02017D0046 — ET — 11.01.2017 — 000.001

Käesolev tekst on üksnes dokumenteerimisvahend ning sel ei ole mingit õiguslikku mõju. Liidu institutsioonid ei vastuta selle teksti sisu eest. Asjakohaste õigusaktide autentsed versioonid, sealhulgas nende preambulid, on avaldatud Euroopa Liidu Teatajas ning on kättesaadavad EUR-Lexi veebisaidil. Need ametlikud tekstid on vahetult kättesaadavad käesolevasse dokumenti lisatud linkide kaudu

Parandatud:

▼B

KOMISJONI OTSUS (EL, Euratom) 2017/46,

10. jaanuar 2017,

Euroopa Komisjoni side- ja infosüsteemide turvalisuse kohta

1. PEATÜKK

ÜLDSÄTTED

Artikkel 1

Reguleerimisese ja kohaldamisala

1. Käesolevat otsust kohaldatakse kõigi side- ja infosüsteemide suhtes, mis kuuluvad komisjonile, mille komisjon on hankinud, mida ta haldab või käitab või mis on hangitud, mida hallatakse või käitatakse tema nimel, ning selliste side- ja infosüsteemide igasuguse komisjonipoolse kasutamise suhtes.

2. Käesolevas otsuses sätestatakse selliste side- ja infosüsteemide turbega seotud peamised põhimõtted, eesmärgid, töökorraldus ja vastutusalad, mis kehtivad eeskätt komisjoni talituste suhtes, kellel on side- ja infosüsteeme või kes hangivad, haldavad või käitavad neid, kaasa arvatud komisjonisisese IT-teenuse osutaja pakutavate side- ja infosüsteemide suhtes. Kui side- ja infosüsteemi pakub, omab, haldab või käitab komisjoniväline isik kahepoolse kokkulepe või lepingu põhjal, peavad kokkuleppe või lepingu tingimused olema kooskõlas käesoleva otsusega.

3. Käesolevat otsust kohaldatakse kõigi komisjoni talituste ja rakendusametite suhtes. Kui muud asutused ja institutsioonid kasutavad komisjoni side- ja infosüsteemi komisjoniga sõlmitud kahepoolse kokkulepe põhjal, peavad kokkuleppe tingimused olema kooskõlas käesoleva otsusega.

4. Olenemata konkreetsetest viidetest teatavatele personali rühmadele kohaldatakse käesolevat otsust komisjoni liikmete, Euroopa Liidu ametnike personalieeskirjade (edaspidi „personalieeskirjad“) ning liidu muude teenistujate teenistustingimuste ( 1 ) kohaldamisalas oleva komisjoni personali, komisjoni lähetatud riikide ekspertide, ( 2 ) komisjoniväliste teenusepakkujate ja nende personali, praktikantide ning kõigi isikute suhtes, kellel on juurdepääs side- ja infosüsteemidele, mis kuuluvad käesoleva otsuse kohaldamisalasse.

5. Käesolevat otsust kohaldatakse Euroopa Pettustevastase Ameti (OLAF) suhtes, kuivõrd see on kokkusobiv liidu õigusaktidega ja komisjoni otsusega 1999/352/EÜ, ESTÜ, Euratom ( 3 ). Eeskätt ei pruugi käesolevas otsuses sätestatud meetmeid, sh juhiseid, inspekteerimisi, uurimisi ja samaväärseid meetmeid OLAFi suhtes kohaldada, kui see ei sobi kokku tema uurimisfunktsiooni sõltumatusega ja/või OLAFi poolt oma ülesannete täitmise käigus saadud teabe konfidentsiaalsusega.

Artikkel 2

Mõisted

Käesolevas otsuses kasutatakse järgmisi mõisteid:

10) „infoturbepõhimõtted“ – infoturbe eesmärkide kogum, mis on kehtestatud, mida rakendatakse ja kontrollitakse või mis tuleb kehtestada, rakendada ja mida tuleb kontrollida. See hõlmab otsuseid (EL, Euratom) 2015/444 ja (EL, Euratom) 2015/443, kuid ei piirdu ainult nendega;

16) „IT turbe meede“ – tehniline või organisatsiooniline meede, mille eesmärk on leevendada IT turbe riske;

19) „IT turbe kava“ – side- ja infosüsteemi IT turbe vajaduste täitmiseks vajalikke IT turbe meetmeid käsitlev dokumentatsioon;

20) „IT turbe põhimõtted“ – IT turbe eesmärkide kogum, mis on kehtestatud, mida rakendatakse ja kontrollitakse või mis tuleb kehtestada, rakendada ja mida tuleb kontrollida. See hõlmab käesolevat otsust ja selle rakenduseeskirju;

22) „IT turbe risk“ – mõju, mida IT turbe oht võib side- ja infosüsteemi nõrkust ära kasutades sellele avaldada. Selles plaanis iseloomustavad IT turbe riske kaks tegurit: 1) määramatus, st tõenäosus, et IT turbe oht põhjustab soovimatu juhtumi, ja 2) mõju, st sellise soovimatu juhtumi võimalikud tagajärjed side- ja infosüsteemi jaoks;

23) „IT turbe standardid“ – konkreetsed kohustuslikud IT turbe meetmed, mis aitavad tagada IT turbe põhimõtete täitmise ja toetavad seda;

Artikkel 3

Komisjoni IT turbe põhimõtted

1. Komisjoni IT turve põhineb seaduslikkuse, läbipaistvuse, proportsionaalsuse ja vastutusele võetavuse põhimõttel.

2. Komisjoni side- ja infosüsteemide arendamisel ja teostamisel võetakse IT turbega seotud küsimusi arvesse algusest peale. Et see oleks võimalik, kaasatakse oma vastutusalades informaatika peadirektoraat ning personalihalduse ja julgeoleku peadirektoraat.

3. Tulemuslik IT turve tagab asjakohasel tasemel järgmised omadused:

a) autentsus: tagatis, et teave on ehtne ja pärineb heausksest allikast;

4. IT turbe aluseks on riskihalduse protsess. Selle protsessi eesmärk on teha kindlaks IT turbe riskide tasemed ja määrata kindlaks turbemeetmed, mille abil vähendada need riskid sobiva tasemeni ja seda proportsionaalsete kuludega.

5. Kõik side- ja infosüsteemid peavad olema identifitseeritud, omistatud süsteemi omanikule ja inventeeritud.

6. Kõigi side- ja infosüsteemide turbe nõuded määratakse kindlaks nende turbevajadustest ja neis töödeldava teabe turbevajadustest lähtudes. Teistele side- ja infosüsteemidele teenuseid pakkuvad side- ja infosüsteemid tuleb projekteerida selliselt, et nad toetaksid konkreetsel tasemel turbevajadusi.

7. IT turbe kavad ja IT turbe meetmed peavad olema asjaomase side- ja infosüsteemi turbevajadustega proportsionaalsed.

▼C1

8. Lõigetes 1–7 sätestatud põhimõtete ja toimingutega seotud protsesse kirjeldatakse üksikasjalikumalt rakenduseeskirjades vastavalt artiklile 13.

▼B

2. PEATÜKK

TÖÖKORRALDUS JA VASTUTUSALAD

Artikkel 4

Üldjuhatus

Üldjuhatus vastutab üldiselt komisjoni IT turbe kui terviku juhtimise eest.

Artikkel 5

Infoturbe juhtnõukogu

1. Infoturbe juhtnõukogu (edaspidi „juhtnõukogu“) esimeheks on komisjonis IT turbe juhtimise eest vastutav asepeasekretär. Juhtnõukogu liikmed esindavad komisjoni eri talituste äripoole, tehnoloogia ja turbega seotud huve ning nende hulka kuuluvad informaatika peadirektoraadi, personalihalduse ja julgeoleku peadirektoraadi ja eelarve peadirektoraadi esindajad ning kahe aasta kaupa roteeruvalt nelja muu asjaomase komisjoni talituse esindajad, kui IT turve on nende töö seisukohast väga oluline. Juhtnõukogu liikmed on kõrgema juhtkonna hulgast.

2. Juhtnõukogu toetab üldjuhatust IT turbega seotud ülesannete täitmisel. Juhtnõukogu vastutab praktiliselt komisjoni IT turbe kui terviku juhtimise eest.

3. Juhtnõukogu soovitab komisjonil võtta vastu oma IT turbe põhimõtted.

4. Juhtnõukogu vaatab kaks korda aastas üle juhtimist puudutavad küsimused ja IT turbega seotud küsimused, sh tõsised IT turbe intsidendid, ja annab üldjuhatusele selle kohta aru.

5. Juhtnõukogu jälgib käesoleva otsuse üldist rakendamist ning vaatab selle läbi ja annab üldjuhatusele selle kohta aru.

6. Informaatika peadirektoraadi ettepanekul vaatab juhtnõukogu läbi kehtiva IT turbe perioodiliselt uuendatava strateegia ning kiidab selle heaks ja jälgib selle rakendamist. Juhtnõukogu annab selle kohta aru üldjuhatusele.

7. Juhtnõukogu jälgib, hindab ja kontrollib komisjoni teavet puudutavate riskide käsitlemise olukorda ning tal on õigus teha vajaduse korral ametlikke ettepanekuid olukorra parandamiseks.

▼C1

8. Lõigetes 1–7 sätestatud vastutusalade ja toimingutega seotud protsesse kirjeldatakse üksikasjalikumalt rakenduseeskirjades vastavalt artiklile 13.

▼B

Artikkel 6

Personalihalduse ja julgeoleku peadirektoraat

IT turbe puhul vastutab personalihalduse ja julgeoleku peadirektoraat järgmiste teemade eest. Ta

1) tagab, et IT turbe põhimõtted ja komisjoni infoturbepõhimõtted on omavahel vastavuses;

4) inspekteerib IT turvet, et hinnata komisjoni side- ja infosüsteemide vastavust turbepõhimõtetele, ning annab inspekteerimise tulemuste kohta aru juhtnõukogule;

▼C1

▼B

Artikkel 7

Informaatika peadirektoraat

Komisjoni üldise IT turbe puhul vastutab informaatika peadirektoraat järgmiste teemade eest. Ta

1) arendab tihedas koostöös personalihalduse ja julgeoleku peadirektoraadiga IT turbe standardeid ja suuniseid, välja arvatud artiklis 6 osutatud juhtudel, et tagada IT turbe põhimõtete kooskõla komisjoni infoturbepõhimõtetega, ning esitab sellekohase ettepaneku juhtnõukogule;

3) esitab IT turbe perioodiliselt uuendatava strateegia ettepaneku läbivaatamiseks ja heakskiitmiseks juhtnõukogule, et üldjuhatus saaks selle hiljem vastu võtta, ning esitab programmiettepaneku, milles käsitletakse muu hulgas IT turbe strateegia projektide kavandamist ja toimingute elluviimist;

5) teostab IT turbe riskide ning side- ja infosüsteemide IT turbe meetmete seiret ja annab selle kohta regulaarselt aru juhtnõukogule;

7) nõuab süsteemide omanikelt pärast personalihalduse ja julgeoleku peadirektoraadiga konsulteerimist konkreetsete IT turbe meetmete võtmist, et leevendada komisjoni side- ja infosüsteemide IT turbe riske;

8) tagab, et süsteemide omanikele ja andmete omanikele on kättesaadav piisav valik informaatika peadirektoraadi IT turbe teenuseid, et nad saaksid täita oma vastutusalasse kuuluvaid IT turbega seotud ülesandeid ning järgida IT turbe põhimõtteid ja standardeid;