačných technológií a bezpečnostné normy v oblasti informačných technológií;

9.

poskytnúť vlastníkom systému a vlastníkom údajov adekvátnu dokumentáciu a konzultovať s nimi, ak je to vhodné, o bezpečnostných opatreniach v oblasti informačných technológií, ktoré sa zaviedli pre svoje IT služby s cieľom uľahčiť súlad s politikou v oblasti bezpečnosti informačných technológií a podporiť vlastníkov systému pri riadení rizík v oblasti informačných technológií;

10.

organizovať pravidelné stretnutia siete miestnych úradníkov informačnej bezpečnosti a podporovať miestnych úradníkov informačnej bezpečnosti pri vykonávaní ich povinností;

11.

určiť potreby odbornej prípravy a koordinovať vzdelávacie programy týkajúce sa bezpečnosti informačných technológií v spolupráci s oddeleniami Komisie a vytvárať, realizovať a koordinovať kampane na zvyšovanie povedomia o bezpečnosti informačných technológií v úzkej spolupráci s Generálnym riaditeľstvom pre ľudské zdroje,

12.

zaistiť, aby vlastníci systému, vlastníci údajov a ďalšie pozície so zodpovednosťami týkajúcimi sa bezpečnosti v oblasti informačných technológií v oddeleniach Komisie boli oboznámení s politikou v oblasti bezpečnosti informačných technológií;

13.

informovať Generálne riaditeľstvo pre ľudské zdroje a bezpečnosť o osobitných bezpečnostných hrozbách v oblasti informačných technológií, o incidentoch a výnimkách z politiky Komisie v oblasti bezpečnosti informačných technológií, ktoré oznámili vlastníci systémov a ktoré by mohli mať významný vplyv na bezpečnosť v Komisii;

14.

v súvislosti s jeho úlohou poskytovateľa IT služieb poskytnúť Komisii katalóg spoločne využívaných IT služieb, ktoré poskytujú stanovené úrovne bezpečnosti. Dosiahne sa to systematickým hodnotením, riadením a monitorovaním bezpečnostných rizík v oblasti informačných technológií na vykonanie bezpečnostných opatrení s cieľom dosiahnuť stanovenú úroveň bezpečnosti.

1.

formálne vymenovať vlastníka systému, ktorý je úradníkom alebo dočasným zamestnancom, pre každý CIS, ktorý bude zodpovedný za bezpečnosť informačných technológií tohto CIS a formálne vymenovať vlastníka údajov pre každý súbor údajov spracovávaný v CIS, ktorý by mal patriť do tej istej administratívnej jednotky, ktorá je prevádzkovateľom pre súbory údajov podľa nariadenia (ES) č. 45/2001;

2.

formálne vymenovať miestneho úradníka informačnej bezpečnosti (LISO), ktorý dokáže vykonávať svoje povinnosti nezávisle od vlastníkov systémov a vlastníkov údajov. Miestneho úradníka informačnej bezpečnosti možno vymenovať pre jedno alebo viac oddelení Komisie;

3.

uistiť sa, že boli prijaté a zavedené posúdenia bezpečnostných rizík v oblasti informačných technológií a plánov bezpečnosti informačných technológií;

4.

zaistiť pravidelné podávanie správy o súhrne bezpečnostných rizík a opatrení v oblasti informačných technológií Generálnemu riaditeľstvu pre informatiku;

5.

s podporou Generálneho riaditeľstva pre informatiku zaistiť, aby sa zaviedli príslušné procesy, postupy a riešenia s cieľom zabezpečiť účinné zisťovanie, nahlasovanie a riešenie incidentov v oblasti bezpečnosti informačných technológií, ktoré súvisia s ich komunikačnými a informačnými systémami;

6.

začať núdzový postup v prípade núdzových situácií týkajúcich sa bezpečnosti informačných technológií;

7.

niesť plnú zodpovednosť za bezpečnosť informačných technológií vrátane zodpovednosti vlastníka systému a vlastníka údajov;

8.

vlastniť riziká súvisiace s ich komunikačnými a informačnými systémami a súbormi údajov;

9.

vyriešiť všetky spory medzi vlastníkmi údajmi a vlastníkmi systémov a v prípade pretrvávajúceho sporu predložiť výboru ISSB túto otázku na jej vyriešenie;

10.

zaistiť zavedenie plánov bezpečnosti informačných technológií a bezpečnostných opatrení v oblasti informačných technológií a primerané krytie rizík.

a)

zabezpečiť súlad CIS s politikou v oblasti bezpečnosti informačných technológií;

b)

zaistiť správne zaznamenanie CIS v príslušnom inventári;

c)

vyhodnotiť bezpečnostné riziká v oblasti informačných technológií a určiť potreby v oblasti bezpečnosti informačných technológií každého CIS, a to v spolupráci s príslušnými vlastníkmi údajov a po porade s Generálnym riaditeľstvom pre informatiku;

d)

pripraviť bezpečnostný plán vrátane, ak je to vhodné, informácií o posudzovaných rizikách a všetky ďalšie potrebné bezpečnostné opatrenia;

e)

zaviesť vhodné bezpečnostné opatrenia v oblasti informačných technológií primerané stanoveným bezpečnostným rizikám v oblasti informačných technológií a dodržiavať odporúčania potvrdené výborom ISSB;

f)

identifikovať všetky závislosti od iných komunikačných a informačných systémoch alebo spoločne využívaných IT služieb a zaviesť primerané bezpečnostné opatrenia na základe úrovní bezpečnosti, ktoré sú navrhované v rámci týchto komunikačných a informačných systémov alebo spoločne využívaných IT služieb;

g)

riadiť a monitorovať bezpečnostné riziká v oblasti informačných technológií;

h)

pravidelne podávať správy vedúcemu oddelenia Komisie o profile bezpečnostných rizík v oblasti informačných technológií ich komunikačných a informačných systémov a podávať správy Generálnemu riaditeľstvu pre informatiku o súvisiacich rizikách, činnostiach riadenia rizík a prijatých bezpečnostných opatreniach;

i)

viesť konzultácie s miestnym úradníkom informačnej bezpečnosti príslušného oddelenia (oddelení) Komisie o aspektoch bezpečnosti informačných technológií;

j)

vydávať pokyny pre používateľov o používaní CIS a súvisiacich údajov, ako aj o zodpovednostiach používateľov týkajúcich sa CIS;

k)

požiadať o povolenie od Generálneho riaditeľstva pre ľudské zdroje a bezpečnosť, ktoré koná ako kryptografický orgán, pre každý CIS, v rámci ktorého sa využíva technológia šifrovania;

l)

vopred viesť konzultácie s bezpečnostným orgánom Komisie o akomkoľvek systéme, ktorým sa spracovávajú utajované informácie EÚ;

m)

zaistiť, aby sa zálohovania všetkých dešifrovacích kľúčov ukladali na viazanom účte. Obnovenie šifrovaných údajov sa vykoná len v prípade povolenia v súlade s rámcom, ktorý stanovilo Generálne riaditeľstvo pre ľudské zdroje a bezpečnosť;

n)

dodržiavať všetky pokyny príslušného prevádzkovateľa(-ov) týkajúce sa ochrany osobných údajov a uplatňovania pravidiel ochrany údajov na bezpečnosť spracovania;

o)

informovať Generálne riaditeľstvo pre informatiku o všetkých výnimkách z politiky Komisie v oblasti bezpečnosti informačných technológií vrátane príslušných odôvodnení;

p)

vedúcemu oddelenia Komisie nahlasovať každý neriešiteľný spor medzi vlastníkom údajov a vlastníkom systému, oznamovať incidenty v oblasti bezpečnosti informačných technológií príslušným zainteresovaným stranám včas podľa ich závažnosti, ako je stanovené v článku 15;

q)

v prípade externých systémov zaistiť, aby do zmlúv o externom obstaraní boli zahrnuté príslušné ustanovenia týkajúce sa bezpečnosti informačných technológií a aby sa incidenty v oblasti bezpečnosti informačných technológií, ktoré sa vyskytli v externom CIS, nahlásili v súlade s článkom 15;

r)

v prípade CIS poskytujúcom spoločne využívané IT služby zaistiť, aby sa poskytla a jasne zdokumentovala stanovená úroveň bezpečnosti a aby sa pre tento CIS zaviedli bezpečnostné opatrenia s cieľom dosiahnuť stanovenú úroveň bezpečnosti.

a)

zaistiť, aby boli všetky súbory údajov v rámci jeho zodpovednosti príslušne klasifikované v súlade s rozhodnutím Rady (EÚ, Euratom) 2015/443 a (EÚ, Euratom) 2015/444;

b)

určiť potreby informačnej bezpečnosti a informovať príslušných vlastníkov systémov o týchto potrebách,

c)

zúčastňovať sa na posudzovaní rizík CIS;

d)

podávať správy o všetkých neriešiteľných sporoch medzi vlastníkom údajov a vlastníkom systému vedúcemu oddelenia Komisie;

e)

oznamovať incidenty v oblasti bezpečnosti informačných technológií, ako je uvedené v článku 15.

a)

aktívne identifikovať a oznamovať vlastníkom systému, vlastníkom údajov a ďalším pozíciám so zodpovednosťami v oblasti bezpečnosti informačných technológií v oddeleniach Komisie o politike v oblasti bezpečnosti informačných technológií;

b)

spolupracovať v otázkach bezpečnosti informačných technológií v oddeleniach Komisie s Generálnym riaditeľstvom pre informatiku ako súčasť siete miestnych úradníkov informačnej bezpečnosti;

c)

zúčastňovať sa na pravidelných stretnutiach miestnych úradníkov informačnej bezpečnosti;

d)

udržiavať si prehľad o procese riadenia bezpečnostných rizík v oblasti informácií a o vytváraní a zavádzaní plánov bezpečnosti informačných systémov;

e)

radiť vlastníkom údajov, vlastníkom systémov a vedúcim oddelení Komisie v otázkach bezpečnosti informačných technológií;

f)

spolupracovať s Generálnym riaditeľstvom pre informatiku v šírení osvedčených postupov týkajúcich sa bezpečnosti informačných technológií a navrhovať konkrétne informačné a vzdelávacie programy;

g)

podávať správy o bezpečnosti informačných technológií, identifikovať nedostatky a zlepšenia vedúcemu oddelenia (oddelení) Komisie.

a)

dodržiavať politiku v oblasti bezpečnosti informačných technológií a pokyny, ktoré vydal vlastník systému o používaní každého CIS;

b)

oznamovať incidenty v oblasti bezpečnosti informačných technológií, ako je uvedené v článku 15.

a)

mať právo na prístup k súhrnným informáciám v prípade záznamov o všetkých incidentoch a k úplným záznamom na požiadanie;

b)

sa zapájať do skupín pre krízové riadenie v súvislosti s incidentmi v oblasti bezpečnosti informačných technológií a núdzových postupov pre bezpečnosť informačných technológií;

c)

mať na starosti vzťahy s orgánmi presadzovania práva a spravodajskými službami;

d)

vykonávať forenznú analýzu týkajúcu sa kybernetickej bezpečnosti v súlade s článkom 11 rozhodnutia (EÚ, Euratom) 2015/443;

e)

rozhodovať o potrebe začať formálne vyšetrovanie;

f)

informovať Generálne riaditeľstvo pre informatiku o všetkých incidentoch v oblasti bezpečnosti informačných technológií, ktoré môžu predstavovať riziko pre ostatné komunikačné a informačné systémy.

a)

bezodkladne oznámiť vedúcemu oddelenia Komisie, Generálnemu riaditeľstvu pre informatiku, Generálnemu riaditeľstvu pre ľudské zdroje, miestnemu úradníkovi informačnej bezpečnosti a v prípade potreby vlastníkovi údajov akýkoľvek významný incident v oblasti bezpečnosti informačných technológií, najmä tie, ktoré sa týkajú porušenia dôvernosti údajov;

b)

spolupracovať a postupovať podľa pokynov príslušných orgánov Komisie o oznamovaní, reakcii a náprave incidentov.