# Официален вестник C 328/2023

| | ISSN 1977-0855 |
| --- | --- |
| Официален вестник
  на Европейския съюз | C 328 |
| | |
| Издание на български език | Информация и известия | Година 6618 септември 2023 г. |

ISSN 1977-0855

Официален вестник

на Европейския съюз

C 328

Издание на български език

Информация и известия

Година 6618 септември 2023 г.

---

| Съдържание | Страница |
| --- | --- |
| | II   Съобщения |
| | СЪОБЩЕНИЯ НА ИНСТИТУЦИИТЕ, ОРГАНИТЕ, СЛУЖБИТЕ И АГЕНЦИИТЕ НА ЕВРОПЕЙСКИЯ СЪЮЗ |
| | Европейска комисия |
| 2023/C 328/01 | Непротивопоставяне на концентрация, за която е постъпило уведомление (Дело M.11106 — STELLANTIS / MICHELIN / FORVIA / SYMBIO) (
  1
  ) | 1 |
| 2023/C 328/02 | Съобщение на Комисията — Насоки на Комисията за прилагане на член 4, параграфи 1 и 2 от Директива (ЕС) 2022/2555 (Директива МИС 2) | 2 |

Съдържание

Страница

II   Съобщения

СЪОБЩЕНИЯ НА ИНСТИТУЦИИТЕ, ОРГАНИТЕ, СЛУЖБИТЕ И АГЕНЦИИТЕ НА ЕВРОПЕЙСКИЯ СЪЮЗ

Европейска комисия

2023/C 328/01

Непротивопоставяне на концентрация, за която е постъпило уведомление (Дело M.11106 — STELLANTIS / MICHELIN / FORVIA / SYMBIO) (
  1
  )

1

1

2023/C 328/02

Съобщение на Комисията — Насоки на Комисията за прилагане на член 4, параграфи 1 и 2 от Директива (ЕС) 2022/2555 (Директива МИС 2)

2

---

| | IV   Информация |
| --- | --- |
| | ИНФОРМАЦИЯ ОТ ИНСТИТУЦИИТЕ, ОРГАНИТЕ, СЛУЖБИТЕ И АГЕНЦИИТЕ НА ЕВРОПЕЙСКИЯ СЪЮЗ |
| | Съвет |
| 2023/C 328/03 | Известие на вниманието на лицата и образуванията, спрямо които се прилагат мерките, предвидени в Решение 2011/235/ОВППС на Съвета, прилагано с Решение за изпълнение (ОВППС) 2023/1780 на Съвета, както и в Регламент (ЕС) No 359/2011 на Съвета, прилаган с Регламент за изпълнение (ЕС) 2023/1779 на Съвета, относно ограничителни мерки, насочени срещу определени лица, образувания и органи с оглед на положението в Иран | 11 |
| 2023/C 328/04 | Известие на вниманието на субектите на данни, спрямо които се прилагат ограничителните мерки, предвидени в Решение 2011/235/ОВППС на Съвета и в Регламент (EС) No 359/2011 на Съвета относно ограничителни мерки, насочени срещу определени лица, образувания и органи с оглед на положението в Иран | 13 |
| | Европейска комисия |
| 2023/C 328/05 | Резюме на решения на Европейската комисия относно разрешения за пускане на пазара за употреба и/или разрешения за употреба на вещества, изброени в приложение XIV към Регламент (ЕО) No 1907/2006 на Европейския парламент и на Съвета относно регистрацията, оценката, разрешаването и ограничаването на химикали (REACH)
  (Публикувано в съответствие с член 64, параграф 9 от Регламент (ЕО) No 1907/2006)

   (
  1
  ) | 15 |
| 2023/C 328/06 | Обменен курс на еврото — 15 септември 2023 година | 16 |

IV   Информация

ИНФОРМАЦИЯ ОТ ИНСТИТУЦИИТЕ, ОРГАНИТЕ, СЛУЖБИТЕ И АГЕНЦИИТЕ НА ЕВРОПЕЙСКИЯ СЪЮЗ

Съвет

2023/C 328/03

Известие на вниманието на лицата и образуванията, спрямо които се прилагат мерките, предвидени в Решение 2011/235/ОВППС на Съвета, прилагано с Решение за изпълнение (ОВППС) 2023/1780 на Съвета, както и в Регламент (ЕС) No 359/2011 на Съвета, прилаган с Регламент за изпълнение (ЕС) 2023/1779 на Съвета, относно ограничителни мерки, насочени срещу определени лица, образувания и органи с оглед на положението в Иран

11

2023/C 328/04

Известие на вниманието на субектите на данни, спрямо които се прилагат ограничителните мерки, предвидени в Решение 2011/235/ОВППС на Съвета и в Регламент (EС) No 359/2011 на Съвета относно ограничителни мерки, насочени срещу определени лица, образувания и органи с оглед на положението в Иран

13

Европейска комисия

2023/C 328/05

Резюме на решения на Европейската комисия относно разрешения за пускане на пазара за употреба и/или разрешения за употреба на вещества, изброени в приложение XIV към Регламент (ЕО) No 1907/2006 на Европейския парламент и на Съвета относно регистрацията, оценката, разрешаването и ограничаването на химикали (REACH)
  (Публикувано в съответствие с член 64, параграф 9 от Регламент (ЕО) No 1907/2006)

   (
  1
  )

(Публикувано в съответствие с член 64, параграф 9 от Регламент (ЕО) No 1907/2006)

1

15

2023/C 328/06

Обменен курс на еврото — 15 септември 2023 година

16

---

| | V   Становища |
| --- | --- |
| | ПРОЦЕДУРИ, СВЪРЗАНИ С ИЗПЪЛНЕНИЕТО НА ПОЛИТИКАТА В ОБЛАСТТА НА КОНКУРЕНЦИЯТА |
| | Европейска комисия |
| 2023/C 328/07 | Предварително уведомление за концентрация (Дело M.11239 — EDF / CREDIT MUTUEL / ILE-DE-FRANCE BUILDING) — Дело кандидат за опростена процедура (
  1
  ) | 17 |

V   Становища

ПРОЦЕДУРИ, СВЪРЗАНИ С ИЗПЪЛНЕНИЕТО НА ПОЛИТИКАТА В ОБЛАСТТА НА КОНКУРЕНЦИЯТА

Европейска комисия

2023/C 328/07

Предварително уведомление за концентрация (Дело M.11239 — EDF / CREDIT MUTUEL / ILE-DE-FRANCE BUILDING) — Дело кандидат за опростена процедура (
  1
  )

1

17

---

| | |
| --- | --- |
| | (1)   Текст от значение за ЕИП. |

---

(1)   Текст от значение за ЕИП.

1

| BG | |
| --- | --- |

BG

---

II Съобщения

СЪОБЩЕНИЯ НА ИНСТИТУЦИИТЕ, ОРГАНИТЕ, СЛУЖБИТЕ И АГЕНЦИИТЕ НА ЕВРОПЕЙСКИЯ СЪЮЗ

Европейска комисия

| 18.9.2023 | BG | Официален вестник на Европейския съюз | C 328/1 |
| --- | --- | --- | --- |

18.9.2023

BG

Официален вестник на Европейския съюз

C 328/1

---

Непротивопоставяне на концентрация, за която е постъпило уведомление

(Дело M.11106 — STELLANTIS / MICHELIN / FORVIA / SYMBIO)

(текст от значение за ЕИП)

(2023/C 328/01)

На 17 юли 2023 г. Комисията реши да не се противопоставя на горепосочената концентрация, за която е постъпило уведомление, и да я обяви за съвместима с вътрешния пазар. Решението се основава на член 6, параграф 1, буква б) от Регламент (ЕО) No 139/2004 на Съвета (1). Пълният текст на решението е достъпен единствено на английски език и ще се публикува, след като бъдат премахнати всички професионални тайни, които могат да се съдържат в него. Той ще бъде достъпен:

1

| — | в раздела за сливанията на уебсайта на Комисията, свързан с конкуренцията (https://competition-cases.ec.europa.eu/search). Този уебсайт предоставя различни средства за подпомагане на достъпа до решения за отделни сливания, включително показатели за търсене по дружество, по номер на делото, по дата и по отрасъл, |
| --- | --- |

—

в раздела за сливанията на уебсайта на Комисията, свързан с конкуренцията (https://competition-cases.ec.europa.eu/search). Този уебсайт предоставя различни средства за подпомагане на достъпа до решения за отделни сливания, включително показатели за търсене по дружество, по номер на делото, по дата и по отрасъл,

| — | в електронен формат на уебсайта EUR-Lex (http://eur-lex.europa.eu/homepage.html?locale=bg) под номер на документа 32023M11106. EUR-Lex предоставя онлайн достъп до правото на Европейския съюз. |
| --- | --- |

—

в електронен формат на уебсайта EUR-Lex (http://eur-lex.europa.eu/homepage.html?locale=bg) под номер на документа 32023M11106. EUR-Lex предоставя онлайн достъп до правото на Европейския съюз.

---

(1)  
  ОВ L 24, 29.1.2004 г., стр. 1.

1

---

| 18.9.2023 | BG | Официален вестник на Европейския съюз | C 328/2 |
| --- | --- | --- | --- |

18.9.2023

BG

Официален вестник на Европейския съюз

C 328/2

---

СЪОБЩЕНИЕ НА КОМИСИЯТА

Насоки на Комисията за прилагане на член 4, параграфи 1 и 2 от Директива (ЕС) 2022/2555 (Директива МИС 2)

(2023/C 328/02)

I.   ВЪВЕДЕНИЕ

ВЪВЕДЕНИЕ

| 1. | По силата на член 4, параграф 3 от Директива (ЕС) 2022/2555 на Европейския парламент и на Съвета от 14 декември 2022 година относно мерки за високо общо ниво на киберсигурност в Съюза (Директива МИС 2), (1) до 17 юли 2023 г. Комисията предоставя насоки за изясняване на прилагането на член 4, параграфи 1 и 2 от посочената директива. |
| --- | --- |

1.

По силата на член 4, параграф 3 от Директива (ЕС) 2022/2555 на Европейския парламент и на Съвета от 14 декември 2022 година относно мерки за високо общо ниво на киберсигурност в Съюза (Директива МИС 2), (1

| 2. | С настоящите насоки се изяснява прилагането на разпоредбите, засягащи връзката между Директива (ЕС) 2022/2555 и настоящите, както и бъдещите специфични за сектора правни актове на Съюза, в които се уреждат мерките за управлението на риска в областта на киберсигурността или изискванията за докладване на инциденти. В допълнението към настоящите насоки са изброени специфичните за сектора правни актове на Съюза, за които Комисията счита, че попадат в обхвата на член 4 от Директива (ЕС) 2022/2555. Фактът, че някой акт не е посочен в това допълнение, не означава задължително, че той не попада в обхвата на тази разпоредба. |
| --- | --- |

2.

С настоящите насоки се изяснява прилагането на разпоредбите, засягащи връзката между Директива (ЕС) 2022/2555 и настоящите, както и бъдещите специфични за сектора правни актове на Съюза, в които се уреждат мерките за управлението на риска в областта на киберсигурността или изискванията за докладване на инциденти. В допълнението към настоящите насоки са изброени специфичните за сектора правни актове на Съюза, за които Комисията счита, че попадат в обхвата на член 4 от Директива (ЕС) 2022/2555. Фактът, че някой акт не е посочен в това допълнение, не означава задължително, че той не попада в обхвата на тази разпоредба.

| 3. | В изпълнение на член 4, параграф 3, трето изречение от Директива (ЕС) 2022/2555 Комисията е взела предвид наблюденията на групата за сътрудничество за МИС и на Агенцията на Европейския съюз за киберсигурност (ENISA) преди приемането на настоящите насоки. |
| --- | --- |

3.

В изпълнение на член 4, параграф 3, трето изречение от Директива (ЕС) 2022/2555 Комисията е взела предвид наблюденията на групата за сътрудничество за МИС и на Агенцията на Европейския съюз за киберсигурност (ENISA) преди приемането на настоящите насоки.

| 4. | Настоящите насоки не засягат тълкуването на правото на Съюза от Съда на Европейския съюз. |
| --- | --- |

4.

Настоящите насоки не засягат тълкуването на правото на Съюза от Съда на Европейския съюз.

II.   ЕКВИВАЛЕНТНОСТ НА ИЗИСКВАНИЯТА ЗА КИБЕРСИГУРНОСТ В СПЕЦИФИЧНИТЕ ЗА СЕКТОРА ПРАВНИ АКТОВЕ НА СЪЮЗА

ЕКВИВАЛЕНТНОСТ НА ИЗИСКВАНИЯТА ЗА КИБЕРСИГУРНОСТ В СПЕЦИФИЧНИТЕ ЗА СЕКТОРА ПРАВНИ АКТОВЕ НА СЪЮЗА

| 5. | В член 4, параграф 1 от Директива (ЕС) 2022/2555 се предвижда, че когато специфични за сектора правни актове на Съюза изискват съществените или важните субекти да приемат мерки за управление на риска в областта на киберсигурността или да уведомяват за значителни инциденти, и когато тези изисквания имат най-малко равностоен ефект на предвидените в посочената директива задължения, съответните разпоредби на Директива (ЕС) 2022/2555, включително разпоредбите относно надзора и правоприлагането, предвидени в глава VII от същата директива, не се прилагат за такива субекти. В тази разпоредба се предвижда още, че когато специфични за сектора законодателни актове на Съюза не обхващат всички субекти в конкретен сектор, попадащ в обхвата на Директива (ЕС) 2022/2555, съответните разпоредби на тази директива продължават да се прилагат по отношение на субектите, които не са обхванати от тези специфични за сектора правни актове на Съюза. |
| --- | --- |

5.

В член 4, параграф 1 от Директива (ЕС) 2022/2555 се предвижда, че когато специфични за сектора правни актове на Съюза изискват съществените или важните субекти да приемат мерки за управление на риска в областта на киберсигурността или да уведомяват за значителни инциденти, и когато тези изисквания имат най-малко равностоен ефект на предвидените в посочената директива задължения, съответните разпоредби на Директива (ЕС) 2022/2555, включително разпоредбите относно надзора и правоприлагането, предвидени в глава VII от същата директива, не се прилагат за такива субекти. В тази разпоредба се предвижда още, че когато специфични за сектора законодателни актове на Съюза не обхващат всички субекти в конкретен сектор, попадащ в обхвата на Директива (ЕС) 2022/2555, съответните разпоредби на тази директива продължават да се прилагат по отношение на субектите, които не са обхванати от тези специфични за сектора правни актове на Съюза.

II.1.   Изисквания за управление на риска в областта на киберсигурността

Изисквания за управление на риска в областта на киберсигурността

| 6. | В член 4, параграф 2, буква а) от Директива (ЕС) 2022/2555 се предвижда, че мерките за управление на риска в областта на киберсигурността, които съществените или важните субекти трябва да приемат съгласно специфичните за сектора правни актове на Съюза, се считат за равностойни по сила на задълженията, предвидени в Директива (ЕС) 2022/2555, когато тези мерки са най-малкото равностойни по сила на мерките, определени в член 21, параграфи 1 и 2 от посочената директива. Когато се оценява дали изискванията в специфичен за сектора правен акт на Съюза относно мерките за управление на риска в областта на киберсигурността са най-малкото равностойни по сила на мерките, определени в член 21, параграфи 1 и 2 от Директива (ЕС) 2022/2555, изискванията в този специфичен за сектора правен акт на Съюза следва поне да съответстват на изискванията на тези разпоредби или да ги надхвърлят, което означава, че специфичните за сектора разпоредби могат да бъдат по-подробни по същество в сравнение със съответните разпоредби на Директива (ЕС) 2022/2555. |
| --- | --- |

6.

В член 4, параграф 2, буква а) от Директива (ЕС) 2022/2555 се предвижда, че мерките за управление на риска в областта на киберсигурността, които съществените или важните субекти трябва да приемат съгласно специфичните за сектора правни актове на Съюза, се считат за равностойни по сила на задълженията, предвидени в Директива (ЕС) 2022/2555, когато тези мерки са най-малкото равностойни по сила на мерките, определени в член 21, параграфи 1 и 2 от посочената директива. Когато се оценява дали изискванията в специфичен за сектора правен акт на Съюза относно мерките за управление на риска в областта на киберсигурността са най-малкото равностойни по сила на мерките, определени в член 21, параграфи 1 и 2 от Директива (ЕС) 2022/2555, изискванията в този специфичен за сектора правен акт на Съюза следва поне да съответстват на изискванията на тези разпоредби или да ги надхвърлят, което означава, че специфичните за сектора разпоредби могат да бъдат по-подробни по същество в сравнение със съответните разпоредби на Директива (ЕС) 2022/2555.

| 7. | Съгласно член 21, параграф 1, първа алинея от Директива (ЕС) 2022/2555 държавите членки гарантират, че съществените и важните субекти предприемат подходящи и пропорционални технически, оперативни и организационни мерки за управление на рисковете за сигурността на мрежовите и информационните системи, които тези субекти използват при своите операции или при предоставяне на своите услуги. Тези мерки следва да са основани на риска и да са в състояние да предотвратят или да сведат до минимум въздействието на инцидентите. В член 21, параграф 1, втора алинея от Директива (ЕС) 2022/2555 се посочва как следва да се прави оценка на пропорционалността на такива мерки (2). Задължението, определено в член 21, параграф 1 от Директива (ЕС) 2022/2555, според което се изисква съществените и важните субекти да предприемат подходящи и пропорционални мерки за управление на риска в областта на киберсигурността, се отнася до всички операции и услуги на съответния субект, а не само до конкретни активи в областта на информационните технологии („ИТ“) или критични услуги, предоставяни от субекта. |
| --- | --- |

7.

Съгласно член 21, параграф 1, първа алинея от Директива (ЕС) 2022/2555 държавите членки гарантират, че съществените и важните субекти предприемат подходящи и пропорционални технически, оперативни и организационни мерки за управление на рисковете за сигурността на мрежовите и информационните системи, които тези субекти използват при своите операции или при предоставяне на своите услуги. Тези мерки следва да са основани на риска и да са в състояние да предотвратят или да сведат до минимум въздействието на инцидентите. В член 21, параграф 1, втора алинея от Директива (ЕС) 2022/2555 се посочва как следва да се прави оценка на пропорционалността на такива мерки (2

| 8. | При поставянето на оценка на еквивалентността на специфичен за сектора правен акт на Съюза със съответните разпоредби относно управлението на киберриска на Директива (ЕС) 2022/2555, следва да се обърне особено внимание на въпроса дали задълженията за сигурност в този правен акт включват мерки, целящи гарантиране на сигурността на мрежовите и информационните системи. Определението за „сигурност на мрежовите и информационните системи“, съдържащо се в член 6, точка 2 от Директива (ЕС) 2022/2555, се отнася до способността на информационните системи да издържат — при дадено равнище на увереност — на всяко събитие, което може да засегне отрицателно наличността, автентичността, цялостността или поверителността на съхранявани, пренасяни или обработвани данни или на свързаните с тях услуги, предлагани от тези мрежови и информационни системи или достъпни чрез тях. Използваните в това определение термини „наличност“, „автентичност“, „цялостност“ и „поверителност“ се отнасят до всички четири цели за сигурност на мрежовите и информационните системи. Терминът „мрежови и информационни системи“, както е определен в член 6, точка 1 от Директива (ЕС) 2022/2555, обхваща електронните съобщителни мрежи (3); всяко устройство или всяка група взаимосвързани или имащи връзка помежду си устройства, едно или няколко от които по програма извършват автоматична обработка на цифрови данни; както и цифрови данни, съхранявани, обработвани, извличани или пренасяни от такива електронни съобщителни мрежи или устройства, с цел обработване, използване, защита или поддръжка. Поради това мерките за сигурност, които се изискват от специфичен за сектора правен акт на Съюза, следва да обхващат и използваните в дейността на даден субект хардуер, фърмуер и софтуер. |
| --- | --- |

8.

При поставянето на оценка на еквивалентността на специфичен за сектора правен акт на Съюза със съответните разпоредби относно управлението на киберриска на Директива (ЕС) 2022/2555, следва да се обърне особено внимание на въпроса дали задълженията за сигурност в този правен акт включват мерки, целящи гарантиране на сигурността на мрежовите и информационните системи. Определението за „сигурност на мрежовите и информационните системи“, съдържащо се в член 6, точка 2 от Директива (ЕС) 2022/2555, се отнася до способността на информационните системи да издържат — при дадено равнище на увереност — на всяко събитие, което може да засегне отрицателно наличността, автентичността, цялостността или поверителността на съхранявани, пренасяни или обработвани данни или на свързаните с тях услуги, предлагани от тези мрежови и информационни системи или достъпни чрез тях. Използваните в това определение термини „наличност“, „автентичност“, „цялостност“ и „поверителност“ се отнасят до всички четири цели за сигурност на мрежовите и информационните системи. Терминът „мрежови и информационни системи“, както е определен в член 6, точка 1 от Директива (ЕС) 2022/2555, обхваща електронните съобщителни мрежи (3

| 9. | Друго важно съображение при поставянето на оценка на еквивалентността на специфичен за сектора правен акт на Съюза с изискванията на член 21, параграфи 1 и 2 от Директива (ЕС) 2022/2555 е, че мерките за управление на риска в областта на киберсигурността, които се изискват съгласно този акт, следва да се основават на „подход, обхващащ всички опасности“. Тъй като произходът на заплахите за сигурността на мрежовите и информационните системи може да е различен, всяко събитие може да доведе до отрицателно въздействие върху мрежовите информационни системи на субекта и до потенциален инцидент. Следователно предприетите от субекта мерки за управление на риска в областта на киберсигурността следва да защитават не само мрежата и информационните системи на субекта, но също така и физическата среда на тези системи от събития, като саботаж, кражба, пожар, наводнение, телекомуникационни повреди или прекъсване на захранването, или от неразрешен физически достъп, които биха могли да засегнат отрицателно наличността, автентичността, цялостността или поверителността на съхраняваните, пренасяните или обработваните данни или на услугите, предлагани от мрежови и информационни системи или достъпни чрез тях. Поради това мерките за управление на риска в областта на киберсигурността, които се изискват от специфичен за сектора правен акт на Съюза, следва да са насочени конкретно към физическата сигурност и сигурността на средата на мрежовите и информационните системи от сривове в системата, човешка грешка, злонамерени действия или природни явления (4). |
| --- | --- |

9.

Друго важно съображение при поставянето на оценка на еквивалентността на специфичен за сектора правен акт на Съюза с изискванията на член 21, параграфи 1 и 2 от Директива (ЕС) 2022/2555 е, че мерките за управление на риска в областта на киберсигурността, които се изискват съгласно този акт, следва да се основават на „подход, обхващащ всички опасности“. Тъй като произходът на заплахите за сигурността на мрежовите и информационните системи може да е различен, всяко събитие може да доведе до отрицателно въздействие върху мрежовите информационни системи на субекта и до потенциален инцидент. Следователно предприетите от субекта мерки за управление на риска в областта на киберсигурността следва да защитават не само мрежата и информационните системи на субекта, но също така и физическата среда на тези системи от събития, като саботаж, кражба, пожар, наводнение, телекомуникационни повреди или прекъсване на захранването, или от неразрешен физически достъп, които биха могли да засегнат отрицателно наличността, автентичността, цялостността или поверителността на съхраняваните, пренасяните или обработваните данни или на услугите, предлагани от мрежови и информационни системи или достъпни чрез тях. Поради това мерките за управление на риска в областта на киберсигурността, които се изискват от специфичен за сектора правен акт на Съюза, следва да са насочени конкретно към физическата сигурност и сигурността на средата на мрежовите и информационните системи от сривове в системата, човешка грешка, злонамерени действия или природни явления (4

| 10. | В член 21, параграф 2 от Директива (ЕС) 2022/2555 се изисква още мерките за управление на риска в областта на киберсигурността да включват специфичните изисквания за сигурност, изброени в параграф 2, букви а)—й) от посочената разпоредба. В тези изисквания попадат мерки, като например политика за анализ на риска и сигурност на информационните системи, действия при инцидент, непрекъснатост на стопанската дейност, управление на кризи, сигурност на веригата за доставки, политики и процедури относно използването на криптография и, когато това е целесъобразно, криптиране. Съгласно член 21, параграф 5, втора алинея от Директива (ЕС) 2022/2555 Комисията е оправомощена да приема актове за изпълнение за определяне на техническите и методологичните изисквания, както и на секторни изисквания, ако е необходимо, по отношение на мерките за сигурност, посочени в член 21, параграф 2 от посочената директива. По отношение на доставчиците на услуги на системата за имена на домейни („DNS“), регистрите на имена на домейни от първо ниво („TLD“), доставчиците на компютърни услуги „в облак“, доставчиците на услуги на центрове за данни, доставчиците на мрежи за доставка на съдържание, доставчиците на управлявани услуги, доставчиците на управлявани услуги за сигурност, доставчиците на онлайн места за търговия, на онлайн търсачките и на платформите на услуги за социални мрежи и доставчиците на удостоверителни услуги, до 17 октомври 2024 г. Комисията приема актове за изпълнение относно техническите и методологическите изисквания за мерките за сигурност, посочени в член 21, параграф 2 от Директива (ЕС) 2022/2555. В актовете за изпълнение по-подробно са уточнени основните условия и критерии за изпълнение, определени в основния акт, без да се засяга същността на този акт (5). |
| --- | --- |

10.

В член 21, параграф 2 от Директива (ЕС) 2022/2555 се изисква още мерките за управление на риска в областта на киберсигурността да включват специфичните изисквания за сигурност, изброени в параграф 2, букви а)—й) от посочената разпоредба. В тези изисквания попадат мерки, като например политика за анализ на риска и сигурност на информационните системи, действия при инцидент, непрекъснатост на стопанската дейност, управление на кризи, сигурност на веригата за доставки, политики и процедури относно използването на криптография и, когато това е целесъобразно, криптиране. Съгласно член 21, параграф 5, втора алинея от Директива (ЕС) 2022/2555 Комисията е оправомощена да приема актове за изпълнение за определяне на техническите и методологичните изисквания, както и на секторни изисквания, ако е необходимо, по отношение на мерките за сигурност, посочени в член 21, параграф 2 от посочената директива. По отношение на доставчиците на услуги на системата за имена на домейни („DNS“), регистрите на имена на домейни от първо ниво („TLD“), доставчиците на компютърни услуги „в облак“, доставчиците на услуги на центрове за данни, доставчиците на мрежи за доставка на съдържание, доставчиците на управлявани услуги, доставчиците на управлявани услуги за сигурност, доставчиците на онлайн места за търговия, на онлайн търсачките и на платформите на услуги за социални мрежи и доставчиците на удостоверителни услуги, до 17 октомври 2024 г. Комисията приема актове за изпълнение относно техническите и методологическите изисквания за мерките за сигурност, посочени в член 21, параграф 2 от Директива (ЕС) 2022/2555. В актовете за изпълнение по-подробно са уточнени основните условия и критерии за изпълнение, определени в основния акт, без да се засяга същността на този акт (5

II.2.   Изисквания за докладване

Изисквания за докладване

| 11. | В член 4, параграф 2, буква б) от Директива (ЕС) 2022/2555 се предвижда, че изискванията за докладване относно уведомяването за значителни инциденти се считат за равностойни по сила на задълженията по посочената директива, когато в специфичен за сектора правен акт на Съюза се предвижда незабавен, по целесъобразност автоматичен и пряк, достъп до уведомленията за инциденти от екипите за реагиране при инциденти с компютърната сигурност („ЕРИКС“), компетентните органи или единните звена за контакт („SPOC“) и когато изискванията за уведомяване за значителни инциденти са поне равностойни по сила на изискванията, определени в член 23, параграфи 1—6 от Директива (ЕС) 2022/2555. |
| --- | --- |

11.

В член 4, параграф 2, буква б) от Директива (ЕС) 2022/2555 се предвижда, че изискванията за докладване относно уведомяването за значителни инциденти се считат за равностойни по сила на задълженията по посочената директива, когато в специфичен за сектора правен акт на Съюза се предвижда незабавен, по целесъобразност автоматичен и пряк, достъп до уведомленията за инциденти от екипите за реагиране при инциденти с компютърната сигурност („ЕРИКС“), компетентните органи или единните звена за контакт („SPOC“) и когато изискванията за уведомяване за значителни инциденти са поне равностойни по сила на изискванията, определени в член 23, параграфи 1—6 от Директива (ЕС) 2022/2555.

| 12. | Тъй като изискванията на специфичен за сектора правен акт на Съюза за уведомяване за значителни инциденти трябва да са поне равностойни по сила на изискванията, установени в член 23, параграфи 1—6 от Директива (ЕС) 2022/2555, за да може този акт да се прилага вместо задълженията за докладване по посочената директива, изискванията, определени в член 23, параграфи 1—6 от директивата, са от особено значение при поставянето на оценка на еквивалентността. В член 23, параграфи 1—6 от Директива (ЕС) 2022/2555 се описва по-подробно какви са видовете инциденти за докладване, на кого трябва да се докладват, в каква времева рамка и с какво съдържание на информация. Това е обяснено по-подробно в следващите подраздели: |
| --- | --- |

12.

Тъй като изискванията на специфичен за сектора правен акт на Съюза за уведомяване за значителни инциденти трябва да са поне равностойни по сила на изискванията, установени в член 23, параграфи 1—6 от Директива (ЕС) 2022/2555, за да може този акт да се прилага вместо задълженията за докладване по посочената директива, изискванията, определени в член 23, параграфи 1—6 от директивата, са от особено значение при поставянето на оценка на еквивалентността. В член 23, параграфи 1—6 от Директива (ЕС) 2022/2555 се описва по-подробно какви са видовете инциденти за докладване, на кого трябва да се докладват, в каква времева рамка и с какво съдържание на информация. Това е обяснено по-подробно в следващите подраздели:

II.2.1.   Уведомление за значителни инциденти до ЕРИКС, компетентните органи и получателите

Уведомление за значителни инциденти до ЕРИКС, компетентните органи и получателите

| 13. | В първото изречение на член 23, параграф 1, първа алинея от Директива (ЕС) 2022/2555 се изисква съществените и важните субекти да уведомяват без ненужно забавяне своя ЕРИКС или, ако е приложимо, своя компетентен орган за всеки значителен инцидент. В член 23, параграф 1, първа алинея, второ изречение от Директива (ЕС) 2022/2555 се изисква съществените и важните субекти да уведомяват, ако е приложимо, без ненужно забавяне получателите на техните услуги за значителни инциденти, които има вероятност неблагоприятно да засегнат предоставянето на тези услуги. |
| --- | --- |

13.

В първото изречение на член 23, параграф 1, първа алинея от Директива (ЕС) 2022/2555 се изисква съществените и важните субекти да уведомяват без ненужно забавяне своя ЕРИКС или, ако е приложимо, своя компетентен орган за всеки значителен инцидент. В член 23, параграф 1, първа алинея, второ изречение от Директива (ЕС) 2022/2555 се изисква съществените и важните субекти да уведомяват, ако е приложимо, без ненужно забавяне получателите на техните услуги за значителни инциденти, които има вероятност неблагоприятно да засегнат предоставянето на тези услуги.

| 14. | Макар че в член 6, точка 6 от Директива (ЕС) 2022/2555 „инцидентите“ се определят много общо, като всяко събитие, което засяга отрицателно наличността, автентичността, цялостността или поверителността на съхранявани, пренасяни или обработвани данни или на услугите, предлагани или достъпни чрез мрежови и информационни системи, в член 23, параграф 1 от посочената директива задължението за докладване се отнася единствено за значителните инциденти. Инцидентът е значителен, ако е причинил или е в състояние да причини сериозно оперативно смущение в услугите или финансова загуба за засегнатия субект (член 23, параграф 3, буква а) или ако е засегнал или е в състояние да засегне други физически или юридически лица, причинявайки значителни материални или нематериални вреди (член 23, параграф 3, буква б). |
| --- | --- |

14.

Макар че в член 6, точка 6 от Директива (ЕС) 2022/2555 „инцидентите“ се определят много общо, като всяко събитие, което засяга отрицателно наличността, автентичността, цялостността или поверителността на съхранявани, пренасяни или обработвани данни или на услугите, предлагани или достъпни чрез мрежови и информационни системи, в член 23, параграф 1 от посочената директива задължението за докладване се отнася единствено за значителните инциденти. Инцидентът е значителен, ако е причинил или е в състояние да причини сериозно оперативно смущение в услугите или финансова загуба за засегнатия субект (член 23, параграф 3, буква а) или ако е засегнал или е в състояние да засегне други физически или юридически лица, причинявайки значителни материални или нематериални вреди (член 23, параграф 3, буква б).

| 15. | В съображение 101 от преамбюла на Директива (ЕС) 2022/2555 се пояснява, че докладването на инциденти следва да е въз основа на извършена от засегнатия субект първоначална оценка. Такава първоначална оценка следва, наред с другото, да взема предвид засегнатите мрежови и информационни системи, по-специално тяхното значение при предоставянето на услуги от страна субекта, тежестта и техническите характеристики на киберзаплахата и всички заложени уязвимости, които се използват, както и опитът на субекта със сходни инциденти. Показатели като степента, до която е засегнато функционирането на услугата, продължителността на даден инцидент или броят на засегнатите получатели на услуги, биха могли да играят важна роля при определянето на това дали оперативното смущение в услугата е сериозно. |
| --- | --- |

15.

В съображение 101 от преамбюла на Директива (ЕС) 2022/2555 се пояснява, че докладването на инциденти следва да е въз основа на извършена от засегнатия субект първоначална оценка. Такава първоначална оценка следва, наред с другото, да взема предвид засегнатите мрежови и информационни системи, по-специално тяхното значение при предоставянето на услуги от страна субекта, тежестта и техническите характеристики на киберзаплахата и всички заложени уязвимости, които се използват, както и опитът на субекта със сходни инциденти. Показатели като степента, до която е засегнато функционирането на услугата, продължителността на даден инцидент или броят на засегнатите получатели на услуги, биха могли да играят важна роля при определянето на това дали оперативното смущение в услугата е сериозно.

| 16. | Съгласно член 23, параграф 11, втора алинея от Директива (ЕС) 2022/2555 Комисията е оправомощена да приема актове за изпълнение, в които допълнително се уточняват случаите, в които даден инцидент се счита за значителен. По отношение на доставчици на DNS услуги, регистрите на имена на домейни от първо ниво, доставчици на компютърни услуги „в облак“, доставчици на услуги на центрове за данни, доставчици на мрежи за доставка на съдържание, доставчици на управлявани услуги, доставчици на управлявани услуги за сигурност, доставчици на онлайн места за търговия, на онлайн търсачките и на платформите на услуги за социални мрежи Комисията приема такива актове за изпълнение до 17 октомври 2024 г. В актовете за изпълнение по-подробно са уточнени основните условия и критерии за изпълнение, определени в основния акт, без да се засяга същността на този акт (6). |
| --- | --- |

16.

Съгласно член 23, параграф 11, втора алинея от Директива (ЕС) 2022/2555 Комисията е оправомощена да приема актове за изпълнение, в които допълнително се уточняват случаите, в които даден инцидент се счита за значителен. По отношение на доставчици на DNS услуги, регистрите на имена на домейни от първо ниво, доставчици на компютърни услуги „в облак“, доставчици на услуги на центрове за данни, доставчици на мрежи за доставка на съдържание, доставчици на управлявани услуги, доставчици на управлявани услуги за сигурност, доставчици на онлайн места за търговия, на онлайн търсачките и на платформите на услуги за социални мрежи Комисията приема такива актове за изпълнение до 17 октомври 2024 г. В актовете за изпълнение по-подробно са уточнени основните условия и критерии за изпълнение, определени в основния акт, без да се засяга същността на този акт (6

II.2.2.   Многоетапен подход и времева рамка за докладване на значителни инциденти

Многоетапен подход и времева рамка за докладване на значителни инциденти

| 17. | В Директива (ЕС) 2022/2555 се определя многоетапен подход по отношение на докладването на значителни инциденти, който предполага ранно предупреждение, уведомление за инцидент и окончателен доклад. Тези три елемента могат да се допълнят от междинни доклади и доклад за напредъка. |
| --- | --- |

17.

В Директива (ЕС) 2022/2555 се определя многоетапен подход по отношение на докладването на значителни инциденти, който предполага ранно предупреждение, уведомление за инцидент и окончателен доклад. Тези три елемента могат да се допълнят от междинни доклади и доклад за напредъка.

| 18. | С многоетапният подход се цели постигане на подходящ баланс между бързото докладване, което подпомага ограничаването на потенциалното разпространение на значителни инциденти и позволява на съществените и важните субекти да потърсят подкрепа, от една страна, и задълбоченото докладване, което подпомага извличането на ценни изводи от отделни инциденти и подобряването с течение на времето на киберустойчивостта на отделни субекти или цели сектори, от друга страна (7). |
| --- | --- |

18.

С многоетапният подход се цели постигане на подходящ баланс между бързото докладване, което подпомага ограничаването на потенциалното разпространение на значителни инциденти и позволява на съществените и важните субекти да потърсят подкрепа, от една страна, и задълбоченото докладване, което подпомага извличането на ценни изводи от отделни инциденти и подобряването с течение на времето на киберустойчивостта на отделни субекти или цели сектори, от друга страна (7

| 19. | Съгласно многоетапния подход съществените и важните субекти трябва първо да подадат ранно предупреждение, без ненужно забавяне и във всички случаи в рамките на 24 часа след узнаването за значителен инцидент, до компетентния ЕРИКС или орган. Впоследствие тези субекти трябва да подадат уведомление за инцидент без ненужно забавяне и във всички случаи в рамките на 72 часа след узнаването на значителен инцидент. След това компетентният ЕРИКС или орган може да поиска междинен доклад. Накрая окончателният доклад трябва да бъде предоставен на компетентния ЕРИКС или орган не по-късно от един месец след подаването на уведомлението за инцидент, освен в случай на текущ към този момент инцидент, като в този случай трябва да се предостави доклад за напредъка и окончателен доклад в срок от един месец от справянето с инцидента. |
| --- | --- |

19.

Съгласно многоетапния подход съществените и важните субекти трябва първо да подадат ранно предупреждение, без ненужно забавяне и във всички случаи в рамките на 24 часа след узнаването за значителен инцидент, до компетентния ЕРИКС или орган. Впоследствие тези субекти трябва да подадат уведомление за инцидент без ненужно забавяне и във всички случаи в рамките на 72 часа след узнаването на значителен инцидент. След това компетентният ЕРИКС или орган може да поиска междинен доклад. Накрая окончателният доклад трябва да бъде предоставен на компетентния ЕРИКС или орган не по-късно от един месец след подаването на уведомлението за инцидент, освен в случай на текущ към този момент инцидент, като в този случай трябва да се предостави доклад за напредъка и окончателен доклад в срок от един месец от справянето с инцидента.

| 20. | Доставчиците на удостоверителни услуги разполагат с различна времева рамка за уведомяването за определения в член 23, параграф 4, втора алинея от Директива (ЕС) 2022/2555 инцидент. Тези доставчици трябва да уведомяват за значителни инциденти, свързани с предоставянето на техните удостоверителни услуги, без ненужно забавяне и във всички случаи в рамките на 24 часа след узнаването на значителен инцидент. |
| --- | --- |

20.

Доставчиците на удостоверителни услуги разполагат с различна времева рамка за уведомяването за определения в член 23, параграф 4, втора алинея от Директива (ЕС) 2022/2555 инцидент. Тези доставчици трябва да уведомяват за значителни инциденти, свързани с предоставянето на техните удостоверителни услуги, без ненужно забавяне и във всички случаи в рамките на 24 часа след узнаването на значителен инцидент.

II.2.3.   Съдържание на задължението за докладване на значителни инциденти на ЕРИКС или на компетентните органи

Съдържание на задължението за докладване на значителни инциденти на ЕРИКС или на компетентните органи

| 21. | Като общо правило в член 23, параграф 1, първа алинея, трето изречение от Директива (ЕС) 2022/2555 се изисква от държавите членки да гарантират, че съществените и важните субекти докладват, наред с другото, всяка информация, позволяваща на компетентният ЕРИКС или, когато е приложимо, на компетентния орган да определи всякакво трансгранично въздействие на инцидентите. Посоченото изискване относно съдържанието на задължението за докладване е допълнително уточнено в член 23, параграф 4 от Директива (ЕС) 2022/2555, в който се определя многоетапният подход. |
| --- | --- |

21.

Като общо правило в член 23, параграф 1, първа алинея, трето изречение от Директива (ЕС) 2022/2555 се изисква от държавите членки да гарантират, че съществените и важните субекти докладват, наред с другото, всяка информация, позволяваща на компетентният ЕРИКС или, когато е приложимо, на компетентния орган да определи всякакво трансгранично въздействие на инцидентите. Посоченото изискване относно съдържанието на задължението за докладване е допълнително уточнено в член 23, параграф 4 от Директива (ЕС) 2022/2555, в който се определя многоетапният подход.

| 22. | Съгласно член 23, параграф 4, буква а) ранното предупреждение трябва да съдържа, когато е приложимо, указание дали се подозира, че значителният инцидент е причинен от незаконни или злонамерени действия, или дали той може да има (в смисъл дали е вероятно да има) трансгранично въздействие. Съгласно съображение 102 от преамбюла на Директива (ЕС) 2022/2555 в ранното предупреждение следва да се посочва единствено информацията, която е необходима, за да може компетентният ЕРИКС или орган, запознат със значителния инцидент, да позволи на засегнатия субект да потърси помощ, ако е необходимо. |
| --- | --- |

22.

Съгласно член 23, параграф 4, буква а) ранното предупреждение трябва да съдържа, когато е приложимо, указание дали се подозира, че значителният инцидент е причинен от незаконни или злонамерени действия, или дали той може да има (в смисъл дали е вероятно да има) трансгранично въздействие. Съгласно съображение 102 от преамбюла на Директива (ЕС) 2022/2555 в ранното предупреждение следва да се посочва единствено информацията, която е необходима, за да може компетентният ЕРИКС или орган, запознат със значителния инцидент, да позволи на засегнатия субект да потърси помощ, ако е необходимо.

| 23. | Уведомлението за инцидента трябва да включва, когато е приложимо, актуализации на предоставената като част от ранното предупреждение информация. Освен това то трябва да включва първоначална оценка на значителния инцидент, включително неговата тежест и въздействие, както и когато има такива, показателите за нарушена сигурност. |
| --- | --- |

23.

Уведомлението за инцидента трябва да включва, когато е приложимо, актуализации на предоставената като част от ранното предупреждение информация. Освен това то трябва да включва първоначална оценка на значителния инцидент, включително неговата тежест и въздействие, както и когато има такива, показателите за нарушена сигурност.

| 24. | В случай че се изисква междинен доклад, в него трябва да са включени съответните актуализации на състоянието. В окончателния доклад трябва да се включва подробно описание на инцидента, включително неговата тежест и въздействие, вида на заплахата или причината, която вероятно е породила инцидента, приложените и текущите мерки за ограничаване и, когато е приложимо, трансграничното въздействие на инцидента. |
| --- | --- |

24.

В случай че се изисква междинен доклад, в него трябва да са включени съответните актуализации на състоянието. В окончателния доклад трябва да се включва подробно описание на инцидента, включително неговата тежест и въздействие, вида на заплахата или причината, която вероятно е породила инцидента, приложените и текущите мерки за ограничаване и, когато е приложимо, трансграничното въздействие на инцидента.

II.2.4.   Незабавен достъп до уведомления за инциденти

Незабавен достъп до уведомления за инциденти

| 25. | В член 4, параграф 2, буква б) от Директива (ЕС) 2022/2555 се предвижда, че за да бъде приложим специфичен за сектора правен акт на Съюза по отношение на изискванията за уведомленията за инциденти вместо посочената директива, е необходимо ЕРИКС, компетентните органи или SPOC съгласно Директива (ЕС) 2022/2555 да получат незабавен достъп до уведомленията за инциденти, подадени в съответствие със специфичния за сектора правен акт на Съюза. В съответствие със съображение 24 от преамбюла на Директива (ЕС) 2022/2555 такъв незабавен достъп може да бъде осигурен, по-специално ако уведомленията за инциденти се препращат без ненужно забавяне на ЕРИКС, компетентния орган или SPOC. |
| --- | --- |

25.

В член 4, параграф 2, буква б) от Директива (ЕС) 2022/2555 се предвижда, че за да бъде приложим специфичен за сектора правен акт на Съюза по отношение на изискванията за уведомленията за инциденти вместо посочената директива, е необходимо ЕРИКС, компетентните органи или SPOC съгласно Директива (ЕС) 2022/2555 да получат незабавен достъп до уведомленията за инциденти, подадени в съответствие със специфичния за сектора правен акт на Съюза. В съответствие със съображение 24 от преамбюла на Директива (ЕС) 2022/2555 такъв незабавен достъп може да бъде осигурен, по-специално ако уведомленията за инциденти се препращат без ненужно забавяне на ЕРИКС, компетентния орган или SPOC.

| 26. | Незабавният достъп може да се осигури по целесъобразност чрез средства за автоматичен и пряк достъп, които държавите членки следва да въведат. Механизмите за автоматично и пряко докладване гарантират систематичен и незабавен обмен на информация с ЕРИКС, компетентните органи или SPOC относно разглеждането на уведомленията за инциденти. Държавите членки могат също така да използват единна входяща точка, която трябва да отговаря на специфичния за сектора правен акт на Съюза, с цел опростяване на докладването и прилагане на механизма за автоматично и пряко докладване. |
| --- | --- |

26.

Незабавният достъп може да се осигури по целесъобразност чрез средства за автоматичен и пряк достъп, които държавите членки следва да въведат. Механизмите за автоматично и пряко докладване гарантират систематичен и незабавен обмен на информация с ЕРИКС, компетентните органи или SPOC относно разглеждането на уведомленията за инциденти. Държавите членки могат също така да използват единна входяща точка, която трябва да отговаря на специфичния за сектора правен акт на Съюза, с цел опростяване на докладването и прилагане на механизма за автоматично и пряко докладване.

| 27. | Когато се поставя оценка на това дали изискванията в специфичен за сектора правен акт на Съюза за уведомяване за значителни инциденти са най-малкото равностойни по сила на изискванията, определени в член 23, параграфи 1—6 от Директива (ЕС) 2022/2555, изискванията в този специфичен за сектора правен акт на Съюза следва поне да съответстват на изискванията на член 23, параграфи 1—6 или в тях да се предвиждатповече подробности от тези разпоредби. Изискванията следва да са свързани с вида инциденти, които трябва да бъдат докладвани съгласно Директива (ЕС) 2022/2555, като се вземат предвид по-специално получателите, съдържанието и приложимите времеви рамки. |
| --- | --- |

27.

Когато се поставя оценка на това дали изискванията в специфичен за сектора правен акт на Съюза за уведомяване за значителни инциденти са най-малкото равностойни по сила на изискванията, определени в член 23, параграфи 1—6 от Директива (ЕС) 2022/2555, изискванията в този специфичен за сектора правен акт на Съюза следва поне да съответстват на изискванията на член 23, параграфи 1—6 или в тях да се предвиждатповече подробности от тези разпоредби. Изискванията следва да са свързани с вида инциденти, които трябва да бъдат докладвани съгласно Директива (ЕС) 2022/2555, като се вземат предвид по-специално получателите, съдържанието и приложимите времеви рамки.

III.   ПОСЛЕДСТВИЯ ОТ ЕКВИВАЛЕНТНОСТТА

ПОСЛЕДСТВИЯ ОТ ЕКВИВАЛЕНТНОСТТА

III.1.   Надзор и правоприлагане

Надзор и правоприлагане

| 28. | Когато специфичните за сектора правни актове на Съюза са най-малкото равностойни по сила на задълженията, определени в Директива (ЕС) 2022/2555, не се прилагат не само съответните разпоредби на посочената директива относно задължението за приемане на мерки за управление на риска в областта на киберсигурността или за уведомяване за значителни инциденти, но и разпоредбите относно надзора и правоприлагането, определени в глава VII от Директива (ЕС) 2022/2555. |
| --- | --- |

28.

Когато специфичните за сектора правни актове на Съюза са най-малкото равностойни по сила на задълженията, определени в Директива (ЕС) 2022/2555, не се прилагат не само съответните разпоредби на посочената директива относно задължението за приемане на мерки за управление на риска в областта на киберсигурността или за уведомяване за значителни инциденти, но и разпоредбите относно надзора и правоприлагането, определени в глава VII от Директива (ЕС) 2022/2555.

| 29. | В съображение 25 от преамбюла на Директива (ЕС) 2022/2555 се пояснява, че в специфичните за сектора правни актове на Съюза, които имат най-малкото равностойно действие, може да се предвиди, че компетентните органи по силата на тези актове упражняват своите надзорни и правоприлагащи правомощия във връзка със задълженията за управление на риска в областта на киберсигурността или задълженията за уведомяване със съдействието на компетентните органи съгласно Директива (ЕС) 2022/2555. Съответните компетентни органи биха могли да сключат споразумения за сътрудничество за тази цел, включително процедури за координиране на надзорните дейности, процедури за разследвания и проверки на място в съответствие с националното право, както и да предвидят механизъм за обмен между компетентните органи на съответната информация относно надзора и правоприлагането. Такъв механизъм за обмен на относима информация би могъл да включва достъп до свързана с киберпространството информация, поискан от компетентните органи съгласно Директива (ЕС) 2022/2555. |
| --- | --- |

29.

В съображение 25 от преамбюла на Директива (ЕС) 2022/2555 се пояснява, че в специфичните за сектора правни актове на Съюза, които имат най-малкото равностойно действие, може да се предвиди, че компетентните органи по силата на тези актове упражняват своите надзорни и правоприлагащи правомощия във връзка със задълженията за управление на риска в областта на киберсигурността или задълженията за уведомяване със съдействието на компетентните органи съгласно Директива (ЕС) 2022/2555. Съответните компетентни органи биха могли да сключат споразумения за сътрудничество за тази цел, включително процедури за координиране на надзорните дейности, процедури за разследвания и проверки на място в съответствие с националното право, както и да предвидят механизъм за обмен между компетентните органи на съответната информация относно надзора и правоприлагането. Такъв механизъм за обмен на относима информация би могъл да включва достъп до свързана с киберпространството информация, поискан от компетентните органи съгласно Директива (ЕС) 2022/2555.

III.2.   Национална стратегия за киберсигурност

Национална стратегия за киберсигурност

| 30. | От всяка държава членка се изисква да приеме национална стратегия за киберсигурност съгласно член 7, параграф 1 от Директива (ЕС) 2022/2555. Националната стратегия за киберсигурност е съгласувана рамка на държава членка, съдържаща стратегически цели и приоритети в областта на киберсигурността и управленските методи за постигането на тези цели и приоритети в тази държава членка (вж. член 6, точка 4 от Директива (ЕС) 2022/2555). Стратегията за киберсигурност трябва да включва, наред с другото, цели и приоритети, като се обхващат по-специално секторите, посочени в приложения I и II на Директива (ЕС) 2022/2555. Освен това тази стратегия трябва да включва рамка за управление за постигане на тези цели и приоритети, включително политиките, посочени в член 7, параграф 2 от Директива (ЕС) 2022/2555. |
| --- | --- |

30.

От всяка държава членка се изисква да приеме национална стратегия за киберсигурност съгласно член 7, параграф 1 от Директива (ЕС) 2022/2555. Националната стратегия за киберсигурност е съгласувана рамка на държава членка, съдържаща стратегически цели и приоритети в областта на киберсигурността и управленските методи за постигането на тези цели и приоритети в тази държава членка (вж. член 6, точка 4 от Директива (ЕС) 2022/2555). Стратегията за киберсигурност трябва да включва, наред с другото, цели и приоритети, като се обхващат по-специално секторите, посочени в приложения I и II на Директива (ЕС) 2022/2555. Освен това тази стратегия трябва да включва рамка за управление за постигане на тези цели и приоритети, включително политиките, посочени в член 7, параграф 2 от Директива (ЕС) 2022/2555.

| 31. | Освен това в член 7, параграф 1, буква в) от Директива (ЕС) 2022/2555 се предвижда, че в националната стратегия за киберсигурност трябва да се включва рамка за управление, в която се изясняват ролите и отговорностите на съответните заинтересовани страни на национално равнище и която е в основата на сътрудничеството и координацията на национално равнище между компетентните органи, SPOC и ЕРИКС съгласно Директива (ЕС) 2022/2555, както и координацията и сътрудничеството между тези органи и компетентните органи съгласно специфичните за сектора правни актове на Съюза. |
| --- | --- |

31.

Освен това в член 7, параграф 1, буква в) от Директива (ЕС) 2022/2555 се предвижда, че в националната стратегия за киберсигурност трябва да се включва рамка за управление, в която се изясняват ролите и отговорностите на съответните заинтересовани страни на национално равнище и която е в основата на сътрудничеството и координацията на национално равнище между компетентните органи, SPOC и ЕРИКС съгласно Директива (ЕС) 2022/2555, както и координацията и сътрудничеството между тези органи и компетентните органи съгласно специфичните за сектора правни актове на Съюза.

| 32. | Ето защо изискването за приемане на стратегия за киберсигурност съгласно член 7 от Директива (ЕС) 2022/2555 не се отнася нито до изискванията за киберсигурност, наложени на съществените и важните субекти съгласно членове 21 и 23 от посочената директива, нито до разпоредбите, свързани с техния надзор и правоприлагане, определени в глава VII, както се изисква съгласно член 4, параграфи 1 и 2 от директивата. Съответната разпоредба на член 7 следва да остане в сила по отношение на секторите, подсекторите и видовете субекти, за които съществуват специфични за сектора правни актове на Съюза по смисъла на член 4 от Директива (ЕС) 2022/2555. |
| --- | --- |

32.

Ето защо изискването за приемане на стратегия за киберсигурност съгласно член 7 от Директива (ЕС) 2022/2555 не се отнася нито до изискванията за киберсигурност, наложени на съществените и важните субекти съгласно членове 21 и 23 от посочената директива, нито до разпоредбите, свързани с техния надзор и правоприлагане, определени в глава VII, както се изисква съгласно член 4, параграфи 1 и 2 от директивата. Съответната разпоредба на член 7 следва да остане в сила по отношение на секторите, подсекторите и видовете субекти, за които съществуват специфични за сектора правни актове на Съюза по смисъла на член 4 от Директива (ЕС) 2022/2555.

III.3.   Определяне на ЕРИКС

Определяне на ЕРИКС

| 33. | Съгласно член 10, параграф 1 от Директива (ЕС) 2022/2555 държавите членки трябва да определят или да създадат един или повече ЕРИКС, които обхващат най-малко секторите, подсекторите и видовете субекти, посочени в приложения I и II към директивата, като по този начин се включват секторите, подсекторите и видовете субекти, за които съществуват специфични за сектора правни актове на Съюза. Обикновено ЕРИКС изпълняват и своите задачи, определени в член 11, параграф 3 от Директива (ЕС) 2022/2555 в това отношение, освен ако в специфичните за сектора правни актове на Съюза са посочени конкретни задачи. |
| --- | --- |

33.

Съгласно член 10, параграф 1 от Директива (ЕС) 2022/2555 държавите членки трябва да определят или да създадат един или повече ЕРИКС, които обхващат най-малко секторите, подсекторите и видовете субекти, посочени в приложения I и II към директивата, като по този начин се включват секторите, подсекторите и видовете субекти, за които съществуват специфични за сектора правни актове на Съюза. Обикновено ЕРИКС изпълняват и своите задачи, определени в член 11, параграф 3 от Директива (ЕС) 2022/2555 в това отношение, освен ако в специфичните за сектора правни актове на Съюза са посочени конкретни задачи.

III.4.   Национални рамки за управление на киберкризи и EU-CyCLONe

Национални рамки за управление на киберкризи и EU-CyCLONe

| 34. | Съгласно член 9, параграф 1 от Директива (ЕС) 2022/2555 държавите членки трябва да определят или да създават един или повече органи за управление на киберкризи, отговарящи за управлението на мащабните киберинциденти и кризи. Съгласно член 6, точка 7 от посочената директива мащабен киберинцидент е инцидент, който причинява степен на смущение, надхвърляща способността на дадена държава членка да реагира на него, или който има значително въздействие върху най-малко две държави членки. В член 9, параграф 4 от Директива (ЕС) 2022/2555 се изисква държавите членки да приемат и национален план за реакция при мащабни киберинциденти и кризи, в който се определят целите и условията и редът за управлението на мащабни киберинциденти и кризи. В този план следва да се определят, наред с другото, процедурите за управление на киберкризи, включително тяхното интегриране в общата рамка за управление на кризи на национално равнище и канали за обмен на информация, както и съответните участващи публични и частни заинтересовани страни и инфраструктура. Такива процедури за управление на киберкризи, както и съответните публични и частни заинтересовани страни и инфраструктура могат да включват специфични за сектора процедури и заинтересовани страни. |
| --- | --- |

34.

Съгласно член 9, параграф 1 от Директива (ЕС) 2022/2555 държавите членки трябва да определят или да създават един или повече органи за управление на киберкризи, отговарящи за управлението на мащабните киберинциденти и кризи. Съгласно член 6, точка 7 от посочената директива мащабен киберинцидент е инцидент, който причинява степен на смущение, надхвърляща способността на дадена държава членка да реагира на него, или който има значително въздействие върху най-малко две държави членки. В член 9, параграф 4 от Директива (ЕС) 2022/2555 се изисква държавите членки да приемат и национален план за реакция при мащабни киберинциденти и кризи, в който се определят целите и условията и редът за управлението на мащабни киберинциденти и кризи. В този план следва да се определят, наред с другото, процедурите за управление на киберкризи, включително тяхното интегриране в общата рамка за управление на кризи на национално равнище и канали за обмен на информация, както и съответните участващи публични и частни заинтересовани страни и инфраструктура. Такива процедури за управление на киберкризи, както и съответните публични и частни заинтересовани страни и инфраструктура могат да включват специфични за сектора процедури и заинтересовани страни.

| 35. | С член 16 от Директива (ЕС) 2022/2555 се създава Европейската мрежа за връзка на организациите при кибернетични кризи (EU-CyCLONe), чиято цел е подпомагане на координираното управление на мащабни киберинциденти и кризи на оперативно равнище и осигуряване на редовния обмен на относимата информация сред държавите членки и институциите, органите, службите и агенциите на Съюза. |
| --- | --- |

35.

С член 16 от Директива (ЕС) 2022/2555 се създава Европейската мрежа за връзка на организациите при кибернетични кризи (EU-CyCLONe), чиято цел е подпомагане на координираното управление на мащабни киберинциденти и кризи на оперативно равнище и осигуряване на редовния обмен на относимата информация сред държавите членки и институциите, органите, службите и агенциите на Съюза.

| 36. | Тъй като член 9 относно рамките за управление на киберкризи и член 16 относно EU-CyCLONe не се отнасят до наложените на субектите съгласно членове 21 и 23 от Директива (ЕС) 2022/2555 изисквания за киберсигурност, нито до надзора и правоприлагането, определени в глава VII, както се изисква съгласно член 4, параграфи 1 и 2 от посочената директива, членове 9 и 16 следва да се прилагат напълно за секторите, въпреки наличието на специфични за сектора правни актове на Съюза по смисъла на член 4. В резултат на това държавите членки трябва да определят или да създават един или повече органи за управление на киберкризи, отговарящи за управлението на мащабните киберинциденти и кризи, възникващи в секторите, обхванати от специфичните за сектора правни актове на Съюза. Освен това при приемането на националния мащабен план за реагиране при киберинциденти и кризи не следва да се пренебрегват обхванатите от специфични за отделните сектори правни актове на Съюза сектори. Накрая, EU-CyCLONe следва да изпълнява своите задачи, залегнали в член 16 от Директива (ЕС) 2022/2555, по отношение на секторите, в които субектите са обект на специфични за сектора правни актове на Съюза. |
| --- | --- |

36.

Тъй като член 9 относно рамките за управление на киберкризи и член 16 относно EU-CyCLONe не се отнасят до наложените на субектите съгласно членове 21 и 23 от Директива (ЕС) 2022/2555 изисквания за киберсигурност, нито до надзора и правоприлагането, определени в глава VII, както се изисква съгласно член 4, параграфи 1 и 2 от посочената директива, членове 9 и 16 следва да се прилагат напълно за секторите, въпреки наличието на специфични за сектора правни актове на Съюза по смисъла на член 4. В резултат на това държавите членки трябва да определят или да създават един или повече органи за управление на киберкризи, отговарящи за управлението на мащабните киберинциденти и кризи, възникващи в секторите, обхванати от специфичните за сектора правни актове на Съюза. Освен това при приемането на националния мащабен план за реагиране при киберинциденти и кризи не следва да се пренебрегват обхванатите от специфични за отделните сектори правни актове на Съюза сектори. Накрая, EU-CyCLONe следва да изпълнява своите задачи, залегнали в член 16 от Директива (ЕС) 2022/2555, по отношение на секторите, в които субектите са обект на специфични за сектора правни актове на Съюза.

III.5.   Изключение от прилагането на член 3, параграфи 3 и 4, член 20 и член 27, параграфи 2 и 3

Изключение от прилагането на член 3, параграфи 3 и 4, член 20 и член 27, параграфи 2 и 3

| 37. | Съгласно член 3, параграф 3 от Директива (ЕС) 2022/2555 от държавите членки се изисква да изготвят списък на съществените и важните субекти, както и на субектите, предоставящи услуги по регистрация на имена на домейни, които попадат в обхвата на директивата. Съгласно член 27, параграф 2 държавите членки изискват от посочените в член 27, параграф 1 субекти от съответната директива да представят на компетентните органи определена информация. Тъй като целта на тези разпоредби е да се осигури ясен преглед на субектите, попадащи в обхвата на Директива (ЕС) 2022/2555, за да се подпомогне надзорът на съществените и важните субекти, попадащи в нейния обхват, следва, че тези разпоредби не следва да се прилагат за субекти, за които се прилага специфичен за сектора правен акт на Съюза по отношение на изискванията за управлението на риска в областта на киберсигурността и задълженията за докладване. Това не пречи на включването на такива субекти в списъка от страна на държавите членки.
  Съгласно член 20, параграф 1 от Директива (ЕС) 2022/2555 от управителните органи на съществените и важните субекти се изисква да одобряват мерките за управление на риска в областта на киберсигурността, предприети от тези субекти с цел спазване на член 21, да следят за прилагането им и да могат да бъдат подвеждани под отговорност за нарушение на посочения член от страна на субектите. Съгласно член 20, параграф 2 от посочената директива държавите членки гарантират, че от членовете на управителните органи на съществените и важните субекти се изисква редовно да преминават през обучение, и насърчават съществените и важните субекти да предлагат подобно обучение на своите служители, с цел придобиване на достатъчно познания и умения, което да им позволи да идентифицират рискове и оценяват практиките за управление на риска в областта на киберсигурността и тяхното въздействие върху услугите, предоставяни от субекта. Тъй като задълженията, произтичащи от член 20 от Директива (ЕС) 2022/2555, са неразривно свързани с изискванията на член 21 от посочената директива, следва, че член 20 не следва да се прилага в случай на специфични за сектора правни актове на Съюза по смисъла на член 4 от посочената директива, които се прилагат по отношение на изискванията за управление на риска в областта на киберсигурността. |
| --- | --- |

37.

Съгласно член 3, параграф 3 от Директива (ЕС) 2022/2555 от държавите членки се изисква да изготвят списък на съществените и важните субекти, както и на субектите, предоставящи услуги по регистрация на имена на домейни, които попадат в обхвата на директивата. Съгласно член 27, параграф 2 държавите членки изискват от посочените в член 27, параграф 1 субекти от съответната директива да представят на компетентните органи определена информация. Тъй като целта на тези разпоредби е да се осигури ясен преглед на субектите, попадащи в обхвата на Директива (ЕС) 2022/2555, за да се подпомогне надзорът на съществените и важните субекти, попадащи в нейния обхват, следва, че тези разпоредби не следва да се прилагат за субекти, за които се прилага специфичен за сектора правен акт на Съюза по отношение на изискванията за управлението на риска в областта на киберсигурността и задълженията за докладване. Това не пречи на включването на такива субекти в списъка от страна на държавите членки.

Съгласно член 20, параграф 1 от Директива (ЕС) 2022/2555 от управителните органи на съществените и важните субекти се изисква да одобряват мерките за управление на риска в областта на киберсигурността, предприети от тези субекти с цел спазване на член 21, да следят за прилагането им и да могат да бъдат подвеждани под отговорност за нарушение на посочения член от страна на субектите. Съгласно член 20, параграф 2 от посочената директива държавите членки гарантират, че от членовете на управителните органи на съществените и важните субекти се изисква редовно да преминават през обучение, и насърчават съществените и важните субекти да предлагат подобно обучение на своите служители, с цел придобиване на достатъчно познания и умения, което да им позволи да идентифицират рискове и оценяват практиките за управление на риска в областта на киберсигурността и тяхното въздействие върху услугите, предоставяни от субекта. Тъй като задълженията, произтичащи от член 20 от Директива (ЕС) 2022/2555, са неразривно свързани с изискванията на член 21 от посочената директива, следва, че член 20 не следва да се прилага в случай на специфични за сектора правни актове на Съюза по смисъла на член 4 от посочената директива, които се прилагат по отношение на изискванията за управление на риска в областта на киберсигурността.

---

(1)  
  ОВ L 333, 27.12.2022 г., стр. 80.

1

(2)  Вж. също съображения 78, 81 и 82 от преамбюла на Директива (ЕС) 2022/2555.

2

(3)  Член 2, параграф 1 от Директива (ЕС) 2018/1972 на Европейския парламент и на Съвета от 11 декември 2018 година за установяване на Европейски кодекс за електронни съобщения (ОВ L 321, 17.12.2018 г., стр. 36).

3

(4)  Вж. съображение 79 от преамбюла на Директива (ЕС) 2022/2555.

4

(5)  Вж. глава Г „Допълнителни правила за прилагане на основния акт“, незадължителни критерии за прилагане на членове 290 и 291 от Договора за функционирането на Европейския съюз — 18 юни 2019 г. (ОВ C 223, 3.7.2019 г., стр. 1).

5

(6)  Вж. глава Г „Допълнителни правила за прилагане на основния акт“, незадължителни критерии за прилагане на членове 290 и 291 от Договора за функционирането на Европейския съюз — 18 юни 2019 г. (ОВ C 223, 3.7.2019 г., стр. 1).

6

(7)  Вж. съображение 101 от преамбюла на Директива (ЕС) 2022/2555.

7

---

ДОПЪЛНЕНИЕ

Специфични за сектора правни актове на Съюза

Регламент (ЕС) 2022/2554 (Регламент относно оперативната устойчивост на цифровите технологии във финансовия сектор)
   (1)

| 1. | В член 1, параграф 2 от Регламент (ЕС) 2022/2554 (Регламент относно оперативната устойчивост на цифровите технологии във финансовия сектор, DORA) се предвижда, че по отношение на финансовите субекти, обхванати от Директива (ЕС) 2022/2555 и нейните съответни национални правила за транспониране, Регламент (ЕС) 2022/2554 се счита за специфичен за сектора правен акт на Съюза за целите на член 4 от Директива (ЕС)2022/2555. Това твърдение се отразява в съображение 28 от преамбюла на Директива (ЕС) 2022/2555, според което, DORA следва да се счита за специфичен за сектора правен акт на Съюза във връзка с Директива (ЕС) 2022/2555 по отношение на финансовите субекти. Поради това разпоредбите на Регламент (ЕС) 2022/2554 във връзка с управлението на риска в областта на информационните и комуникационните технологии (ИКТ) (член 6 и сл.), управлението на инцидентите при ИКТ и по-специално докладването на съществени инциденти с ИКТ (член 17 и сл.), както и тези относно тестването на оперативната устойчивост на цифровите технологии (член 24 и сл.), споразуменията за обмен на информация (член 25) и риска в областта на ИКТ, пораждан от участието на трети страни (член 28 и сл.), се прилагат вместо предвидените в Директива (ЕС) 2022/2555 разпоредби. Затова държавите членки не следва да прилагат разпоредбите на Директива (ЕС) 2022/2555 относно управлението на риска в областта на киберсигурността и задълженията за докладване и надзор и правоприлагането по отношение финансови субекти, обхванати от Регламент (ЕС) 2022/2554. |
| --- | --- |

1.

| 2. | В това отношение финансовите субекти се считат за субекти, посочени в член 2, параграф 1, букви а)—т) от Регламент (ЕС) 2022/2554. Видовете субекти, попадащи като финансови субекти в приложното поле на Регламент (ЕС) 2022/2554, както и като съществени или важни субекти в приложното поле на Директива (ЕС) 2022/2555, включват кредитни институции, места на търговия и централни контрагенти. Тъй като съгласно Директива (ЕС) 2022/2555 е важно поддържането на силни взаимоотношения и обмен на информация с финансовия сектор, европейските надзорни органи и компетентните органи съгласно Регламент (ЕС) 2022/2554 могат да заявяват участие в дейностите на групата за сътрудничество (2), да обменят информация и да си сътрудничат със SPOC, както и със ЕРИКС и компетентните органи съгласно Директива (ЕС) 2022/2555 (3). Компетентните органи съгласно Регламент (ЕС) 2022/2554 следва също да предоставят подробности за съществени инциденти с ИКТ и, когато е целесъобразно, значителни киберзаплахи до ЕРИКС, до компетентните органи, или до SPOC съгласно Директива (ЕС) 2022/2555. Това може да се постигне чрез осигуряване на незабавен достъп до уведомленията за инциденти и препращането им, пряко или чрез единна входяща точка. Дейностите на ЕРИКС трябва да са в състояние да обхващат финансовия сектор (4). Държавите членки следва да продължат да включват финансовия сектор в своите стратегии за киберсигурност. Разпоредбите относно националните рамки за управление на киберкризи (член 9 от Директива (ЕС) 2022/2555), както и относно EU-CyCLONe (член 16 от Директива (ЕС) 2022/2555), следва да продължат да се прилагат по отношение на субектите, попадащи в приложното поле на Регламент (ЕС) 2022/2554. |
| --- | --- |

2.

---

(1)  Регламент (ЕС) 2022/2554 на Европейския парламент и на Съвета от 14 декември 2022 година относно оперативната устойчивост на цифровите технологии във финансовия сектор и за изменение на регламенти (ЕО) No 1060/2009, (ЕС) No 648/2012, (ЕС) No 600/2014, (ЕС) No 909/2014 и (ЕС) 2016/1011 (OВ L 333, 27.12.2022 г., стр. 1).

(2)  Член 14, параграф 3 от Директива (ЕС) 2022/2555 и член 47, параграф 1 от Регламент (ЕС) 2022/2554.

(3)  Вж. съображение 28 от Директива (ЕС) 2022/2555.

(4)  Пак там.

---

IV Информация

ИНФОРМАЦИЯ ОТ ИНСТИТУЦИИТЕ, ОРГАНИТЕ, СЛУЖБИТЕ И АГЕНЦИИТЕ НА ЕВРОПЕЙСКИЯ СЪЮЗ

Съвет

| 18.9.2023 | BG | Официален вестник на Европейския съюз | C 328/11 |
| --- | --- | --- | --- |

18.9.2023

BG

Официален вестник на Европейския съюз

C 328/11

---

Известие на вниманието на лицата и образуванията, спрямо които се прилагат мерките, предвидени в Решение 2011/235/ОВППС на Съвета, прилагано с Решение за изпълнение (ОВППС) 2023/1780 на Съвета, както и в Регламент (ЕС) No 359/2011 на Съвета, прилаган с Регламент за изпълнение (ЕС) 2023/1779 на Съвета, относно ограничителни мерки, насочени срещу определени лица, образувания и органи с оглед на положението в Иран

(2023/C 328/03)

На вниманието на лицата и образуванията, включени в приложението към Решение 2011/235/ОВППС на Съвета (1), прилагано с Решение за изпълнение (ОВППС) 2023/1780 на Съвета (2), както и в приложение I към Регламент (ЕС) No 359/2011 на Съвета (3), прилаган с Регламент за изпълнение (ЕС) 2023/1779 на Съвета (4), относно ограничителни мерки, насочени срещу определени лица, образувания и органи с оглед на положението в Иран, се предоставя следната информация.

1

2

3

4

Съветът на Европейския съюз реши, че въпросните лица и образувания следва да бъдат включени в списъка на лицата и образуванията, спрямо които се прилагат ограничителните мерки, предвидени в Решение 2011/235/ОВППС и в Регламент (ЕС) No 359/2011.

На засегнатите лица и образувания се обръща внимание, че могат да подадат заявление до компетентните органи на съответната(ите) държава(и) членка(и), посочени на уебсайтовете в приложение II към Регламент (ЕС) No 359/2011, за да получат разрешение за използване на замразени финансови средства за основни нужди или за конкретни плащания (вж. член 4 от Регламента).

Преди 1 януари 2024 г.
  засегнатите лица и образувания могат да отправят до Съвета искане, придружено от съпътстваща документация, за преразглеждане на решението за включването им в горепосочения списък, на следния адрес:

з

| Council of the European Union |
| --- |
| General Secretariat |
| RELEX.1 |
| Rue de la Loi/Wetstraat 175 |
| 1048 Bruxelles/Brussel |
| BELGIQUE/BELGIË |

Council of the European Union

General Secretariat

RELEX.1

Rue de la Loi/Wetstraat 175

1048 Bruxelles/Brussel

BELGIQUE/BELGIË

Електронна поща: sanctions@consilium.europa.eu

На засегнатите лица и образувания се обръща също така внимание, че могат да оспорят решението на Съвета пред Общия съд на Европейския съюз съгласно условията, предвидени в член 275, втора алинея и в член 263, четвърта и шеста алинея от Договора за функционирането на Европейския съюз.

---

(1)  
  ОВ L 100, 14.4.2011 г., стр. 51.

1

(2)  
  ОВ L 228 I, 15.9.2023 г., стр. 6.

2

(3)  
  ОВ L 100, 14.4.2011 г., стр. 1.

3

(4)  
  ОВ L 228 I, 15.9.2023 г., стр. 1.

4

---

| 18.9.2023 | BG | Официален вестник на Европейския съюз | C 328/13 |
| --- | --- | --- | --- |

18.9.2023

BG

Официален вестник на Европейския съюз

C 328/13

---

Известие на вниманието на субектите на данни, спрямо които се прилагат ограничителните мерки, предвидени в Решение 2011/235/ОВППС на Съвета и в Регламент (EС) No 359/2011 на Съвета относно ограничителни мерки, насочени срещу определени лица, образувания и органи с оглед на положението в Иран

(2023/C 328/04)

На вниманието на субектите на данни се предоставя следната информация в съответствие с член 16 от Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета (1):

1

Правните основания за извършваното обработване на данни са Решение 2011/235/ОВППС на Съвета (2), прилагано с Решение за изпълнение (ОВППС) 2023/1780 на Съвета (3), и Регламент (ЕС) No 359/2011 на Съвета (4), прилаган с Регламент за изпълнение (ЕС) 2023/1779 на Съвета (5).

2

3

4

5

Администратор на обработването на данни е Съветът на Европейския съюз, който се представлява от генералния директор на Генерална дирекция „Външни отношения“ (RELEX) в Генералния секретариат на Съвета, а отделът, на който е възложено обработването на данните, е RELEX.1, с който можете да се свържете на адрес:

| Council of the European Union |
| --- |
| General Secretariat |
| RELEX.1 |
| Rue de la Loi/Wetstraat 175 |
| 1048 Bruxelles/Brussel |
| BELGIQUE/BELGIË |

Council of the European Union

General Secretariat

RELEX.1

Rue de la Loi/Wetstraat 175

1048 Bruxelles/Brussel

BELGIQUE/BELGIË

Електронна поща: sanctions@consilium.europa.eu

Можете да се свържете с длъжностното лице по защита на данните на Съвета на адрес:

| | Длъжностно лице по защита на данните |
| --- | --- |

Длъжностно лице по защита на данните

| | data.protection@consilium.europa.eu |
| --- | --- |

data.protection@consilium.europa.eu

Целта на обработването на данните е да бъде съставен и актуализиран списъкът на лицата, спрямо които се прилагат ограничителни мерки съгласно Решение 2011/235/ОВППС, прилагано с Решение за изпълнение (ОВППС) 2023/1780, и Регламент (ЕС) No 359/2011, прилаган с Регламент за изпълнение (ЕС) 2023/1779.

Субектите на данни са физическите лица, които отговарят на критериите за включване в списъка, определени в Решение 2011/235/ОВППС и Регламент (ЕС) No 359/2011.

Събраните лични данни включват данни, необходими за точната идентификация на съответните лица, изложението на мотивите и всички други данни, свързани с основанията за включване в списъка.

Правните основания за обработването на лични данни са решенията на Съвета, приети на основание член 29 от ДЕС, и регламентите на Съвета, приети на основание член 215 от ДФЕС, с които се посочват физически лица (субекти на данни) и се налагат замразяване на активи и ограничения за пътуване.

Обработването е необходимо за изпълнението на задача от обществен интерес в съответствие с член 5, параграф 1, буква а) и за спазването на правните задължения, установени в горепосочените правни актове, които се прилагат спрямо администратора в съответствие с член 5, параграф 1, буква б) от Регламент (ЕС) 2018/1725.

Обработването е необходимо по причини от важен обществен интерес в съответствие с член 10, параграф 2, буква ж) от Регламент (ЕС) 2018/1725.

Съветът може да получава лични данни на субектите на данни от държавите членки и/или от Европейската служба за външна дейност. Получателите на личните данни са държавите членки, Европейската комисия и Европейската служба за външна дейност.

Всички лични данни, обработвани от Съвета в контекста на автономните ограничителни мерки на ЕС, ще бъдат съхранявани за срок от 5 години, считано от момента, в който субектът на данните е бил заличен от списъка на лицата, спрямо които се прилага замразяване на активи, или е изтекъл срокът на действие на мярката, или, ако бъде заведено дело пред Съда, до постановяването на окончателно решение. Личните данни, съдържащи се в документите, регистрирани от Съвета, се съхраняват от Съвета за целите на архивирането в обществен интерес по смисъла на член 4, параграф 1, буква д) от Регламент (ЕС) 2018/1725.

Може да се наложи Съветът да обменя лични данни на субект на данни с трета държава или международна организация в контекста на транспонирането от Съвета на посочването от страна на ООН или в контекста на международното сътрудничество по отношение на политиката на ЕС за ограничителни мерки.

При липса на решение относно адекватното ниво на защита или на подходящи гаранции предаването на лични данни на трета държава или международна организация се основава на следното(ите) условие(я) съгласно член 50 от Регламент (ЕС) 2018/1725: предаването е необходимо поради важни причини от обществен интерес; предаването е необходимо за установяването, упражняването или защитата на правни претенции.

Обработването на личните данни на субекта на данните не включва автоматизирано вземане на решения.

Субектите на данни имат право да получат информация и право на достъп до своите лични данни. Освен това те имат право да коригират и да допълват своите лични данни. При определени обстоятелства те могат да имат право на заличаване на личните им данни, да се противопоставят на обработването на личните им данни или да поискат това обработване да бъде ограничено.

Субектите на данни могат да упражнят тези права, като изпратят имейл до администратора с копие до длъжностното лице по защита на данните, както е посочено по-горе.

Към искането си субектите на данни трябва да приложат копие от документ за самоличност, за да потвърдят самоличността си (лична карта или паспорт). Този документ следва да съдържа идентификационен номер, държава на издаване, срок на валидност, име, адрес и дата на раждане. Всички други данни, съдържащи се в копието на документа за самоличност, например снимка или лични характеристики, могат да бъдат затъмнени.

Субектите на данни имат право да подадат жалба до Европейския надзорен орган по защита на данните в съответствие с Регламент (ЕС) 2018/1725 (edps@edps.europa.eu).

Препоръчително е преди това субектите на данни първо да се опитат да получат правна защита, като се свържат с администратора и/или длъжностното лице по защита на данните на Съвета.

---

(1)  
  ОВ L 295, 21.11.2018 г., стр. 39.

1

(2)  
  ОВ L 100, 14.4.2011 г., стр. 51.

2

(3)  
  ОВ L 228 I, 15.9.2023 г., стр. 6.

3

(4)  
  ОВ L 100, 14.4.2011 г., стр. 1.

4

(5)  
  ОВ L 228 I, 15.9.2023 г., стр. 1.

5

---

Европейска комисия

| 18.9.2023 | BG | Официален вестник на Европейския съюз | C 328/15 |
| --- | --- | --- | --- |

18.9.2023

BG

Официален вестник на Европейския съюз

C 328/15

---

Резюме на решения на Европейската комисия относно разрешения за пускане на пазара за употреба и/или разрешения за употреба на вещества, изброени в приложение XIV към Регламент (ЕО) No 1907/2006 на Европейския парламент и на Съвета относно регистрацията, оценката, разрешаването и ограничаването на химикали (REACH)

(Публикувано в съответствие с член 64, параграф 9 от Регламент (ЕО) No 1907/2006)
   (1)

(текст от значение за ЕИП)

(2023/C 328/05)

Решение за отнемане на разрешение

Решение за отнемане на разрешение

| Референтна информация за решението (2) | Дата на решението | Наименование на веществото | Адресат на решението | Оттеглена употреба | Отменено решение | Мотиви за решението |
| --- | --- | --- | --- | --- | --- | --- |
| C(2023) 6014 | 11 септември 2023 г. | Натриев дихромат EC No 234-190-3; CAS No 10588-01-9 (безводен); CAS No 7789-12-0 (дихидрат) | Gruppo Colle S.r.l., Via G. Di Vittorio 3/5, 59025 Usella, Cantagallo, Prato, Италия | Употреба като стипцовано багрило при боядисване на вълна в тъмни цветове | С(2017)8331 | В съответствие с член 60, параграф 4 от Регламент (ЕО) No 1907/2006, докладът за преглед не показа липсата на подходящи алтернативи за заявителя . |

Референтна информация за решението (2)

2

Дата на решението

Наименование на веществото

Адресат на решението

Оттеглена употреба

Отменено решение

Мотиви за решението

C(2023) 6014

11 септември 2023 г.

Натриев дихромат EC No 234-190-3; CAS No 10588-01-9 (безводен); CAS No 7789-12-0 (дихидрат)

Gruppo Colle S.r.l., Via G. Di Vittorio 3/5, 59025 Usella, Cantagallo, Prato, Италия

Употреба като стипцовано багрило при боядисване на вълна в тъмни цветове

С(2017)8331

В съответствие с член 60, параграф 4 от Регламент (ЕО) No 1907/2006, докладът за преглед не показа липсата на подходящи алтернативи за заявителя .

---

(1)  
  ОВ L 396, 30.12.2006 г., стр. 1

1

(2)  Текстът на решението е публикуван на уебсайта на Европейската комисия на следния адрес: Разрешение (europa.eu).

2

---

| 18.9.2023 | BG | Официален вестник на Европейския съюз | C 328/16 |
| --- | --- | --- | --- |

18.9.2023

BG

Официален вестник на Европейския съюз

C 328/16

---

Обменен курс на еврото (1)

15 септември 2023 година

(2023/C 328/06)

1 евро =

1 евро =

| | Валута | Обменен курс |
| --- | --- | --- |
| USD | щатски долар | 1,0658 |
| JPY | японска йена | 157,50 |
| DKK | датска крона | 7,4573 |
| GBP | лира стерлинг | 0,85878 |
| SEK | шведска крона | 11,8730 |
| CHF | швейцарски франк | 0,9554 |
| ISK | исландска крона | 145,30 |
| NOK | норвежка крона | 11,4220 |
| BGN | български лев | 1,9558 |
| CZK | чешка крона | 24,496 |
| HUF | унгарски форинт | 383,75 |
| PLN | полска злота | 4,6308 |
| RON | румънска лея | 4,9698 |
| TRY | турска лира | 28,7513 |
| AUD | австралийски долар | 1,6498 |
| CAD | канадски долар | 1,4409 |
| HKD | хонконгски долар | 8,3416 |
| NZD | новозеландски долар | 1,8008 |
| SGD | сингапурски долар | 1,4524 |
| KRW | южнокорейски вон | 1 415,78 |
| ZAR | южноафрикански ранд | 20,2968 |
| CNY | китайски юан рен-мин-би | 7,7561 |
| IDR | индонезийска рупия | 16 379,21 |
| MYR | малайзийски рингит | 4,9922 |
| PHP | филипинско песо | 60,612 |
| RUB | руска рубла | |
| THB | тайландски бат | 38,145 |
| BRL | бразилски реал | 5,1860 |
| MXN | мексиканско песо | 18,2275 |
| INR | индийска рупия | 88,6150 |

Валута

Обменен курс

USD

щатски долар

1,0658

JPY

японска йена

157,50

DKK

датска крона

7,4573

GBP

лира стерлинг

0,85878

SEK

шведска крона

11,8730

CHF

швейцарски франк

0,9554

ISK

исландска крона

145,30

NOK

норвежка крона

11,4220

BGN

български лев

1,9558

CZK

чешка крона

24,496

HUF

унгарски форинт

383,75

PLN

полска злота

4,6308

RON

румънска лея

4,9698

TRY

турска лира

28,7513

AUD

австралийски долар

1,6498

CAD

канадски долар

1,4409

HKD

хонконгски долар

8,3416

NZD

новозеландски долар

1,8008

SGD

сингапурски долар

1,4524

KRW

южнокорейски вон

1 415,78

ZAR

южноафрикански ранд

20,2968

CNY

китайски юан рен-мин-би

7,7561

IDR

индонезийска рупия

16 379,21

MYR

малайзийски рингит

4,9922

PHP

филипинско песо

60,612

RUB

руска рубла

THB

тайландски бат

38,145

BRL

бразилски реал

5,1860

MXN

мексиканско песо

18,2275

INR

индийска рупия

88,6150

---

(1)  
  Източник: референтен обменен курс, публикуван от Европейската централна банка.

1

Източник

---

V Становища

ПРОЦЕДУРИ, СВЪРЗАНИ С ИЗПЪЛНЕНИЕТО НА ПОЛИТИКАТА В ОБЛАСТТА НА КОНКУРЕНЦИЯТА

Европейска комисия

| 18.9.2023 | BG | Официален вестник на Европейския съюз | C 328/17 |
| --- | --- | --- | --- |

18.9.2023

BG

Официален вестник на Европейския съюз

C 328/17

---

Предварително уведомление за концентрация

(Дело M.11239 — EDF / CREDIT MUTUEL / ILE-DE-FRANCE BUILDING)

Дело кандидат за опростена процедура

(текст от значение за ЕИП)

(2023/C 328/07)

1.

Настоящото уведомление засяга следните предприятия:

| — | SAS C91 (Франция), контролирано от Électricité de France („EDF“, Франция), |
| --- | --- |

—

SAS C91 (Франция), контролирано от Électricité de France („EDF“, Франция),

| — | La Française Real Estate Managers („La Française“, Франция), под контрола на Caisse Régionale Crédit Mutuel Nord Europe (Франция), която от своя страна е член на групата Crédit Mutuel (Франция), |
| --- | --- |

—

La Française Real Estate Managers („La Française“, Франция), под контрола на Caisse Régionale Crédit Mutuel Nord Europe (Франция), която от своя страна е член на групата Crédit Mutuel (Франция),

| — | Сграда, разположена в Ile-de-France („сградата“, Франция). |
| --- | --- |

—

Сграда, разположена в Ile-de-France („сградата“, Франция).

Предприятия EDF и Crédit Mutuel ще придобият по смисъла на член 3, параграф 1, буква б) от Регламента за сливанията съвместен контрол над цялата сграда.

Концентрацията се извършва посредством покупка на активи.

2.

| — | за предприятие EDF: извършва дейност във Франция и в чужбина в производството и търговията на едро с електроенергия, в преноса, разпределението и доставката на електроенергия, в предоставянето на други услуги, свързани с електроенергията, и в по-малка степен в производството и търговията на едро и дребно на газ, |
| --- | --- |

—

за предприятие EDF: извършва дейност във Франция и в чужбина в производството и търговията на едро с електроенергия, в преноса, разпределението и доставката на електроенергия, в предоставянето на други услуги, свързани с електроенергията, и в по-малка степен в производството и търговията на едро и дребно на газ,

| — | за предприятие Crédit Mutuel: извършва дейност в предоставянето на банкови и финансови услуги, главно във Франция. Чрез дъщерното си дружество La Française групата Crédit Mutuel предлага услуги по управление на недвижими имоти. |
| --- | --- |

—

за предприятие Crédit Mutuel: извършва дейност в предоставянето на банкови и финансови услуги, главно във Франция. Чрез дъщерното си дружество La Française групата Crédit Mutuel предлага услуги по управление на недвижими имоти.

3.

Сградата е предназначена за офиси и търговия, и се намира на адрес: 111, avenue de France, 75013 Paris, France.

4.

В съответствие с Известието на Комисията относно опростена процедура за разглеждане на някои концентрации съгласно Регламент (ЕО) No 139/2004 на Съвета (2) следва да се отбележи, че това дело би могло да бъде разгледано по процедурата, посочена в Известието.

5.

Забележките трябва да бъдат получени от Комисията не по-късно от 10 дни след датата на настоящата публикация. Моля, винаги посочвайте следния референтен номер:

M.11239 — EDF / CREDIT MUTUEL / ILE-DE-FRANCE BUILDING

Забележки могат да се изпращат до Комисията по електронната поща или по пощата. Моля, използвайте координатите за връзка по-долу:

Електронна поща: COMP-MERGER-REGISTRY@ec.europa.eu

Пощенски адрес:

| Commission européenne |
| --- |
| Direction générale de la concurrence |
| Greffe des concentrations |
| 1049 Bruxelles/Brussel |
| BELGIQUE/BELGIË |

Commission européenne

Direction générale de la concurrence

Greffe des concentrations

1049 Bruxelles/Brussel

BELGIQUE/BELGIË

---

(1)  
  ОВ L 24, 29.1.2004, стp. 1 („Регламент за сливанията“).

1

(2)  
  ОВ C 366, 14.12.2013 г., стр. 5.

2

---