OBVESTILO KOMISIJE

Smernice o letnih revizijskih poročilih, ki jih je treba predložiti v skladu s členom 15(8) Direktive 2014/40/EU v okviru sistema sledljivosti EU za tobačne izdelke

(Besedilo velja za EGP)

(2020/C 167/01)

IZJAVA O OMEJITVI ODGOVORNOSTI: Namen tega dokumenta je pooblaščenemu revizorju zagotoviti smernice glede obsega revizije in postopka za predložitev letnega revizijskega poročila. Dokument ni pravno zavezujoč, vendar zagotavlja splošne smernice s priporočili in obravnava najboljše prakse. Te smernice ne posegajo v nacionalna pravila.

1. Uvod

Člen 15 Direktive 2014/40/EU Evropskega parlamenta in Sveta (1) določa vzpostavitev sistema sledljivosti za tobačne izdelke na ravni EU za obravnavanje vprašanja nedovoljene trgovine. Sistem je začel delovati 20. maja 2019.

V skladu s členom 15(8) Direktive 2014/40/EU morajo države članice zagotoviti, da proizvajalci in uvozniki tobačnih izdelkov sklenejo pogodbe o hrambi podatkov z neodvisno tretjo stranjo („tretji ponudnik“) za namene vzpostavitve objekta s pomnilniškimi zmogljivostmi za gostovanje podatkov v zvezi s tobačnimi izdelki posameznih proizvajalcev in uvoznikov („primarni repozitorij“).

Za zagotovitev neodvisnega delovanja sistema sledljivosti člen 15(8) Direktive 2014/40/EU določa, da zunanji revizor spremlja dejavnosti primarnega repozitorija in njegovega tretjega ponudnika. Revizorja predlaga in plača proizvajalec tobačnih izdelkov, odobri pa ga Komisija. Zunanji revizor pristojnim nacionalnim organom in Komisiji svojo oceno predloži v obliki letnega poročila, v katerem oceni zlasti vse nepravilnosti glede dostopa.

Namen tega dokumenta je pooblaščenemu revizorju zagotoviti smernice glede obsega revizije in postopka za predložitev letnega revizijskega poročila. Brati bi ga bilo treba v povezavi z Izvedbeno uredbo Komisije (EU) 2018/574 (2), ki določa tehnične zahteve za vzpostavitev in delovanje sistema sledljivosti, tudi za primarne repozitorije, in Delegirano uredbo Komisije (EU) 2018/573 (3), ki določa ključne elemente pogodb o hrambi podatkov, ki se sklenejo kot del sistema sledljivosti.

Ta dokument je na voljo kot orodje za pomoč pooblaščenim revizorjem; smernice, ki jih vsebuje, so nezavezujoče in ne ustvarjajo novih pravnih obveznosti. Če te smernice razlagajo zakonodajo, stališče Komisije ne posega v nobeno razlago te direktive, ki jo lahko izda Sodišče Evropske unije.

2. Splošni okvir revizij

Vsak primarni repozitorij, ki ga naroči proizvajalec, je predmet letnega revizijskega postopka. Če isti tretji ponudnik upravlja dva ali več primarnih repozitorijev, bi bilo treba izvesti ločeno revizijo in predložiti ločeno revizijsko poročilo za vsak repozitorij.

Revizijo je treba izvesti v zvezi s primarnim repozitorijem in storitvami, povezanimi z njim, vključno z oceno, ali zadevni tretji ponudnik in po potrebi njegovi podizvajalci izpolnjujejo ustrezne zakonodajne zahteve iz Direktive 2014/40/EU, Izvedbene uredbe (EU) 2018/574 in Delegirane uredbe (EU) 2018/573.

Vsak proizvajalec ali uvoznik mora obvestiti Komisijo o revizorju, ki ga predlaga za revizijo svojega primarnega repozitorija, in zadevnem tretjem ponudniku. Vse predlagane revizorje mora odobriti Komisija.

3. Obseg revizije

Obseg in cilji

Revizijska poročila je treba predložiti, da se pristojni nacionalni organi in Komisija obvestijo o ugotovitvah revizorjev, zlasti o vseh nepravilnostih glede dostopa do podatkov, shranjenih v primarnih repozitorijih.

Revizijska poročila bi morala vsebovati ločena poglavja za vsako od šestih področij, navedenih v nadaljevanju. Vsako poglavje bi moralo obravnavati točke preverjanja na zadevnem področju, kot so navedene na kontrolnem seznamu iz Priloge.

Revizije bi bilo treba izvajati v skladu z navedenim kontrolnim seznamom, ki določa zahtevana področja in točke preverjanja v skladu s standardom ISO/IEC 27001:2013 o sistemih upravljanja informacijske varnosti (4). V ta namen bi morali revizorji upoštevati, da se člen 10 Delegirane uredbe Komisije (EU) 2018/573 nanaša na standard ISO/IEC 27001:2013 kot prednostni standard upravljanja informacijske varnosti v okviru upravljanja primarnih repozitorijev.

Področje Cilji Organizacijska in fizična varnost Vzpostavitev upravljavskega okvira za informacijsko varnost znotraj organizacije. Zagotovitev, da zaposleni in izvajalci razumejo svoje odgovornosti in so primerni za vloge, ki so jim dodeljene. Preprečevanje nedovoljenega fizičnega dostopa, škode ali motenja organizacije, vključno z informacijami in zmogljivostmi za obdelavo informacij. Preprečevanje izgube, škode, kraje ali ogrožanja sredstev ter prekinitve operacij organizacije. Varnost operacij Zagotavljanje pravilnih in varnih operacij zmogljivosti za obdelavo informacij. Zaščita pred izgubo podatkov. Evidentiranje dogodkov in zbiranje dokazov. Zagotavljanje celovitosti operativnih sistemov. Preprečevanje izkoriščanja tehnične ranljivosti. Nadzor dostopa (uporabniki in aplikacije) Omejitev dostopa do informacij in zmogljivosti za obdelavo informacij. Zagotavljanje dostopa pooblaščenim uporabnikom in preprečevanje nepooblaščenega dostopa do sistema in storitev. Zagotavljanje, da so uporabniki odgovorni za varstvo svojih avtentikacijskih informacij. Preprečevanje nepooblaščenega dostopa do sistemov in aplikacij. Zagotavljanje, da se informacijska varnost oblikuje in izvaja v okviru razvojnega cikla informacijskih sistemov. Varnost komunikacij Zagotavljanje pravilne in učinkovite uporabe kriptografije za zaščito zaupnosti, avtentičnosti in/ali celovitosti informacij. Zagotavljanje varstva informacij v omrežjih in podpornih zmogljivosti za obdelavo informacij. Ohranjanje varnosti informacij, ki se prenašajo znotraj organizacije in znotraj zunanjih subjektov. Neprekinjeno delovanje Zagotavljanje doslednega in učinkovitega pristopa k obvladovanju incidentov v zvezi z informacijsko varnostjo, vključno z obveščanjem o varnostnih dogodkih in pomanjkljivostih. Neprekinjenost informacijske varnosti je vključena v sisteme upravljanja neprekinjenega delovanja organizacije. Zagotavljanje razpoložljivosti zmogljivosti za obdelavo podatkov. Preprečevanje kršitev pravnih, zakonodajnih ali pogodbenih obveznosti v zvezi z informacijsko varnostjo ter drugih varnostnih zahtev. Celovitost sredstev inpodatkov Opredelitev organizacijskih sredstev in ustreznih odgovornosti za zaščito. Zagotavljanje, da so informacije ustrezno zaščitene. Preprečevanje nepooblaščenega razkrivanja, spreminjanja, odstranjevanja ali uničevanja informacij, shranjenih na nosilcih.

Ugotovitve in priporočila

Ugotovitve revizije bi bilo treba predložiti za vsako točko preverjanja, navedeno na kontrolnem seznamu.

V revizijskem poročilu bi bilo treba izpostaviti in pojasniti le ugotovitve v zvezi z vprašanji neskladnosti ali drugimi ugotovljenimi tveganji. Ugotovitve bi morala spremljati tudi ustrezna priporočila, ki bi določala ukrepe, potrebne za odpravo težav in pomanjkljivosti, ugotovljenih med revizijo.

4. Postopkovni vidiki

Pogostost

Revizorji morajo svoja revizijska poročila predložiti vsako leto. Ker je sistem sledljivosti začel delovati 20. maja 2019, se revizorje poziva, da svoja prva letna revizijska poročila, ki zajemajo prvo leto delovanja sistema sledljivosti (tj. obdobje od 20. maja 2019 do 19. maja 2020), predložijo do 30. novembra 2020. Revizorje se nadalje poziva, da letna poročila za naslednja leta delovanja predložijo do konca oktobra vsakega koledarskega leta.

Ukrepi po reviziji

Kadar se izvedejo nadaljnji ukrepi, da se oceni, ali je zadevni tretji ponudnik ustrezno izvedel priporočila iz letnega revizijskega poročila, je revizor, kadar je to mogoče, pozvan, da Komisiji in nacionalnim pristojnim organom predloži rezultate v treh mesecih po predložitvi letnega revizijskega poročila.

5. Postopkovni vidiki revizijskih poročil

Informacije o revizorjih

V uvodu revizijskega poročila bi bilo treba navesti imena revizorjev in, če je to ustrezno, z njimi povezanih revizijskih podjetij.

Oblika

Revizijsko poročilo bi bilo treba predložiti v elektronski obliki (nezaščitena oblika PDF, ki omogoča iskanje).

Revizorje se poziva, da Komisiji predložijo letna poročila v angleškem jeziku, če je to mogoče.

Postopek predložitve

Letno revizijsko poročilo in morebitno poročilo o nadaljnjih ukrepih bi bilo treba predložiti po elektronski pošti na naslov SANTE-TT-SW@ec.europa.eu, pri čemer se kot zadeva navede: „Audit report [Follow-up to the audit report] for [leto] – [ime proizvajalca naročnika] – [ime revidiranega tretjega ponudnika]“.

Preglednost

Da bi spodbudila splošno preglednost in odgovornost sistema sledljivosti za tobačne izdelke, Komisija poziva proizvajalce, naj se prostovoljno dogovorijo s svojimi revizorji, da Komisiji predložijo tudi javno različico svojega revizijskega poročila, razen osebnih in poslovno občutljivih podatkov.

Take javne različice revizijskih poročil bi bile objavljene na namenski spletni strani Komisije.

(1) Direktiva 2014/40/EU Evropskega parlamenta in Sveta z dne 3. aprila 2014 o približevanju zakonov in drugih predpisov držav članic o proizvodnji, predstavitvi in prodaji tobačnih in povezanih izdelkov in razveljavitvi Direktive 2001/37/ES (UL L 127, 29.4.2014, str. 1).

(2) Izvedbena uredba Komisije (EU) 2018/574 z dne 15. decembra 2017 o tehničnih standardih za vzpostavitev in delovanje sistema sledljivosti tobačnih izdelkov (UL L 96, 16.4.2018, str. 7).

(3) Delegirana uredba Komisije (EU) 2018/573 z dne 15. decembra 2017 o ključnih elementih pogodb o hrambi podatkov, ki se sklenejo kot del sistema sledljivosti tobačnih izdelkov (UL L 96, 16.4.2018, str. 1).

(4) ISO/IEC 27001:2013. Informacijska tehnologija – Varnostne tehnike – Sistemi upravljanja informacijske varnosti – Zahteve. Zahteve iz standarda ISO/IEC 27001:2013 so splošne in so namenjene uporabi v vseh organizacijah, ne glede na njihovo vrsto, velikost ali naravo.