Чл. 40

Член 40 Сигурност на мрежи и услуги

1. Държавите членки гарантират, че доставчиците на обществени електронни съобщителни мрежи или на обществени електронни съобщителни услуги предприемат подходящи и пропорционални технически и организационни мерки за адекватно управление на рисковете за сигурността на мрежите и услугите. Като се вземат предвид най-модерните постижения, тези мерки осигуряват ниво на сигурност, съответстващо на съществуващия риск. По-специално се предприемат мерки, включително, където е целесъобразно, криптиране, за предотвратяване и свеждане до минимум на въздействието от инциденти, свързани със сигурността, върху ползвателите и върху други мрежи и услуги.

Агенцията на Европейския съюз за мрежова и информационна сигурност (ENISA) улеснява в съответствие с Регламент (ЕС) № 526/2013 на Европейския парламент и на Съвета (45) координацията между държавите членки с цел да се избегне наличието на разнопосочни национални изисквания, които могат да породят рискове за сигурността и пречки за вътрешния пазар.

1. Държавите членки гарантират, че доставчиците на обществени електронни съобщителни мрежи или на обществени електронни съобщителни услуги уведомяват незабавно компетентния орган за всеки инцидент, свързан със сигурността, който е оказал значително въздействие върху функционирането на мрежите или услугите.

За да се определи значимостта на въздействието от инцидент, свързан със сигурността, се вземат предвид по-специално следните параметри, когато са налични: a) броят на ползвателите, засегнати от инцидента, свързан със сигурността; б) продължителността на инцидента, свързан със сигурността; в) географският обсег на района, засегнат от инцидента, свързан със сигурността; г) степента, в която е засегнато функционирането на мрежата или услугата; д) степента на въздействие върху икономическите и обществените дейности. Когато е целесъобразно, съответният компетентен орган информира компетентните органи в други държави членки и ENISA. Съответният компетентен орган може да информира обществеността или да изиска от доставчиците да го направят, ако прецени, че е от обществен интерес инцидентът, свързан със сигурността да се оповести. Веднъж годишно съответният компетентен орган представя на Комисията и на ENISA обобщен доклад относно получените уведомления и предприетите действия в съответствие с настоящия параграф.

1. Държавите членки гарантират, че в случай на конкретна и значителна заплаха от инцидент, свързан със сигурността, в обществените електронни съобщителни мрежи или обществените електронни съобщителни услуги, доставчиците на такива мрежи или услуги информират ползвателите, които потенциално са засегнати от тази заплаха, за всички възможни защитни или корективни мерки, които ползвателите могат да предприемат. Когато е целесъобразно, доставчиците следва да информират ползвателите и за самата заплаха.
2. Настоящият член не засяга Регламент (ЕС) 2016/679 и Директива 2002/58/ЕО.
3. Като отчита в максимална степен становището на ENISA, Комисията може да приеме актове за изпълнение, в които се разглеждат подробно техническите и организационните мерки, посочени в параграф 1, както и обстоятелствата, форматът и процедурите, приложими към изискванията за уведомяване съгласно параграф 2. Те се основават във възможно най-голяма степен на европейските и международните стандарти и не възпрепятстват държавите членки да приемат допълнителни изисквания, за да се изпълнят целите по параграф 1.

Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 118, параграф 4.