Overweging 70 van 130

In uitzonderlijke omstandigheden, en met name op verzoek van de fabrikant, moet het als coördinator aangewezen CSIRT dat als eerste een melding ontvangt, kunnen besluiten de verspreiding ervan aan de andere relevante als coördinatoren aangewezen CSIRT’s via het centrale meldingsplatform uit te stellen indien dat gerechtvaardigd is om redenen in verband met cyberbeveiliging en slechts zolang dat strikt noodzakelijk is. Het als coördinator aangewezen CSIRT moet Enisa onmiddellijk in kennis stellen van het besluit om de verspreiding uit te stellen, onder vermelding van de redenen daarvoor, en tevens aangeven wanneer het voornemens is de melding verder te verspreiden. De Commissie moet door middel van een gedelegeerde handeling specificeren wat de voorwaarden zijn waaronder die cyberbeveiligingsgerelateerde redenen een rechtvaardiging vormen voor uitstel en moet bij het opstellen van het ontwerp van gedelegeerde handeling samenwerken met het op grond van artikel 15 van Richtlijn (EU) 2022/2555 opgerichte CSIRT-netwerk en met Enisa. Voorbeelden van cyberbeveiligingsgerelateerde redenen zijn onder meer een lopende procedure voor gecoördineerde bekendmaking van kwetsbaarheden of situaties waarin een fabrikant naar verwachting op korte termijn een risicobeperkende maatregel zal nemen en de cyberbeveiligingsrisico’s van onmiddellijke verspreiding via het centrale meldingsplatform zwaarder wegen dan de voordelen ervan. Op verzoek van het als coördinator aangewezen CSIRT moet Enisa dat CSIRT kunnen ondersteunen bij de toepassing van cyberbeveiligingsgerelateerde redenen voor het uitstel van de verspreiding van de melding, op basis van de informatie die Enisa van dat CSIRT heeft ontvangen over het besluit om de melding om die cyberbeveiligingsgerelateerde redenen niet verder te verspreiden. Daarnaast moet vastgelegd worden dat Enisa in zeer uitzonderlijke omstandigheden niet alle details van een melding van een actief uitgebuite kwetsbaarheid gelijktijdig mag ontvangen. Dat is het geval wanneer de fabrikant in zijn melding vermeldt dat de kwetsbaarheid waarvan melding wordt gedaan actief is uitgebuit door een kwaadwillige actor en dat de kwetsbaarheid, volgens de beschikbare informatie, in geen enkele andere lidstaat is uitgebuit dan de lidstaat van het als coördinator aangewezen CSIRT waaraan de fabrikant de kwetsbaarheid heeft gemeld, wanneer onmiddellijke verdere verspreiding van de melding van de kwetsbaarheid naar verwachting zou leiden tot verstrekking van informatie waarvan de openbaarmaking in strijd zou zijn met de wezenlijke belangen van die lidstaat, of wanneer verdere verspreiding van de melding een hoog cyberbeveiligingsrisico inhoudt. In dergelijke gevallen krijgt Enisa alleen gelijktijdig toegang tot de informatie dat de fabrikant een melding heeft gedaan, algemene informatie over het betrokken product met digitale elementen, de informatie over de algemene aard van de uitbuiting en de informatie dat er door de fabrikant beveiligingsgerelateerde redenen zijn aangevoerd en dat de volledige inhoud van de melding derhalve nog niet wordt gedeeld. De volledige melding moet vervolgens ter beschikking worden gesteld van Enisa en andere relevante als coördinatoren aangewezen CSIRT’s wanneer het als coördinator aangewezen CSIRT die de melding als eerste ontvangt, vaststelt dat die beveiligingsgerelateerde redenen waarom er sprake was van zeer uitzonderlijke omstandigheden zoals vastgelegd in deze verordening, niet meer bestaan. Indien Enisa op basis van de beschikbare informatie van oordeel is dat er een systeemrisico bestaat met gevolgen voor de veiligheid op de interne markt, moet Enisa het ontvangende CSIRT aanbevelen de volledige melding onder de andere als coördinatoren aangewezen CSIRT’s en Enisa zelf te verspreiden.