Αρμοδιότητες, εξουσίες και καθήκοντα της Αρχής

17. Αποτελεί αρμοδιότητα και εξουσία της Αρχής μεταξύ άλλων, όπως-

(α) [Διαγράφηκε],

(β) εφαρμόζει, σε θέματα ασφάλειας δικτύων και συστημάτων πληροφοριών, το εκάστοτε ακολουθητέο πλαίσιο γενικής πολιτικής σύμφωνα με τις διατάξεις του εδαφίου (2) του άρθρου 16,

(γ) αποτελεί εθνικό ενιαίο σημείο επαφής για την ασφάλεια των δικτύων και συστημάτων πληροφοριών (εφεξής «ενιαίο κέντρο επαφής»),

(δ) ασκεί, ως ενιαίο σημείο επαφής, καθήκοντα συνδέσμου για τη διασφάλιση της διασυνοριακής συνεργασίας με τις αρμόδιες αρχές των άλλων κρατών μελών, τις αρμόδιες αρχές της Δημοκρατίας, την ομάδα συνεργασίας το Δίκτυο CSIRT και το EU-CyCLONE,, όπως προβλέπεται στις διατάξεις του άρθρου 33,

(ε) διαβουλεύεται και συνεργάζεται με τις αρμόδιες αρχές επιβολής του νόμου, την Κυπριακή Υπηρεσία Πληροφοριών, τον Επίτροπο Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, το Τμήμα Πολιτικής Αεροπορίας, το Τμήμα Ηλεκτρονικών Επικοινωνιών, τις αρμόδιες αρχές της Δημοκρατίας που έχουν οριστεί για την εφαρμογή του Κανονισμού (ΕΕ) 2022/2554, το ΓΕΡΗΕΤ και την αρμόδια αρχή της Δημοκρατίας για την ανθεκτικότητα  των κρίσιμων οντοτήτων, καθώς και με τις αρμόδιες αρχές που έχουν οριστεί βάσει άλλων τομεακών νομικών πράξεων της Ένωσης∙

(στ) υποβάλλει ως ενιαίο σημείο επαφής στην ομάδα συνεργασίας ετήσια συνοπτική έκθεση, σε ημερομηνία που καθορίζεται από την Ομάδα Συνεργασίας ή/και την Ευρωπαϊκή Επιτροπή, σχετικά με τις κοινοποιήσεις που έχει παραλάβει, συμπεριλαμβανομένου του αριθμού των κοινοποιήσεων και της φύσης των κοινοποιημένων συμβάντων, καθώς και τα μέτρα που έχουν ληφθεί σύμφωνα με τις διατάξεις των εδαφίων (3) και (5) του άρθρου 35 και των διατάξεων των εδαφίων (4) και (6) του άρθρου 35Β,

(ζ) διασφαλίζει,μέσω του Υπουργικού Συμβουλίου, ότι διαθέτει επαρκείς πόρους για την αποτελεσματική εκτέλεση των καθηκόντων της και για τα καθήκοντα του εθνικού CSIRT που περιγράφονται στις διατάξεις του εδαφίου (3) του άρθρου 31 και τις διατάξεις του εδαφίου (3) του άρθρου 31Α,

(η) μεριμνά για την αποτελεσματική, αποδοτική και ασφαλή συνεργασία του εθνικού CSIRT, στο πλαίσιο του δικτύου CSIRT, που αναφέρεται στις διατάξεις του άρθρου 33,

(θ) ζητά τη συνδρομή του ENISA ή και άλλων ευρωπαϊκών ή/και διεθνών οργανισμών ή/και άλλων διεθνών φορέων για την ανάπτυξη του εθνικού CSIRT, εάν το κρίνει απαραίτητο η Αρχή,

(ι) λαμβάνει τις κοινοποιήσεις περιστατικών σε εθνικό επίπεδο και τις κοινοποιήσεις που διαβιβάζονται σε αυτήν από οποιεσδήποτε άλλες αρμόδιες αρχές κρατών μελών της Ευρωπαϊκής Ένωσης σύμφωνα με τις διατάξεις του παρόντος Νόμου,

(ια) [Διαγράφηκε],

(ιβ) εποπτεύει το εθνικό CSIRT και άλλα τομεακά CSIRT στη Δημοκρατία:

Νοείται ότι, από τον όρο «τομεακά CSIRT» εξαιρείται η λειτουργία στρατιωτικού CSIRT, το οποίο διασφαλίζει ουσιαστική συνεργασία σε θέματα κυβερνοασφάλειας με την Αρχή, καθώς και την ανταλλαγή επιλεγμένων πληροφοριών με το εθνικό CSIRT,

(ιγ) διασφαλίζει ότι το εθνικό CSIRT έχει πρόσβαση σε μια κατάλληλη, ασφαλή και ανθεκτική υποδομή επικοινωνιών και πληροφοριών σε εθνικό επίπεδο σύμφωνα με τις διατάξεις του παρόντος Νόμου,

(ιδ) ορίζει, με Απόφαση της, τις βασικές και σημαντικές οντότητες οι οποίες είναι εγκατεστημένες στη Δημοκρατία για κάθε τομέα και υποτομέα που αναφέρονται στο Παράρτημα Ι ή ΙΙ του παρόντος Νόμου καθώς και τις οντότητες που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα στη Δημοκρατία,

(ιε) επανεξετάζει και, κατά περίπτωση, επικαιροποιεί τον κατάλογο των προσδιορισμένων βασικών και σημαντικών οντοτήτων και των οντοτήτων που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα σε τακτική βάση και τουλάχιστον ανά διετία,

(ιστ) συνεργάζεται στενά με τον Επίτροπο Προστασίας Δεδομένων Προσωπικού Χαρακτήρα για την αντιμετώπιση συμβάντων που οδηγούν σε παραβιάσεις προσωπικών δεδομένων,

(ιζ) αξιολογεί τη συμμόρφωση των βασικών ή/και σημαντικών οντοτήτων με τις υποχρεώσεις τους δυνάμει των διατάξεων του άρθρου 35 και των επιπτώσεών τους στην ασφάλεια των δικτύων και συστημάτων πληροφοριών τους,

(ιη) εξασφαλίζει ότι οι βασικές ή/και σημαντικές οντότητες λαμβάνουν κατάλληλα και αναλογικά τεχνικά, επιχειρησιακά και οργανωτικά μέτρα για τη διαχείριση των κινδύνων όσον αφορά την ασφάλεια των δικτύων και συστημάτων πληροφοριών που χρησιμοποιούν στις δραστηριότητές τους,

(ιθ) εξασφαλίζει ότι οι βασικές ή/και σημαντικές οντότητες λαμβάνουν κατάλληλα μέτρα για την ολιστική προσέγγιση του κινδύνου που αποσκοπεί στην προστασία των συστημάτων δικτύου και πληροφοριών και του φυσικού περιβάλλοντος των εν λόγω συστημάτων από περιστατικά,

(κ) εξασφαλίζει ότι οι βασικές ή/και σημαντικές οντότητες κοινοποιούν αμελλητί στην Αρχή κάθε περιστατικό που έχει σημαντικό αντίκτυπο στην παροχή των υπηρεσιών τους, όπως αναφέρεται στο εδάφιο (3) του άρθρου 35Β (σημαντικό περιστατικό),

(κα) [Διαγράφηκε],

(κβ) [Διαγράφηκε],

(κγ) [Διαγράφηκε],

(κδ) [Διαγράφηκε],

(κε) εκδίδει οποιαδήποτε Απόφαση, συμπεριλαμβανομένων προσωρινών μέτρων, αναφορικά με ζητήματα που εμπίπτουν στις αρμοδιότητές της,

(κστ) επιβάλλει διοικητικό πρόστιμο, σύμφωνα με τις διατάξεις των άρθρων 43 και 43Α, σε οποιοδήποτε πρόσωπο παραβιάζει τις διατάξεις του παρόντος Νόμου ή τις πρόνοιες των Κανονισμών ή των Αποφάσεων που εκδίδονται δυνάμει αυτού,

(κζ) είναι μέλος και να συμμετέχει σε συναντήσεις τέτοιων ευρωπαϊκών ή διεθνών οργανισμών ως προς το συμφέρον της Δημοκρατίας,

(κη) αιτείται, στο πλαίσιο συγκεκριμένων δραστηριοτήτων της, της παροχής, από τις βασικές ή/και τις σημαντικές οντότητες ή/και τις οντότητες που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα,  κάθε σχετικών τεχνικών, οικονομικών και άλλων πληροφοριών, συμπεριλαμβανομένων των αρχείων καταγραφής (logs), για περίοδο τουλάχιστον έξι (6) μηνών καθώς και πληροφορίες για σκοπούς δημοσίας τάξεως και εθνικής ασφάλειας, τηρουμένης της αρχής της αναλογικότητας,

(κθ) ασκεί οποιεσδήποτε άλλες αρμοδιότητες, εξουσίες και καθήκοντα, της παρέχονται δυνάμει των διατάξεων του παρόντος Νόμου ή δυνάμει των προνοιών των Κανονισμών και Αποφάσεων που εκδίδονται δυνάμει αυτού,

(λ) επεξεργάζεται δεδομένα προσωπικού χαρακτήρα, δυνάμει των διατάξεων του παρόντος Νόμου, σύμφωνα με τον περί της Προστασίας των Φυσικών Προσώπων Έναντι της Επεξεργασίας των Δεδομένων Προσωπικού Χαρακτήρα και της Ελεύθερης Κυκλοφορίας των Δεδομένων αυτών Νόμο και τον Κανονισμό (ΕΕ) αριθ. 2016/679,

(λα) θεσπίζει ή/και να διατηρεί διατάξεις, με στόχο την επίτευξη υψηλότερου επιπέδου ασφάλειας των δικτύων και συστημάτων πληροφοριών με την επιφύλαξη των υποχρεώσεων της Δημοκρατίας που απορρέουν από το ενωσιακό δίκαιο,

(λβ) τηρουμένων των διατάξεων του εδαφίου (3) του άρθρου 19, προβαίνει στη δημοσίευση πληροφοριών και εγγράφων που αναφέρονται στις διατάξεις του άρθρου 19 όπως κρίνει σκόπιμο, για σκοπούς προαγωγής της ενημέρωσης και κατανόησης από το κοινό επί θεμάτων ασφάλειας δικτύων και συστημάτων πληροφοριών, ψηφιακής ασφάλειας και κυβερνο-ασφάλειας,

(λγ) παρακολουθεί την εφαρμογή των διατάξεων του παρόντος Νόμου στη Δημοκρατία και, κατά την άσκηση της αρμοδιότητάς της αυτής, δύναται να ζητά και λαμβάνει συνδρομή από πρόσωπα τα οποία υπόκεινται σε καθεστώς εποπτείας, δυνάμει οποιασδήποτε οικείας νομοθεσίας, και από τις αντίστοιχες εποπτικές αρχές ή από τις εθνικές αρχές που συνεισφέρουν στην εποπτεία, όταν αυτή ασκείται από υπερεθνικές αρχές:

Νοείται ότι, οι εξουσίες που χορηγούνται στην Αρχή, δυνάμει των διατάξεων του παρόντος Νόμου, απαιτείται να ασκούνται κατά τρόπο που να μη θίγουν τις αρμοδιότητες, τα καθήκοντα και τις εξουσίες των εποπτικών, εθνικών ή υπερεθνικών αρχών που αναφέρονται στις διατάξεις της παρούσας παραγράφου,

(λδ) συνάπτει μνημόνια συνεργασίας με φορείς που διέπονται από τον παρόντα Νόμο ή άλλες αρχές ή οργανισμούς ή εταιρείες που συνεργάζονται με την Αρχή:

Νοείται ότι, η Αρχή δύναται να συνάπτει μνημόνια συνεργασίας με τις εθνικές ομάδες αντιμετώπισης περιστατικών ασφάλειας σε υπολογιστές, τρίτης χώρας και στο πλαίσιο αυτό, η Αρχή διευκολύνει την αποτελεσματική, αποδοτική και ασφαλή ανταλλαγή πληροφοριών με τις εν λόγω εθνικές ομάδες αντιμετώπισης περιστατικών ασφαλείας σε υπολογιστές τρίτης χώρας, χρησιμοποιώντας σχετικά πρωτόκολλα ανταλλαγής πληροφοριών, συμπεριλαμβανομένου του πρωτοκόλλου φωτεινού σηματοδότη (Traffic Light Protocol – TLP):

Νοείται περαιτέρω ότι, η Αρχή δύναται να ανταλλάσσει σχετικές πληροφορίες με εθνικές ομάδες αντιμετώπισης περιστατικών ασφαλείας σε υπολογιστές τρίτης χώρας, συμπεριλαμβανομένων δεδομένων προσωπικού χαρακτήρα δυνάμει των διατάξεων του περί Προστασίας των Φυσικών Προσώπων Έναντι της Επεξεργασίας των Δεδομένων Προσωπικού Χαρακτήρα και της Ελεύθερης Κυκλοφορίας των Δεδομένων αυτών Νόμο και του Κανονισμού (ΕΕ) 2016/679,

(λε) συνάπτει, τηρουμένων των διατάξεων οποιωνδήποτε άλλων νομικών πράξεων εκδίδει η Ευρωπαϊκή Ένωση, μνημόνια συνεργασίας ή/και συμφωνίες, όπου κρίνεται απαραίτητο, με εποπτικές αρχές οι οποίες εποπτεύουν αδειοδοτημένα ιδρύματα για τα οποία εφαρμόζονται οι διατάξεις του παρόντος Νόμου και στα εν λόγω μνημόνια συνεργασίας ή/και συμφωνίες, δύναται να προσδιορίζεται ο τρόπος εφαρμογής των διατάξεων που ενεργοποιούνται με τον καθορισμό των αδειοδοτημένων ιδρυμάτων βασικών ή σημαντικών οντοτήτων ή άλλως πως,

(λστ) εκδίδει, στο πλαίσιο της αποτελεσματικής άσκησης των αρμοδιοτήτων και εξουσιών της, Αποφάσεις για την εφαρμογή ενωσιακών Κανονισμών, την εναρμόνιση με ενωσιακή Οδηγία, Απόφαση, Εκτελεστικό Κανονισμό, κατ’ εξουσιοδότηση Κανονισμό, Σύσταση και κάθε άλλη σχετική πράξη της Ευρωπαϊκής Ένωσης ή/και για την αποσαφήνιση διατάξεων του παρόντος Νόμου∙

(λζ) ενεργεί ως η αρμόδια αρχή για τη διαχείριση περιστατικών και κρίσεων μεγάλης κλίμακας στον τομέα της κυβερνοασφάλειας ως η αρχή διαχείρισης κυβερνοκρίσεων∙

(λη) λαμβάνει κοινοποιήσεις σοβαρών περιστατικών δυνάμει των διατάξεων του άρθρου 35Β καθώς και περιστατικών κυβερνοαπειλών και παρ’ ολίγον περιστατικών δυνάμει των διατάξεων του άρθρου 42 ∙

(λθ) συμμετέχει σε αξιολογήσεις από ομότιμους δυνάμει των διατάξεων του άρθρου 34Α∙

(μ) χρησιμοποιεί τα απαραίτητα μέσα για την άσκηση αποτελεσματικής εποπτείας των οντοτήτων οι οποίες  εμπίπτουν στο πεδίο εφαρμογής του παρόντος Νόμου και λαμβάνει τα αναγκαία μέτρα για να εξασφαλίσει τη συμμόρφωσή τους δυνάμει των διατάξεων του παρόντος Νόμου∙ και

(μα) δημιουργεί και τηρεί μητρώο με παροχείς υπηρεσιών DNS, μητρώα ονομάτων TLD, οντότητες που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα, παροχείς υπηρεσιών υπολογιστικού νέφους, παροχείς υπηρεσιών κέντρων δεδομένων, παροχείς δικτύων διανομής περιεχομένου, παροχείς διαχειριζομένων υπηρεσιών, παροχείς διαχειριζομένων υπηρεσιών ασφάλειας καθώς και παροχείς επιγραμμικών αγορών, παροχείς επιγραμμικών μηχανών αναζήτησης ή παροχείς πλατφορμών υπηρεσιών κοινωνικής δικτύωσης, τηρουμένων των διατάξεων του άρθρου 37Α.