(10)Las instituciones, los órganos y los organismos de la Unión deben evaluar los riesgos que se derivan de sus relaciones con los proveedores y los prestadores de servicios, en particular de servicios de almacenamiento y tratamiento de datos o de seguridad administrada, y adoptar las medidas adecuadas para encarar esos riesgos. Dichas medidas han de incorporarse al código básico de ciberseguridad y especificarse con más detalle en documentos de orientación o recomendaciones emitidos por el CERT-UE. Al establecer medidas y directrices, es preciso tomar debidamente en consideración la legislación y las políticas pertinentes de la UE, en particular las evaluaciones de riesgos y las recomendaciones del Grupo de Cooperación SRI, como la Evaluación de riesgos coordinada de la UE y el Conjunto de instrumentos de la UE para la ciberseguridad de las redes 5G. Además, podría exigirse la certificación de los productos, servicios y procesos de las TIC pertinentes, en virtud de los esquemas europeos de certificación de la ciberseguridad adoptados con arreglo al artículo 49 del Reglamento (UE) 2019/881.

(7)Las diferencias entre las instituciones, los órganos y los organismos de la Unión exigen flexibilidad en la ejecución, dado que no hay una solución única válida para todos los casos. Las medidas destinadas a garantizar un elevado nivel común de ciberseguridad no deben prever ninguna obligación que interfiera directamente en el desempeño de la misión o vulnere la autonomía institucional de cada institución, órgano y organismo de la Unión. Así pues, las instituciones, los órganos y los organismos deben establecer sus propios marcos para la gestión, la gobernanza y el control de riesgos en el ámbito de la ciberseguridad y adoptar sus propios códigos básicos y planes de ciberseguridad.

(2)El panorama de las ciberamenazas a las que se enfrentan las instituciones, los órganos y los organismos de la Unión evoluciona constantemente. Las tácticas, las técnicas y los procedimientos empleados por los agentes de riesgo también están en constante evolución, pero los motivos de sus ataques varían poco: desde robar información valiosa no divulgada hasta obtener dinero, manipular la opinión pública o debilitar la infraestructura digital. Los ciberataques de estos agentes se suceden cada vez con mayor frecuencia, y sus campañas, cada vez más sofisticadas y automatizadas, se dirigen contra superficies de ataque expuestas que no dejan de expandirse y aprovechan rápidamente las vulnerabilidades.

5.Los costes de las funciones definidas en el artículo 12, apartado 5, se recuperarán de las instituciones, los órganos y los organismos de la Unión que reciban los servicios del CERT-UE. Los ingresos se asignarán a las líneas presupuestarias con las que se cubran los costes.

Artículo 16

Cooperación del CERT-UE con sus homólogos de los Estados miembros

1.El CERT-UE cooperará e intercambiará información con sus homólogos nacionales de los Estados miembros, incluidos los CERT, los centros nacionales de ciberseguridad, los CSIRT y los puntos de contacto únicos a que se refiere el artículo 8 de la Directiva [propuesta SRI 2], en lo concerniente a ciberamenazas, vulnerabilidades e incidentes, posibles contramedidas y cualesquiera cuestiones pertinentes para la mejora de la protección del entorno informático de las instituciones, los órganos y los organismos de la Unión, en particular a través de la red de CSIRT a que se refiere el artículo 13 de la Directiva [propuesta SRI 2].

2.El CERT-UE podrá, sin necesidad de obtener el consentimiento de la Parte afectada, intercambiar información específica sobre incidentes con sus homólogos nacionales de los Estados miembros con objeto de facilitar la detección de ciberamenazas o incidentes similares. No obstante, el CERT-UE únicamente podrá intercambiar información específica sobre incidentes en la que se revele la identidad del objetivo del incidente de ciberseguridad con el consentimiento previo de la Parte afectada.

Artículo 17

Cooperación del CERT-UE con homólogos no pertenecientes a los Estados miembros

1.El CERT-UE podrá cooperar con homólogos no pertenecientes a los Estados miembros, en particular los de sectores específicos, en lo tocante a herramientas y métodos tales como técnicas, tácticas, procedimientos y mejores prácticas, y en lo tocante a las ciberamenazas y las vulnerabilidades. A los efectos de la cooperación con dichos homólogos, en particular cuando se trate de homólogos no pertenecientes a la UE que cooperen con homólogos nacionales de los Estados miembros, el CERT-UE solicitará la aprobación previa del CIIC.

2.El CERT-UE podrá cooperar con otros socios, como entidades comerciales, organizaciones internacionales, entidades nacionales no pertenecientes a la Unión Europea o expertos individuales, con el fin de recopilar información sobre ciberamenazas, vulnerabilidades y posibles contramedidas generales y específicas. A los efectos de una cooperación más amplia con dichos socios, el CERT-UE solicitará la aprobación previa del CIIC.

3.El CERT-UE podrá, con el consentimiento de la Parte afectada por un incidente, facilitar información relacionada con el incidente a socios que puedan contribuir a su análisis.

Capítulo V

OBLIGACIONES DE COOPERACIÓN E INFORMACIÓN

Artículo 18

Tratamiento de la información

1.El CERT-UE y las instituciones, los órganos y los organismos de la Unión respetarán la obligación de secreto profesional de conformidad con el artículo 339 del Tratado de Funcionamiento de la Unión Europea u otros marcos equivalentes aplicables.

2.Toda solicitud de acceso público a los documentos que obren en poder del CERT-UE se atendrá a las disposiciones del Reglamento (CE) n.º 1049/2001 del Parlamento Europeo y del Consejo, y en particular a la obligación, prevista en dicho Reglamento, de consultar a la institución, el órgano o el organismo de la Unión pertinente cuando la solicitud se refiera a sus documentos.

3.El tratamiento de datos personales con arreglo al presente Reglamento estará sujeto al Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo.

4.El tratamiento de información por el CERT-UE y sus instituciones, órganos y organismos de la Unión se hará de conformidad con las normas establecidas en la [propuesta de Reglamento relativo a la seguridad de la información].

5.Todo contacto con el CERT-UE iniciado o solicitado por un servicio nacional de seguridad e inteligencia se comunicará sin demora indebida a la Dirección de Seguridad de la Comisión y al presidente o a la presidenta del CIIC.

Artículo 19

Obligaciones de intercambio de información

1.Con miras a coordinar la gestión de vulnerabilidades y la respuesta a incidentes, el CERT-UE podrá solicitar a las instituciones, los órganos y los organismos de la Unión que le faciliten información acerca de sus respectivos inventarios de sistemas informáticos que sea pertinente para el desempeño de su labor. La institución, el órgano o el organismo objeto de la solicitud transmitirá sin demora indebida la información solicitada, así como toda actualización posterior de la información.

2.Las instituciones, los órganos y los organismos de la Unión facilitarán al CERT-UE, previa solicitud y sin demora indebida, información digital creada mediante el uso de los dispositivos electrónicos implicados en sus respectivos incidentes. El CERT-UE podrá aclarar con más detalle el tipo de información digital que necesita a efectos del conocimiento situacional y la respuesta a incidentes.

3.El CERT-UE únicamente podrá intercambiar información específica sobre incidentes en la que se revele la identidad de la institución, el órgano o el organismo de la Unión afectados por el incidente con el consentimiento de la entidad afectada. El CERT-UE únicamente podrá intercambiar información específica sobre incidentes en la que se revele la identidad del objetivo del incidente de ciberseguridad con el consentimiento previo de la entidad afectada por el incidente.

4.Las obligaciones de intercambio de información no se aplicarán a la información clasificada de la UE (ICUE) ni a la información que una institución, un órgano o un organismo de la Unión haya recibido de un servicio de seguridad o de inteligencia de un Estado miembro con la condición explícita de que no se comparta con el CERT-UE.