Art. 41 Richtlijn (EU) 2018/1972, Toepassing en handhaving
1. De lidstaten zorgen ervoor dat de bevoegde instanties met het oog op de uitvoering van artikel 40 de bevoegdheid hebben om aanbieders van openbare elektronischecommunicatienetwerken of voor het publiek beschikbare elektronischecommunicatiediensten bindende instructies te geven, onder meer betreffende de maatregelen die nodig zijn om een beveiligingsincident op te lossen of te voorkomen wanneer een significante dreiging is vastgesteld, en betreffende het tijdschema voor de uitvoering.
2. De lidstaten zorgen ervoor dat de bevoegde instanties de bevoegdheid hebben om van aanbieders van openbare elektronischecommunicatienetwerken of voor het publiek beschikbare elektronischecommunicatiediensten te verlangen dat zij:
a) de informatie verschaffen die nodig is om de veiligheid van hun netwerken en diensten te beoordelen, met inbegrip van gedocumenteerde beveiligingsmaatregelen; en
b) een veiligheidscontrole laten uitvoeren door een gekwalificeerde onafhankelijke instantie of een bevoegde instantie en de resultaten ervan beschikbaar stellen aan de bevoegde instantie; de kosten van de controle worden door de aanbieder gedragen.
3. De lidstaten zorgen ervoor dat de bevoegde instanties alle nodige bevoegdheden hebben om gevallen van niet-naleving te onderzoeken, evenals de effecten ervan op de beveiliging van de netwerken en diensten.
4. De lidstaten zorgen ervoor dat, ter uitvoering van artikel 40, de bevoegde instanties de bevoegdheid hebben om de hulp in te roepen van een „Computer Security Incident Response Team” (CSIRT), dat op grond van artikel 9 van Richtlijn (EU) 2016/1148 is aangewezen met betrekking tot kwesties die vallen onder de taken van de CSIRT's op grond van punt 2 van bijlage I bij die richtlijn.
5. Waar nodig en in overeenstemming met het nationale recht werken de bevoegde instanties samen met, en overleggen zij met, de relevante nationale rechtshandhavingsinstanties, de bevoegde instanties als omschreven in artikel 8, lid 1, van Richtlijn (EU) 2016/1148 en de nationale instanties voor gegevensbescherming.