Статья 40Директива № 2018/1972 Европейского парламента и Совета Европейского Союза

1. Государства-члены ЕС должны гарантировать, что поставщики сетей электронных коммуникаций общего пользования или общедоступных услуг электронных коммуникаций принимают соответствующие и пропорциональные технические и организационные меры, для того чтобы должным образом управлять угрозами для безопасности сетей и услуг. Принимая во внимание уровень технического развития, указанные меры должны гарантировать уровень безопасности, соответствующий существующим угрозам. В частности, необходимо принять меры, включая шифрование, для предотвращения и минимизации воздействия случаев нарушения безопасности на пользователей и на другие сети и услуги.

Агентство по обеспечению сетевой и информационной безопасности ЕС («ENISA») в соответствии с Регламентом (ЕС) 526/2013 Европейского Парламента и Совета ЕС <*> должно содействовать координации государств-членов ЕС, для того чтобы не допустить расхождения национальных требований, которые могут создать угрозы для безопасности и барьеры для внутреннего рынка.

---

<*> Регламент (ЕС) 526/2013 Европейского Парламента и Совета ЕС от 21 мая 2013 г. об Агентстве по обеспечению сетевой и информационной безопасности (ENISA) и об отмене Регламента (ЕС) 460/2004 (ОЖ № L 165, 18.06.2013, стр. 41).

2. Государства-члены ЕС должны гарантировать, что поставщики сетей электронных коммуникаций общего пользования или общедоступных услуг электронных коммуникаций незамедлительно уведомляют компетентный орган о случае нарушения безопасности, который имел значительное воздействие на эксплуатацию сетей или услуг.

Для того чтобы определить значение воздействия случая нарушения безопасности, при наличии, необходимо учесть, в частности, следующие параметры:

(a) количество пользователей, которых затронул случай нарушения безопасности;

(b) продолжительность случая нарушения безопасности;

(c) географию области, пострадавшей в случае нарушения безопасности;

(d) масштаб причинения вреда функционированию сети или услуги;

(e) степень воздействия на экономическую и общественную деятельность.

В соответствующих случаях компетентный орган должен проинформировать компетентные органы в других государствах-членах ЕС и ENISA. Соответствующий компетентный орган может проинформировать общественность или потребовать этого от поставщиков, если он считает, что раскрытие случая нарушения безопасности соответствует интересам общества.

Один раз в год соответствующий компетентный орган должен представлять на рассмотрение Европейской Комиссии и ENISA сводный отчет о полученных уведомлениях и о принятых в соответствии с настоящим параграфом мерах.

3. Государства-члены ЕС должны гарантировать, что в случае особой и серьезной угрозы безопасности сетей электронных коммуникаций общего пользования или общедоступных услуг электронных коммуникаций поставщики указанных сетей или услуг информируют своих пользователей, которых может коснуться указанная угроза, о любых возможных обеспечительных мерах или средствах правовой защиты, к которым могут прибегнуть пользователи. В соответствующих случаях поставщики также должны информировать своих пользователей об угрозах самостоятельно.

4. Настоящая Статья действует без ущерба Регламенту (ЕС) 2016/679 и Директиве 2002/58/EC.

5. Европейская Комиссия, принимая во внимание заключение ENISA, может принять имплементационные акты, подробно описывающие технические и организационные меры, указанные в параграфе 1, а также обстоятельства, формат и процедуры, применимые к требованиям об уведомлении согласно параграфу 2. Они должны максимально основываться на европейских и международных стандартах и не должны препятствовать государствам-членам ЕС принимать дополнительные требования в целях, установленных в параграфе 1.

Указанные имплементационные акты должны быть приняты в соответствии с процедурой проверки, указанной в Статье 118(4).