W rezolucji z dnia 9 marca 2021 r. Rada Unii Europejskiej podkreśliła, że cyberbezpieczeństwo ma kluczowe znaczenie dla funkcjonowania administracji publicznej zarówno na szczeblu krajowym, jak i unijnym, a także dla całego społeczeństwa i gospodarki, zwracając uwagę na znaczenie solidnych i spójnych ram bezpieczeństwa dla ochrony całego personelu, danych, sieci komunikacyjnych, systemów informatycznych i procesów decyzyjnych Unii. Ma to zostać osiągnięte w szczególności dzięki zwiększeniu odporności oraz poprawie kultury bezpieczeństwa instytucji, organów i agencji Unii. Należy udostępnić wystarczające zasoby i zdolności, także w kontekście wzmocnienia mandatu CERT-UE.

W załączniku do zalecenia Komisji (UE) 2017/1584 z dnia 13 września 2017 r. w sprawie skoordynowanego reagowania na incydenty i kryzysy cybernetyczne na dużą skalę określono Plan skoordynowanego reagowania na wypadek wystąpienia transgranicznych incydentów cybernetycznych na dużą skalę i kryzysów cybernetycznych.

We wniosku zmieniono nazwę CERT-UE z „zespołu reagowania na incydenty komputerowe” na „Centrum ds. Cyberbezpieczeństwa” instytucji, organów i agencji Unii, aby odzwierciedlić zmiany zachodzące w państwach członkowskich i na świecie, gdzie wiele zespołów CERT przemianowano na centra ds. cyberbezpieczeństwa, ale zachowano nazwę skróconą „CERT-UE” ze względu na jej rozpoznawalność.

We wniosku uaktualniono istniejące ramy prawne dotyczące CERT-UE oraz uwzględniono zmieniony charakter i wyższy poziom cyfryzacji instytucji, organów i agencji Unii w ostatnich latach, jak również zmieniający się krajobraz zagrożeń cyberbezpieczeństwa. Skala obu tych zjawisk dodatkowo uległa zwiększeniu od początku kryzysu związanego z COVID-19, a liczba incydentów wciąż rośnie, przy czym pojawiają się coraz bardziej wyrafinowane ataki pochodzące z wielu różnych źródeł.

W niniejszym wniosku ustanawia się ramy zapewniające wspólne przepisy i środki w zakresie cyberbezpieczeństwa dla instytucji, organów i agencji Unii. Jego celem jest dalsze wzmocnienie odporności wszystkich podmiotów i ich zdolności do reagowania na incydenty. Jest on zgodny z priorytetami Komisji dotyczącymi tworzenia Europy na miarę ery cyfrowej i zbudowania gospodarki gotowej na przyszłość, która będzie przynosić korzyści obywatelom. Ponadto zagwarantowanie bezpiecznej i odpornej administracji publicznej stanowi podstawę transformacji cyfrowej całego społeczeństwa.

W okresie od 2019 do 2021 r. liczba znaczących incydentów mających wpływ na instytucje, organy i agencje Unii, za którymi to incydentami stali agresorzy stwarzający zaawansowane, trwałe zagrożenie, wzrosła w sposób dramatyczny. W pierwszej połowie 2021 r. odnotowano taką samą liczbę znaczących incydentów jak w całym 2020 r. Jest to również odzwierciedlone w liczbie kopii danych wykonanych na potrzeby informatyki śledczej (zrzutów zawartości systemów lub urządzeń dotkniętych incydentem), które CERT-UE analizował w 2020 r. – trzykrotnie wyższej w stosunku do 2019 r., podczas gdy liczba znaczących incydentów wzrosła od 2018 r. ponad dziesięciokrotnie.

·rosnący outsourcing usług IT.

·migracje systemów do chmury;

Ponadto w analizie uwzględniono wpływ najważniejszych zachodzących obecnie zmian mających wpływ na sposoby zarządzania przez instytucje unijne swoją infrastrukturą i usługami IT oraz korzystania z nich. Do zmian tych zaliczają się:

•Oceny ex ante

3.WYNIKI OCEN EX ANTE, KONSULTACJI Z ZAINTERESOWANYMI STRONAMI I OCEN SKUTKÓW

Przepisy proponowane w niniejszym rozporządzeniu nie wykraczają poza to, co jest konieczne do zadowalającego osiągnięcia szczegółowych celów. Przewidziane środki przyczynią się do zapewnienia wysokiego wspólnego poziomu cyberbezpieczeństwa, nie wykraczając poza to, co jest konieczne do osiągnięcia tego celu w świetle coraz większych zagrożeń.

Ponadto występujące obecnie rozbieżności – omówione poniżej w sekcji 3 – w zakresie stanu cyberbezpieczeństwa i podejścia do cyberbezpieczeństwa pomiędzy instytucjami, organami i agencjami Unii stanowią kolejną przeszkodę dla otwartej, efektywnej i niezależnej administracji europejskiej. Bez wspólnego podejścia stan cyberbezpieczeństwa w poszczególnych instytucjach, organach i agencjach Unii będzie nadal ewoluować w rozbieżnych kierunkach. Jest to zatem właściwa podstawa prawna, biorąc pod uwagę, że rozporządzenie ma na celu utworzenie wspólnych ram prawnych dotyczących cyberbezpieczeństwa w instytucjach, organach, urzędach i agencjach Unii.

Technologia informacyjna otworzyła przed instytucjami, organami i agencjami Unii nowe możliwości pracy, interakcji z obywatelami i ogólnej poprawy funkcjonowania. Wraz z nieprzerwanym rozwojem technologii ewoluuje również krajobraz cyberzagrożeń. Instytucje, organy i agencje Unii stały się wysoce atrakcyjnym celem wyrafinowanych cyberataków. Wydaje się, że ustanowienie systemów i wymogów w celu zapewnienia cyberbezpieczeństwa przyczynia się do zwiększenia efektywności i niezależności administracji europejskiej, dzięki czemu instytucje, organy, urzędy i agencje Unii mogą skuteczniej funkcjonować w cyfrowym świecie, realizując swoje misje.

Z rynkowych wskaźników referencyjnych i badań rynku wynika, że bezpośrednie wydatki na cyberbezpieczeństwo wahają się od 4 do 7 % zagregowanych wydatków organizacji w obszarze IT. W analizie zagrożeń przeprowadzonej przez CERT-UE na poparcie niniejszego wniosku ustawodawczego wskazano jednak, że instytucje międzynarodowe i organizacje polityczne są narażone na podwyższone ryzyko, w związku z czym bardziej adekwatnym celem wydaje się ustalenie pułapu wydatków w obszarze IT na cyberbezpieczeństwo na poziomie 10 %. Nie można określić dokładnego kosztu takich działań ze względu na brak szczegółowych informacji na temat wydatków w obszarze IT ponoszonych przez instytucje, organy i agencje Unii oraz odnośnego udziału wydatków na cyberbezpieczeństwo.

Unia Europejska dąży do zapewnienia najwyższych standardów ochrony praw podstawowych. Wszelka wymiana informacji dokonywana na podstawie niniejszego rozporządzenia odbywałaby się z pełnym poszanowaniem prawa do ochrony danych osobowych określonego w art. 8 Karty praw podstawowych Unii Europejskiej oraz odpowiedniego prawodawstwa w zakresie ochronie danych, w szczególności rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725.

Skutki niniejszego wniosku będą dotyczyć instytucji, organów i agencji Unii. Oznacza to, że szczególna ocena skutków nie jest konieczna, ponieważ wniosek nie będzie miał zastosowania do państw członkowskich.

Żadne unijne przepisy nie koncentrowały się dotychczas na cyberbezpieczeństwie instytucji, organów i agencji Unii i nie uwzględniały w sposób kompleksowy sytuacji związanej z krajobrazem zagrożeń cyberbezpieczeństwa oraz pojawiającymi się zagrożeniami w obszarze IT wynikającymi z cyfryzacji.

Podsumowując, z analizy przeprowadzonej wśród 20 instytucji, organów i agencji Unii wynika, że ich system zarządzania, higiena cyberbezpieczeństwa, ogólna zdolność i dojrzałość różnią się w dużym stopniu. Zobowiązanie wszystkich instytucji, organów i agencji Unii do wdrożenia podstawowego poziomu środków w zakresie cyberbezpieczeństwa ma zasadnicze znaczenie dla zniwelowania tych różnic w dojrzałości i zapewnienia we wszystkich instytucjach, organach i agencjach Unii wysokiego wspólnego poziomu cyberbezpieczeństwa.

·chociaż zasadniczo ramy dotyczące cyberbezpieczeństwa (strategia, polityka i zbiór przepisów) ocenianych instytucji, organów i agencji Unii są dobrze ugruntowane w kluczowych dziedzinach cyberbezpieczeństwa wymienionych w załączniku I do rozporządzenia, niektóre instytucje, organy i agencje Unii nie stosują dojrzałego zarządzania ciągłością działania, zapewniania zgodności, audytu i ciągłego doskonalenia;

·dojrzałość w zakresie cyberbezpieczeństwa, wielkość infrastruktury IT oraz poziom zdolności w ocenianych instytucjach, organach i agencjach Unii różnią się znacząco;

Oceny tej dokonano w oparciu o kwestionariusze, na które odpowiedziały wspomniane instytucje, organy i agencje, oraz dane dostępne publicznie i dane dostarczone bezpośrednio przez same instytucje, organy i agencje Unii. Ocena zapewnia wystarczający ogląd bieżącej sytuacji, by można było stwierdzić, że:

W uzupełnieniu do analizy zagrożeń przeprowadzonej przez CERT-UE Komisja przeprowadziła ocenę funkcjonowania 20 instytucji, organów i agencji Unii pod względem cyberbezpieczeństwa. Umożliwiło to zapoznanie się z ustalonymi praktykami w zakresie cyberbezpieczeństwa i możliwościami zarządzania cyberbezpieczeństwem oraz przeprowadzenie zewnętrznych analiz porównawczych niektórych technicznych środków kontroli bezpieczeństwa.

W 2020 r. rada sterująca CERT-UE ustaliła nowy cel strategiczny, zgodnie z którym CERT-UE ma zapewnić wszystkim instytucjom, organom i agencjom kompleksowy poziom cyberobrony o odpowiednim zakresie i poziomie szczegółowości oraz stałą zdolność dostosowywania się do obecnych lub przyszłych zagrożeń, w tym ataków na urządzenia mobilne, środowiska chmury obliczeniowej i urządzenia internetu rzeczy.

Rozporządzenie zapewnia współpracę oraz wymianę informacji między CERT-UE oraz instytucjami, organami i agencjami Unii, aby budować zaufanie i pewność. W tym celu CERT-UE może zwrócić się do instytucji, organów i agencji Unii o udzielenie mu istotnych informacji, a także prowadzić z instytucjami, organami i agencjami Unii wymianę danych dotyczących konkretnych incydentów bez zgody zainteresowanego podmiotu dotkniętego incydentem, aby ułatwić wykrywanie podobnych cyberzagrożeń lub incydentów. CERT-UE może prowadzić wymianę informacji dotyczących konkretnych incydentów, które to informacje umożliwiają identyfikację celu, w który wymierzony jest cyberincydent, wyłącznie za zgodą zainteresowanego podmiotu dotkniętego incydentem.

CERT-UE przyczynia się do bezpieczeństwa środowiska informatycznego wszystkich instytucji, organów i agencji Unii, pełniąc funkcję doradczą, pomagając w zapobieganiu incydentom, wykrywaniu ich, łagodzeniu ich skutków i reagowaniu na nie oraz działając dla tych instytucji, organów i agencji w charakterze punktu wymiany informacji na temat cyberbezpieczeństwa i koordynacji reakcji na incydenty (art. 12–17).

Instytucje, organy i agencje Unii są zobowiązane do ustanowienia wewnętrznych ram zarządzania ryzykiem w cyberprzestrzeni, jego nadzoru i kontroli, które to ramy umożliwią skuteczne i ostrożne zarządzanie wszelkiego rodzaju ryzykiem w cyberprzestrzeni. Instytucje, organy i agencje wprowadzają ponadto podstawowy poziom cyberbezpieczeństwa, aby przeciwdziałać ryzyku stwierdzonemu na podstawie powyższych ram, przeprowadzają regularne oceny dojrzałości w zakresie cyberbezpieczeństwa oraz przyjmują plany dotyczące cyberbezpieczeństwa (art. 4–8).

W rozporządzeniu ustanowiono środki mające na celu zapewnienie wysokiego wspólnego poziomu cyberbezpieczeństwa i ma ono zastosowanie do instytucji, organów i agencji Unii, aby umożliwić im realizowanie powierzonych im zadań w sposób otwarty, efektywny i niezależny (art. 1–3, 23–25).

CERT-UE może przygotować projekt wniosku w sprawie wytycznych lub zaleceń, a IICB może podjąć decyzję o jego przyjęciu. Wytyczne to dokument skierowany do wszystkich instytucji, organów i agencji Unii lub części z nich; zalecenie natomiast kieruje się do poszczególnych instytucji, organów i agencji Unii. Wezwanie do działania to wydawany przez CERT-UE dokument opisujący pilne środki w zakresie bezpieczeństwa, o których podjęcie w określonym terminie apeluje się do instytucji, organów i agencji Unii.

uwzględniając Traktat ustanawiający Europejską Wspólnotę Energii Atomowej, w szczególności jego art. 106a,

uwzględniając wniosek Komisji Europejskiej,

po przekazaniu projektu aktu ustawodawczego parlamentom narodowym,

stanowiąc zgodnie ze zwykłą procedurą ustawodawczą,

a także mając na uwadze, co następuje:

(1)W epoce cyfrowej technologie informacyjno-komunikacyjne stanowią podstawę otwartej, efektywnej i niezależnej administracji unijnej. Rozwój technologii, ich coraz większa złożoność i wzajemne powiązania systemów cyfrowych zwiększają ryzyko w cyberprzestrzeni, co sprawia, że administracja unijna jest bardziej podatna na cyberzagrożenia i incydenty, a to z kolei stanowi zagrożenie dla ciągłości działania administracji i jej zdolności do zabezpieczenia swoich danych. Mimo że coraz częstsze korzystanie z usług w chmurze, wszechobecne wykorzystanie technologii informacyjnych, wysoki poziom cyfryzacji, praca zdalna i rozwój technologii oraz możliwości połączenia z siecią stanowią obecnie trzon wszystkich działań podmiotów administracji Unii, to ich odporność cyfrowa nie rozwinęła się jeszcze w wystarczającym stopniu.

(2)Krajobraz cyberzagrożeń, z jakimi mierzą się instytucje, organy i agencje Unii, podlega ciągłym zmianom. Stosowane przez agresorów taktyki, techniki i sposoby działania ciągle ewoluują, natomiast główne motywy takich ataków zmieniają się w niewielkim stopniu – ich celem jest kradzież cennych, nieujawnionych informacji, osiągnięcie korzyści finansowych, manipulowanie opinią publiczną czy też osłabienie infrastruktury cyfrowej. Tempo przeprowadzania przez nich cyberataków stale rośnie, podczas gdy ich działania są coraz bardziej wyrafinowane i w coraz większym stopniu zautomatyzowane, ukierunkowane na eksponowane powierzchnie ataków, które stale powiększają się, i mają na celu szybkie wykorzystanie podatności na zagrożenia.

(3)Środowiska informatyczne instytucji, organów i agencji Unii są współzależne, występują w nich zintegrowane przepływy danych, a ich użytkownicy ściśle ze sobą współpracują. Ta integracja oznacza, że wszelkie zakłócenia, nawet początkowo ograniczone do jednej instytucji, organu lub agencji Unii, mogą mieć szerszy efekt kaskadowy, potencjalnie powodując dalekosiężne i długotrwałe negatywne skutki dla pozostałych instytucji, organów i agencji. Ponadto środowiska informatyczne niektórych instytucji, organów i agencji są połączone ze środowiskami informatycznymi państw członkowskich, co powoduje, że incydent w jednym podmiocie unijnym może stanowić zagrożenie dla cyberbezpieczeństwa środowisk informatycznych państw członkowskich i odwrotnie.

(4)Instytucje, organy i agencje Unii stanowią atrakcyjne cele i muszą stawiać czoła wysoko wykwalifikowanym i dobrze zaopatrzonym agresorom, a także innym zagrożeniom. Jednocześnie poziom i dojrzałość w zakresie cyberodporności oraz zdolność do wykrywania szkodliwych działań w cyberprzestrzeni i reagowania na nie znacznie się w tych podmiotach różnią. Dla funkcjonowania administracji unijnej konieczne jest zatem, aby instytucje, organy i agencje Unii osiągnęły wysoki wspólny poziom cyberbezpieczeństwa dzięki podstawowemu poziomowi cyberbezpieczeństwa (minimalnemu zbiorowi przepisów dotyczących cyberbezpieczeństwa, z którymi muszą być zgodne sieci i systemy informatyczne oraz których muszą przestrzegać ich operatorzy i użytkownicy, aby zminimalizować ryzyko w cyberprzestrzeni) oraz dzięki wymianie informacji i współpracy.

(5)Dyrektywa [wniosek dotyczący dyrektywy NIS 2] w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii ma na celu dalszą poprawę odporności podmiotów publicznych i prywatnych, właściwych organów i instytucji krajowych, jak również całej Unii pod względem cyberbezpieczeństwa oraz dalsze zwiększenie ich zdolności reagowania na incydenty w zakresie cyberbezpieczeństwa. Należy zatem zadbać o to, by podobnymi środkami objęto instytucje, organy i agencje Unii, poprzez ustanowienie przepisów, które są zgodne z dyrektywą [wniosek dotyczący dyrektywy NIS 2] i odzwierciedlają przewidziany w niej poziom ambicji.

(6)Aby osiągnąć wysoki wspólny poziom cyberbezpieczeństwa, każda instytucja, każdy organ i każda agencja Unii musi ustanowić wewnętrzne ramy zarządzania ryzykiem w cyberprzestrzeni, jego nadzorowania i kontroli, które to ramy umożliwią skuteczne i ostrożne zarządzanie wszelkiego rodzaju ryzykiem w cyberprzestrzeni, z uwzględnieniem ciągłości działania i zarządzania kryzysowego.

(7)Zróżnicowanie instytucji, organów i agencji Unii wymaga elastyczności w procesie wdrożenia, ponieważ w omawianym obszarze nie istnieje uniwersalne rozwiązanie. Środki na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa nie powinny obejmować żadnych obowiązków bezpośrednio kolidujących z wykonywaniem przez instytucje, organy i agencje Unii ich misji lub naruszających ich autonomię instytucjonalną. Te instytucje, organy i agencje powinny zatem ustanowić własne ramy zarządzania ryzykiem w cyberprzestrzeni, jego nadzorowania i kontroli, a także przyjąć swój własny poziom podstawowy i plan dotyczący cyberbezpieczeństwa.

(8)Aby uniknąć nakładania nieproporcjonalnie dużych obciążeń finansowych i administracyjnych na instytucje, organy i agencje Unii, wymogi w zakresie zarządzania ryzykiem w cyberprzestrzeni powinny być proporcjonalne do ryzyka związanego z daną siecią oraz danym systemem informatycznym oraz powinny uwzględniać najnowszy stan wiedzy na temat takich środków. Wszystkie instytucje, organy i agencje Unii powinny dążyć do przeznaczenia odpowiedniego odsetka swojego budżetu przewidzianego na technologie informatyczne na poprawę swojego poziomu cyberbezpieczeństwa; w dłuższej perspektywie należy dążyć do osiągnięcia celu w wysokości 10 %.

(9)Wysoki wspólny poziom cyberbezpieczeństwa wymaga objęcia cyberbezpieczeństwa nadzorem przez kierownictwo najwyższego szczebla każdej instytucji, każdego organu i każdej agencji Unii, a kierownictwo to powinno zatwierdzić podstawowy poziom cyberbezpieczeństwa, w którym należy uwzględnić czynniki ryzyka stwierdzone na podstawie ram, które mają zostać ustanowione przez każdą instytucję, każdy organ i każdą agencję. Uwzględnienie kultury cyberbezpieczeństwa, tj. codziennej praktyki w dziedzinie cyberbezpieczeństwa, jest nieodłączną częścią podstawowego poziomu cyberbezpieczeństwa we wszystkich instytucjach, organach i agencjach Unii.

(10)Instytucje, organy i agencje Unii powinny przeprowadzić ocenę ryzyka związanego z relacjami z dostawcami i usługodawcami, w tym dostawcami usług przechowywania i przetwarzania danych lub zarządzanych usług w zakresie bezpieczeństwa, oraz wprowadzić odpowiednie środki w celu wyeliminowania tego ryzyka. Środki te powinny stanowić część podstawowego poziomu cyberbezpieczeństwa i być szczegółowo określone w wytycznych lub zaleceniach wydanych przez CERT-UE. Przy określeniu środków i wytycznych należy należycie uwzględnić odpowiednie przepisy i strategie UE, w tym oceny ryzyka i zalecenia wydane przez grupę współpracy ds. bezpieczeństwa sieci i informacji, takie jak unijna skoordynowana ocena ryzyka i unijny zestaw narzędzi na potrzeby cyberbezpieczeństwa sieci 5G. Ponadto można wprowadzić wymóg certyfikacji odpowiednich produktów, usług i procesów ICT zgodnie ze specjalnymi unijnymi programami certyfikacji cyberbezpieczeństwa przyjętymi na podstawie art. 49 rozporządzenia (UE) 2019/881.

(11)W maju 2011 r. sekretarze generalni instytucji i organów Unii postanowili utworzyć zespół ds. wstępnej konfiguracji zespołu reagowania na incydenty komputerowe w instytucjach, organach i agencjach Unii (CERT-UE), pod nadzorem międzyinstytucjonalnej rady sterującej. W lipcu 2012 r. sekretarze generalni potwierdzili ustalenia praktyczne i zgodzili się co do utrzymania CERT-UE jako stałego podmiotu, tak aby dalej wspomagać poprawę ogólnego poziomu bezpieczeństwa technologii informacyjnej w instytucjach, organach i agencjach Unii jako przykład dostrzegalnej współpracy międzyinstytucjonalnej w dziedzinie cyberbezpieczeństwa. We wrześniu 2012 r. powołano CERT-UE jako grupę zadaniową Komisji Europejskiej z mandatem międzyinstytucjonalnym. W grudniu 2017 r. instytucje i organy Unii zawarły porozumienie międzyinstytucjonalne w sprawie organizacji i funkcjonowania CERT-UE. Ustalenia te powinny nadal ewoluować, aby wspierać wdrażanie niniejszego rozporządzenia.

(12)Należy zmienić nazwę CERT-UE z „zespołu reagowania na incydenty komputerowe” na „Centrum ds. Cyberbezpieczeństwa” instytucji, organów i agencji Unii, aby odzwierciedlić rozwój sytuacji w państwach członkowskich i na świecie, gdzie wiele zespołów CERT przemianowano na centra ds. cyberbezpieczeństwa, natomiast należy zachować nazwę skróconą „CERT-UE” ze względu na jej rozpoznawalność.

(13)Wiele cyberataków jest częścią szerszych kampanii, których celem są grupy instytucji, organów i agencji Unii lub wspólnoty interesów, do których należą instytucje, organy i agencje Unii. Aby umożliwić aktywne wykrywanie incydentów, reagowanie na nie lub wprowadzanie środków ograniczających ryzyko, instytucje, organy i agencje Unii powinny powiadamiać CERT-UE o znaczących cyberzagrożeniach, znaczących podatnościach i znaczących incydentach oraz przekazywać odpowiednie szczegółowe informacje techniczne, które umożliwiają wykrywanie lub ograniczenie ryzyka wystąpienia podobnych cyberzagrożeń, podatności i incydentów w innych instytucjach, organach i agencjach Unii, a także reagowanie na nie. Kierując się podejściem przewidzianym w dyrektywie [wniosek dotyczący dyrektywy NIS 2], należy zobowiązać podmioty, które powzięły wiedzę o znaczącym incydencie, do dokonania wstępnego zgłoszenia do CERT-UE w ciągu 24 godzin. Taka wymiana informacji powinna umożliwić CERT-UE rozpowszechnianie informacji wśród innych instytucji, organów i agencji Unii, jak również wśród ich właściwych odpowiedników, aby pomóc w ochronie środowisk informatycznych Unii i jej partnerów przed podobnymi incydentami, zagrożeniami i podatnościami.

(14)Oprócz powierzenia CERT-UE większej liczby zadań i rozszerzonej roli należy ustanowić Międzyinstytucjonalną Radę ds. Cyberbezpieczeństwa (IICB), która powinna ułatwiać osiągnięcie wysokiego wspólnego poziomu cyberbezpieczeństwa przez instytucje, organy i agencje Unii w drodze monitorowania wdrażania niniejszego rozporządzenia przez instytucje, organy i agencje Unii oraz nadzoru nad realizacją ogólnych priorytetów i celów przez CERT-UE i zapewniania CERT-UE strategicznego kierunku działania. IICB powinna zapewnić, aby instytucje były należycie reprezentowane, a w jej skład powinni wchodzić przedstawiciele agencji i organów za pośrednictwem sieci agencji Unii Europejskiej.

(15)CERT-UE powinien wspierać realizację działań na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa, przedstawiając propozycje wytycznych i zaleceń dla IICB lub wydając wezwania do działania. Wspomniane wytyczne i zalecenia powinny być zatwierdzane przez IICB. W razie potrzeby CERT-UE powinien wydawać wezwania do działania opisujące pilne środki w zakresie bezpieczeństwa, o których wprowadzenie w określonym terminie apeluje się do instytucji, organów i agencji Unii.