C 167/1

ΑΝΑΚΟΙΝΩΣΗ ΤΗΣ ΕΠΙΤΡΟΠΗΣ

Κατευθυντήριες γραμμές σχετικά με τις ετήσιες εκθέσεις ελέγχου που πρέπει να υποβάλλονται σύμφωνα με το άρθρο 15 παράγραφος 8 της οδηγίας 2014/40/ΕΕ στο πλαίσιο του ενωσιακού συστήματος ιχνηλασιμότητας για τα προϊόντα καπνού

(Κείμενο που παρουσιάζει ενδιαφέρον για τον ΕΟΧ)

(2020/C 167/01)

ΔΗΛΩΣΗ ΑΠΟΠΟΙΗΣΗΣ ΕΥΘΥΝΗΣ: Σκοπός του παρόντος εγγράφου είναι η παροχή κατευθύνσεων σε εγκεκριμένους ελεγκτές σχετικά με το πεδίο εφαρμογής του ελέγχου και τη διαδικασία υποβολής της ετήσιας έκθεσης ελέγχου. Το παρόν έγγραφο δεν είναι νομικά δεσμευτικό, αλλά παρέχει γενικές κατευθυντήριες γραμμές συνοδευόμενες από συστάσεις και αντικατοπτρίζει τις βέλτιστες πρακτικές. Οι κατευθυντήριες γραμμές ισχύουν με την επιφύλαξη τυχόν εθνικών κανόνων.

1. Εισαγωγή

Το άρθρο 15 της οδηγίας 2014/40/ΕΕ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (1) προβλέπει τη δημιουργία ενός πανευρωπαϊκού συστήματος ιχνηλασιμότητας για τα προϊόντα καπνού με σκοπό να αντιμετωπιστεί το ζήτημα του παράνομου εμπορίου. Το σύστημα τέθηκε σε λειτουργία στις 20 Μαΐου 2019.

Στο πλαίσιο του εν λόγω συστήματος, το άρθρο 15 παράγραφος 8 της οδηγίας 2014/40/ΕΕ απαιτεί από τα κράτη μέλη να μεριμνούν ώστε ότι οι κατασκευαστές και οι εισαγωγείς προϊόντων καπνού να συνάπτουν συμβάσεις αποθήκευσης δεδομένων με ανεξάρτητο τρίτο μέρος («τρίτος πάροχος») με σκοπό τη δημιουργία μονάδας αποθήκευσης δεδομένων για τη φιλοξενία δεδομένων που αφορούν προϊόντα καπνού επιμέρους κατασκευαστών και εισαγωγέων («κύριο αποθετήριο»).

Για να εξασφαλίζεται η ανεξάρτητη λειτουργία του συστήματος ιχνηλασιμότητας, το άρθρο 15 παράγραφος 8 της οδηγίας 2014/40/ΕΕ ορίζει ότι εξωτερικός ελεγκτής παρακολουθεί τις δραστηριότητες του κύριου αποθετηρίου και του τρίτου παρόχου. Ο ελεγκτής προτείνεται και αμείβεται από τον κατασκευαστή των προϊόντων καπνού και εγκρίνεται από την Επιτροπή. Ο εξωτερικός ελεγκτής υποβάλλει στις αρμόδιες εθνικές αρχές και στην Επιτροπή ετήσια έκθεση με την αξιολόγησή του, δίνοντας ιδίως έμφαση σε τυχόν παρατυπίες όσον αφορά την πρόσβαση.

Σκοπός του παρόντος εγγράφου είναι η παροχή κατευθύνσεων σε εγκεκριμένους ελεγκτές σχετικά με το πεδίο εφαρμογής του ελέγχου και τη διαδικασία υποβολής της ετήσιας έκθεσης ελέγχου. Το παρόν έγγραφο θα πρέπει να ερμηνεύεται σε συνδυασμό, αφενός, με τον εκτελεστικό κανονισμό (ΕΕ) 2018/574 της Επιτροπής (2), ο οποίος καθορίζει τις τεχνικές απαιτήσεις για τη δημιουργία και τη λειτουργία του συστήματος ιχνηλασιμότητας, μεταξύ άλλων για τα κύρια αποθετήρια, και, αφετέρου, με τον κατ’ εξουσιοδότηση κανονισμό (ΕΕ) 2018/573 της Επιτροπής (3) για τον καθορισμό των βασικών στοιχείων των συμβάσεων αποθήκευσης δεδομένων που πρέπει να συνάπτονται στο πλαίσιο ενός συστήματος ιχνηλασιμότητας.

Το παρόν έγγραφο παρέχεται ως εργαλείο που βοηθά τους εγκεκριμένους ελεγκτές· πρόκειται για μη δεσμευτικές κατευθυντήριες γραμμές, οι οποίες δεν δημιουργούν νέες νομικές υποχρεώσεις. Στον βαθμό που οι παρούσες κατευθυντήριες γραμμές ενδέχεται να ερμηνεύουν νομοθεσία, η θέση της Επιτροπής δεν θίγει ερμηνεία της εν λόγω οδηγίας που έχει τυχόν εκδοθεί από το Δικαστήριο της Ευρωπαϊκής Ένωσης.

2. Γενικό πλαίσιο των ελέγχων

Κάθε κύριο αποθετήριο για το οποίο ένας κατασκευαστής συνάπτει σύμβαση υπόκειται σε ετήσια διαδικασία ελέγχου. Όταν ο ίδιος τρίτος πάροχος διαθέτει δύο ή περισσότερα κύρια αποθετήρια, θα πρέπει να διενεργείται χωριστός έλεγχος και να υποβάλλεται χωριστή έκθεση ελέγχου για κάθε αποθετήριο.

Για ένα κύριο αποθετήριο και τις συναφείς υπηρεσίες του θα πρέπει να διενεργείται έλεγχος, και, μεταξύ άλλων, να αξιολογείται κατά πόσον ο αντίστοιχος τρίτος πάροχος και, κατά περίπτωση, οι υπεργολάβοι του συμμορφώνονται με τις οικείες νομοθετικές απαιτήσεις που ορίζονται στην οδηγία 2014/40/ΕΕ, στον εκτελεστικό κανονισμό (ΕΕ) 2018/574 και στον κατ’ εξουσιοδότηση κανονισμό (ΕΕ) 2018/573.

Κάθε κατασκευαστής ή εισαγωγέας πρέπει να γνωστοποιεί στην Επιτροπή τον ελεγκτή τον οποίο προτείνει για τον έλεγχο του κύριου αποθετηρίου και τον αντίστοιχο τρίτο πάροχο. Όλοι οι προτεινόμενοι ελεγκτές υπόκεινται στην έγκριση της Επιτροπής.

3. Πεδίο εφαρμογής των ελέγχων

Πεδίο εφαρμογής και στόχος

Οι εκθέσεις ελέγχου θα πρέπει να υποβάλλονται προκειμένου να ενημερώνονται οι αρμόδιες εθνικές αρχές και η Επιτροπή σχετικά με τα πορίσματα των ελεγκτών, ιδίως όσον αφορά τυχόν παρατυπίες σε σχέση με την πρόσβαση στα δεδομένα που αποθηκεύονται στα κύρια αποθετήρια.

Οι εκθέσεις ελέγχου θα πρέπει να διαθέτουν χωριστά κεφάλαια για καθέναν από τους έξι τομείς που περιγράφονται παρακάτω. Κάθε κεφάλαιο πρέπει να καλύπτει τα σημεία ελέγχου του αντίστοιχου τομέα, όπως εμφανίζονται στον κατάλογο ελέγχου που παρατίθεται στο παράρτημα.

Οι έλεγχοι θα πρέπει να διενεργούνται σύμφωνα με τον εν λόγω κατάλογο ελέγχου, ο οποίος καθορίζει τους τομείς και τα σημεία επαλήθευσης που απαιτούνται σύμφωνα με το πρότυπο ISO/IEC 27001:2013 — Σύστημα Διαχείρισης Ασφάλειας Πληροφοριών (4). Για τον σκοπό αυτό, οι ελεγκτές θα πρέπει να λαμβάνουν υπόψη ότι το άρθρο 10 του κατ’ εξουσιοδότηση κανονισμού (ΕΕ) 2018/573 της Επιτροπής αναφέρει το πρότυπο ISO/IEC 27001:2013 ως το προτιμώμενο πρότυπο για τη διαχείριση της ασφάλειας των πληροφοριών στο πλαίσιο της λειτουργίας των κύριων αποθετηρίων.

Τομέας Στόχοι Οργανωτική και φυσική ασφάλεια Δημιουργία πλαισίου διαχείρισης για την ασφάλεια των πληροφοριών εντός του οργανισμού Εξασφάλιση ότι οι εργαζόμενοι και οι εργολάβοι κατανοούν τις ευθύνες τους και είναι σε θέση να διεκπεραιώσουν τους ρόλους τους οποίους είναι υποψήφιοι να αναλάβουν Πρόληψη της μη εξουσιοδοτημένης φυσικής πρόσβασης, της βλάβης ή της παρέμβασης, μεταξύ άλλων, στις πληροφορίες του οργανισμού και στις μονάδες επεξεργασίας πληροφοριών του Πρόληψη της απώλειας, της βλάβης, της κλοπής ή της αλλοίωσης στοιχείων και της διακοπής λειτουργίας του οργανισμού Ασφάλεια δραστηριοτήτων Εξασφάλιση ορθής και ασφαλούς λειτουργίας των μονάδων επεξεργασίας πληροφοριών Προστασία από την απώλεια δεδομένων Καταγραφή περιστατικών και παραγωγή στοιχείων Διασφάλιση της ακεραιότητας των λειτουργικών συστημάτων Αποτροπή της εκμετάλλευσης των τεχνικών αδυναμιών Έλεγχος πρόσβασης (χρήστες και εφαρμογές) Περιορισμός της πρόσβασης σε πληροφορίες και μονάδες επεξεργασίας πληροφοριών Διασφάλιση της πρόσβασης των εξουσιοδοτημένων χρηστών και αποτροπή της άνευ αδείας πρόσβασης σε συστήματα και υπηρεσίες Ανάθεση στους χρήστες της ευθύνης διαφύλαξης των πληροφοριών επαλήθευσης της ταυτότητάς τους Πρόληψη της άνευ αδείας πρόσβασης σε συστήματα και εφαρμογές Μέριμνα ώστε ο σχεδιασμός και η εφαρμογή της ασφάλειας των πληροφοριών να πραγματοποιούνται στο πλαίσιο του κύκλου ανάπτυξης των συστημάτων πληροφοριών Ασφάλεια επικοινωνιών Εξασφάλιση ορθής και αποτελεσματικής χρήσης της κρυπτογράφησης με σκοπό την προστασία της εμπιστευτικότητας, της γνησιότητας και/ή της ακεραιότητας των πληροφοριών Διασφάλιση της προστασίας των πληροφοριών στο πλαίσιο δικτύων και των βοηθητικών μονάδων επεξεργασίας πληροφοριών Διατήρηση της ασφάλειας των πληροφοριών που διαβιβάζονται εντός του οργανισμού και εντός εξωτερικών οντοτήτων Επιχειρησιακή συνέχεια Εξασφάλιση συνεπούς και αποτελεσματικής προσέγγισης όσον αφορά τη διαχείριση των συμβάντων ασφάλειας των πληροφοριών, συμπεριλαμβανομένης της επικοινωνίας σχετικά με τα περιστατικά και τις αδυναμίες στον τομέα της ασφάλειας Μέριμνα ώστε να εξασφαλίζεται ότι η συνέχεια της ασφάλειας των πληροφοριών θα είναι ενσωματωμένη στα συστήματα διαχείρισης της επιχειρησιακής συνέχειας του οργανισμού Διασφάλιση της διαθεσιμότητας μονάδων επεξεργασίας πληροφοριών Πρόληψη παραβάσεων νομικών, καταστατικών, κανονιστικών ή συμβατικών υποχρεώσεων που σχετίζονται με την ασφάλεια των πληροφοριών και τυχόν απαιτήσεις ασφάλειας Στοιχεία και ακεραιότητα δεδομένων Προσδιορισμός των οργανωτικών στοιχείων και καθορισμός των κατάλληλων αρμοδιοτήτων προστασίας Εξασφάλιση κατάλληλου επιπέδου προστασίας των πληροφοριών Πρόληψη της μη εξουσιοδοτημένης κοινοποίησης, τροποποίησης, αφαίρεσης ή καταστροφής πληροφοριών που είναι αποθηκευμένες σε μέσα

Συμπεράσματα και συστάσεις

Ο έλεγχος θα πρέπει να καταλήγει σε συμπεράσματα για κάθε σημείο επαλήθευσης που περιλαμβάνεται στον κατάλογο ελέγχου.

Η έκθεση ελέγχου θα πρέπει να επισημαίνει και να αναλύει μόνο τα πορίσματα που αφορούν ζητήματα μη συμμόρφωσης ή άλλους κινδύνους που έχουν διαπιστωθεί. Τα πορίσματα θα πρέπει επίσης να συνοδεύονται από κατάλληλες συστάσεις στις οποίες να καθορίζονται οι ενέργειες που απαιτούνται για την εξάλειψη των ζητημάτων και των ελλείψεων που διαπιστώθηκαν κατά τη διάρκεια του ελέγχου.

4. Διαδικαστικές πτυχές

Συχνότητα

Οι ελεγκτές υποχρεούνται να υποβάλλουν τις εκθέσεις τους σε ετήσια βάση. Από τις 20 Μαΐου 2019, ημερομηνία κατά την οποία άρχισε να λειτουργεί το σύστημα ιχνηλασιμότητας, οι ελεγκτές καλούνται να υποβάλουν έως τις 30 Νοεμβρίου 2020 τις πρώτες ετήσιες εκθέσεις ελέγχου, οι οποίες καλύπτουν το πρώτο έτος λειτουργίας του συστήματος ιχνηλασιμότητας (δηλαδή την περίοδο από τις 20 Μαΐου 2019 έως τις 19 Μαΐου 2020). Στη συνέχεια, οι ελεγκτές καλούνται να υποβάλλουν ετήσιες εκθέσεις για τα επόμενα έτη λειτουργίας έως το τέλος Οκτωβρίου κάθε ημερολογιακού έτους.

Συνέχεια του ελέγχου

Όταν δίνεται συνέχεια σ’ έναν έλεγχο προκειμένου να αξιολογηθεί κατά πόσον ο οικείος τρίτος πάροχος υλοποίησε επαρκώς τις συστάσεις της ετήσιας έκθεσης ελέγχου, ο ελεγκτής, κατά περίπτωση, καλείται να υποβάλει τα αποτελέσματα στην Επιτροπή και στις αρμόδιες εθνικές αρχές εντός τριών μηνών από την υποβολή της ετήσιας έκθεσης ελέγχου.

5. Διαδικαστικές πτυχές των εκθέσεων ελέγχου

Πληροφορίες για τους ελεγκτές

Τα ονόματα των ελεγκτών και, κατά περίπτωση, των συνδεδεμένων ελεγκτικών γραφείων θα πρέπει να αναφέρονται στην εισαγωγή της έκθεσης ελέγχου.

Μορφότυπος

Η έκθεση ελέγχου θα πρέπει να υποβάλλεται σε ηλεκτρονική μορφή (μη προστατευμένο αρχείο PDF με δυνατότητα αναζήτησης).

Εάν είναι δυνατόν, οι ελεγκτές καλούνται να υποβάλουν τις ετήσιες εκθέσεις προς την Επιτροπή στα αγγλικά.

Διαδικασία υποβολής

Η ετήσια έκθεση ελέγχου και τυχόν συνέχεια που δίνεται στην εν λόγω έκθεση θα πρέπει να υποβάλλονται ηλεκτρονικά μέσω ηλεκτρονικού ταχυδρομείου στη διεύθυνση SANTE-TT-SW@ec.europa.eu με το ακόλουθο θέμα: «Audit report [Follow-up to the audit report] for [έτος] — [όνομα του συμβαλλομένου κατασκευαστή] — [όνομα του ελεγχόμενου τρίτου παρόχου]»

Διαφάνεια

Για να προαχθεί η συνολική διαφάνεια και λογοδοσία του συστήματος ιχνηλασιμότητας για τα προϊόντα καπνού, η Επιτροπή καλεί τους κατασκευαστές, σε εθελοντική βάση, να συμφωνήσουν με τους αντίστοιχους ελεγκτές τους ότι θα υποβάλουν στην Επιτροπή και δημόσια έκδοση της έκθεσης ελέγχου τους, εξαιρουμένων τυχόν προσωπικών και εμπορικά ευαίσθητων δεδομένων.

Οι εν λόγω δημόσιες εκδόσεις των εκθέσεων ελέγχου θα δημοσιεύονται στην ειδική ιστοσελίδα της Επιτροπής.

(1) Οδηγία 2014/40/ΕΕ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 3ης Απριλίου 2014, για την προσέγγιση των νομοθετικών, κανονιστικών και διοικητικών διατάξεων των κρατών μελών σχετικά με την κατασκευή, την παρουσίαση και την πώληση προϊόντων καπνού και συναφών προϊόντων και την κατάργηση της οδηγίας 2001/37/ΕΚ (ΕΕ L 127 της 29.4.2014, σ. 1).

(2) Εκτελεστικός κανονισμός (ΕΕ) 2018/574 της Επιτροπής, της 15ης Δεκεμβρίου 2017, για τα τεχνικά πρότυπα για τη δημιουργία και τη λειτουργία συστήματος ιχνηλασιμότητας για τα προϊόντα καπνού (ΕΕ L 96 της 16.4.2018, σ. 7).

(3) Κατ’ εξουσιοδότηση κανονισμός (ΕΕ) 2018/573 της Επιτροπής, της 15ης Δεκεμβρίου 2017, όσον αφορά βασικά στοιχεία των συμβάσεων αποθήκευσης δεδομένων που συνάπτονται στο πλαίσιο του συστήματος ιχνηλασιμότητας για τα προϊόντα καπνού (ΕΕ L 96 της 16.4.2018, σ. 7).

(4) ISO/IEC 27001:2013. Τεχνολογία Πληροφοριών — Τεχνικές Ασφάλειας — Συστήματα Διαχείρισης Ασφάλειας Πληροφοριών — Απαιτήσεις. Οι απαιτήσεις που ορίζονται στο πρότυπο ISO/IEC 27001:2013 είναι γενικές και θα εφαρμόζονται σε όλους τους οργανισμούς, ανεξάρτητα από τον τύπο, το μέγεθος ή τη φύση τους.