Čl. 16 · Zřízení jednotné platformy pro podávání zpráv

1. Pro účely oznámení uvedených v čl. 14 odst. 1 a 3 a čl. 15 odst. 1 a 2 a s cílem zjednodušit povinnosti výrobců podávat zprávy zřídí agentura ENISA jednotnou platformu pro podávání zpráv. Každodenní provoz této platformy řídí a udržuje agentura ENISA. Struktura jednotné platformy pro podávání zpráv umožní členským státům a agentuře ENISA zavést vlastní koncové body elektronického oznamování.

2. Tým CSIRT určený jako koordinátor, který obdrží oznámení jako první, jej prostřednictvím jednotné platformy pro podávání zpráv neprodleně rozešle týmům CSIRT určeným jako koordinátoři, na jejichž území byl podle informací výrobce produkt s digitálními prvky zpřístupněn.

Za výjimečných okolností, a zejména na žádost výrobce a s ohledem na úroveň citlivosti oznámených informací uvedenou výrobcem podle čl. 14 odst. 2 písm. a) tohoto nařízení, může být rozesílání oznámení z opodstatněných důvodů souvisejících s kybernetickou bezpečností po nezbytně nutnou dobu odloženo, a to i tehdy, když se na zranitelnost vztahuje postup koordinovaného zveřejňování zranitelností podle čl. 12 odst. 1 směrnice (EU) 2022/2555. Pokud se tým CSIRT rozhodne rozesílání oznámení odložit, neprodleně o tomto rozhodnutí informuje agenturu ENISA, odklad zdůvodní a zároveň uvede, kdy bude v souladu s postupem pro rozesílání informací stanoveným v tomto odstavci oznámení rozesílat. Při uplatňování důvodů souvisejících s kybernetickou bezpečností v souvislosti s odkladem rozesílání uvedených oznámení může být týmu CSIRT nápomocna agentura ENISA.

Za zvláště výjimečných okolností, pokud výrobce v oznámení podle čl. 14 odst. 2 písm. b) uvede, že:

a) oznámená zranitelnost je aktivně zneužívána škodlivým aktérem a podle dostupných informací není zneužívána v žádném jiném členském státě, než je členský stát týmu CSIRT, který byl určen jako koordinátor, jemuž výrobce zranitelnost oznámil,

b) okamžité další rozesílání oznámení o dané zranitelnosti by pravděpodobně vedlo k poskytnutí informací, jejichž zveřejnění by bylo v rozporu se zásadními zájmy tohoto členského státu, nebo

c) oznámená zranitelnost představuje bezprostřední vysoké kybernetické bezpečnostní riziko vyplývající z dalšího šíření těchto informací,

jsou agentuře ENISA souběžně zpřístupněny pouze informace o tom, že výrobce podal oznámení, obecné informace o produktu, informace o obecné povaze zneužívání a informace o tom, že byly uvedeny důvody související s bezpečností, a to až do chvíle, než bude dotčeným týmům CSIRT a agentuře ENISA rozesláno úplné oznámení. Pokud se agentura ENISA na základě těchto informací domnívá, že existuje systémové riziko ovlivňující bezpečnost na vnitřním trhu, doporučí týmu CSIRT, který získal oznámení jako první, aby ostatním týmům CSIRT určeným jako koordinátoři i samotné agentuře ENISA zaslal úplné oznámení.

3. Po obdržení oznámení o aktivně zneužívané zranitelnosti produktu s digitálními prvky nebo o závažném incidentu, který má dopad na bezpečnost produktu s digitálními prvky, poskytnou týmy CSIRT určené jako koordinátoři orgánům dozoru nad trhem ve svých příslušných členských státech oznámené informace nezbytné k tomu, aby orgány dozoru nad trhem mohly plnit své povinnosti podle tohoto nařízení.

4. Agentura ENISA přijme vhodná a přiměřená technická, provozní a organizační opatření k řízení rizik ohrožujících bezpečnost jednotné platformy pro podávání zpráv a informací předkládaných nebo rozesílaných prostřednictvím jednotné platformy pro podávání zpráv. Každý bezpečnostní incident, který má dopad na jednotnou platformu pro podávání zpráv, oznámí bez zbytečného odkladu síti CSIRT a Komisi.

5. Agentura ENISA ve spolupráci se sítí CSIRT poskytuje a uplatňuje specifikace technických, provozních a organizačních opatření týkajících se zřízení, údržby a bezpečného provozu jednotné platformy pro podávání zpráv uvedené v odstavci 1, a to včetně alespoň bezpečnostních opatření týkajících se zřízení, provozu a údržby jednotné platformy pro podávání zpráv, jakož i koncových bodů elektronického oznamování zřízených na úrovni členských států týmy CSIRT určenými jako koordinátoři a na úrovni Unie agenturou ENISA, včetně procesních aspektů, a sice s cílem zajistit, aby v případě, že pro oznámenou zranitelnost nejsou k dispozici žádná nápravná ani zmírňující opatření, byly informace o této zranitelnosti poskytovány v souladu s přísnými bezpečnostními protokoly a na základě zásady „vědět jen to nejnutnější“ (need to know).

6. Pokud byl tým CSIRT určený jako koordinátor upozorněn na aktivně zneužívanou zranitelnost v rámci postupu koordinovaného zveřejňování zranitelností podle čl. 12 odst. 1 směrnice (EU) 2022/2555, může tým CSIRT určený jako koordinátor, který obdržel oznámení jako první, odložit rozesílání příslušného oznámení prostřednictvím jednotné platformy pro podávání zpráv na základě oprávněných důvodů souvisejících s kybernetickou bezpečností na nezbytně nutnou dobu, a to až do okamžiku, než získá souhlas stran zapojených do koordinovaného zveřejňování zranitelností. Tento požadavek nebrání výrobcům v dobrovolném oznamování dané zranitelnosti v souladu s postupem stanoveným v tomto článku.