Artykuł 19

1. Do 17 stycznia 2025 r. Grupa Współpracy ustala – z pomocą Komisji i ENISA oraz, w stosownych przypadkach, sieci CSIRT – metodykę i aspekty organizacyjne ocen wzajemnych, by wyciągać wnioski ze wspólnych doświadczeń, zwiększać wzajemne zaufanie, osiągnąć wysoki wspólny poziom cyberbezpieczeństwa, a także zwiększać kluczowe do wdrożenia niniejszej dyrektywy zdolności państw członkowskich w zakresie cyberbezpieczeństwa i doskonalić ich politykę w tej dziedzinie. Udział w ocenach wzajemnych jest dobrowolny. Oceny wzajemne przeprowadzą eksperci ds. cyberbezpieczeństwa. Ekspertów ds. cyberbezpieczeństwa wyznaczają co najmniej dwa państwa członkowskie inne niż państwo członkowskie poddawane ocenie.

Oceny wzajemne dotyczą co najmniej jednej z następujących kwestii:

a) stopień wdrożenia środków zarządzania ryzykiem w cyberbezpieczeństwie oraz obowiązków dotyczących zgłaszania incydentów określonych w art. 21 i 23;

b) poziom zdolności, w tym dostępne zasoby finansowe, techniczne i ludzkie, oraz skuteczność wykonywania zadań przez właściwe organy;

c) zdolność operacyjna CSIRT;

d) poziom wdrożenia wzajemnej pomocy, o której mowa w art. 37;

e) poziom wdrożenia ustaleń dotyczących mechanizmów wymiany informacji, o których mowa w art. 29;

f) szczególne zagadnienia transgraniczne lub międzysektorowe.

2. Metodyka, o której mowa w ust. 1, obejmuje obiektywne, niedyskryminacyjne, sprawiedliwe i przejrzyste kryteria, na podstawie których państwa członkowskie wyznaczają ekspertów ds. cyberbezpieczeństwa uprawnionych do prowadzenia ocen wzajemnych. Komisja i ENISA uczestniczą w ocenach wzajemnych w charakterze obserwatorów.

3. Państwa członkowskie mogą wskazać do oceny wzajemnej konkretne zagadnienia, o których mowa w ust. 1 lit. f).

4. Przed rozpoczęciem oceny wzajemnej, o której mowa w ust. 1, państwa członkowskie powiadamiają uczestniczące państwa członkowskim o jej zakresie, w tym o konkretnych zagadnieniach wskazanych na podstawie ust. 3.

5. Przed rozpoczęciem oceny wzajemnej państwa członkowskie mogą przeprowadzić ocenę własną aspektów poddawanych ocenie i przekazać jej wyniki wyznaczonym ekspertom ds. cyberbezpieczeństwa. Grupa Współpracy z pomocą Komisji i ENISA określa metodykę oceny własnej prowadzonej przez państwa członkowskie.

6. Oceny wzajemne wiążą się z fizycznymi lub zdalnymi kontrolami na miejscu i zdalną wymianą informacji. Zgodnie z zasadą dobrej współpracy państwo członkowskie poddane ocenie wzajemnej dostarcza wyznaczonym ekspertom ds. cyberbezpieczeństwa informacji potrzebnych do oceny, bez uszczerbku dla unijnych lub krajowych przepisów o ochronie informacji poufnych lub niejawnych oraz dla zagwarantowania podstawowych funkcji państwa, takich jak bezpieczeństwo narodowe. Grupa Współpracy we współpracy z Komisją i ENISA opracowuje odpowiednie kodeksy postępowania jako podstawę metod pracy wyznaczonych ekspertów ds. cyberbezpieczeństwa. Informacje uzyskane w trakcie oceny wzajemnej wykorzystuje się wyłącznie na potrzeby tej oceny. Eksperci ds. cyberbezpieczeństwa uczestniczący w ocenie wzajemnej nie ujawniają osobom trzecim informacji szczególnie chronionych lub poufnych uzyskanych w trakcie tej oceny.

7. Aspektów poddanych ocenie wzajemnej i ocenionych w danym państwie członkowskim nie poddaje się dalszej ocenie wzajemnej w tym państwie członkowskim przez dwa lata od zakończenia oceny wzajemnej, chyba że to państwo członkowskie zwróci się o przeprowadzenie takiej oceny lub zostanie ona uzgodniona na wniosek Grupy Współpracy.

8. Państwa członkowskie zapewniają ujawnienie pozostałym państwom członkowskim, Grupie Współpracy, Komisji i ENISA – przed rozpoczęciem oceny wzajemnej – ryzyka konfliktu interesów dotyczącego wyznaczonych ekspertów ds. cyberbezpieczeństwa. Państwo członkowskie poddane ocenie wzajemnej może sprzeciwić się wyznaczeniu konkretnych ekspertów ds. cyberbezpieczeństwa z należycie uzasadnionych powodów, o których informuje się Grupę Współpracy.

9. Eksperci ds. cyberbezpieczeństwa uczestniczący w ocenach wzajemnych sporządzają sprawozdania zawierające ustalenia i wnioski z tych ocen. Państwa członkowskie poddane ocenie wzajemnej mogą zgłaszać uwagi do projektów sprawozdań, które ich dotyczą, a uwagi te załącza się do sprawozdań. Sprawozdania te zawierają zalecenia umożliwiające poprawę w aspektach objętych oceną wzajemną. W stosownych przypadkach sprawozdania przedkłada się Grupie Współpracy i sieci CSIRT. Państwo członkowskie poddane ocenie wzajemnej może podjąć decyzję o podaniu do wiadomości publicznej sprawozdania z oceny wzajemnej lub jego zredagowanej wersji.