Rozporządzenie Parlamentu Europejskiego i Rady (EU) 2025/38 z dnia 19 grudnia 2024 r. w sprawie ustanowienia środków mających na celu zwiększenie solidarności i zdolności w Unii w zakresie wykrywania cyberzagrożeń i incydentów oraz przygotowywania się i reagowania na takie cyberzagrożenia i incydenty oraz w sprawie zmiany rozporządzenia (UE) 2021/694 (akt w sprawie cybersolidarności)

Artykuł 1

Przedmiot i cele

1. Niniejszym rozporządzeniem ustanawia się środki mające na celu zwiększenie zdolności w Unii w zakresie wykrywania cyberzagrożeń i incydentów oraz przygotowywania się i reagowania na takie cyberzagrożenia i incydenty, w szczególności poprzez ustanowienie:

a) ogólnoeuropejskiej sieci centrów cyberbezpieczeństwa (europejskiego systemu cyberostrzeżeń) w celu zbudowania i wzmocnienia zdolności w zakresie skoordynowanego wykrywania i wspólnej orientacji sytuacyjnej;

b) mechanizmu cyberkryzysowego w celu wsparcia państw członkowskich w przygotowaniu się na poważne incydenty w cyberbezpieczeństwie oraz incydenty w cyberbezpieczeństwie na dużą skalę, w reagowaniu na te incydenty oraz w łagodzeniu i wstępnym usuwaniu ich skutków, oraz w celu wsparcia innych użytkowników w reagowaniu na poważne incydenty w cyberbezpieczeństwie i incydenty równoważne incydentom w cyberbezpieczeństwie na dużą skalę;

c) europejskiego mechanizmu przeglądu incydentów w cyberbezpieczeństwie w celu przeglądu i oceny poważnych incydentów w cyberbezpieczeństwie lub incydentów w cyberbezpieczeństwie na dużą skalę.

2. Niniejsze rozporządzenie służy osiągnięciu ogólnych celów, jakimi są wzmocnienie konkurencyjnej pozycji przemysłu i usług w Unii w całej gospodarce cyfrowej, w tym mikroprzedsiębiorstw oraz małych i średnich przedsiębiorstw, a także przedsiębiorstw typu start-up, oraz przyczynienie się do suwerenności technologicznej Unii i otwartej strategicznej autonomii w dziedzinie cyberbezpieczeństwa, w tym poprzez pobudzanie innowacji na jednolitym rynku cyfrowym. Realizacja tych celów opiera się na zapewnieniu większej solidarności na poziomie Unii, wzmocnieniu ekosystemu cyberbezpieczeństwa, zwiększeniu cyberodporności państw członkowskich oraz rozwoju umiejętności, know-how, zdolności i kompetencji pracowników w zakresie cyberbezpieczeństwa.

3. Cele ogólne, o których mowa w ust. 2, osiąga się poprzez realizację następujących celów szczegółowych:

a) wzmocnienie wspólnych unijnych zdolności w zakresie skoordynowanego wykrywania cyberzagrożeń i incydentów oraz poprawa wspólnej orientacji sytuacyjnej w tej dziedzinie;

b) zwiększenie gotowości podmiotów działających w sektorach kluczowych lub podmiotów działających w innych sektorach krytycznych w całej Unii oraz wzmocnienie solidarności dzięki rozwijaniu skoordynowanego testowania gotowości i wzmocnionych zdolności reagowania na poważne incydenty w cyberbezpieczeństwie, incydenty w cyberbezpieczeństwie na dużą skalę lub incydenty równoważne incydentom w cyberbezpieczeństwie na dużą skalę oraz usuwania skutków tych incydentów, w tym możliwości udostępnienia unijnego wsparcia w reagowaniu na incydenty w cyberbezpieczeństwie państwom trzecim stowarzyszonym z programem „Cyfrowa Europa”;

c) zwiększenie odporności Unii oraz przyczynianie się do skutecznej reakcji na incydenty poprzez przegląd i ocenę poważnych incydentów w cyberbezpieczeństwie lub incydentów w cyberbezpieczeństwie na dużą skalę, w tym wyciąganie wniosków ze zdobytych doświadczeń oraz, w stosownych przypadkach, wydawanie zaleceń.

4. Działania w ramach niniejszego rozporządzenia prowadzone są z należytym poszanowaniem kompetencji państw członkowskich i uzupełniają działania prowadzone przez sieć CSIRT, EU-CyCLONe oraz grupę współpracy NIS.

5. Niniejsze rozporządzenie pozostaje bez uszczerbku dla podstawowych funkcji państw członkowskich, w tym zapewnienia integralności terytorialnej państwa, utrzymania porządku publicznego oraz ochrony bezpieczeństwa narodowego. W szczególności bezpieczeństwo narodowe pozostaje w zakresie wyłącznej odpowiedzialności każdego państwa członkowskiego.

6. Udostępnianie informacji lub ich wymiana w ramach niniejszego rozporządzenia, mających zgodnie z przepisami unijnymi lub krajowymi status informacji poufnych, ogranicza się do tego, co jest istotne i proporcjonalne do celów tego udostępniania lub tej wymiany. Podczas udostępniania informacji lub ich wymiany zachowuje się poufność informacji oraz chroni się bezpieczeństwo i interesy handlowe zainteresowanych podmiotów. Nie może się to wiązać z udostępnianiem informacji, których ujawnienie byłoby sprzeczne z podstawowymi interesami państw członkowskich w zakresie bezpieczeństwa narodowego, bezpieczeństwa publicznego lub obronności.

Artykuł 2

Definicje

Do celów niniejszego rozporządzenia stosuje się następujące definicje:

1) „transgraniczne centrum cyberbezpieczeństwa” oznacza wielokrajową platformę ustanowioną na podstawie pisemnej umowy konsorcjum, która łączy w skoordynowanej strukturze sieciowej krajowe centra cyberbezpieczeństwa z co najmniej trzech państw członkowskich i która ma zwiększyć monitorowanie, wykrywanie i analizę cyberzagrożeń, aby zapobiegać incydentom oraz wspierać generowanie danych wywiadowczych na temat cyberzagrożeń, w szczególności poprzez wymianę odpowiednich danych i informacji, w stosownych przypadkach zanonimizowanych, a także poprzez udostępnianie najnowocześniejszych narzędzi oraz wspólne rozwijanie, w zaufanym środowisku, zdolności w zakresie wykrywania i analizy cyberataków, zapobiegania im i ochrony przed nimi;

2) „konsorcjum przyjmujące” oznacza konsorcjum składające się z uczestniczących państw członkowskich, które zgodziły się stworzyć narzędzia, infrastrukturę lub usługi na potrzeby transgranicznego centrum cyberbezpieczeństwa i jego funkcjonowania oraz wnieść wkład w nabycie tych narzędzi, infrastruktury lub usług;

3) „CSIRT” oznacza CSIRT wyznaczony lub ustanowiony zgodnie z art. 10 dyrektywy (UE) 2022/2555;

4) „podmiot” oznacza podmiot zdefiniowany w art. 6 pkt 38 dyrektywy (UE) 2022/2555;

5) „podmioty działające w sektorach kluczowych” oznaczają rodzaje podmiotów wymienione w załączniku I do dyrektywy (UE) 2022/2555;

6) „podmioty działające w innych sektorach krytycznych” oznaczają rodzaje podmiotów wymienione w załączniku II do dyrektywy (UE) 2022/2555;

7) „ryzyko” oznacza ryzyko zdefiniowane w art. 6 pkt 9 dyrektywy (UE) 2022/2555;

8) „cyberzagrożenie” oznacza cyberzagrożenie zdefiniowane w art. 2 pkt 8 rozporządzenia (UE) 2019/881;

9) „incydent” oznacza incydent zdefiniowany w art. 6 pkt 6 dyrektywy (UE) 2022/2555;

10) „poważny incydent w cyberbezpieczeństwie” oznacza incydent spełniający kryteria określone w art. 23 ust. 3 dyrektywy (UE) 2022/2555;

11) „poważny incydent” oznacza poważny incydent zdefiniowany w art. 3 pkt 8 rozporządzenia Parlamentu Europejskiego i Rady (UE, Euratom) 2023/2841 (

1

);

12) „incydent w cyberbezpieczeństwie na dużą skalę” oznacza incydent w cyberbezpieczeństwie na dużą skalę zdefiniowany w art. 6 pkt 7 dyrektywy (UE) 2022/2555;

13) „incydent równoważny incydentowi w cyberbezpieczeństwie na dużą skalę” oznacza, w przypadku instytucji, organów i jednostek organizacyjnych Unii – poważny incydent, a w przypadku państw trzecich stowarzyszonych z programem „Cyfrowa Europa” – incydent, który powoduje poziom zakłóceń wykraczający poza zdolność reagowania danego państwa trzeciego stowarzyszonego z programem „Cyfrowa Europa”;

14) „państwo trzecie stowarzyszone z programem »Cyfrowa Europa«” oznacza państwo trzecie, które jest stroną umowy z Unią umożliwiającej jego udział w programie „Cyfrowa Europa” zgodnie z art. 10 rozporządzenia (UE) 2021/694;

15) „instytucja zamawiająca” oznacza Komisję lub – w zakresie, w jakim obsługę rezerwy cyberbezpieczeństwa UE i zarządzanie nią powierzono ENISA zgodnie z art. 14 ust. 5 niniejszego rozporządzenia – ENISA;

16) „dostawca usług zarządzanych w zakresie bezpieczeństwa” oznacza dostawcę usług zarządzanych w zakresie bezpieczeństwa zdefiniowanego w art. 6 pkt 40 dyrektywy (UE) 2022/2555;

17) „zaufani dostawcy usług zarządzanych w zakresie bezpieczeństwa” oznaczają dostawców usług zarządzanych w zakresie bezpieczeństwa wybranych do włączenia do rezerwy cyberbezpieczeństwa UE zgodnie z art. 17.

Artykuł 3

Ustanowienie europejskiego systemu cyberostrzeżeń

1. Ustanawia się europejski system cyberostrzeżeń – ogólnoeuropejską sieć infrastruktury składającą się z krajowych centrów cyberbezpieczeństwa i transgranicznych centrów cyberbezpieczeństwa, przystępujących na zasadzie dobrowolności – aby wspierać rozwój zaawansowanych zdolności Unii w zakresie wykrywania, analizy i przetwarzania danych w odniesieniu do cyberzagrożeń oraz zapobiegania incydentom w Unii.

2. Europejski system cyberostrzeżeń ma za zadanie:

a) przyczyniać się do lepszej ochrony przed cyberzagrożeniami i reagowania na nie poprzez wspieranie odpowiednich podmiotów, w szczególności CSIRT, sieci CSIRT, EU-CyCLONe i właściwych organów wyznaczonych lub ustanowionych na podstawie art. 8 ust. 1 dyrektywy (UE) 2022/2555, poprzez współpracę z tymi podmiotami i wzmacnianie ich zdolności;

b) gromadzić odpowiednie dane i informacje na temat cyberzagrożeń i incydentów z różnych źródeł w ramach transgranicznych centrów cyberbezpieczeństwa oraz udostępniać przeanalizowane lub zagregowane informacje za pośrednictwem transgranicznych centrów cyberbezpieczeństwa, w stosownych przypadkach z siecią CSIRT;

c) zbierać wysokiej jakości, użyteczne operacyjnie informacje i dane wywiadowcze dotyczące cyberzagrożeń oraz wspierać generowanie tych informacji i danych, z wykorzystaniem najnowocześniejszych narzędzi i zaawansowanych technologii, a także udostępniać te informacje i dane wywiadowcze dotyczące cyberzagrożeń;

d) przyczyniać się do zwiększenia skoordynowanego wykrywania cyberzagrożeń i wspólnej orientacji sytuacyjnej w całej Unii oraz do wydawania ostrzeżeń, w tym, w stosownych przypadkach, poprzez przekazywanie podmiotom konkretnych zaleceń;

e) świadczyć usługi i prowadzić działania na rzecz podmiotów zajmujących się cyberbezpieczeństwem w Unii, w tym przyczyniać się do rozwoju zaawansowanych narzędzi i technologii, takich jak narzędzia sztucznej inteligencji i analityki danych.

3. Działania wdrażające europejski system cyberostrzeżeń wspiera się ze środków programu „Cyfrowa Europa” i realizuje zgodnie z rozporządzeniem (UE) 2021/694, w szczególności zgodnie z jego celem szczegółowym nr 3.

Artykuł 4

Krajowe centra cyberbezpieczeństwa

1. W przypadku gdy państwo członkowskie postanowi uczestniczyć w europejskim systemie cyberostrzeżeń, wyznacza lub, w stosownych przypadkach, ustanawia krajowe centrum cyberbezpieczeństwa do celów niniejszego rozporządzenia.

2. Krajowe centrum cyberbezpieczeństwa jest pojedynczym podmiotem działającym z upoważnienia państwa członkowskiego. Może to być CSIRT lub, w stosownych przypadkach, krajowy organ ds. zarządzania kryzysowego w cyberbezpieczeństwie lub inny właściwy organ wyznaczony lub ustanowiony zgodnie z art. 8 ust. 1 dyrektywy (UE) 2022/2555, lub inny podmiot. Krajowe centrum cyberbezpieczeństwa musi:

a) mieć zdolność do pełnienia funkcji punktu odniesienia i punktu dostępu dla innych organizacji publicznych i prywatnych na poziomie krajowym w celu zbierania i analizowania informacji dotyczących cyberzagrożeń i incydentów oraz wspierania działalności transgranicznego centrum cyberbezpieczeństwa, o którym mowa w art. 5; oraz

b) być w stanie wykrywać, agregować i analizować dane i informacje istotne z punktu widzenia cyberzagrożeń i incydentów, takie jak dane wywiadowcze dotyczące cyberzagrożeń, w szczególności za pomocą najnowocześniejszych technologii, aby zapobiegać incydentom.

3. W ramach funkcji, o których mowa w ust. 2 niniejszego artykułu, krajowe centra cyberbezpieczeństwa mogą współpracować z podmiotami sektora prywatnego w celu wymiany odpowiednich danych i informacji na potrzeby wykrywania cyberzagrożeń i incydentów oraz zapobiegania im, w tym z sektorowymi i międzysektorowymi grupami podmiotów kluczowych i ważnych, o których mowa w art. 3 dyrektywy (UE) 2022/2555. W stosownych przypadkach oraz zgodnie z prawem Unii i prawem krajowym informacje, o które występują lub które otrzymują krajowe centra cyberbezpieczeństwa, mogą obejmować dane telemetryczne, dane z czujników i dane z rejestrów.

4. Państwo członkowskie wybrane na podstawie art. 9 ust. 1 zobowiązuje się do złożenia wniosku o uczestnictwo jego krajowego centrum cyberbezpieczeństwa w transgranicznym centrum cyberbezpieczeństwa.

Artykuł 5

Transgraniczne centra cyberbezpieczeństwa

1. W przypadku gdy co najmniej trzy państwa członkowskie zobowiązują się, aby ich krajowe centra cyberbezpieczeństwa współpracowały ze sobą w celu koordynacji działań w zakresie wykrywania cyberataków i monitorowania zagrożeń, te państwa członkowskie mogą utworzyć konsorcjum przyjmujące do celów niniejszego rozporządzenia.

2. Konsorcjum przyjmujące jest konsorcjum składającym się z co najmniej trzech uczestniczących państw członkowskich, które zgodziły się stworzyć narzędzia, infrastrukturę lub usługi na potrzeby transgranicznego centrum cyberbezpieczeństwa i jego funkcjonowania oraz wnieść wkład w nabycie tych narzędzi, infrastruktury i usług zgodnie z ust. 4.

3. W przypadku wyboru konsorcjum przyjmującego zgodnie z art. 9 ust. 3 jego członkowie zawierają pisemną umowę konsorcjum, która:

a) określa wewnętrzne ustalenia dotyczące wykonania umowy o przyjęciu i użytkowaniu, o której mowa w art. 9 ust. 3;

b) ustanawia transgraniczne centrum cyberbezpieczeństwa konsorcjum przyjmującego; oraz

c) zawiera szczegółowe klauzule wymagane na podstawie art. 6 ust. 1 i 2.

4. Transgraniczne centrum cyberbezpieczeństwa jest wielokrajową platformą ustanowioną na podstawie pisemnej umowy konsorcjum, o której mowa w ust. 3. Skupia ona w ramach skoordynowanej struktury sieciowej krajowe centra cyberbezpieczeństwa państw członkowskich konsorcjum przyjmującego. Transgraniczne centrum cyberbezpieczeństwa ma na celu wzmocnienie monitorowania, wykrywania i analizy cyberzagrożeń, zapobieganie incydentom i wspieranie generowania danych wywiadowczych dotyczących cyberzagrożeń, w szczególności poprzez wymianę odpowiednich danych i informacji,, w stosownych przypadkach zanonimizowanych, a także poprzez udostępnianie najnowocześniejszych narzędzi i wspólne rozwijanie, w zaufanym środowisku, zdolności w zakresie wykrywania i analizy cyberataków, zapobiegania im i ochrony przed nimi.

5. Transgraniczne centrum cyberbezpieczeństwa reprezentowane jest do celów prawnych przez członka odpowiedniego konsorcjum przyjmującego pełniącego funkcję koordynatora lub przez konsorcjum przyjmujące, jeżeli ma ono osobowość prawną. Odpowiedzialność za zgodność transgranicznego centrum cyberbezpieczeństwa z niniejszym rozporządzeniem oraz umową o przyjęciu i użytkowaniu określa pisemna umowa konsorcjum, o której mowa w ust. 3.

6. Państwo członkowskie może przystąpić do istniejącego konsorcjum przyjmującego za zgodą członków tego konsorcjum przyjmującego. W takim przypadku odpowiednio zmienia się pisemną umowę konsorcjum, o której mowa w ust. 3, oraz umowę o przyjęciu i użytkowaniu. Nie ma to wpływu na prawa własności Europejskiego Centrum Kompetencji Przemysłowych, Technologicznych i Badawczych w dziedzinie Cyberbezpieczeństwa (ECCC) do narzędzi, infrastruktury lub usług już zamówionych wspólnie z tym konsorcjum przyjmującym.

Artykuł 6

Współpraca i udostępnianie informacji w ramach transgranicznych centrów cyberbezpieczeństwa i między nimi

1. Członkowie konsorcjum przyjmującego zapewniają, aby ich krajowe centra cyberbezpieczeństwa, zgodnie z pisemną umową konsorcjum, o której mowa w art. 5 ust. 3, udostępniały w ramach transgranicznego centrum cyberbezpieczeństwa odpowiednie informacje, w stosownych przypadkach zanonimizowane, takie jak informacje o cyberzagrożeniach, potencjalnych zdarzeniach dla cyberbezpieczeństwa, podatnościach, technikach i procedurach, oznakach naruszenia integralności systemu, wrogich taktykach, a także informacjami specyficznymi dla konkretnych agresorów, ostrzeżeniami dotyczącymi cyberbezpieczeństwa i zaleceniami dotyczącymi konfiguracji narzędzi cyberbezpieczeństwa mających wykrywać cyberataki, w przypadku gdy udostępnianie takich informacji:

a) wspiera i usprawnia wykrywanie cyberzagrożeń oraz wzmacnia zdolności sieci CSIRT w zakresie zapobiegania incydentom i reagowania na nie lub łagodzenia ich skutków;

b) zwiększa poziom cyberbezpieczeństwa, na przykład przez podnoszenie świadomości na temat cyberzagrożeń, ograniczanie lub utrudnianie rozprzestrzeniania się cyberzagrożeń, wspieranie różnorodnych zdolności do obrony przed nimi, eliminowanie i ujawnianie podatności, techniki wykrywania zagrożeń, ograniczania ich zasięgu i zapobiegania im, strategie ograniczania ryzyka, etapy reagowania i przywracania normalnego działania lub wspieranie badań nad zagrożeniami prowadzonych w ramach współpracy między podmiotami publicznymi i prywatnymi.

2. Pisemna umowa konsorcjum, o której mowa w art. 5 ust. 3, określa:

a) zobowiązanie do udostępniania wśród członków konsorcjum przyjmującego informacji, o których mowa w ust. 1, oraz warunki udostępniania tych informacji;

b) ramy zarządzania wyjaśniające i zachęcające do udostępniania przez wszystkich uczestników odpowiednich informacji, w stosownych przypadkach zanonimizowanych, o których mowa w ust. 1;

c) cele dotyczące wkładu w rozwój zaawansowanych narzędzi i technologii, takich jak sztuczna inteligencja i narzędzia analityki danych.

Pisemna umowa konsorcjum może przewidywać, że udostępnianie informacji, o których mowa w ust. 1, musi odbywać się zgodnie z prawem Unii i prawem krajowym.

3. Transgraniczne centra cyberbezpieczeństwa zawierają między sobą umowy o współpracy określające zasady interoperacyjności i udostępniania informacji między transgranicznymi centrami cyberbezpieczeństwa. Transgraniczne centra cyberbezpieczeństwa informują Komisję o zawartych umowach o współpracy.

3. Udostępnianie informacji, o których mowa w ust. 1, między transgranicznymi centrami cyberbezpieczeństwa zapewnia się poprzez wysoki poziom interoperacyjności. Aby wspierać taką interoperacyjność, ENISA, w ścisłym porozumieniu z Komisją, bez zbędnej zwłoki i w każdym razie do dnia 5 lutego 2026 r. wyda wytyczne dotyczące interoperacyjności określające w szczególności formaty i protokoły udostępniania informacji, z uwzględnieniem międzynarodowych norm i najlepszych praktyk, a także funkcjonowanie wszelkich ustanowionych transgranicznych centrów cyberbezpieczeństwa. Wymogi w zakresie interoperacyjności przewidziane w umowach o współpracy transgranicznych centrów cyberbezpieczeństwa opierają się na wytycznych wydanych przez ENISA.

Artykuł 7

Współpraca z sieciami unijnymi i udostępnianie im informacji

1. Transgraniczne centra cyberbezpieczeństwa i sieć CSIRT ściśle ze sobą współpracują, w szczególności w celu udostępniania informacji. W tym celu uzgadniają one proceduralne aspekty współpracy i udostępniania odpowiednich informacji oraz, bez uszczerbku dla ust. 2, rodzaje informacji, które mają być udostępniane.

2. W przypadku gdy transgraniczne centra cyberbezpieczeństwa otrzymują informacje na temat potencjalnego lub trwającego incydentu w cyberbezpieczeństwie na dużą skalę, zapewniają one, do celów wspólnej orientacji sytuacyjnej, aby odpowiednie informacje oraz wczesne ostrzeżenia przekazano bez zbędnej zwłoki organom państw członkowskich i Komisji za pośrednictwem EU-CyCLONe i sieci CSIRT.

Artykuł 8

Bezpieczeństwo

1. Państwa członkowskie uczestniczące w europejskim systemie cyberostrzeżeń zapewniają wysoki poziom cyberbezpieczeństwa, w tym poufności i bezpieczeństwa danych, a także bezpieczeństwa fizycznego sieci europejskiego systemu cyberostrzeżeń oraz zapewniają, aby sieć ta była odpowiednio zarządzana i kontrolowana w taki sposób, aby chronić ją przed zagrożeniami oraz zapewnić bezpieczeństwo jej i systemów, w tym bezpieczeństwo danych i informacji udostępnianych za pośrednictwem tej sieci.

2. Państwa członkowskie uczestniczące w europejskim systemie cyberostrzeżeń zapewniają, aby udostępnianie informacji, o których mowa w art. 6 ust. 1, w ramach europejskiego systemu cyberostrzeżeń jakiemukolwiek podmiotowi innemu niż organ lub podmiot publiczny państwa członkowskiego nie wpływało negatywnie na interesy Unii lub państw członkowskich w zakresie bezpieczeństwa.

Artykuł 9

Finansowanie europejskiego systemu cyberostrzeżeń

1. W następstwie zaproszenia do wyrażenia zainteresowania dla państw członkowskich zamierzających uczestniczyć w europejskim systemie cyberostrzeżeń ECCC wybiera państwa członkowskie do udziału, wraz z ECCC, we wspólnych zamówieniach publicznych na narzędzia, infrastrukturę lub usługi w celu utworzenia krajowych centrów cyberbezpieczeństwa wyznaczonych lub ustanowionych zgodnie z art. 4 ust. 1, lub zwiększenia ich zdolności. ECCC może przyznać wybranym państwom członkowskim dotacje na finansowanie funkcjonowania takich narzędzi, infrastruktury lub usług. Wkład finansowy Unii pokrywa do 50 % kosztów nabycia narzędzi, infrastruktury lub usług oraz do 50 % kosztów operacyjnych. Wybrane państwa członkowskie pokrywają pozostałe koszty. Przed rozpoczęciem procedury nabycia narzędzi, infrastruktury lub usług ECCC i wybrane państwa członkowskie zawierają umowę o przyjęciu i użytkowaniu regulującą użytkowanie tych narzędzi, infrastruktury lub usług.

2. W przypadku gdy krajowe centrum cyberbezpieczeństwa państwa członkowskiego nie stanie się uczestnikiem transgranicznego centrum cyberbezpieczeństwa w ciągu 2 lat od dnia nabycia narzędzi, infrastruktury lub usług lub od dnia otrzymania finansowania w formie dotacji, w zależności od tego, co nastąpiło wcześniej, dane państwo członkowskie nie kwalifikuje się do dodatkowego wsparcia unijnego na podstawie niniejszego rozdziału, dopóki nie przystąpi do transgranicznego centrum cyberbezpieczeństwa.

3. W następstwie zaproszenia do wyrażenia zainteresowania ECCC wybiera konsorcjum przyjmujące do udziału, wraz z ECCC, we wspólnym zamówieniu na narzędzia, infrastrukturę lub usługi. ECCC może przyznać konsorcjum przyjmującemu dotację na finansowanie funkcjonowania tych narzędzi, infrastruktury lub usług. Wkład finansowy Unii pokrywa do 75 % kosztów nabycia narzędzi, infrastruktury lub usług oraz do 50 % kosztów operacyjnych. Konsorcjum przyjmujące pokrywa pozostałe koszty. Przed rozpoczęciem procedury nabycia narzędzi, infrastruktury lub usług ECCC i konsorcjum przyjmujące zawierają umowę o przyjęciu i użytkowaniu regulującą użytkowanie tych narzędzi, infrastruktury lub usług.

4. Co najmniej raz na dwa lata ECCC przygotowuje zestawienie niezbędnych narzędzi, infrastruktury lub usług o odpowiedniej jakości do utworzenia lub wzmocnienia zdolności krajowych centrów cyberbezpieczeństwa i transgranicznych centrów cyberbezpieczeństwa oraz ich dostępności, w tym od podmiotów prawnych mających siedzibę lub uznawanych za mające siedzibę w państwach członkowskich i kontrolowanych przez państwa członkowskie lub przez obywateli państw członkowskich. Przygotowując to zestawienie, ECCC konsultuje się z siecią CSIRT, wszelkimi istniejącymi transgranicznymi centrami cyberbezpieczeństwa, ENISA i Komisją.

Artykuł 10

Ustanowienie mechanizmu cyberkryzysowego

1. Ustanawia się mechanizm cyberkryzysowy, aby wspierać poprawę odporności Unii na cyberzagrożenia oraz przygotować się na krótkoterminowe skutki poważnych incydentów w cyberbezpieczeństwie, incydentów w cyberbezpieczeństwie na dużą skalę i incydentów równoważnych incydentom w cyberbezpieczeństwie na dużą skalę oraz łagodzić je w duchu solidarności.

2. W przypadku państw członkowskich działania w ramach mechanizmu cyberkryzysowego podejmowane są na wniosek oraz uzupełniają wysiłki i działania państw członkowskich mające na celu przygotowanie się na incydenty, reagowanie na nie i usuwanie ich skutków.

3. Działania wdrażające mechanizm cyberkryzysowy wspiera się ze środków programu „Cyfrowa Europa” i realizuje zgodnie z rozporządzeniem (UE) 2021/694, w szczególności zgodnie z jego celem szczegółowym nr 3.

4. Działania w ramach mechanizmu cyberkryzysowego realizowane są przede wszystkim za pośrednictwem ECCC zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2021/887. Jednakże działania wdrażające rezerwę cyberbezpieczeństwa UE, o której mowa w art. 10 ust. 1 lit. b) niniejszego rozporządzenia, realizowane są przez Komisję i ENISA.

Artykuł 11

Rodzaje działań

W ramach mechanizmu cyberkryzysowego wspiera się następujące rodzaje działań:

a) działania w zakresie gotowości, a mianowicie:

(i) skoordynowane testowanie gotowości podmiotów działających w sektorach kluczowych w całej Unii, jak określono w art. 12;

(ii) inne działania w zakresie gotowości dla podmiotów działających w sektorach kluczowych lub podmiotów działających w innych sektorach krytycznych, jak określono w art. 13;

b) działania wspierające reagowanie na poważne incydenty w cyberbezpieczeństwie, incydenty w cyberbezpieczeństwie na dużą skalę i incydenty równoważne incydentom w cyberbezpieczeństwie na dużą skalę oraz wstępne usuwanie ich skutków, realizowane przez zaufanych dostawców usług zarządzanych w zakresie bezpieczeństwa uczestniczących w rezerwie cyberbezpieczeństwa UE ustanowionej na podstawie art. 14;

c) działania w zakresie wspierania wzajemnej pomocy, o których mowa w art. 18.

Artykuł 12

Skoordynowane testowanie gotowości podmiotów

1. Mechanizm cyberkryzysowy wspiera dobrowolne skoordynowane testowanie gotowości podmiotów działających w sektorach kluczowych.

2. Skoordynowane testowanie gotowości może obejmować działania w zakresie gotowości, takie jak testy penetracyjne i ocena zagrożenia.

3. Wsparcia na rzecz działań w zakresie gotowości na podstawie niniejszego artykułu udziela się państwom członkowskim przede wszystkim w formie dotacji oraz na warunkach określonych w odpowiednich programach prac, o których mowa w art. 24 rozporządzenia (UE) 2021/694.

4. Do celów wspierania w całej Unii skoordynowanego testowania gotowości podmiotów, o których mowa w art. 11 lit. a) ppkt (i) niniejszego rozporządzenia, Komisja, po konsultacji z grupą współpracy NIS, EU-CyCLONe i ENISA, określa odpowiednie sektory lub podsektory spośród sektorów kluczowych wymienionych w załączniku I do dyrektywy (UE) 2022/2555, dla których może zostać ogłoszone zaproszenie do składania wniosków o przyznanie dotacji. Udział państw członkowskich w takich zaproszeniach do składania wniosków jest dobrowolny.

5. Określając sektory lub podsektory, o których mowa w ust. 4, Komisja bierze pod uwagę skoordynowane oceny ryzyka i testy odporności na poziomie Unii oraz ich wyniki.

6. Grupa współpracy NIS we współpracy z Komisją, Wysokim Przedstawicielem Unii do Spraw Zagranicznych i Polityki Bezpieczeństwa (dalej zwanym „Wysokim Przedstawicielem”) i ENISA oraz, w ramach jej mandatu, EU-CyCLONe, opracowuje wspólne scenariusze ryzyka i metodyki na potrzeby skoordynowanego testowania gotowości, o którym mowa w art. 11 lit. a) ppkt (i) oraz, w stosownych przypadkach, innych działań w zakresie gotowości, o których mowa w lit. a) ppkt (ii) tego artykułu.

7. W przypadku gdy podmiot działający w sektorze kluczowym dobrowolnie uczestniczy w skoordynowanym testowaniu gotowości, a wynikiem tego testowania są zalecenia dotyczące konkretnych środków, które podmiot uczestniczący mógłby włączyć do planu działań naprawczych, organ państwa członkowskiego odpowiedzialny za skoordynowane testowanie gotowości dokonuje, w stosownych przypadkach, przeglądu działań podjętych w następstwie tych środków przez podmioty uczestniczące z myślą o zwiększeniu gotowości.

Artykuł 13

Inne działania w zakresie gotowości

1. Mechanizm cyberkryzysowy wspiera działania w zakresie gotowości nieobjęte art. 12. Działania takie obejmują działania w zakresie gotowości dla podmiotów w sektorach, które nie zostały wyznaczone do skoordynowanych testów gotowości zgodnie z art. 12. Takie działania mogą wspierać monitorowanie podatności na zagrożenia, monitorowanie ryzyka, ćwiczenia i szkolenia.

2. Wsparcia na rzecz działań w zakresie gotowości na podstawie niniejszego artykułu udziela się państwom członkowskim na ich wniosek przede wszystkim w formie dotacji oraz na warunkach przewidzianych w odpowiednich programach prac, o których mowa w art. 24 rozporządzenia (UE) 2021/694.

Artykuł 14

Ustanowienie rezerwy cyberbezpieczeństwa UE

1. Ustanawia się rezerwę cyberbezpieczeństwa UE, aby pomóc użytkownikom, o których mowa w ust. 3, na ich wniosek, w reagowaniu lub w udzielaniu wsparcia w reagowaniu na poważne incydenty w cyberbezpieczeństwie, incydenty w cyberbezpieczeństwie na dużą skalę i incydenty równoważne incydentom w cyberbezpieczeństwie na dużą skalę oraz we wstępnym usuwaniu skutków takich incydentów.

2. Rezerwa cyberbezpieczeństwa UE składa się z usług reagowania świadczonych przez zaufanych dostawców usług zarządzanych w zakresie bezpieczeństwa wybranych zgodnie z kryteriami określonymi w art. 17 ust. 2. Rezerwa cyberbezpieczeństwa UE może obejmować wcześniej zadeklarowane usługi. Jeżeli wcześniej zadeklarowane usługi zaufanego dostawcy usług zarządzanych w zakresie bezpieczeństwa nie zostaną wykorzystane do reagowania na incydenty w okresie, na który je wcześniej zadeklarowano, możliwe jest ich przekształcenie w usługi w zakresie gotowości związane z zapobieganiem incydentom i reagowaniem na nie. Rezerwa cyberbezpieczeństwa UE jest możliwa do wprowadzenia na wniosek we wszystkich państwach członkowskich, instytucjach, organach i jednostkach organizacyjnych Unii oraz w państwach trzecich stowarzyszonych z programem „Cyfrowa Europa”, o których mowa w art. 19 ust. 1.

3. Użytkownikami usług z rezerwy cyberbezpieczeństwa UE są następujące podmioty:

a) organy państw członkowskich ds. zarządzania kryzysowego w cyberbezpieczeństwie oraz CSIRT, o których mowa odpowiednio w art. 9 ust. 1 i 2 oraz w art. 10 dyrektywy (UE) 2022/2555;

b) CERT-UE, zgodnie z art. 13 rozporządzenia (UE, Euratom) 2023/2841;

c) właściwe organy, takie jak zespoły reagowania na incydenty bezpieczeństwa komputerowego i organy ds. zarządzania kryzysowego w cyberbezpieczeństwie państw trzecich stowarzyszonych z programem „Cyfrowa Europa” zgodnie z art. 19 ust. 8.

4. Komisja ponosi ogólną odpowiedzialność za wdrażanie rezerwy cyberbezpieczeństwa UE. Komisja decyduje o priorytetach i rozwoju rezerwy cyberbezpieczeństwa UE w porozumieniu z grupą współpracy NIS oraz zgodnie z wymogami użytkowników, o których mowa w ust. 3, a także nadzoruje jej wdrażanie oraz zapewnia komplementarność, spójność, synergię i powiązania z innymi działaniami wspierającymi prowadzonymi na podstawie niniejszego rozporządzenia oraz z innymi działaniami i programami unijnymi. Priorytety te podlegają przeglądowi i, w stosownych przypadkach, zmianie co 2 lata. Komisja informuje Parlament Europejski i Radę o tych priorytetach oraz wszelkich ich przeglądach.

5. Bez uszczerbku dla ogólnej odpowiedzialności Komisji za wdrożenie rezerwy cyberbezpieczeństwa UE, o której mowa w ust. 4 niniejszego artykułu, oraz z zastrzeżeniem umowy o przyznanie wkładu zdefiniowanej w art. 2 pkt 19 rozporządzenia (UE, Euratom) 2024/2509, Komisja powierza ENISA, w całości lub w części, obsługę rezerwy cyberbezpieczeństwa UE i zarządzanie nią. Aspekty, które nie zostały powierzone ENISA, podlegają bezpośredniemu zarządzaniu przez Komisję.

6. Co najmniej raz na dwa 2 ENISA przygotowuje zestawienie usług potrzebnych użytkownikom, o których mowa w ust. 3 lit. a) i b) niniejszego artykułu. Zestawienie to obejmuje również informacje o dostępności takich usług, w tym ze strony podmiotów prawnych mających siedzibę lub uznanych za mające siedzibę w państwach członkowskich i kontrolowanych przez państwa członkowskie lub obywateli państw członkowskich. Opracowując informacje o dostępności usług, ENISA ocenia umiejętności i zdolności unijnych pracowników sektora cyberbezpieczeństwa istotne z perspektywy celów rezerwy cyberbezpieczeństwa UE. Przygotowując zestawienie ENISA konsultuje się z grupą współpracy NIS, EU-CyCLONe, Komisją oraz, w stosownych przypadkach, z Międzyinstytucjonalną Radą ds. Cyberbezpieczeństwa ustanowioną zgodnie z art. 10 rozporządzenia (UE, Euratom) 2023/2841 (IICB). Przy opracowywaniu informacji o dostępności usług ENISA konsultuje się również z odpowiednimi zainteresowanymi stronami z sektora cyberbezpieczeństwa, w tym z dostawcami usług zarządzanych w zakresie bezpieczeństwa. ENISA przygotowuje podobne zestawienie, po poinformowaniu Rady i konsultacji z EU-CyCLONe i Komisją oraz, w stosownych przypadkach, z Wysokim Przedstawicielem, w celu określenia potrzeb użytkowników, o których mowa w ust. 3 lit. c) niniejszego artykułu.

7. Komisja jest uprawniona do przyjmowania zgodnie z art. 23 aktów delegowanych w celu uzupełnienia niniejszego rozporządzenia poprzez szczegółowe określenie rodzajów i liczby usług reagowania wymaganych na potrzeby rezerwy cyberbezpieczeństwa UE. Przygotowując te akty delegowane, Komisja bierze pod uwagę zestawienie, o którym mowa w ust. 6 niniejszego artykułu, oraz może wymieniać porady i współpracować z grupą współpracy NIS oraz ENISA.

Artykuł 15

Wnioski o wsparcie z rezerwy cyberbezpieczeństwa UE

1. Użytkownicy, o których mowa w art. 14 ust. 3, mogą występować z wnioskami o usługi z rezerwy cyberbezpieczeństwa UE w celu wsparcia reagowania na poważne incydenty w cyberbezpieczeństwie, incydenty w cyberbezpieczeństwie na dużą skalę lub incydenty równoważne incydentom w cyberbezpieczeństwie na dużą skalę oraz wstępnego usuwania skutków takich incydentów.

2. Aby otrzymać wsparcie z rezerwy cyberbezpieczeństwa UE, użytkownicy, o których mowa w art. 14 ust. 3, podejmują wszelkie odpowiednie środki łagodzące skutki incydentu, w odniesieniu do którego wystąpiono z wnioskiem o wsparcie, obejmujące, w stosownych przypadkach, zapewnienie bezpośredniej pomocy technicznej i innych zasobów, aby wspomóc reagowanie na incydent, oraz działania służące usunięciu skutków incydentu.

3. Wnioski o wsparcie przekazuje się instytucji zamawiającej w następujący sposób:

a) w przypadku użytkowników, o których mowa w art. 14 ust. 3 lit. a) niniejszego rozporządzenia – za pośrednictwem pojedynczego punktu kontaktowego wyznaczonego lub ustanowionego zgodnie z art. 8 ust. 3 dyrektywy (UE) 2022/2555;

b) w przypadku użytkownika, o którym mowa w art. 14 ust. 3 lit. b) – przez tego użytkownika;

c) w przypadku użytkowników, o których mowa w art. 14 ust. 3 lit. c) – za pośrednictwem pojedynczego punktu kontaktowego, o którym mowa w art. 19 ust. 9.

4. W przypadku wniosków od użytkowników, o których mowa w art. 14 ust. 3 lit. a), państwa członkowskie informują sieć CSIRT oraz, w stosownych przypadkach, EU-CyCLONe o wnioskach od swoich użytkowników o wsparcie w reagowaniu na incydenty i we wstępnym usuwaniu skutków incydentów na podstawie niniejszego artykułu.

5. Wnioski o wsparcie w reagowaniu na incydenty i we wstępnym usuwaniu skutków incydentów zawierają:

a) odpowiednie informacje na temat podmiotu, na który incydent ma wpływ, oraz potencjalnych skutków incydentu dla:

(i) w przypadku użytkowników, o których mowa w art. 14 ust. 3 lit. a) – państw członkowskich i użytkowników, których dotyczy dany incydent, w tym ryzyka rozprzestrzenienia się incydentu na inne państwo członkowskie;

(ii) w przypadku użytkownika, o którym mowa w art. 14 ust. 3 lit. b) – instytucji, organów i jednostek organizacyjnych Unii, których to dotyczy;

(iii) w przypadku użytkowników, o których mowa w art. 14 ust. 3 lit. c) – państw trzecich stowarzyszonych z programem „Cyfrowa Europa”, których to dotyczy;

b) informacje na temat usługi, której dotyczy wniosek, wraz z informacjami na temat planowanego wykorzystania wsparcia, którego dotyczy wniosek, w tym wskazanie szacowanych potrzeb;

c) odpowiednie informacje o środkach zastosowanych w celu złagodzenia skutków incydentu, w odniesieniu do którego wystąpiono z wnioskiem o wsparcie, o których mowa w ust. 2;

d) w stosownych przypadkach – dostępne informacje na temat innych form wsparcia dostępnych dla podmiotu, którego dotyczy dany incydent.

6. ENISA, we współpracy z Komisją i EU-CyCLONe, opracowuje wzór ułatwiający składanie wniosków o wsparcie z rezerwy cyberbezpieczeństwa UE.

7. Komisja może w drodze aktów wykonawczych doprecyzować szczegółowe ustalenia proceduralne dotyczące sposobu, w jaki należy składać wnioski o usługi wsparcia z rezerwy cyberbezpieczeństwa UE i sposobu, w jaki należy odpowiadać na te wnioski zgodnie z niniejszym artykułem, art. 16 ust. 1 i art. 19 ust. 10, w tym ustalenia dotyczące składania takich wniosków oraz udzielania odpowiedzi i wzorów sprawozdań, o których mowa w art. 16 ust. 9. Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 24 ust. 2.

Artykuł 16

Wdrożenie wsparcia z rezerwy cyberbezpieczeństwa UE

1. W przypadku wniosków od użytkowników, o których mowa w art. 14 ust. 3 lit. a) i b), wnioski o wsparcie z rezerwy cyberbezpieczeństwa UE oceniane są przez instytucję zamawiającą. Odpowiedź przekazuje się użytkownikom, o których mowa w art. 14 ust. 3 lit. a) i b), niezwłocznie, a w każdym razie nie później niż 48 godzin od złożenia wniosku, aby zapewnić skuteczność wsparcia. Instytucja zamawiająca informuje Radę i Komisję o wynikach tego procesu.

2. W odniesieniu do informacji udostępnianych w trakcie zwracania się o usługi z rezerwy cyberbezpieczeństwa UE i świadczenia usług z tej rezerwy wszystkie strony zaangażowane w stosowanie niniejszego rozporządzenia:

a) ograniczają wykorzystywanie i udostępnianie tych informacji do tego, co jest konieczne do wypełnienia ich obowiązków lub funkcji wynikających z niniejszego rozporządzenia;

b) wykorzystują i udostępniają wszelkie informacje, które są poufne lub niejawne na podstawie prawa Unii i prawa krajowego, wyłącznie zgodnie z tym prawem; oraz

c) zapewniają skuteczną, efektywną i bezpieczną wymianę informacji, w stosownych przypadkach poprzez wykorzystanie i przestrzeganie odpowiednich protokołów udostępniania informacji, w tym kodu poufności TLP.

3. Oceniając indywidualne wnioski na podstawie art. 16 ust. 1 i art. 19 ust. 10, instytucja zamawiająca lub Komisja, stosownie do przypadku, oceniają najpierw, czy spełnione są kryteria, o których mowa w art. 15 ust. 1 i 2. Jeżeli są spełnione, oceniają one czas trwania i charakter wsparcia, które jest odpowiednie, biorąc pod uwagę cel, o którym mowa w art. 1 ust. 3 lit. b), oraz, w stosownych przypadkach, następujące kryteria:

a) skala i dotkliwość incydentu;

b) rodzaj podmiotu, na który incydent ma wpływ, przy czym jako ważniejsze traktuje się incydenty mające wpływ na podmioty kluczowe, o których mowa w art. 3 ust. 1 dyrektywy (UE) 2022/2555;

c) potencjalne skutki incydentu dla państw członkowskich, instytucji, organów lub jednostek organizacyjnych Unii lub państw trzecich stowarzyszonych z programem „Cyfrowa Europa”, na które incydent ma wpływ;

d) potencjalny transgraniczny charakter incydentu oraz ryzyko rozprzestrzenienia się incydentu na inne państwa członkowskie, instytucje, organy lub jednostki organizacyjne Unii lub państwa trzecie stowarzyszone z programem „Cyfrowa Europa”;

e) środki podjęte przez użytkownika w celu wsparcia reagowania oraz działania służące wstępnemu usunięciu skutków incydentu, o których mowa w art. 15 ust. 2.

4. Aby nadać wnioskom priorytety, w przypadku jednoczesnych wniosków od użytkowników, o których mowa w art. 14 ust. 3, w stosownych przypadkach uwzględnia się kryteria, o których mowa w ust. 3 niniejszego artykułu, bez uszczerbku dla zasady lojalnej współpracy między państwami członkowskimi a instytucjami, organami i jednostkami organizacyjnymi Unii. W przypadku gdy co najmniej dwa wnioski zostaną ocenione jako równorzędne na podstawie tych kryteriów, wyższy priorytet nadaje się wnioskom od użytkowników z państw członkowskich. W przypadku gdy obsługę rezerwy cyberbezpieczeństwa UE i zarządzanie nią powierzono, w całości lub w części, ENISA zgodnie z art. 14 ust. 5, ENISA i Komisja ściśle współpracują w celu uszeregowania wniosków według priorytetów zgodnie z niniejszym ustępem.

5. Usługi z rezerwy cyberbezpieczeństwa UE świadczone są zgodnie ze szczegółowymi umowami między zaufanym dostawcą usług zarządzanych w zakresie bezpieczeństwa a użytkownikiem, któremu udziela się wsparcia w ramach rezerwy cyberbezpieczeństwa UE. Usługi te mogą być świadczone zgodnie ze szczegółowymi umowami między zaufanym dostawcą usług zarządzanych w zakresie bezpieczeństwa, użytkownikiem i podmiotem, którego dotyczy incydent. Wszystkie umowy, o których mowa w niniejszym ustępie, zawierają między innymi warunki dotyczące odpowiedzialności.

6. Umowy, o których mowa w ust. 5, opierają się na wzorach przygotowanych przez ENISA po konsultacji z państwami członkowskimi oraz, w stosownych przypadkach, innymi użytkownikami rezerwy cyberbezpieczeństwa UE.

7. Komisja, ENISA i użytkownicy rezerwy cyberbezpieczeństwa UE nie ponoszą odpowiedzialności umownej za szkody wyrządzone osobom trzecim przez usługi świadczone w ramach wdrażania rezerwy cyberbezpieczeństwa UE.

8. Użytkownicy mogą korzystać z usług rezerwy cyberbezpieczeństwa UE świadczonych w odpowiedzi na wniosek złożony na podstawie art. 15 ust. 1 wyłącznie w celu wsparcia reagowania na poważne incydenty w cyberbezpieczeństwie, incydenty w cyberbezpieczeństwie na dużą skalę lub incydenty równoważne incydentom w cyberbezpieczeństwie na dużą skalę oraz wstępnego usuwania skutków takich incydentów. Mogą oni korzystać z tych usług wyłącznie w odniesieniu do:

a) podmiotów działających w sektorach kluczowych lub podmiotów działających w innych sektorach krytycznych, w przypadku użytkowników, o których mowa w art. 14 ust. 3 lit. a), oraz równoważnych podmiotów w przypadku użytkowników, o których mowa w art. 14 ust. 3 lit. c); oraz

b) instytucji, organów i jednostek organizacyjnych Unii, w przypadku użytkowników, o których mowa w art. 14 ust. 3 lit. b).

9. W terminie dwóch miesięcy od zakończenia wsparcia użytkownicy, którzy otrzymali wsparcie, przekazują sprawozdanie podsumowujące na temat świadczonej usługi, osiągniętych wyników i zdobytych doświadczeń:

a) Komisji, ENISA, sieci CSIRT i EU-CyCLONe – w przypadku użytkowników, o których mowa w art. 14 ust. 3 lit. a);

b) Komisji, ENISA i IICB – w przypadku użytkownika, o którym mowa w art. 14 ust. 3 lit. b);

c) Komisji – w przypadku użytkowników, o których mowa w art. 14 ust. 3 lit. c).

Komisja przekazuje każde sprawozdanie otrzymane od użytkowników, o których mowa w art. 14 ust. 3, zgodnie z akapitem pierwszym lit. c) niniejszego ustępu, Radzie i Wysokiemu Przedstawicielowi.

10. W przypadku gdy obsługę rezerwy cyberbezpieczeństwa UE i zarządzanie nią powierzono, w całości lub w części, ENISA zgodnie z art. 14 ust. 5 niniejszego rozporządzenia, ENISA regularnie składa sprawozdania Komisji i konsultuje się z nią w tym zakresie. W tym kontekście ENISA natychmiast przesyła Komisji wszelkie wnioski otrzymane od użytkowników, o których mowa w art. 14 ust. 3 lit. c) niniejszego rozporządzenia, oraz, w przypadku gdy jest to wymagane do celów ustalenia priorytetów na podstawie niniejszego artykułu, wszelkie wnioski, które otrzymała od użytkowników, o których mowa w art. 14 ust. 3 lit. a) lub b) niniejszego rozporządzenia. Obowiązki określone w niniejszym ustępie pozostają bez uszczerbku dla art. 14 rozporządzenia (UE) 2019/881.

11. W przypadku użytkowników, o których mowa w art. 14 ust. 3 lit. a) i b), instytucja zamawiająca regularnie i co najmniej dwa razy w roku składa grupie współpracy NIS sprawozdania na temat wykorzystania i wyników wsparcia.

12. W przypadku użytkowników, o których mowa w art. 14 ust. 3 lit. c), Komisja składa sprawozdania Radzie oraz regularnie i co najmniej dwa razy w roku informuje Wysokiego Przedstawiciela o wykorzystaniu i wynikach wsparcia.

Artykuł 17

Zaufani dostawcy usług zarządzanych w zakresie bezpieczeństwa

1. W postępowaniach o udzielenie zamówienia do celów utworzenia rezerwy cyberbezpieczeństwa UE instytucja zamawiająca działa zgodnie z zasadami określonymi w rozporządzeniu (UE, Euratom) 2024/2509 oraz zgodnie z następującymi zasadami:

a) zapewnienie, aby usługi w ramach rezerwy cyberbezpieczeństwa UE, traktowane jako całość, obejmowały usługi, które mogą być wprowadzone we wszystkich państwach członkowskich, z uwzględnieniem w szczególności krajowych wymogów dotyczących świadczenia takich usług, w tym języków, certyfikacji lub akredytacji;

b) zapewnienie ochrony podstawowych interesów Unii i jej państw członkowskich w zakresie bezpieczeństwa;

c) zapewnienie, aby rezerwa cyberbezpieczeństwa UE wnosiła unijną wartość dodaną poprzez wkład w osiągnięcie celów określonych w art. 3 rozporządzenia (UE) 2021/694, w tym promowanie rozwoju umiejętności w dziedzinie cyberbezpieczeństwa w Unii.

2. Przy zamawianiu usług na potrzeby rezerwy cyberbezpieczeństwa UE instytucja zamawiająca uwzględnia w dokumentach zamówienia następujące kryteria i wymogi:

a) dostawca musi wykazać, że jego personel charakteryzuje się najwyższym stopniem uczciwości zawodowej, niezależności, odpowiedzialności i kompetencji technicznych niezbędnych do wykonywania działań w danej dziedzinie oraz zapewnia trwałość i ciągłość wiedzy fachowej, a także wymagane zasoby techniczne;

b) dostawca oraz wszelkie odpowiednie jednostki zależne i podwykonawcy muszą przestrzegać mających zastosowanie przepisów dotyczących ochrony informacji niejawnych oraz dysponować odpowiednimi środkami, w tym, w stosownych przypadkach, wzajemnymi umowami, w celu ochrony informacji poufnych dotyczących usług, a w szczególności dowodów, ustaleń i sprawozdań;

c) dostawca musi dostarczyć wystarczające dowody na to, że jego struktura zarządzania jest przejrzysta, nie zagraża jego bezstronności i jakości świadczonych przez niego usług ani nie powoduje konfliktów interesów;

d) dostawca musi posiadać odpowiednie poświadczenie bezpieczeństwa, przynajmniej w odniesieniu do personelu mającego wprowadzać usługi, jeżeli wymaga tego państwo członkowskie;

e) dostawca musi dysponować odpowiednim poziomem bezpieczeństwa swoich systemów informatycznych;

f) dostawca musi być wyposażony w sprzęt i oprogramowanie niezbędne do obsługi żądanej usługi, które nie zawiera znanych możliwych do wykorzystania podatności, obejmuje najnowsze aktualizacje zabezpieczeń i w każdym przypadku jest zgodne z wszelkimi mającymi zastosowanie przepisami rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/2847 (

2

);

g) dostawca musi być w stanie wykazać, że ma doświadczenie w świadczeniu podobnych usług odpowiednim organom krajowym lub podmiotom działającym w sektorach kluczowych lub podmiotom działającym w innych sektorach krytycznych;

h) dostawca musi być w stanie zapewnić usługę w krótkim terminie w państwach członkowskich, w których może świadczyć tę usługę;

i) dostawca musi być w stanie zapewnić usługę w co najmniej jednym języku urzędowym instytucji Unii lub państwa członkowskiego, zgodnie z wszelkimi wymogami państw członkowskich lub użytkowników, o których mowa w art. 14 ust. 3 lit. b) i c), w których dostawca może świadczyć tę usługę;

j) po wprowadzeniu europejskiego programu certyfikacji cyberbezpieczeństwa usług zarządzanych w zakresie bezpieczeństwa zgodnie z rozporządzeniem (UE) 2019/881 dostawca musi być certyfikowany zgodnie z tym programem w okresie 2 lat od dnia rozpoczęcia stosowania programu;

k) dostawca musi uwzględniać w ofercie przetargowej warunki przekształcenia wszelkich niewykorzystanych usług reagowania na incydenty, które mogłyby zostać przekształcone w usługi w zakresie gotowości ściśle związane z reagowaniem na incydenty, takie jak ćwiczenia lub szkolenia.

3. Do celów zamawiania usług na potrzeby rezerwy cyberbezpieczeństwa UE instytucja zamawiająca może, w stosownych przypadkach, opracować dodatkowe kryteria i wymogi oprócz kryteriów, o których mowa w ust. 2, w ścisłej współpracy z państwami członkowskimi.

Artykuł 18

Działania w zakresie wspierania wzajemnej pomocy

1. Mechanizm cyberkryzysowy zapewnia wsparcie pomocy technicznej udzielanej przez jedno państwo członkowskie drugiemu państwu członkowskiemu dotkniętemu poważnym incydentem w cyberbezpieczeństwie lub incydentem w cyberbezpieczeństwie na dużą skalę, w tym w przypadkach, o których mowa w art. 11 ust. 3 lit. f) dyrektywy (UE) 2022/2555.

2. Wsparcia wzajemnej pomocy technicznej, o której mowa w ust. 1 niniejszego artykułu, udziela się w formie dotacji oraz na warunkach przewidzianych w odpowiednich programach prac, o których mowa w art. 24 rozporządzenia (UE) 2021/694.

Artykuł 19

Wsparcie dla państw trzecich stowarzyszonych z programem „Cyfrowa Europa”

1. Państwo trzecie stowarzyszone z programem „Cyfrowa Europa” może wystąpić z wnioskiem o wsparcie z rezerwy cyberbezpieczeństwa UE, w przypadku gdy umowa, za pośrednictwem której jest ono stowarzyszone z programem „Cyfrowa Europa”, przewiduje uczestnictwo w rezerwie cyberbezpieczeństwa UE. Umowa ta musi zawierać postanowienia zobowiązujące dane państwo trzecie stowarzyszone z programem „Cyfrowa Europa” do wypełnienia obowiązków określonych w ust. 2 i 9 niniejszego artykułu. Do celów uczestnictwa państwa trzeciego w rezerwie cyberbezpieczeństwa UE częściowe stowarzyszenie państwa trzeciego z programem „Cyfrowa Europa” może obejmować stowarzyszenie ograniczone do celu operacyjnego, o którym mowa w art. 6 ust. 1 lit. g) rozporządzenia (UE) 2021/694.

2. W terminie trzech miesięcy od zawarcia umowy, o której mowa w ust. 1, a w każdym przypadku przed otrzymaniem jakiegokolwiek wsparcia z rezerwy cyberbezpieczeństwa UE państwo trzecie stowarzyszone z programem „Cyfrowa Europa” przekazuje Komisji informacje na temat swoich zdolności w zakresie cyberodporności i zarządzania ryzykiem, w tym co najmniej informacje na temat środków krajowych wprowadzonych w celu przygotowania się na poważne incydenty w cyberbezpieczeństwie, incydenty w cyberbezpieczeństwie na dużą skalę lub incydenty równoważne incydentom w cyberbezpieczeństwie na dużą skalę, a także informacje na temat odpowiedzialnych podmiotów krajowych, w tym zespołów reagowania na komputerowe incydenty w bezpieczeństwie lub równoważnych podmiotów, ich zdolności i przydzielonych im zasobów. Państwo trzecie stowarzyszone z programem „Cyfrowa Europa” regularnie i co najmniej raz w roku przekazuje aktualizacje tych informacji. Komisja przekazuje te informacje Wysokiemu Przedstawicielowi i ENISA do celów ułatwienia stosowania ust. 11.

3. Komisja regularnie i co najmniej raz w roku ocenia następujące kryteria w odniesieniu do każdego państwa trzeciego stowarzyszonego z programem „Cyfrowa Europa”, o którym mowa w ust. 1:

a) czy państwo to przestrzega warunków umowy, o której mowa w ust. 1, w zakresie, w jakim warunki te odnoszą się do uczestnictwa w rezerwie cyberbezpieczeństwa UE;

b) czy państwo to podjęło odpowiednie kroki w celu przygotowania się na poważne incydenty w cyberbezpieczeństwie lub incydenty równoważne incydentom w cyberbezpieczeństwie na dużą skalę, w oparciu o informacje, o których mowa w ust. 2; oraz

c) czy udzielenie wsparcia jest spójne z polityką Unii wobec tego państwa i ogólnymi stosunkami z tym państwem oraz czy jest spójne z innymi politykami Unii w dziedzinie bezpieczeństwa.

Przeprowadzając ocenę, o której mowa w akapicie pierwszym, Komisja konsultuje się z Wysokim Przedstawicielem w odniesieniu do kryterium, o którym mowa w lit. c) tego akapitu.

W przypadku gdy Komisja stwierdzi, że państwo trzecie stowarzyszone z programem „Cyfrowa Europa” spełnia wszystkie warunki, o których mowa w akapicie pierwszym, Komisja przedkłada Radzie wniosek o przyjęcie aktu wykonawczego zgodnie z ust. 4 w celu zezwolenia na udzielenie temu państwu wsparcia z rezerwy cyberbezpieczeństwa UE.

4. Rada może przyjąć akty wykonawcze, o których mowa w ust. 3. Te akty wykonawcze stosuje się nie dłużej niż przez rok. Ich obowiązywanie może zostać przedłużone. Mogą one określać maksymalną liczbę dni, przez które wsparcie może być udzielane w odpowiedzi na pojedynczy wniosek, nie mniejszą niż 75.

Do celów niniejszego artykułu Rada działa szybko i co do zasady przyjmuje akty wykonawcze, o których mowa w niniejszym ustępie, w terminie 8 tygodni od przyjęcia odpowiedniego wniosku Komisji zgodnie z ust. 3 akapit pierwszy.

5. Rada może w dowolnym momencie zmienić lub uchylić akt wykonawczy przyjęty zgodnie z ust. 4, działając na wniosek Komisji.

W przypadku gdy Rada uzna, że nastąpiła istotna zmiana dotycząca kryterium, o którym mowa w ust. 3 akapit pierwszy lit. c), może ona zmienić lub uchylić akt wykonawczy przyjęty zgodnie z ust. 4, działając z należycie uzasadnionej inicjatywy co najmniej jednego państwa członkowskiego.

6. Wykonując swoje uprawnienia wykonawcze na podstawie niniejszego artykułu, Rada stosuje kryteria, o których mowa w ust. 3 akapit pierwszy, oraz wyjaśnia swoją ocenę tych kryteriów. W szczególności, w przypadku gdy Rada działa z własnej inicjatywy zgodnie z ust. 5 akapit drugi, wyjaśnia ona istotną zmianę, o której mowa w tym akapicie.

7. Wsparcie z rezerwy cyberbezpieczeństwa UE dla państwa trzeciego stowarzyszonego z programem „Cyfrowa Europa” musi być zgodne z wszelkimi szczegółowymi warunkami określonymi w umowie, o której mowa w ust. 1.

8. Do użytkowników z państw trzecich stowarzyszonych z programem „Cyfrowa Europa” kwalifikujących się do otrzymania usług z rezerwy cyberbezpieczeństwa UE należą właściwe organy, takie jak zespoły reagowania na incydenty bezpieczeństwa komputerowego lub podmioty równoważne oraz organy ds. zarządzania kryzysowego w cyberbezpieczeństwie.

9. Każde państwo trzecie stowarzyszone z programem „Cyfrowa Europa” kwalifikujące się do wsparcia z rezerwy cyberbezpieczeństwa UE wyznacza organ, który będzie pełnił funkcję pojedynczego punktu kontaktowego do celów niniejszego rozporządzenia.

10. Wnioski o wsparcie z rezerwy cyberbezpieczeństwa UE na podstawie niniejszego artykułu oceniane są przez Komisję. Instytucja zamawiająca może udzielić wsparcia państwu trzeciemu wyłącznie w przypadku gdy i tak długo, jak obowiązuje akt wykonawczy Rady zezwalający na takie wsparcie w odniesieniu do tego państwa, przyjęty zgodnie z ust. 4 niniejszego artykułu. Odpowiedź przekazuje się użytkownikom, o których mowa w art. 14 ust. 3 lit. c), bez zbędnej zwłoki.

11. Po otrzymaniu wniosku o wsparcie na podstawie niniejszego artykułu Komisja natychmiast informuje o tym Radę. Komisja na bieżąco informuje Radę o ocenie wniosku. Komisja współpracuje również z Wysokim Przedstawicielem w odniesieniu do otrzymanych wniosków i wdrażania wsparcia przyznanego państwom trzecim stowarzyszonym z programem „Cyfrowa Europa” z rezerwy cyberbezpieczeństwa UE. Ponadto Komisja uwzględnia również wszelkie opinie przedstawione przez ENISA w odniesieniu do tych wniosków.

Artykuł 20

Koordynacja z unijnymi mechanizmami zarządzania kryzysowego

1. W przypadku gdy poważny incydent w cyberbezpieczeństwie, incydent w cyberbezpieczeństwie na dużą skalę lub incydent równoważny incydentowi w cyberbezpieczeństwie na dużą skalę wynika z klęski lub katastrofy zdefiniowanej w art. 4 pkt 1 decyzji nr 1313/2013/UE lub skutkuje taką klęską lub katastrofą, wsparcie udzielane na podstawie niniejszego rozporządzenia na potrzeby reagowania na taki incydent uzupełnia działania podejmowane na podstawie tej decyzji oraz pozostaje bez uszczerbku dla tej decyzji.

2. W przypadku incydentu w cyberbezpieczeństwie na dużą skalę lub incydentu równoważnego incydentowi w cyberbezpieczeństwie na dużą skalę, gdy uruchomione zostaną zintegrowane uzgodnienia UE dotyczące reagowania na szczeblu politycznym w sytuacjach kryzysowych na podstawie decyzji wykonawczej (UE) 2018/1993 (zwane dalej „uzgodnieniami IPCR”), wsparcie udzielane na podstawie niniejszego rozporządzenia na potrzeby reagowania na taki incydent odbywa się zgodnie z odpowiednimi procedurami w ramach uzgodnień IPCR.

Artykuł 21

Europejski mechanizm przeglądu incydentów w cyberbezpieczeństwie

1. Na wniosek Komisji lub EU-CyCLONe ENISA, przy wsparciu sieci CSIRT oraz za zgodą zainteresowanych państw członkowskich, dokonuje przeglądu i oceny cyberzagrożeń, znanych możliwych do wykorzystania podatności i działań łagodzących w odniesieniu do konkretnego poważnego incydentu w cyberbezpieczeństwie lub incydentu w cyberbezpieczeństwie na dużą skalę. Po zakończeniu przeglądu i oceny incydentu oraz w celu wyciągnięcia wniosków ze zdobytych doświadczeń, aby uniknąć przyszłych incydentów lub złagodzić ich skutki, ENISA przekazuje EU-CyCLONe, sieci CSIRT, zainteresowanym państwom członkowskim i Komisji sprawozdanie z przeglądu incydentu, aby wesprzeć je w wykonywaniu ich zadań, w szczególności zadań określonych w art. 15 i 16 dyrektywy (UE) 2022/2555. W przypadku gdy incydent ma wpływ na państwo trzecie stowarzyszone z programem „Cyfrowa Europa”, ENISA przekazuje sprawozdanie Radzie. W takich przypadkach Komisja przekazuje to sprawozdanie Wysokiemu Przedstawicielowi.

2. W celu przygotowania sprawozdania z przeglądu incydentu, o którym mowa w ust. 1 niniejszego artykułu, ENISA współpracuje ze wszystkimi odpowiednimi zainteresowanymi stronami, w tym przedstawicielami państw członkowskich, Komisji, innych odpowiednich instytucji, organów i jednostek organizacyjnych Unii, przemysłu, w tym dostawców usług zarządzanych w zakresie bezpieczeństwa i użytkowników usług w zakresie cyberbezpieczeństwa, oraz zbiera informacje zwrotne od nich. W stosownych przypadkach ENISA, we współpracy z CSIRT oraz, w stosownych przypadkach, z właściwymi organami wyznaczonymi lub ustanowionymi zgodnie z art. 8 ust. 1 dyrektywy (UE) 2022/2555, współpracuje również z podmiotami dotkniętymi poważnymi incydentami w cyberbezpieczeństwie lub incydentami w cyberbezpieczeństwie na dużą skalę. Przedstawiciele, z którymi przeprowadza się konsultacje, ujawniają wszelkie potencjalne konflikty interesów.

3. Sprawozdanie z przeglądu incydentu, o którym mowa w ust. 1 niniejszego artykułu, obejmuje przegląd i analizę konkretnego poważnego incydentu w cyberbezpieczeństwie lub incydentu w cyberbezpieczeństwie na dużą skalę, w tym głównych przyczyn, znanych możliwych do wykorzystania podatności i zdobytych doświadczeń. ENISA zapewnia zgodność sprawozdania z prawem unijnym lub krajowym dotyczącym ochrony informacji szczególnie chronionych lub niejawnych. Na wniosek odpowiednich państw członkowskich lub innych użytkowników, o których mowa w art. 14 ust. 3, dotkniętych incydentem, dane i informacje zawarte w sprawozdaniu obejmują wyłącznie dane zanonimizowane. Nie ujawnia się w nim jakichkolwiek szczegółów na temat aktywnie wykorzystywanych podatności, którym nie udało się jeszcze zaradzić.

4. W stosownych przypadkach sprawozdanie z przeglądu incydentu zawiera zalecenia mające na celu poprawę pozycji Unii w kwestiach cyberprzestrzeni oraz może obejmować najlepsze praktyki i wnioski wyciągnięte z doświadczeń zdobytych przez odpowiednie zainteresowane strony.

5. ENISA może wydać publicznie dostępną wersję sprawozdania z przeglądu incydentu. Ta wersja sprawozdania zawiera wyłącznie wiarygodne informacje publiczne lub inne wiarygodne informacje za zgodą zainteresowanych państw członkowskich oraz, w odniesieniu do informacji dotyczących użytkownika, o którym mowa w art. 14 ust. 3 lit. b) lub c) – za zgodą tego użytkownika.

Artykuł 22

Zmiany w rozporządzeniu (UE) 2021/694

W rozporządzeniu (UE) 2021/694 wprowadza się następujące zmiany:

1) w art. 6 wprowadza się następujące zmiany:

a) w ust. 1 wprowadza się następujące zmiany:

(i) dodaje się lit. aa) w brzmieniu:

„aa)

wspieraniu rozwoju europejskiego systemu ostrzeżeń dotyczących cyberbezpieczeństwa ustanowionego na podstawie art. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2025/38 (zwanego dalej »europejskim systemem ostrzeżeń dotyczących cyberbezpieczeństwa«) (

*1

), w tym rozwijaniu, wprowadzaniu i eksploatacji krajowych centrów cyberbezpieczeństwa i transgranicznych centrów cyberbezpieczeństwa, które wnoszą wkład w orientację sytuacyjną w Unii oraz w zwiększanie unijnych zdolności wywiadowczych w zakresie cyberzagrożeń;

(ii) dodaje się literę w brzmieniu:

„g)

utworzeniu i obsłudze mechanizmu cyberkryzysowego ustanowionego na podstawie art. 10 rozporządzenia (UE) 2025/38, w tym rezerwy cyberbezpieczeństwa UE ustanowionej na podstawie art. 14 tego rozporządzenia (zwanej dalej »rezerwą cyberbezpieczeństwa UE«), w celu wspierania państw członkowskich w przygotowaniu się na poważne incydenty w cyberbezpieczeństwie i incydenty w cyberbezpieczeństwie na dużą skalę oraz reagowaniu na nie, stanowiącego uzupełnienie krajowych zasobów i zdolności oraz innych form wsparcia dostępnych na poziomie Unii, oraz w celu wspierania innych użytkowników w reagowaniu poważne incydenty w cyberbezpieczeństwie i incydenty równoważne incydentom w cyberbezpieczeństwie na dużą skalę.”

;

b) ust. 2 otrzymuje brzmienie:

„2.

Działania w ramach celu szczegółowego nr 3 realizowane są przede wszystkim za pośrednictwem Europejskiego Centrum Kompetencji Przemysłowych, Technologicznych i Badawczych w dziedzinie Cyberbezpieczeństwa oraz sieci krajowych ośrodków koordynacji zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2021/887 (

*2

). Jednakże, rezerwa cyberbezpieczeństwa UE jest wdrażania przez Komisję oraz, zgodnie z art. 14 ust. 6 rozporządzenia (UE) 2025/38, przez ENISA.

2) w art. 9 wprowadza się następujące zmiany:

a) ust. 2 lit. b), c) i d) otrzymują brzmienie:

„b)

1 760 806 000 EUR na cel szczegółowy nr 2 – Sztuczna inteligencja;

c) 1 372 020 000 EUR na cel szczegółowy nr 3 – Cyberbezpieczeństwo i zaufanie;

d) 482 640 000 EUR na cel szczegółowy nr 4 – Zaawansowane umiejętności cyfrowe;”

;

b) dodaje się ustęp w brzmieniu:

„8.

Na zasadzie odstępstwa od art. 12 ust. 1 rozporządzenia finansowego niewykorzystane środki na zobowiązania i środki na płatności przeznaczone na działania dotyczące wdrażania rezerwy cyberbezpieczeństwa UE oraz działania w zakresie wspierania wzajemnej pomocy na podstawie rozporządzenia (UE) 2025/38 służące osiągnięciu celów określonych w art. 6 ust. 1 lit. g) niniejszego rozporządzenia są automatycznie przenoszone i mogą być przeznaczane na zobowiązania i płatności realizowane do dnia 31 grudnia następnego roku budżetowego. Parlament Europejski i Rada są informowane o środkach przeniesionych zgodnie z art. 12 ust. 6 rozporządzenia finansowego.”

;

3) w art. 12 wprowadza się następujące zmiany:

a) dodaje się ustępy w brzmieniu:

„5a.

Ustęp 5 nie ma zastosowania – w zakresie, w jakim dotyczy podmiotów prawnych, które mają siedzibę w Unii, ale są kontrolowane z państw trzecich – do wszelkich działań wdrażających europejski system ostrzeżeń dotyczących cyberbezpieczeństwa w przypadku gdy w odniesieniu do danego działania spełnione są oba poniższe warunki:

a) istnieje realne ryzyko, biorąc pod uwagę wyniki zestawienia sporządzonego zgodnie z art. 9 ust. 4 rozporządzenia (UE) 2025/38 , że niezbędne narzędzia, infrastruktura lub usługi wystarczające do tego, aby działanie to odpowiednio przyczyniło się do osiągnięcia celu, jakim jest europejski system ostrzeżeń dotyczących cyberbezpieczeństwa, nie będą dostępne ze strony podmiotów prawnych mających siedzibę lub uznanych za mające siedzibę w państwach członkowskich i kontrolowanych przez państwa członkowskie lub obywateli państw członkowskich;

b) ryzyko dla bezpieczeństwa związane z zamówieniami od takich podmiotów prawnych w ramach europejskiego systemu ostrzeżeń dotyczących cyberbezpieczeństwa jest proporcjonalne do korzyści i nie narusza podstawowych interesów bezpieczeństwa Unii i jej państw członkowskich.

5b. Ustęp 5 nie ma zastosowania – w zakresie, w jakim dotyczy podmiotów prawnych, które mają siedzibę w Unii, ale są kontrolowane z państw trzecich – do działań wdrażających rezerwę cyberbezpieczeństwa UE w przypadku gdy w odniesieniu do danego działania spełnione są oba poniższe warunki:

a) istnieje realne ryzyko, biorąc pod uwagę wyniki zestawienia sporządzonego zgodnie z art. 14 ust. 6 rozporządzenia (UE) 2025/38, że technologia, wiedza specjalistyczna lub zdolności niezbędne i wystarczające do tego, aby rezerwa cyberbezpieczeństwa UE mogła odpowiednio wykonywać swoje funkcje, nie będą dostępne ze strony podmiotów prawnych mających siedzibę lub uznanych za mające siedzibę w państwach członkowskich i kontrolowanych przez państwa członkowskie lub obywateli państw członkowskich;

b) ryzyko dla bezpieczeństwa związane z włączeniem takich podmiotów prawnych do rezerwy cyberbezpieczeństwa UE jest proporcjonalne do korzyści i nie narusza podstawowych interesów bezpieczeństwa Unii i jej państw członkowskich.”

;

b) ust. 6 otrzymuje brzmienie:

„6.

Jeśli istnieją należycie uzasadnione względy bezpieczeństwa, w programie prac można również przewidzieć, że podmioty prawne z siedzibą w państwach stowarzyszonych i podmioty prawne z siedzibą w Unii, lecz kontrolowane z państwa trzeciego, mogą kwalifikować się do uczestnictwa we wszystkich lub niektórych działaniach w ramach celów szczegółowych nr 1 i 2 tylko wówczas, jeżeli spełniają wymogi, które te podmioty prawne powinny spełniać, aby zagwarantować ochronę podstawowych interesów Unii i jej państw członkowskich w zakresie bezpieczeństwa oraz zapewnić ochronę informacji zawartych w dokumentach niejawnych. Wymogi te określa się w programie prac.

Akapit pierwszy ma także zastosowanie – w zakresie, w jakim dotyczy podmiotów prawnych, które mają siedzibę w Unii, ale są kontrolowane z państw trzecich – do działań w ramach celu szczegółowego nr 3:

a) wdrażania europejskiego systemu ostrzeżeń dotyczących cyberbezpieczeństwa w przypadku gdy zastosowanie ma ust. 5a; oraz

b) wdrażania rezerwy cyberbezpieczeństwa UE w przypadku gdy zastosowanie ma ust. 5b.”

;

4) art. 14 ust. 2 otrzymuje brzmienie:

„2.

Program może zapewniać finansowanie w dowolnej formie przewidzianej w rozporządzeniu finansowym, w tym w szczególności poprzez zamówienia stanowiące podstawową formę lub poprzez dotacje i nagrody.

W przypadku gdy osiągnięcie celu działania wymaga zamówienia innowacyjnych towarów i usług, dotacje można przyznać tylko beneficjentom będącym instytucjami zamawiającymi lub podmiotami zamawiającymi zdefiniowanymi w dyrektywach Parlamentu Europejskiego i Rady 2014/24/UE (

*3

) i 2014/25/UE (

*4

).

W przypadku gdy do osiągnięcia celów działania niezbędne jest dostarczenie innowacyjnych towarów lub usług, które nie są jeszcze powszechnie dostępne na rynku, instytucja zamawiająca lub podmiot zamawiający mogą zezwolić na udzielenie więcej niż jednego zamówienia w ramach tego samego postępowania o udzielenie zamówienia.

Z powodów należycie uzasadnionych względami bezpieczeństwa publicznego instytucja zamawiająca lub podmiot zamawiający mogą wymagać, aby miejsce wykonania zamówienia znajdowało się na terytorium Unii.

Realizując postępowania o udzielenie zamówienia na potrzeby rezerwy cyberbezpieczeństwa UE, Komisja i ENISA mogą działać jako centralna jednostka zakupująca w celu udzielania zamówień w imieniu lub na rzecz państw trzecich stowarzyszonych z Programem zgodnie z art. 10 niniejszego rozporządzenia. Komisja i ENISA mogą również działać jako hurtownik, kupując, przechowując i odsprzedając lub przekazując jako darowiznę towary i usługi, w tym przedmioty najmu, tym państwom trzecim. Na zasadzie odstępstwa od art. 168 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE, Euratom) 2024/2509 (

*5

) wniosek jednego państwa trzeciego wystarcza, aby upoważnić Komisję lub ENISA do działania.

Realizując postępowania o udzielenie zamówienia na potrzeby rezerwy cyberbezpieczeństwa UE, Komisja i ENISA mogą działać jako centralna jednostka zakupująca w celu udzielania zamówień w imieniu lub na rzecz instytucji, organów lub jednostek organizacyjnych Unii. Komisja i ENISA mogą również działać jako hurtownik, kupując, przechowując i odsprzedając lub przekazując jako darowiznę towary i usługi, w tym przedmioty najmu, instytucjom, organom lub jednostkom organizacyjnym Unii. Na zasadzie odstępstwa od art. 168 ust. 3 rozporządzenia (UE, Euratom) 2024/2509 wniosek jednej instytucji, jednego organu lub jednej jednostki organizacyjnej Unii wystarcza, aby upoważnić Komisję lub ENISA do działania.

Program może również zapewniać finansowanie w formie instrumentów finansowych w operacjach łączonych.

5) dodaje się artykuł w brzmieniu:

„Artykuł 16a

Konflikt przepisów

W przypadku działań służących wdrażaniu europejskiego systemu ostrzeżeń dotyczących cyberbezpieczeństwa przepisami mającymi zastosowanie są przepisy art. 4, 5 i 9 rozporządzenia (UE) 2025/38. W przypadku konfliktu między przepisami niniejszego rozporządzenia a art. 4, 5 i 9 rozporządzenia (UE) 2025/38 te ostatnie mają pierwszeństwo i mają zastosowanie do tych konkretnych działań.

W przypadku rezerwy cyberbezpieczeństwa UE szczegółowe zasady uczestnictwa państw trzecich stowarzyszonych z programem określono w art. 19 rozporządzenia (UE) 2025/38. W przypadku konfliktu między przepisami niniejszego rozporządzenia a art. 19 rozporządzenia (UE) 2025/38 ten ostatni ma pierwszeństwo i mają zastosowanie do tych konkretnych działań.”

;

6) art. 19 otrzymuje brzmienie:

„Artykuł 19

Dotacje

Dotacje w ramach Programu przyznaje się i zarządza się nimi zgodnie z tytułem VIII rozporządzenia finansowego i mogą one pokrywać do 100 % kosztów kwalifikowalnych, bez uszczerbku dla zasady współfinansowania ustanowionej w art. 190 rozporządzenia finansowego. Takie dotacje przyznaje się i zarządza się nimi w sposób określony dla poszczególnych celów.

Wsparcie w formie dotacji może przyznawać bezpośrednio ECCC bez zaproszenia do składania wniosków państwom członkowskim wybranym zgodnie z art. 9 rozporządzenia (UE) 2025/38, oraz konsorcjum przyjmującemu, o którym mowa w art. 5 rozporządzenia (UE) 2025/38, zgodnie z art. 195 ust. 1 lit. d) rozporządzenia finansowego.

Wsparcie w formie dotacji do celów mechanizmu cyberkryzysowego może przyznawać bezpośrednio ECCC państwom członkowskim bez zaproszenia do składania wniosków, zgodnie z art. 195 ust. 1 lit. d) rozporządzenia finansowego.

W odniesieniu do działań w zakresie wspierania wzajemnej pomocy przewidzianych w art. 18 rozporządzenia (UE) 2025/38 ECCC informuje Komisję i ENISA o wnioskach państw członkowskich o udzielenie dotacji bezpośrednich bez zaproszenia do składania wniosków.

W odniesieniu do działań w zakresie wspierania wzajemnej pomocy przewidzianych w art. 18 rozporządzenia (UE) 2025/38, oraz zgodnie z art. 193 ust. 2 akapit drugi lit. a) rozporządzenia finansowego w należycie uzasadnionych przypadkach koszty można uznać za kwalifikowalne, nawet jeżeli zostały poniesione przed przedłożeniem wniosku o udzielenie dotacji.”

;

7) w załącznikach I i II wprowadza się zmiany zgodnie z załącznikiem do niniejszego rozporządzenia.

Artykuł 23

Wykonywanie przekazanych uprawnień

1. Powierzenie Komisji uprawnień do przyjmowania aktów delegowanych podlega warunkom określonym w niniejszym artykule.

2. Uprawnienia do przyjmowania aktów delegowanych, o których mowa w art. 14 ust. 7, powierza się Komisji na okres 5 lat od dnia 5 lutego 2025 r. Komisja sporządza sprawozdanie dotyczące przekazania uprawnień nie później niż 9 miesięcy przed końcem okresu 5 lat. Przekazanie uprawnień zostaje automatycznie przedłużone na takie same okresy, chyba że Parlament Europejski lub Rada sprzeciwią się takiemu przedłużeniu nie później niż 3 miesiące przed końcem każdego okresu.

3. Przekazanie uprawnień, o którym mowa w art. 14 ust. 7, może zostać w dowolnym momencie odwołane przez Parlament Europejski lub przez Radę. Decyzja o odwołaniu kończy przekazanie określonych w niej uprawnień. Decyzja o odwołaniu staje się skuteczna następnego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej lub w późniejszym terminie określonym w tej decyzji. Nie wpływa ona na ważność już obowiązujących aktów delegowanych.

4. Przed przyjęciem aktu delegowanego Komisja konsultuje się z ekspertami wyznaczonymi przez każde państwo członkowskie zgodnie z zasadami określonymi w Porozumieniu międzyinstytucjonalnym z dnia 13 kwietnia 2016 r. w sprawie lepszego stanowienia prawa.

5. Niezwłocznie po przyjęciu aktu delegowanego Komisja przekazuje go równocześnie Parlamentowi Europejskiemu i Radzie.

6. Akt delegowany przyjęty na podstawie art. 14 ust. 7 wchodzi w życie tylko wówczas, gdy ani Parlament Europejski, ani Rada nie wyraziły sprzeciwu w terminie 2 miesięcy od przekazania tego aktu Parlamentowi Europejskiemu i Radzie, lub gdy, przed upływem tego terminu, zarówno Parlament Europejski, jak i Rada poinformowały Komisję, że nie wniosą sprzeciwu. Termin ten przedłuża się o 2 miesiące z inicjatywy Parlamentu Europejskiego lub Rady.

Artykuł 24

Procedura komitetowa

1. Komisję wspomaga Komitet Koordynacyjny ds. Programu „Cyfrowa Europa”, o którym mowa w art. 31 ust. 1 rozporządzenia (UE) 2021/694. Komitet ten jest komitetem w rozumieniu rozporządzenia (UE) nr 182/2011.

2. W przypadku odesłania do niniejszego ustępu stosuje się art. 5 rozporządzenia (UE) nr 182/2011.

Artykuł 25

Ocena i przegląd

1. Do dnia 5 lutego 2027 r., a następnie przynajmniej co 4 lata Komisja przeprowadzi ocenę funkcjonowania środków przewidzianych w niniejszym rozporządzeniu oraz przedłoży sprawozdanie Parlamentowi Europejskiemu i Radzie.

2. Ocena, o której mowa w ust. 1, obejmuje w szczególności:

a) liczbę utworzonych krajowych centrów cyberbezpieczeństwa i transgranicznych centrów cyberbezpieczeństwa, zakres udostępniania informacji, w tym, w miarę możliwości, wpływ na pracę sieci CSIRT, oraz zakres, w jakim przyczyniły się one do wzmocnienia wspólnego unijnego wykrywania cyberzagrożeń i incydentów oraz orientacji sytuacyjnej w tym zakresie, a także do rozwoju najnowocześniejszych technologii; wykorzystanie środków z programu „Cyfrowa Europa” na wspólnie zamawiane narzędzia, infrastrukturę lub usługi w zakresie cyberbezpieczeństwa, a także – jeśli informacje te są dostępne – poziom współpracy między krajowymi centrami cyberbezpieczeństwa a sektorowymi i międzysektorowymi społecznościami kluczowych i ważnych podmiotów, o których mowa w art. 3 dyrektywy (UE) 2022/2555.

b) wykorzystanie i skuteczność działań w ramach mechanizmu cyberkryzysowego wspierającego gotowość, w tym szkolenia, reagowanie na poważne incydenty w cyberbezpieczeństwie, incydenty w cyberbezpieczeństwie na dużą skalę i incydenty równoważne incydentom w cyberbezpieczeństwie na dużą skalę oraz wstępne usuwanie skutków tych incydentów, w tym wykorzystanie finansowania z programu „Cyfrowa Europa” oraz wnioski i zalecenia wynikające z wdrożenia mechanizmu cyberkryzysowego;

c) wykorzystanie i skuteczność rezerwy cyberbezpieczeństwa UE w odniesieniu do rodzaju użytkowników, w tym wykorzystanie finansowania z programu „Cyfrowa Europa”, korzystanie z usług, w tym ich rodzaj, średni czas reakcji na wnioski i uruchomienia rezerwy cyberbezpieczeństwa UE, odsetek usług przekształconych w usługi w zakresie gotowości związane z zapobieganiem incydentom i reagowaniem na nie oraz wnioski i zalecenia wynikające z wdrożenia rezerwy cyberbezpieczeństwa UE;

d) wkład niniejszego rozporządzenia we wzmocnienie konkurencyjnej pozycji przemysłu i usług w Unii w całej gospodarce cyfrowej, w tym mikroprzedsiębiorstw oraz małych i średnich przedsiębiorstw, a także przedsiębiorstw typu start-up, oraz wkład w realizację ogólnego celu, jakim jest wzmocnienie umiejętności i zdolności pracowników w zakresie cyberbezpieczeństwa.

3. Na podstawie sprawozdań, o których mowa w ust. 1, Komisja w stosownych przypadkach przedkłada Parlamentowi Europejskiemu i Radzie wniosek ustawodawczy dotyczący zmiany niniejszego rozporządzenia.

Artykuł 26

Wejście w życie

Niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Niniejsze rozporządzenie wiąże w całości i jest bezpośrednio stosowane we wszystkich państwach członkowskich.

Załącznik

W rozporządzeniu (UE) 2021/694 wprowadza się następujące zmiany:

1) w załączniku I sekcja „Cel szczegółowy nr 3 – Cyberbezpieczeństwo i zaufanie” otrzymuje brzmienie:

„Cel szczegółowy nr 3 – Cyberbezpieczeństwo i zaufanie

Program ma stymulować wzmocnienie, budowę i nabywanie podstawowych zdolności w celu zabezpieczenia unijnej gospodarki cyfrowej, społeczeństwa i demokracji poprzez wzmocnienie unijnego potencjału przemysłowego i konkurencyjności w dziedzinie cyberbezpieczeństwa, a także zwiększenie zdolności sektora prywatnego i publicznego do ochrony obywateli i przedsiębiorstw przed cyberzagrożeniami, w tym poprzez wspieranie wykonywania dyrektywy (UE) 2016/1148.

Początkowe, a w stosownych przypadkach późniejsze działania w ramach niniejszego celu obejmują:

1. Wspólne inwestycje z państwami członkowskimi w zaawansowane urządzenia, infrastrukturę i know-how w dziedzinie cyberbezpieczeństwa, które są niezbędne do ochrony infrastruktury krytycznej i całego jednolitego rynku cyfrowego. Takie wspólne inwestycje mogą obejmować inwestycje w infrastrukturę kwantową i zasoby danych na potrzeby cyberbezpieczeństwa, orientację sytuacyjną w cyberprzestrzeni, w tym krajowe centra cyberbezpieczeństwa i transgraniczne centra cyberbezpieczeństwa tworzące europejski system ostrzeżeń dotyczących cyberbezpieczeństwa, a także inne narzędzia, które zostaną udostępnione sektorowi publicznemu i prywatnemu w całej Europie.

2. Zwiększanie istniejących zdolności technologicznych i łączenie w sieć ośrodków kompetencji w państwach członkowskich oraz zapewnienie, aby zdolności te odpowiadały potrzebom sektora publicznego i przemysłu, w tym w odniesieniu do produktów i usług, które wzmacniają cyberbezpieczeństwo i zaufanie w ramach jednolitego rynku cyfrowego.

3. Zapewnienie szerokiego wdrożenia skutecznych, najnowocześniejszych rozwiązań z zakresu cyberbezpieczeństwa i zaufania w państwach członkowskich. Takie wdrożenie obejmuje zwiększenie bezpieczeństwa i ochrony produktów od momentu ich zaprojektowania do ich komercjalizacji.

4. Zapewnienie wsparcia w celu wyeliminowania luki w umiejętnościach w zakresie cyberbezpieczeństwa, z uwzględnieniem równowagi płci, poprzez na przykład ujednolicenie programów dotyczących umiejętności w zakresie cyberbezpieczeństwa, dostosowanie ich do konkretnych potrzeb sektorowych oraz ułatwienie dostępu do ukierunkowanych specjalistycznych szkoleń.

5. Promowanie solidarności między państwami członkowskimi w zakresie przygotowania się i reagowania na poważne incydenty w cyberbezpieczeństwie i incydenty w cyberbezpieczeństwie na dużą skalę poprzez transgraniczne wdrażanie usług w zakresie cyberbezpieczeństwa, w tym wspieranie udzielania wzajemnej pomocy między organami publicznymi i ustanowienie rezerwy zaufanych dostawców usług zarządzanych w zakresie bezpieczeństwa na poziomie Unii.”;

2) w załączniku II sekcja „Cel szczegółowy nr 3 – Cyberbezpieczeństwo i zaufanie” otrzymuje brzmienie:

„Cel szczegółowy nr 3 – Cyberbezpieczeństwo i zaufanie

3.1. Liczba infrastruktur lub narzędzi z zakresu cyberbezpieczeństwa nabytych w drodze wspólnych zamówień, w tym w kontekście europejskiego systemu ostrzeżeń dotyczących cyberbezpieczeństwa

3.2. Liczba użytkowników i społeczności użytkowników uzyskujących dostęp do europejskiej infrastruktury z zakresu cyberbezpieczeństwa

3.3 Liczba działań wspierających gotowość i reagowanie na incydenty w cyberbezpieczeństwie w ramach mechanizmu cyberkryzysowego”.

W odniesieniu do niniejszego aktu złożono oświadczenie, które można znaleźć w Dz.U. C, C/2025/310, 15.1.2025, ELI: http://data.europa.eu/eli/C/2025/310/oj.

(

) Rozporządzenie Parlamentu Europejskiego i Rady (UE, Euratom) 2023/2841 z dnia 13 grudnia 2023 r. w sprawie ustanowienia środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w instytucjach, organach i jednostkach organizacyjnych Unii (Dz.U. L, 2023/2841, 18.12.2023, ELI: http://data.europa.eu/eli/reg/2023/2841/oj).

(

) Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/2847 z dnia 23 października 2024 r. w sprawie horyzontalnych wymagań w zakresie cyberbezpieczeństwa w odniesieniu do produktów z elementami cyfrowymi oraz w sprawie zmiany rozporządzeń (UE) nr 168/2013 i (UE) 2019/1020 i dyrektywy (UE) 2020/1828 (akt o cyberodporności) (Dz.U. L, 2024/2847, 20.11.2024, ELI: http://data.europa.eu/eli/reg/2024/2847/oj).

(

*1

) Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2025/38 z dnia 19 grudnia 2024 r. w sprawie ustanowienia środków mających na celu zwiększenie solidarności i zdolności w Unii w zakresie wykrywania cyberzagrożeń i incydentów oraz przygotowywania się i reagowania na takie zagrożenia i incydenty oraz w sprawie zmiany rozporządzenia (UE) 2021/694 (akt w sprawie cybersolidarności) (Dz.U. L, 2025/38, 15.1.2025, ELI: http://data.europa.eu/eli/reg/2025/38/oj).”;

(

*2

) Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2021/887 z dnia 20 maja 2021 r. ustanawiające Europejskie Centrum Kompetencji Przemysłowych, Technologicznych i Badawczych w dziedzinie Cyberbezpieczeństwa oraz sieć krajowych ośrodków koordynacji (Dz.U. L 202 z 8.6.2021, s. 1).”;

(

*3

) Dyrektywa Parlamentu Europejskiego i Rady 2014/24/UE z dnia 26 lutego 2014 r. w sprawie zamówień publicznych, uchylająca dyrektywę 2004/18/WE (Dz.U. L 94 z 28.3.2014, s. 65).

(

*4

) Dyrektywa Parlamentu Europejskiego i Rady 2014/25/UE z dnia 26 lutego 2014 r. w sprawie udzielania zamówień przez podmioty działające w sektorach gospodarki wodnej, energetyki, transportu i usług pocztowych, uchylająca dyrektywę 2004/17/WE (Dz.U. L 94 z 28.3.2014, s. 243).

(

*5

) Rozporządzenie Parlamentu Europejskiego (UE, Euratom) 2024/2509 z dnia 23 września 2024 r. w sprawie zasad finansowych mających zastosowanie do budżetu ogólnego Unii (Dz.U. L, 2024/2509, 26.9.2024, ELI: http://data.europa.eu/eli/reg/2024/2509/oj).”;