Framkvæmdareglugerð um veitendur stafrænnar þjónustu (undirgerð NIS-tilskipunar) - 32018R0151
Commission Implementing Regulation (EU) 2018/151 of 30 January 2018 laying down rules for application of Directive (EU) 2016/1148 of the European Parliament and of the Council as regards further specification of the elements to be taken into account by digital service providers for managing the risks posed to the security of network and information systems and of the parameters for determining whether an incident has a substantial impact
Framkvæmdarreglugerð framkvæmdastjórnarinnar (ESB) 2018/151 frá 30. janúar 2018 um reglur um beitingu tilskipunar Evrópuþingsins og ráðsins (ESB) 2016/1148 að því er varðar frekari forskriftir varðandi þá þætti sem veitendur stafrænnar þjónustu eiga að taka tillit til í því skyni að stýra þeirri áhættu sem steðjar að öryggi net- og upplýsingakerfa og varðandi þær kennistærðir sem notaðar eru til að ákvarða hvort atvik hafi verulega skerðandi áhrif
-
Tillaga sem gæti verið EES-tæk
-
Gerð í skoðun hjá EES-EFTA ríkjunum
-
Drög að ákvörðun sameiginlegu nefndarinnar í skoðun
-
Ákvörðun sameiginlegu nefndarinnar samþykkt en hefur ekki öðlast gildi
-
Tekin upp í EES-samninginn og í gildi
-
Tekin upp í EES-samninginn en ekki lengur í gildi
Staða og svið tillögu/gerðar
| Staða tillögu/gerðar | ESB gerð sem hefur verið tekin upp í EES-samninginn og er í gildi |
|---|---|
| Svið (EES-samningur, viðauki) | 11 Rafræn fjarskipti, hljóð- og myndmiðlun og upplýsingasamfélagið, 11.01 Fjarskiptaþjónusta |
| Ákvörðun sameiginlegu nefndarinnar (JCD) | 021/2023 |
| Þennan dag skulu skilyrði uppfyllt á EES-svæðinu | |
| Staðfestur gildistökudagur | |
| Í gildi á EES-svæðinu | Já |
Almennar upplýsingar
Útdráttur
Nánari útfærsla á kröfum netöryggistilskipunar (ESB) 2016/1148, NIS-tilskipunarinnar, um áhættustýringu af hálfu veitenda stafrænnar þjónustu og viðmið um mat á hvenær atvik teljast hafa verulega skerðandi áhrif á veitingu þjónustu þeirra. NIS-tilskipunin er fyrirmynd laga nr. 78/2019 um öryggi net og upplýsingakerfa mikilvægra innviða, sem tóku gildi hér á landi 1. september 2020.
Nánari efnisumfjöllun
Tilskipun Evrópuþingsins og ráðsins (ESB) 2016/1148 er um ráðstafanir til að ná háu sameiginlegu öryggisstigi í net- og upplýsingakerfum í Evrópusambandinu (NIS-tilskipunin eða NISD). Í innleiðingarreglugerð framkvæmdastjórnar ESB 2018/151 eru ákvæði um útfærslu á tilteknum þáttum sem fjallað er um í NISD. Þetta eru atriði sem veitendur stafrænnar þjónustu (e. digital service providers) skulu t.t.t. við stjórnun áhættu sem getur ógnað öryggi net- og upplýsingakerfa þeirra. Veitendur stafrænnar þjónustu eru aðilar sem starfrækja netmarkað, leitarvélar á netinu og skýjavinnsluþjónustu (þ.e. í skilningi NISD og laga nr. 78/2019 um öryggi net- og upplýsingakerfa mikilvægra innviða). Í framkvæmdareglugerð framkvæmdastjórnarinnar (ESB) nr. 2018/151 eru skilgreindar sértækar kröfur sem uppfylltar skulu í umgjörð áhættustýringar þeirra, vegna eigin net- og upplýsingakerfa. Þá er þar að finna ákvæði um breytur sem nota skal til að ákvarða hvort atvik teljist hafa verulega skerðandi áhrif á veitingu stafrænnar þjónustu. Sérstaklega er fjallað um eftirfarandi þætti í reglugerðinni: a. öryggi kerfa og búnaðar, b. meðhöndlun atvika, c. stjórnun rekstrarsamfellu, d. eftirlit, endurskoðun og prófanir, e. að farið sé að alþjóðlegum stöðlum.
Staða innan stjórnsýslunnar
| Stofnun hefur lokið yfirferð | Já |
|---|---|
| Þörf á aðlögun í ákvörðun sameiginlegu nefndarinnar | Ekki þörf á aðlögun |
| Fagráðuneyti hefur lokið vinnu við upplýsingablað og samþykkir drög að ákvörðun sameiginlegu nefndarinnar | Já |
| Alþingi hefur lokið mati sínu | Á ekki við |
| Utanríkisráðuneyti hefur veitt samþykki fyrir því að drög að ákvörðun sameiginlegu nefndarinnar séu send til ESB | Já |
| Sent til Alþingis | |
| Utanríkisráðuneyti hefur veitt samþykki fyrir því að drög að ákvörðun sameiginlegu nefndarinnar séu send til ESB |
Innleiðing
| Innleiðing | Lagasetning/lagabreyting |
|---|---|
| Tilgreinið hvaða lög eða reglugerð þarf að setja eða breyta | Í gildi er reglugerð nr. 1255/2020 um öryggi net- og upplýsingakerfa veitenda stafrænnar þjónustu, sem sett var á grundvelli laga nr. 78/2019 um öryggi net- og upplýsingakerfa mikilvægra innviða (er tóku gildi 1. september 2020). Hana þarf væntanlega að endurskoða, ef innleiða á framkvæmdareglugerð 2018/151 með tilvísunaraðferð. |
| Staða innleiðingarvinnu | Innleiðingarvinnu lokið (tilkynnt til ESA – form 1) eða þarfnast ekki innleiðingar |
Samráð
| Samráð | Nei |
|---|---|
| Hvaða hagsmunaaðilar | Veitendur stafrænnar þjónustu í skilningi NIS-tilskipunarinnar og laga nr. 78/2019, Fjarskiptastofa (ætlað hlutverk eftirlitsstjórnvalds gagnvart veitendum stafrænnar þjónustu skv. lögum nr. 78/2019), Notendur stafrænnar þjónustu |
| Samráðsgátt | https://samradsgatt.island.is/oll-mal/$Cases/Details/?id=2786 |
| Niðurstöður samráðs | Við undirbúning reglugerðar nr. 1255/2020 var horft til þessarar framkvæmdareglugerðar ESB 2018/151. Nú þegar upptaka hennar í EES-samninginn er fyrirhuguð kemur til skoðunar að breyta reglugerð nr. 1255/2020, sbr. upptaka áformuð með tilvísunaraðferð. Drög að reglugerð verða birt til umsagnar í Samráðsgátt. |
Áhrif
| Nánari útskýring á kostnaði, þ.á.m. á hvern hann fellur | Fjarskiptastofu var með lögum nr. 78/2019 falið hlutverk eftirlitsstjórnvalds gagnvart veitendum stafrænnar þjónustu. Hún sinnir því í dag og eru ekki fyrirséð aukin kostnaðaráhrif vegna upptöku og innleiðingar framkvæmdareglugerðarinnar, með vísan til gildandi reglugerðar nr. 1255/2020. |
|---|---|
| Áætlaður kostnaður hins opinbera | Innan fjárhagsáætlunar |
Ábyrgðaraðilar
| Ábyrgt ráðuneyti | Innviðaráðuneytið |
|---|---|
| Ábyrg stofnun | Fjarskiptastofa |
Samþykktar gerðir birtar í Stjórnartíðindum ESB
| CELEX-númer | 32018R0151 |
|---|---|
| Þennan dag skulu skilyrði uppfyllt í ESB | |
| Samþykkt tilvísun í Stjórnartíðindi ESB | OJ L 26, 31.1.2018, p. 48 |
| Þennan dag skulu skilyrði uppfyllt í ESB |
Vinnslustig (pipeline stage)
| Samþykktardagur i ESB |
|---|
Drög að ákvörðun sameiginlegu nefndarinnar
| Stjórnskipulegum fyrirvara aflétt (Liechtenstein) | |
|---|---|
| Stjórnskipulegum fyrirvara aflétt (Noregur) |
Ákvörðun sameiginlegu nefndarinnar
| Sendingardagur EFTA á drögum að ákvörðun sameiginlegu nefndarinnar til framkvæmdastjórnarinnar | |
|---|---|
| Staðfestur gildistökudagur | |
| Tilvísun í EES-viðbæti | EEA Supplement No 75, 19.10.2023, p. 32 |
| Tilvísun í stjórnartíðindi ESB | OJ L, 2023/2310, 19.10.2023 |
Breytt af (Modified by)
| 32024R2690 | repeals | Commission Implementing Regulation (EU) 2024/2690 of 17 October 2024 laying down rules for the application of Directive (EU) 2022/2555 as regards technical and methodological requirements of cybersecurity risk-management measures and further specification of the cases in which an incident is considered to be significant with regard to DNS service providers, TLD name registries, cloud computing service providers, data centre service providers, content delivery network providers, managed service providers, managed security service providers, providers of online market places, of online search engines and of social networking services platforms, and trust service providers | Gerð í skoðun hjá EES EFTA-ríkjunum |
Breytir (Modifies)
| 32016L1148 | based on | Directive (EU) 2016/1148 of the European Parliament and of the Council of 6 July 2016 concerning measures for a high common level of security of network and information systems across the Union | Tekin upp í EES-samninginn og í gildi |