C 167/1

ИЗВЕСТИЕ НА КОМИСИЯТА

Насоки относно годишните одитни доклади, които трябва да бъдат представени в съответствие с член 15, параграф 8 от Директива 2014/40/ЕС в контекста на системата на ЕС за проследяване на тютюневите изделия

(текст от значение за ЕИП)

(2020/C 167/01)

ОТКАЗ ОТ ОТГОВОРНОСТ: Целта на настоящия документ е да се предоставят насоки на одобрения одитор относно обхвата на одита и процедурата за представяне на годишния одитен доклад. Той не е правно обвързващ, но предоставя общи насоки с препоръки и отразява най-добрите практики. Настоящите насоки не засягат националните правила.

1. Въведение

В член 15 от Директива 2014/40/ЕС на Европейския парламент и на Съвета (1) се предвижда създаването на система за проследяване на тютюневите изделия в целия ЕС с цел справяне с незаконната търговия. Тази система започна да функционира на 20 май 2019 г.

С член 15, параграф 8 от Директива 2014/40/ЕС, като част от тази система, от държавите членки се изисква да гарантират, че производителите и вносителите на тютюневи изделия сключват договори за съхраняване на данни с независима трета страна („трета страна доставчик“) за целите на създаването на съоръжение за съхраняване на данни за хостинг на данни, свързани с тютюневите изделия на отделните производители и вносители („първично хранилище на данни“).

За да се осигури независимо функциониране на системата за проследяване, в член 15, параграф 8 от Директива 2014/40/ЕС се посочва, че дейностите на първичното хранилище на данни и на третата страна доставчик са обект на наблюдение от външен одитор. Предложението за одитора и неговото възнаграждение се извършват от производителя на тютюневите изделия, а одобрението му — от Комисията. Външният одитор представя на компетентните органи и на Комисията своята оценка под формата на годишен доклад, в който, по-конкретно, се прави оценка на евентуалните нарушения във връзка с достъпа.

Целта на настоящия документ е да се предоставят насоки на одобрения одитор относно обхвата на одита и процедурата за представяне на годишния одитен доклад. Документът следва да се разглежда във връзка с Регламент за изпълнение (ЕС) 2018/574 на Комисията (2), в който се определят техническите изисквания за създаването и работата на системата за проследяване, включително за първичните хранилища на данни, и Делегиран регламент (ЕС) 2018/573 на Комисията (3), в който се определят основните елементи на договорите за съхраняване на данни, сключвани като част от системата за проследяване.

Настоящият документ се предлага като помощно средство за одобрените одитори; той съдържа необвързващи насоки, които не пораждат нови правни задължения. Доколкото с настоящите насоки може да бъде тълкувано законодателство, позицията на Комисията не засяга тълкуванията на тази директива, които може да бъдат издадени от Съда на Европейския съюз.

2. Общ контекст на одитите

Всяко първично хранилище на данни, за което има сключен договор от даден производител, подлежи на годишен одит. Когато една и съща трета страна доставчик обслужва две или повече първични хранилища на данни, за всяко хранилище на данни следва да се извърши отделен одит и да се представи отделен одитен доклад.

По отношение на дадено първично хранилище на данни и на свързаните с него услуги следва да се извърши одит, включително оценка на това дали съответната трета страна доставчик и ако е приложимо — подизпълнителите на този доставчик отговарят на съответните законодателни изисквания, установени в Директива 2014/40/ЕС, Регламент за изпълнение (ЕС) 2018/574 и Делегиран регламент (ЕС) 2018/573.

Всеки производител или вносител трябва да уведоми Комисията за одитора, който той предлага за извършването на одита на първичното му хранилище на данни, и за съответната трета страна доставчик. Всички предложени одитори подлежат на одобрение от Комисията.

3. Обхват на одитите

Обхват и цел

Одитните доклади следва да се представят с цел да се информират националните компетентни органи и Комисията за констатациите на одиторите, по-специално относно евентуални нередности във връзка с достъпа до данните, съхранявани от първичните хранилища на данни.

В одитните доклади следва да се посветят отделни глави за всяка от посочените по-долу шест области. Всяка глава следва да включва елементите за проверка в съответната област, посочени в контролния списък от приложението.

Одитите следва да се извършват в съответствие с посочения контролен списък, с който се определят необходимите области и елементи за проверка в съответствие със стандарт ISO/IEC 27001:2013 относно системите за управление на сигурността на информацията (4). За тази цел одиторите следва да имат предвид, че член 10 от Делегиран регламент (ЕС) 2018/573 на Комисията препраща към стандарт ISO/IEC 27001:2013 като предпочитан стандарт за управление на сигурността на информацията в контекста на работата с първичните хранилища на данни.

Област Цели Организационна и физическа сигурност Да се създаде рамка за управление на сигурността на информацията в организацията. Да се гарантира, че служителите и изпълнителите знаят какви са отговорностите им и че те са подходящи за ролите, за които се обмисля да бъдат ангажирани. Да се предотвратява неразрешен физически достъп, вреда или намеса в организацията, в т.ч. в информацията и в средствата за обработване на информация. Да се предотвратява загуба, вреда, кражба или излагане на риск на активи, както и прекъсване на дейността на организацията. Сигурност на работата Да се гарантира правилна и сигурна работа на средствата за обработване на информацията. Да се осигури защита срещу загуба на данни. Да се записват събития и да се генерират доказателства. Да се гарантира целостта на оперативните системи. Да се предотврати възможността от възползване от дадена техническа уязвимост. Контрол на достъпа (потребители и приложения) Да се ограничи достъпът до информацията и средствата за обработване на информацията. Да се гарантира разрешен достъп на потребителите и да се предотвратява неразрешен достъп до системата и услугите. Да се търси отговорност от потребителите за опазването на информацията за автентификацията им. Да се предотвратява неразрешен достъп до системите и приложенията. Да се гарантира, че сигурността на информацията е заложена и внедрена в цикъла на разработване на информационните системи. Сигурност на комуникациите Да се гарантира правилна и ефективна употреба на криптографията с цел защита на поверителността, автентичността и/или целостта на информацията. Да се гарантира защитата на информацията в мрежите и поддържащите я средства за обработване на информацията. Да се поддържа сигурността на информацията, обменяна в рамките на организацията и в рамките на външни субекти. Непрекъснатост на дейността Да се осигури последователен и ефективен подход при управлението на инциденти, свързани със сигурността на информацията, включително комуникацията относно свързаните със сигурността събития и слабости. Непрекъснатостта на сигурността на информацията се включва в системите за управление на непрекъснатостта на дейността на организацията. Да се осигури наличността на средствата за обработване на информацията. Да се избегнат нарушения на правните, законовите, нормативните или договорните задължения, свързани със сигурността на информацията, както и на всички изисквания относно сигурността. Цялостност на активите и данните Да се идентифицират активите на организацията и да се определят съответните отговорности относно защитата. Да се гарантира, че за информацията има съответното ниво на защита. Да се предотвратява неразрешено разкриване, изменение, заличаване или унищожаване на информацията, съхранявана на носителите.

Заключения и препоръки

Заключенията от одита следва да бъдат предоставени за всеки от елементите за проверка, посочени в контролния списък.

В одитния доклад следва да се изтъкнат и представят подробно само констатациите по отношение на проблеми, свързани с неспазване на изискванията, или други установени рискове. Констатациите следва също така да бъдат придружени от съответните препоръки, в които се посочват действията, необходими за отстраняване на проблемите и недостатъците, установени по време на одита.

4. Процедурни аспекти

Периодичност

От одиторите се изисква да представят ежегодно своите одитни доклади. Тъй като системата за проследяване започна да функционира на 20 май 2019 г., одиторите се приканват да представят своите първи годишни одитни доклади, обхващащи първата година на работа на системата за проследяване (т.е. от 20 май 2019 г. до 19 май 2020 г.), до 30 ноември 2020 г. След това одиторите се приканват да представят годишни доклади за последващите години на работа на системата в срок до края на октомври всяка календарна година.

Последващи действия след одита

Когато се предприемат последващи действия, за да се прецени дали съответната трета страна доставчик е изпълнила по необходимия начин препоръките от годишния одитен доклад, одиторът, когато това е възможно, се приканва да представи резултатите на Комисията и на националните компетентни органи в срок от три месеца след представянето на годишния одитен доклад.

5. Процедурни аспекти на одитните доклади

Информация относно одиторите

Във въведението на одитния доклад следва да бъдат посочени имената на одитора(ите) и когато е приложимо — на свързаното(ите) одиторско(и) предприятие(я).

Формат

Одитният доклад следва да бъде предоставен в електронен формат (позволяващ търсене, незащитен PDF).

Ако е възможно, одиторите се приканват да представят годишните доклади на Комисията на английски език.

Процедура за представяне на докладите

Годишният одитен доклад и всички последващи свързани с него документи следва да се подават по електронен път по електронна поща на адрес SANTE-TT-SW@ec.europa.eu със следното обозначение в полето на темата: „Audit report [Follow-up to the audit report] for [година] — [име на договарящия производител] — [име на одитираната трета страна доставчик]“

Прозрачност

С цел да се насърчи цялостна прозрачност и надеждност на системата за проследяване на тютюневите изделия, Комисията приканва производителите — ако желаят — да се споразумеят със съответните си одитори да представят на Комисията и публичен текст на одитния доклад, който не включва лични и търговски чувствителни данни.

Тези публични версии на одитните доклади ще бъдат публикувани на предвидена за целта уебстраница на Комисията.

(1) Директива 2014/40/ЕС на Европейския парламент и на Съвета от 3 април 2014 г. за сближаване на законовите, подзаконовите и административните разпоредби на държавите членки относно производството, представянето и продажбата на тютюневи и свързани с тях изделия и за отмяна на Директива 2001/37/ЕО (ОВ L 127, 29.4.2014 г., стр. 1).

(2) Регламент за изпълнение (ЕС) 2018/574 на Комисията от 15 декември 2017 г. относно техническите стандарти за създаването и работата със система за проследяване на тютюневи изделия (ОВ L 96, 16.4.2018 г., стр. 7).

(3) Делегиран регламент (ЕС) 2018/573 на Комисията от 15 декември 2017 г. относно основните елементи на договорите за съхраняване на данни, сключвани като част от система за проследяване на тютюневите изделия (ОВ L 96, 16.4.2018 г., стр. 1).

(4) ISO/IEC 27001:2013. Информационни технологии — Методи за сигурност — Системи за управление на сигурността на информацията — Изисквания Изискванията, посочени в ISO/IEC 27001:2013, са общи и са предназначени да бъдат приложими за всички организации, независимо от вида, размера или естеството им.