FI Euroopan unionin virallinen lehti C 12/1

Euroopan parlamentin, Eurooppa-neuvoston, Euroopan unionin neuvoston, Euroopan komission, Euroopan unionin tuomioistuimen, Euroopan keskuspankin, Euroopan tilintarkastustuomioistuimen, Euroopan ulkosuhdehallinnon, Euroopan talous- ja sosiaalikomitean, Euroopan alueiden komitean ja Euroopan investointipankin välinen

JÄRJESTELY

unionin toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän (CERT-EU) organisaatiosta ja toiminnasta

(2018/C 12/01)

EUROOPAN PARLAMENTTI,

EUROOPAN NEUVOSTO, EUROOPAN UNIONIN NEUVOSTO,

EUROOPAN KOMISSIO,

EUROOPAN UNIONIN TUOMIOISTUIN,

EUROOPAN KESKUSPANKKI,

EUROOPAN TILINTARKASTUSTUOMIOISTUIN,

EUROOPAN ULKOSUHDEHALLINTO,

EUROOPAN TALOUS- JA SOSIAALIKOMITEA,

EUROOPAN ALUEIDEN KOMITEA

JA EUROOPAN INVESTOINTIPANKKI,

jotka katsovat seuraavaa:

(1) Kaikkien Euroopan unionin toimielinten, elinten ja virastojen valmiuksien vahvistaminen, jotta ne voivat käsitellä kyberuhkia ja haavoittuvuuksia ja ehkäistä ja havaita niiden tieto- ja viestintätekniikan infrastruktuureihin kohdistuvat kyberhyökkäykset sekä reagoida niihin, on edelleen yksi ensisijaisista tavoitteista, koska toimivat tieto- ja viestintätekniikan verkot ja järjestelmät ovat niiden tehtävien täyttämisen kannalta välttämättömiä;

(2) Unionin toimielinten ja elinten pääsihteerit päättivät toukokuussa 2011 komission varapuheenjohtajien Neelie Kroesin ja Maroš Ševčovičin aloitteen pohjalta perustaa unionin toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän, jäljempänä CERT-EU, kokoonpanon vahvistamista edeltävän ryhmän, jota valvoo toimielinten välinen johtokunta;

(3) Heinäkuussa 2012 pääsihteerit vahvistivat käytännön järjestelyt ja päättivät pitää CERT-EU:n pysyvänä yksikkönä, joka auttaisi edelleen parantamaan unionin toimielinten, elinten ja virastojen yleistä tietoteknistä turvallisuutta ja olisi näkyvä esimerkki toimielinten välisestä kyberturvallisuusyhteistyöstä;

(4) Vuosina 2014 ja 2016 toteutetut tarkastelut ovat osoittaneet CERT-EU:n jatkaneen kehitystään ja saavuttaneen vaiheen, jossa se olisi virallistettava siten, että sille annetaan kestävämpi ja läpinäkyvämpi hallinto- ja rahoitusrakenne;

(5) Euroopan parlamentin ja neuvoston direktiivillä (EU) 2016/1148 (1), jäljempänä ’verkko- ja tietoturvadirektiivi’, perustetaan tietoturvaloukkauksiin reagoivien ja niitä tutkivien yksiköiden, jäljempänä CSIRT-toimijat, verkosto, joka muodostuu jäsenvaltioiden CSIRT-toimijoiden edustajista ja CERT-EU:sta. Verkoston tarkoituksena on edistää luottamuksen kehittämistä jäsenvaltioiden välillä ja ripeää ja tehokasta operatiivista yhteistyötä;

(6) CERT-EU:n hallintorakenteessa olisi vahvistettava CERT-EU:n asema ja tehtävät, sen päällikön vastuut, sen johtokunnan asema ja tehtävät sekä unionin toimielinten, elinten ja virastojen CERT-EU:n tukemista koskevat vastuut;

(7) CERT-EU:n tulisi saada kestävä rahoitus ja henkilöstö, sen toiminnan tuloksellisuus tulisi varmistaa ja sillä olisi oltava riittävä keskeinen pysyvä henkilöstö, mutta sen hallintokulut olisi pidettävä mahdollisimman pieninä;

(8) Tämän järjestelyasiakirjan allekirjoittavat järjestelyyn osallistuvat unionin toimielimet ja elimet sen jälkeen kun niiden omat asiaa koskevat sisäiset menettelyt on saatettu päätökseen; liitteessä I mainitut unionin virastot, jotka vastaavat itse omista tietoteknisistä infrastruktuureistaan, ovat muodollisesti kirjallisesti vahvistaneet CERT-EU:n johtokunnan puheenjohtajalle noudattavansa järjestelyasiakirjaa,

OVAT TEHNEET TÄMÄN JÄRJESTELYN:

1 artikla

Tarkoitus ja tehtävä

1. Tämän järjestelyn tarkoituksena on vahvistaa unionin toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän, jäljempänä ’CERT-EU’, toimintaa ja organisaatiota koskevat säännöt.

2. CERT-EU:n tehtävänä on edistää kaikkien unionin toimielinten, elinten ja virastojen, jäljempänä ’osallistujat’, tieto- ja viestintäteknisen infrastruktuurin turvallisuutta auttamalla ehkäisemään, havaitsemaan, lieventämään ja käsittelemään kyberhyökkäyksiä ja toimimalla osallistujien kyberturvallisuutta koskevan tietojenvaihdon ja poikkeamien käsittelyn koordinointikeskuksena.

2 artikla

CERT-EU:n tehtävät

1. CERT-EU kerää, hallinnoi, analysoi ja jakaa osallistujien kanssa tietoja turvallisuusluokittelemattomiin tieto- ja viestintäteknisiin infrastruktuureihin kohdistuvista uhkista, niiden haavoittuvuuksista ja niihin liittyneistä poikkeamista. Se koordinoi poikkeamien käsittelyä toimielinten välisellä ja osallistujien tasolla muun muassa toimittamalla erikoistunutta operatiivista apua tai koordinoimalla sitä.

2. CERT-EU tarjoaa kaikille osallistujille tietotekniikan kriisiryhmän peruspalvelut. Johtokunnan on hyväksyttävä luettelo, jossa esitetään yksityiskohtainen kuvaus CERT-EU:n tarjoamista palveluista, ja kaikki sen päivitykset. CERT-EU:n johtajan on palveluluetteloa tarkistaessaan otettava huomioon hänelle osoitetut resurssit.

3. CERT-EU voi seurata osallistujien verkkoliikennettä niiden suostumuksella.

4. CERT-EU voi antaa osallistujille turvallisuusluokiteltuihin tieto- ja viestintäteknisiin verkkoihin ja järjestelmiin liittyviä poikkeamia koskevaa apua, mikäli kyseinen osallistuja sitä nimenomaisesti pyytää.

5. CERT-EU ei saa käynnistää sellaisia asioita koskevia toimia, jotka kuuluvat kansallisten turvallisuus- tai tiedustelupalvelujen tai osallistujien erikoistuneiden yksiköiden toimivaltaan, eikä tietoisesti puuttua näihin asioihin. Kaikki yhteydenotot, joita kansalliset turvallisuus- tai tiedustelupalvelut toteuttavat tai pyrkivät toteuttamaan CERT-EU:n kanssa, on välittömästi annettava tiedoksi komission turvallisuusosastolle sekä CERT-EU:n johtokunnan puheenjohtajalle.

6. CERT-EU ilmoittaa osallistujille poikkeamien käsittelymenettelyistään ja -prosesseistaan.

7. Jos osallistujien poliittiset osastot sitä ovat nimenomaisesti pyytäneet, CERT-EU voi antaa asiaankuuluvia poliittisia kysymyksiä koskevaa teknistä neuvontaa tai lausuntoja.

3 artikla

Osallistujien ja CERT-EU:n yhteistyö

1. CERT-EU ja osallistujat noudattavat työssään ”need-to-share” -periaatetta 3 kohdan mukaisesti. CERT-EU varmistaa, että on käytössä tehokkaita viestintävälineitä tietojenvaihdon helpottamiseksi osallistujien kanssa.

2. Osallistujat toimittavat CERT-EU:lle tiedot niitä koskevista kyberturvallisuusuhkista sekä omista haavoittuvuuksistaan. Kun CERT-EU on tietoinen uhasta tai haavoittuvuudesta, joka vaikuttaa tai saattaa vaikuttaa johonkin osallistujaan, se varoittaa asiasta kyseistä osallistujaa ja antaa tälle kaikki olennaiset tiedot, mukaan lukien kriittisyystaso, heti kun se on käytännössä mahdollista, jotta suojatoimenpiteitä tai korjaavia toimenpiteitä voidaan toteuttaa. CERT-EU voi avustaa tällaisten suojatoimenpiteiden tai korjaavien toimenpiteiden toteuttamisessa. Muille osallistujille ilmoitetaan asiasta siinä tapauksessa, että uhka tai haavoittuvuus voisi mahdollisesti vaikuttaa niihin.

3. Mikäli osallistujat kohtaavat merkittävän kyberturvallisuuspoikkeaman, ne ilmoittavat siitä CERT-EU:lle ilman aiheetonta viivytystä ja antavat sille kaikki asiaankuuluvat tekniset tiedot, ellei tämä voi vaarantaa jonkin osallistujan tai kolmannen osapuolen turvallisuusetuja. Poikkeama katsotaan merkittäväksi, ellei se ole toistuva tai perustasoinen taikka todennäköisesti metodiselta tai tekniseltä kannalta ennestään hyvin tulkittavissa. Muut kuin tekniset tiedot voidaan jakaa CERT-EU:n kanssa kyseisen osallistujan harkinnan mukaisesti. CERT-EU:lle toimitettuja poikkeamaa koskevia tietoja ei tule jakaa CERT-EU:n ulkopuolelle edes anonymisoidussa muodossa, ellei kyseinen osallistuja ole antanut tähän suostumustaan. CERT-EU sopii etukäteen osallistujien kanssa valmistautumisesta tilanteisiin, joissa tietoja pitää vaihtaa nopeasti osallistujien verkkojen ja järjestelmien suojelemiseksi.

4. CERT-EU ylläpitää osallistujia kuullen luetteloa niiden joukossa käytettävissä olevasta asiantuntemuksesta, jota voitaisiin mahdollisesti hyödyntää keinojen ja voimavarojen puitteissa, jos tapahtuu yhtä tai useampaa osallistujaa koskeva vakava kyberturvallisuuspoikkeama. Kyberturvallisuuspoikkeaman käsittelemiseksi CERT-EU voi tarvittaessa järjestää ja koordinoida tietojenvaihtoa ja teknistä tukea suoraan osallistujien välillä.

5. CERT-EU tekee valtuuksiensa puitteissa tiivistä yhteistyötä Euroopan unionin verkko- ja tietoturvaviraston (ENISA) ja Europolissa toimivan Euroopan kyberrikostorjuntakeskuksen kanssa.

6. CERT-EU vaihtaa lainvalvontaviranomaisten kanssa tietoja yksittäisistä poikkeamista ainoastaan asianomaisen osallistujan tai asianomaisten osallistujien toimivaltaisten yksiköiden etukäteissuostumuksella.

7. CERT-EU tallentaa kaikki osallistujien kanssa jakamansa ja muiden osapuolten kanssa vaihtamansa tiedot. Osallistujat voivat pyytää CERT-EU:ta antamaan yksityiskohtaiset tiedot niitä koskevista tiedoista, jotka on jaettu muiden osapuolten kanssa.

8. CERT-EU voi tarpeen mukaan sopia osallistujien kanssa tehtävistä palvelutaso- tai yhteistyöjärjestelyistä CERT-palvelujen tarjoamiseksi. CERT-EU voi myös sopia palvelutaso- tai yhteistyöjärjestelyistä, jotka koskevat CERT-palvelujen tarjoamista maksua vastaan EU:n siviilikriisinhallintaoperaatioille Euroopan unionista tehdyn sopimuksen V osaston 2 luvun mukaisesti. Johtokunnan on kussakin tapauksessa hyväksyttävä tällaiset palvelutaso- tai yhteistyöjärjestelyt.

4 artikla

CERT-EU:n yhteistyö jäsenvaltioiden tietotekniikan kriisiryhmien kanssa

1. CERT-EU tekee yhteistyötä ja vaihtaa tietoja kyberturvallisuusuhkista, haavoittuvuuksista ja poikkeamista sekä mahdollisista vastatoimista jäsenvaltioiden kansallisten tai valtiollisten CERT-ryhmien ja CSIRT-toimijoiden kanssa osallistujien tieto- ja viestintätekniikan infrastruktuurin suojan parantamiseksi, mukaan lukien verkko- ja tietoturvadirektiivin 12 artiklassa tarkoitetun CSIRT-verkoston välityksellä.

2. CERT-EU tekee yhteistyötä jäsenvaltioiden CERT-ryhmien kanssa kerätäkseen tietoja yleisistä ja erityisistä uhkista, jotka kohdistuvat osallistujiin, sekä välineistä tai menetelmistä, mukaan lukien tekniikat, taktiikat ja menettelyt, parhaista käytännöistä ja yleisistä haavoittuvuuksista. Tiedot on tarkoitus jakaa CERT-EU:n osallistujille. CERT-EU voi vaihtaa jäsenvaltioiden CERT-ryhmien kanssa tietoja välineistä tai menetelmistä, mukaan lukien tekniikat, taktiikat ja menettelyt, parhaista käytännöistä ja yleisistä uhkista sekä haavoittuvuuksista.

3. CERT-EU voi vaihtaa poikkeamakohtaisia tietoja jäsenvaltioiden CERT-ryhmien kanssa sen osallistujan suostumuksella, jota poikkeama koski.

5 artikla

Yhteistyö kolmansien osapuolten CERT-ryhmien ja muiden kumppanien kanssa

1. CERT-EU voi tehdä yhteistyötä toimialakohtaisten ja EU:n ulkopuolisten CERT-ryhmien kanssa siltä osin, mikä koskee välineitä tai menetelmiä, mukaan lukien tekniikat, taktiikat ja menettelyt, parhaita käytäntöjä ja yleisiä uhkia sekä haavoittuvuuksia. CERT-EU:n on pyydettävä ennakolta johtokunnan hyväksyntä kaikkien tällaisten CERT-ryhmien kanssa tehtävälle yhteistyölle, myös puitteissa, joissa EU:n ulkopuoliset CERT-ryhmät tekevät yhteistyötä jäsenvaltioiden CERT-ryhmien kanssa.

2. CERT-EU voi tehdä yhteistyötä muiden kumppaneiden, kuten kaupallisten yksiköiden tai yksittäisten asiantuntijoiden, kanssa kerätäkseen tietoja yleisistä ja erityisistä uhkista, haavoittuvuuksista ja mahdollisista vastatoimista. Tällaisten kumppanien kanssa tehtävälle laajemmalle yhteistyölle CERT-EU:n on pyydettävä ennakolta johtokunnan hyväksyntä.

3. Jos asiaankuuluvan kumppanin kanssa on voimassaoleva salassapitojärjestely tai -sopimus, CERT-EU voi sen osallistujan suostumuksella, jota poikkeama koski, antaa tietoja yksittäisestä poikkeamasta sellaisille kumppaneille, jotka pystyvät osallistumaan sen analysointiin. Tällaiset salassapitojärjestelyt tai -sopimukset on tarkistettava juridisesti komission asiaankuuluvien sisäisten menettelyjen mukaisesti. Salassapitojärjestelyt tai -sopimukset eivät edellytä johtokunnan hyväksyntää, mutta sen puheenjohtajalle on ilmoitettava niistä.

4. CERT-EU voi poikkeuksellisesti johtokunnan ennakkosuostumuksella sopia palvelutasojärjestelyistä muiden yhteisöjen kuin osallistujien kanssa.

6 artikla

CERT-EU:n johtajan tehtävät

1. CERT-EU:n johtaja vastaa CERT-EU:n moitteettomasta toiminnasta ja toimii valtuuksiensa puitteissa johtokunnan alaisuudessa. Hän on vastuussa johtokunnan asettamien strategisten suuntaviivojen, ohjeiden, tavoitteiden ja painopisteiden täytäntöönpanosta sekä CERT-EU:n moitteettomasta hallinnoinnista, mukaan lukien sen taloudelliset ja henkilöresurssit. Hän raportoi säännöllisesti johtokunnan puheenjohtajalle.

2. CERT-EU:n johtajaa sitovat komissioon sovellettavat säännöt, ja hän toimii Euroopan unionin yleistä talousarviota toteuttaessaan edelleenvaltuutettuna tulojen ja menojen hyväksyjänä niiden asiaankuuluvien komission sisäisten sääntöjen mukaisesti, jotka koskevat toimivallan siirtoa ja sen rajoituksia kyseisissä tapauksissa. Hän toimii komission alaisuudessa yksinomaan hallintoa ja rahoitusta koskevien sääntöjen ja menettelyjen soveltamisen osalta.

3. CERT-EU:n johtaja toimittaa johtokunnalle neljännesvuosittain kertomukset CERT-EU:n tehtävien suorittamisesta, talousarvion toteuttamisesta, tehdyistä sopimuksista tai muista järjestelyistä sekä CERT-EU:n henkilöstön virkamatkoista. Lisäksi hän toimittaa johtokunnalle 8 artiklan 1 kohdan e alakohdan mukaisen vuosikertomuksen.

4. CERT-EU:n johtaja avustaa toimivaltaista valtuutettua tulojen ja menojen hyväksyjää varainhoitoasetuksen 66 artiklan 9 kohdan mukaisen, taloutta ja hallintoa koskevia tietoja, kuten tarkastustuloksia, sisältävän vuotuisen toimintakertomuksen laatimisessa ja raportoi tälle säännöllisesti niiden toimenpiteiden täytäntöönpanosta, joiden osalta hän on saanut edelleenvaltuutuksen.

5. CERT-EU:n johtaja laatii vuosittain CERT-EU:n toimintaan liittyvistä hallinnollisista tuloista ja menoista rahoitussuunnitelman, jonka johtokunta hyväksyy 8 artiklan 1 kohdan c alakohdan mukaisesti.

7 artikla

Johtokunta

1. Johtokunta antaa CERT-EU:lle strategista ohjausta ja opastusta ja valvoo sen yleisten painopisteiden ja tavoitteiden täytäntöönpanoa. Sen jäsenten on oltava ylimmän johdon edustajia, jotka on nimennyt kukin järjestelyn allekirjoittaja sekä ENISA, joka edustaa liitteessä I lueteltujen, omasta tieto- ja viestintätekniikan infrastruktuuristaan vastaavien virastojen etuja. Jäseniä voi avustaa yksi varajäsen. Puheenjohtaja voi kutsua muita osallistujien edustajia mukaan johtokunnan kokouksiin.

2. Johtokunta nimeää puheenjohtajan jäsentensä keskuudesta kahden vuoden ajaksi. Hänen varajäsenensä on tultava johtokunnan täysjäseneksi samaksi ajaksi.

3. Johtokunta kokoontuu puheenjohtajansa aloitteesta tai jonkin jäsenensä pyynnöstä. Se vahvistaa oman sisäisen työjärjestyksensä.

4. Kullakin tämän järjestelyasiakirjan allekirjoittajalla ja ENISAlla on yksi ääni, jota käyttää vastaava jäsen tai käyttävät vastaavat jäsenet. Johtokunnan päätökset tehdään yksinkertaisella enemmistöllä, jollei toisin säädetä. Puheenjohtaja ei osallistu äänestykseen paitsi siinä tapauksessa, että äänet menevät tasan, jossa hän voi antaa ratkaisevan äänen.

5. Mikäli operatiivisista syistä olisi tehtävä kiireellisiä päätöksiä, johtokunta voi poikkeuksellisesti toimia puheenjohtajan ja Euroopan komissiota, neuvostoa, Euroopan parlamenttia ja asianomaista osallistujaa tai asianomaisia osallistujia edustavien jäsenten suostumuksella.

6. Johtokunta voi toimia yksinkertaistettua kirjallista menettelyä noudattaen puheenjohtajan aloitteesta, jonka nojalla asianomainen hyväksytty päätös katsotaan tehdyksi puheenjohtajan asettamassa määräajassa, paitsi jos joku jäsen vastustaa sitä.

7. CERT-EU:n johtaja osallistuu johtokunnan kokouksiin, ellei johtokunta toisin päätä.

8. Johtokunnan sihteeristöstä huolehtii se toimielin, jonka ylimmän johdon edustaja toimii puheenjohtajana.

9. Sihteeristö ilmoittaa johtokunnan päätöksistä liitteessä I luetelluille EU:n virastoille. EU:n virastoilla on oikeus esittää johtokunnan puheenjohtajalle mikä tahansa asia, joka sen mielestä tulisi saattaa johtokunnan tietoon.

8 artikla

Johtokunnan tehtävät

1. Johtokunta antaa CERT-EU:lle strategista ohjausta ja opastusta, ja sen tulee erityisesti

a) hyväksyä CERT-EU:n johtajan ehdotuksesta CERT-EU:n vuotuinen työohjelma ja seurata sen toteuttamista;

b) hyväksyä CERT-EU:n johtajan ehdotuksesta CERT-EU:n palvelujen luettelo;

c) hyväksyä CERT-EU:n johtajan toimittaman ehdotuksen pohjalta rahoitussuunnitelma CERT-EU:n toimintaan liittyvistä tuloista ja menoista, henkilöstö mukaan luettuna;

d) hyväksyä vuosittain CERT-EU:n johtajan ehdotuksen pohjalta vuotuiset määrärahat sellaisille osallistujille ja kolmansille osapuolille suoritettavia palveluja varten, joilla on palvelutasojärjestelyjä CERT-EU:n kanssa;

e) tarkastaa ja hyväksyä CERT-EU:n johtajan laatima vuosikertomus, joka kattaa CERT-EU:n toiminnan ja varainhoidon;

f) hyväksyä ja seurata CERT-EU:ta koskevia keskeisiä tulosindikaattoreita, jotka on määritelty CERT-EU:n johtajan ehdotuksen pohjalta;

g) hyväksyä yleisiä toimintaperiaatteita ja suuntaviivoja koskevat CERT-EU:n asiakirjat, joissa suositellaan osallistujille hyviä tieto- ja viestintätekniikan turvallisuuskäytänteitä;

h) hyväksyä CERT-EU:n ja muiden yksiköiden yhteistyö- tai palvelutasojärjestelyt taikka -sopimukset 3 artiklan 8 kohdan ja 5 artiklan 4 kohdan mukaisesti;

i) perustaa tarvittaessa teknisiä neuvoa-antavia ryhmiä avustamaan johtokunnan työskentelyä, hyväksyä niiden tehtävänmääritykset ja nimetä niiden puheenjohtajat; sekä

j) muuttaa liitteessä I olevaa tätä järjestelyä soveltavien unionin virastojen luetteloa.

2. Puheenjohtaja voi edustaa johtokuntaa tai toimia sen puolesta johtokunnan kanssa sovittujen järjestelyjen mukaisesti.

9 artikla

Henkilöstö- ja rahoitusasiat

1. Vaikka CERT-EU perustetaan riippumattomaksi, toimielinten väliseksi palveluntarjoajaksi kaikkia unionin toimielimiä, elimiä ja virastoja varten, se integroidaan jonkin komission pääosaston hallintorakenteeseen, jotta se voi hyödyntää komission hallinnon, varainhoidon ja kirjanpidon tukirakenteita. Komissio ilmoittaa johtokunnalle CERT-EU:n hallinnollisesta sijainnista ja sen mahdollisista muutoksista.

2. Komissio nimittää CERT-EU:n johtajan saatuaan johtokunnan yksimielisen suostumuksen. Johtokuntaa kuullaan menettelyn kaikissa CERT-EU:n johtajan nimittämistä edeltävissä vaiheissa, erityisesti tähän tehtävään liittyvien avointa virkaa koskevien ilmoitusten laatimisen, hakemusten tarkastelun ja kilpailun valintalautakunnan nimittämisen yhteydessä.

3. Kaikkien unionin toimielinten ja elinten virkamiehille on tiedotettava kaikista CERT-EU:n avoimia virkoja koskevista ilmoituksista.

4. Edellyttäen, että unionin budjettivallan käyttäjän oikeuksia kunnioitetaan, tähän järjestelyyn osallistuvat unionin toimielimet ja elimet, lukuun ottamatta Euroopan tilintarkastustuomioistuinta, Euroopan keskuspankkia ja Euroopan investointipankkia, sitoutuvat siirtämään tai osoittamaan CERT-EU:lle liitteessä II vahvistetun määrän virkoja varainhoitovuoteen 2019 mennessä, ellei liitteessä II toisin säädetä. CERT-EU tarjoaa täysimääräiset palvelut niille unionin toimielimille ja elimille, jotka osoittavat tai siirtävät sille määritellyn määrän virkoja. Liitteessä II ilmoitettua virkojen määrää tarkistetaan vähintään viiden vuoden välein.

5. CERT-EU voi sopia osallistuvien unionin toimielinten ja elinten kanssa, että sille osoitetaan väliaikaisesti lisähenkilöstöä.

6. Euroopan tilintarkastustuomioistuin, Euroopan keskuspankki ja Euroopan investointipankki tekevät palvelutasojärjestelyjä, jotka koskevat CERT-EU:n palveluluettelonsa mukaisesti tarjoamia palveluja ja vuotuista taloudellista korvausta, jonka kukin niistä maksaa liitteen II mukaisesti kunkin varainhoitovuoden alussa vastikkeena CERT-EU:n edellisen varainhoitovuoden aikana suorittamista palveluista.

7. Taloudellisesta korvauksesta, jonka kukin unionin virasto maksaa CERT-EU:n palvelujen tarjoamisesta aiheutuneiden kustannusten kattamiseksi, sovitaan asianomaisten unionin virastojen kanssa, ja se sisällytetään yleisiin hallinnollisiin puitteisiin, joilla säädellään komission palvelujen tarjoamista unionin virastoille.

8. CERT-EU:n johtaja raportoi vuosittain vuotuisen taloudellisen korvauksen määrästä, joka palvelutasojärjestelyjä CERT-EU:n kanssa tehneiden osallistujien on maksettava 6 kohdan mukaisesti ja unionin virastojen 7 kohdan mukaisesti. Johtokunta tarkistaa vuosittain kyseisen vuosittaisen taloudellisen korvauksen määrän.

9. Komissio huolehtii CERT-EU:n toiminnan talousarvio- ja varainhallinnosta, myös muiden unionin toimielinten tai elinten osoittamista tuloista, unionin yleiseen talousarvioon sovellettavista varainhoitosäännöistä annetun Euroopan parlamentin ja neuvoston asetuksen (EU, Euratom) N:o 966/2012 (2) ja asiaankuuluvien sääntöjen ja säännösten mukaisesti. Kaikki CERT-EU:lle osoitetut talousarviomäärärahat tai palvelutasojärjestelyjen kautta saadut tulot yksilöidään erikseen sen rahoitussuunnitelmassa.

10 artikla

Salassapitovelvollisuus

CERT-EU ja sen osallistujat käsittelevät toisilta osallistujilta tai kolmansilta osapuolilta saatuja tietoja salassapitovelvollisuuden piiriin kuuluvina Euroopan unionin toiminnasta tehdyn sopimuksen 339 artiklan tai vastaavien sovellettavien kehysten mukaisesti. Ne eivät saa paljastaa mitään tällaisia tietoja kolmansille osapuolille, ellei kyseinen osallistuja tai osapuoli ole nimenomaisesti antanut siihen lupaa.

11 artikla

Henkilötietojen suoja

Tämän järjestelyn mukaiseen henkilötietojen käsittelyyn sovelletaan Euroopan parlamentin ja neuvoston asetusta (EY) N:o 45/2001 (3).

12 artikla

Tilintarkastus, kysymykset ja yleisön oikeus tutustua asiakirjoihin

1. Sisäisestä tarkastuksesta huolehtii komission sisäisen tarkastuksen yksikkö, joka noudattaa 10 artiklan mukaisia määräyksiä. Johtokunta voi ehdottaa, että komission sisäisen tarkastuksen yksikkö huolehtii tilintarkastuksesta.

2. CERT-EU:n johtaja vastaa Euroopan oikeusasiamiehen ja Euroopan tietosuojavaltuutetun kysymyksiin komission sisäisten menettelyjen mukaisesti.

3. CERT-EU:n hallussa olevien asiakirjojen osalta sovelletaan Euroopan parlamentin ja neuvoston asetuksessa (EY) N:o 1049/2001 (4) säädettyjä menettelyjä ottaen huomioon kyseisen asetuksen mukainen velvollisuus kuulla muita osallistujia, jos pyyntö koskee niiden asiakirjoja.

13 artikla

Uudelleentarkastelu

Koska kyberuhkaympäristö ja sen käsittely unionissa, myös EU:n kyberturvallisuusstrategiassa asetetut toimintapoliittiset painopisteet, muuttuvat koko ajan, johtokunta tarkastelee säännöllisesti uudelleen CERT-EU:n organisaatiota ja toimintaa. Se voi antaa osallistuville toimielimille ja elimille suosituksia tämän järjestelyn tarkistamiseksi tai muuttamiseksi sekä muitakin CERT-EU:n tehokasta toimintaa koskevia suosituksia.

14 artikla

Soveltamisala ja soveltamispäivä

1. Tätä järjestelyä sovelletaan unionin toimielimiin ja elimiin, jotka ovat allekirjoittaneet tämän järjestelyn, sekä liitteessä I lueteltuihin unionin virastoihin, joilla on oma tieto- ja viestintätekniikan infrastruktuurinsa.

2. Tätä järjestelyä sovelletaan allekirjoituspäivästä alkaen. Se julkaistaan Euroopan unionin virallisessa lehdessä.

Tämä järjestely laaditaan bulgarian, englannin, espanjan, hollannin, italian, kreikan, kroaatin, latvian, liettuan, maltan, portugalin, puolan, ranskan, romanian, ruotsin, saksan, slovakin, sloveenin, suomen, tanskan, tšekin, unkarin ja viron kielellä yhtenä alkuperäisenä kappaleena, joka talletetaan Euroopan unionin neuvoston pääsihteeristöön, joka toimittaa oikeaksi todistetun jäljennöksen siitä kaikille allekirjoittajille.

Tehty Frankfurtissa, Luxemburgissa ja Brysselissä 20 päivänä joulukuuta 2017. Euroopan parlamentin puolesta Pääsihteeri K. WELLE Eurooppa-neuvoston ja neuvoston puolesta Pääsihteeri J. TRANHOLM-MIKKELSEN Euroopan komission puolesta Pääsihteeri A. ITALIANER Euroopan unionin tuomioistuimen puolesta Infrastruktuurin pääosaston pääjohtaja F. SCHAFF Euroopan keskuspankin puolesta Tietojärjestelmien pääjohtaja K. DE GEEST Palvelujohtaja M. DIEMER Euroopan tilintarkastustuomioistuimen puolesta Pääsihteeri E. RUIZ GARCÍA Euroopan ulkosuhdehallinnon puolesta Talousarviosta ja hallinnosta vastaava pääjohtaja G. DI VITA Euroopan talous- ja sosiaalikomitean puolesta Pääsihteeri L. PLANAS PUCHADES Alueiden komitean puolesta Pääsihteeri J. BURIÁNEK Euroopan investointipankin puolesta Ylijohtaja ja varainhoidon valvoja P. KLAEDTKE

(1) Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/1148, annettu 6 päivänä heinäkuuta 2016, toimenpiteistä yhteisen korkeatasoisen verkko- ja tietojärjestelmien turvallisuuden varmistamiseksi koko unionissa (EUVL L 194, 19.7.2016, s. 1).

(2) Euroopan parlamentin ja neuvoston asetus (EU, Euratom) N:o 966/2012, annettu 25 päivänä lokakuuta 2012, unionin yleiseen talousarvioon sovellettavista varainhoitosäännöistä ja neuvoston asetuksen (EY, Euratom) N:o 1605/2002 kumoamisesta (EUVL L 298, 26.10.2012, s. 1).

(3) Euroopan parlamentin ja neuvoston asetus (EY) N:o 45/2001, annettu 18 päivänä joulukuuta 2000, yksilöiden suojelusta yhteisöjen toimielinten ja elinten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta (EYVL L 8, 12.1.2001, s. 1).

(4) Euroopan parlamentin ja neuvoston asetus (EY) N:o 1049/2001, annettu 30 päivänä toukokuuta 2001, Euroopan parlamentin, neuvoston ja komission asiakirjojen saamisesta yleisön tutustuttavaksi (EYVL L 145, 31.5.2001, s. 43).

LIITE I 14 artiklan 1 kohdassa tarkoitettujen unionin virastojen luettelo ACER Energia-alan sääntelyviranomaisten yhteistyövirasto BEREC-virasto Euroopan sähköisen viestinnän sääntelyviranomaisten yhteistyöelin CPVO Yhteisön kasvilajikevirasto EU-OSHA Euroopan työterveys- ja työturvallisuusvirasto Frontex Euroopan raja- ja merivartiovirasto eu-LISA Vapauden, turvallisuuden ja oikeuden alueen laaja-alaisten tietojärjestelmien operatiivisesta hallinnoinnista vastaava eurooppalainen virasto EASO Euroopan turvapaikka-asioiden tukivirasto EASA Euroopan lentoturvallisuusvirasto EPV Euroopan pankkiviranomainen ECDC Euroopan tautienehkäisy- ja -valvontakeskus Cedefop Euroopan ammatillisen koulutuksen kehittämiskeskus ECHA Euroopan kemikaalivirasto EYK Euroopan ympäristökeskus EFCA Euroopan kalastuksenvalvontavirasto EFSA Euroopan elintarviketurvallisuusviranomainen Eurofound Euroopan elin- ja työolojen kehittämissäätiö GSA Euroopan GNSS-virasto EIGE Euroopan tasa-arvoinstituutti EVLEV Euroopan vakuutus- ja lisäeläkeviranomainen EMSA Euroopan meriturvallisuusvirasto EMA Euroopan lääkevirasto EMCDDA Euroopan huumausaineiden ja niiden väärinkäytön seurantakeskus ENISA Euroopan unionin verkko- ja tietoturvavirasto CEPOL Euroopan unionin lainvalvontakoulutusvirasto Europol Euroopan unionin lainvalvontayhteistyövirasto ERA Euroopan unionin rautatievirasto ESMA Euroopan arvopaperimarkkinaviranomainen ETF Euroopan koulutussäätiö FRA Euroopan unionin perusoikeusvirasto EUIPO Euroopan unionin teollisoikeuksien virasto Eurojust Euroopan unionin rikosoikeudellisen yhteistyön virasto CdT Euroopan unionin elinten käännöskeskus EDA Euroopan puolustusvirasto EIT Euroopan innovaatio- ja teknologiainstituutti EUTT Euroopan unionin turvallisuusalan tutkimuslaitos EUSK Euroopan unionin satelliittikeskus SRB Yhteinen kriisinratkaisuneuvosto