Чл. 16

Член 16 Създаване на единна платформа за докладване

1. За целите на нотификациите, посочени в член 14, параграфи 1 и 3 и член 15, параграфи 1 и 2, и за да се опростят задълженията на производителите за докладване, ENISA създава единна платформа за докладване. Ежедневните операции на тази единна платформа за докладване се управляват и поддържат от ENISA. Архитектурата на единната платформа за докладване позволява на държавите членки и ENISA да въвеждат свои собствени крайни точки за електронно нотифициране.

1. След получаване на нотификация определеният за координатор ЕРИКС, който първоначално получава нотификацията, незабавно разпространява нотификацията чрез единната платформа за докладване до определените за координатори ЕРИКС, на чиято територия производителят е посочил, че е предоставен продуктът с цифрови елементи.

При изключителни обстоятелства, по-специално по искане на производителя и с оглед на степента на чувствителност на нотифицираната информация, посочена от производителя съгласно член 14, параграф 2, буква а) от настоящия регламент, разпространението на нотификацията може да бъде забавено поради основателни причини, свързани с киберсигурността, за период от време, който е строго необходим, включително когато уязвимостта е предмет на координирана процедура за оповестяване на уязвимости, както е посочено в член 12, параграф 1 от Директива (ЕС) 2022/2555. Ако ЕРИКС реши да не публикува нотификация, той незабавно информира ENISA за решението и предоставя както обосновка за непубликуването на нотификацията, така и указание кога ще разпространи нотификацията в съответствие с процедурата за разпространение, предвидена в настоящия параграф. ENISA може да подпомага ЕРИКС при прилагането на основания, свързани с киберсигурността, във връзка със забавяне на разпространението на нотификацията. При особено изключителни обстоятелства, когато производителят посочва в нотификацията по член 14, параграф 2, буква б): а) че уязвимостта, за която е подадена нотификация, е била използвана активно от злонамерен участник и според наличната информация, тя не е била използвана в друга държава членка, освен тази на определения за координатор ЕРИКС, който производителят е уведомил за уязвимостта; б) че всяко незабавно по-нататъшно разпространение на съобщената уязвимост вероятно ще доведе до предоставяне на информация, чието разкриване би било в противоречие с основните интереси на тази държава членка; или в) че уязвимостта, за която е подадена нотификация, представлява непосредствен висок киберриск, произтичащ от по-нататъшното разпространение, на ENISA се предоставя едновременно само информацията, че производителят е направил нотификация, общата информация за продукта, информацията за общия характер на използването и информацията, че са приведени основания, свързани със сигурността, докато пълната нотификация не се разпространи до съответните ЕРИКС и ENISA. Когато въз основа на тази информация ENISA счита, че съществува системен риск, засягащ сигурността на вътрешния пазар, тя препоръчва на получаващия ЕРИКС да разпространи пълната нотификация до другите определени за координатори ЕРИКС и до самата ENISA.

1. След получаване на нотификация за активно използвана уязвимост в продукт с цифрови елементи или за сериозен инцидент, който оказва въздействие върху сигурността на продукт с цифрови елементи, определените за координатори ЕРИКС предоставят на органите за надзор на пазара на съответните си държави членки нотифицираната информация, необходима на органите за надзор на пазара, за да изпълнят задълженията си по настоящия регламент.

1. ENISA предприема подходящи и пропорционални технически, оперативни и организационни мерки за управление на рисковете за сигурността на единната платформа за докладване и на информацията, подадена или разпространявана чрез единната платформа за докладване. Тя нотифицира без ненужно забавяне на мрежата на ЕРИКС и Комисията инциденти, свързани със сигурността, които засягат единната платформа за докладване.

1. ENISA, в сътрудничество с мрежата на ЕРИКС, предоставя и прилага спецификации относно техническите, оперативните и организационните мерки във връзка със създаването, поддръжката и сигурното функциониране на единната платформа за докладване, посочена в параграф 1, включително най-малко договореностите за сигурност, свързани със създаването, функционирането и поддръжката на единната платформа за докладване, както и крайните точки за електронно нотифициране, създадени от определените за координатори ЕРИКС на национално равнище и от ENISA на равнището на Съюза, включително процедурни аспекти, за да се гарантира, че когато нотифицираната уязвимост не съдържа коригиращи или смекчаващи мерки, информацията за тази уязвимост се споделя в съответствие със строги протоколи за сигурност и въз основа на принципа „необходимост да се знае“.

1. Когато определен за координатор ЕРИКС е бил уведомен за активно използвана уязвимост като част от координирана процедура за оповестяване на уязвимости, както е посочено в член 12, параграф 1 от Директива (ЕС) 2022/2555, определеният за координатор ЕРИКС, който първоначално получава нотификацията, може да отложи разпространението на съответната нотификация чрез единната платформа за докладване поради основателни причини, свързани с киберсигурността, за срок, който не надвишава строго необходимото, и докато не бъде дадено съгласие за разкриване от участващите страни в координираното разкриване на уязвимости. Това изискване не възпрепятства производителите доброволно да нотифицират такава уязвимост в съответствие с процедурата, предвидена в настоящия член.