# Úradný vestník L 333/2022

| | ISSN 1977-0790 |
| --- | --- |
| Úradný vestník
  Európskej únie | L 333 |
| | |
| Slovenské vydanie | Právne predpisy | Ročník 6527. decembra 2022 |

ISSN 1977-0790

Úradný vestník

Európskej únie

L 333

Slovenské vydanie

Právne predpisy

Ročník 6527. decembra 2022

---

| Obsah | | I   Legislatívne akty | Strana |
| --- | --- | --- | --- |
| | | NARIADENIA |
| | * | Nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554 zo 14. decembra 2022 o digitálnej prevádzkovej odolnosti finančného sektora a o zmene nariadení (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014, (EÚ) č. 909/2014 a (EÚ) 2016/1011 (
  1
  ) | 1 |
| | | SMERNICE |
| | * | Smernica Európskeho parlamentu a Rady (EÚ) 2022/2555 zo 14. decembra 2022 o opatreniach na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v Únii, ktorou sa mení nariadenie (EÚ) č. 910/2014 a smernica (EÚ) 2018/1972 a zrušuje smernica (EÚ) 2016/1148 (smernica NIS 2) (
  1
  ) | 80 |
| | * | Smernica Európskeho parlamentu a Rady (EÚ) 2022/2556 zo 14. decembra 2022, ktorou sa menia smernice 2009/65/ES, 2009/138/ES, 2011/61/EÚ, 2013/36/EÚ, 2014/59/EÚ, 2014/65/EÚ, (EÚ) 2015/2366 a (EÚ) 2016/2341, pokiaľ ide o digitálnu prevádzkovú odolnosť finančného sektora (
  1
  ) | 153 |
| | * | Smernica Európskeho parlamentu a Rady (EÚ) 2022/2557 zo 14. decembra 2022 o odolnosti kritických subjektov a o zrušení smernice Rady 2008/114/ES (
  1
  ) | 164 |

Obsah

I   Legislatívne akty

Strana

NARIADENIA

*

Nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554 zo 14. decembra 2022 o digitálnej prevádzkovej odolnosti finančného sektora a o zmene nariadení (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014, (EÚ) č. 909/2014 a (EÚ) 2016/1011 (
  1
  )

1

1

SMERNICE

*

Smernica Európskeho parlamentu a Rady (EÚ) 2022/2555 zo 14. decembra 2022 o opatreniach na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v Únii, ktorou sa mení nariadenie (EÚ) č. 910/2014 a smernica (EÚ) 2018/1972 a zrušuje smernica (EÚ) 2016/1148 (smernica NIS 2) (
  1
  )

1

80

*

Smernica Európskeho parlamentu a Rady (EÚ) 2022/2556 zo 14. decembra 2022, ktorou sa menia smernice 2009/65/ES, 2009/138/ES, 2011/61/EÚ, 2013/36/EÚ, 2014/59/EÚ, 2014/65/EÚ, (EÚ) 2015/2366 a (EÚ) 2016/2341, pokiaľ ide o digitálnu prevádzkovú odolnosť finančného sektora (
  1
  )

1

153

*

Smernica Európskeho parlamentu a Rady (EÚ) 2022/2557 zo 14. decembra 2022 o odolnosti kritických subjektov a o zrušení smernice Rady 2008/114/ES (
  1
  )

1

164

| | |
| --- | --- |
| | (1)   Text s významom pre EHP |

---

(1)   Text s významom pre EHP

1

| SK | Akty, ktoré sú vytlačené obyčajným písmom, sa týkajú každodennej organizácie poľnohospodárskych záležitostí a sú spravidla platné len obmedzenú dobu.
  Názvy všetkých ostatných aktov sú vytlačené tučným písmom a je pred nimi hviezdička. |
| --- | --- |

SK

Akty, ktoré sú vytlačené obyčajným písmom, sa týkajú každodennej organizácie poľnohospodárskych záležitostí a sú spravidla platné len obmedzenú dobu.

Názvy všetkých ostatných aktov sú vytlačené tučným písmom a je pred nimi hviezdička.

---

I Legislatívne akty

NARIADENIA

| 27.12.2022 | SK | Úradný vestník Európskej únie | L 333/1 |
| --- | --- | --- | --- |

27.12.2022

SK

Úradný vestník Európskej únie

L 333/1

---

NARIADENIE EURÓPSKEHO PARLAMENTU A RADY (EÚ) 2022/2554

zo 14. decembra 2022

o digitálnej prevádzkovej odolnosti finančného sektora a o zmene nariadení (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014, (EÚ) č. 909/2014 a (EÚ) 2016/1011

(Text s významom pre EHP)

EURÓPSKY PARLAMENT A RADA EURÓPSKEJ ÚNIE,

so zreteľom na Zmluvu o fungovaní Európskej únie, a najmä na jej článok 114,

so zreteľom na návrh Európskej komisie,

po postúpení návrhu legislatívneho aktu národným parlamentom,

so zreteľom na stanovisko Európskej centrálnej banky (1),

so zreteľom na stanovisko Európskeho hospodárskeho a sociálneho výboru (2),

konajúc v súlade s riadnym legislatívnym postupom (3),

keďže:

| (1) | V digitálnom veku informačné a komunikačné technológie (ďalej len „IKT“) podporujú zložité systémy používané pri každodenných činnostiach. Udržiavajú chod našich hospodárstiev v kľúčových odvetviach vrátane finančného sektora a zlepšujú fungovanie vnútorného trhu. Zvýšená digitalizácia a vzájomná prepojenosť zároveň zvyšujú IKT riziko a spoločnosť ako celok, a najmä finančný systém, sú zraniteľnejšie voči kybernetickým hrozbám alebo narušeniam v oblasti IKT. Zatiaľ čo všadeprítomné využívanie IKT systémov a vysoká miera digitalizácie a pripojiteľnosti sú v súčasnosti základnými prvkami činností finančných subjektov Únie, ich digitálna odolnosť sa ešte len musí začať lepšie upravovať a integrovať do ich širších operatívnych rámcov. |
| --- | --- |

(1)

V digitálnom veku informačné a komunikačné technológie (ďalej len „IKT“) podporujú zložité systémy používané pri každodenných činnostiach. Udržiavajú chod našich hospodárstiev v kľúčových odvetviach vrátane finančného sektora a zlepšujú fungovanie vnútorného trhu. Zvýšená digitalizácia a vzájomná prepojenosť zároveň zvyšujú IKT riziko a spoločnosť ako celok, a najmä finančný systém, sú zraniteľnejšie voči kybernetickým hrozbám alebo narušeniam v oblasti IKT. Zatiaľ čo všadeprítomné využívanie IKT systémov a vysoká miera digitalizácie a pripojiteľnosti sú v súčasnosti základnými prvkami činností finančných subjektov Únie, ich digitálna odolnosť sa ešte len musí začať lepšie upravovať a integrovať do ich širších operatívnych rámcov.

| (2) | Využívanie IKT začalo v posledných desaťročiach plniť v oblasti poskytovania finančných služieb kľúčovú úlohu, pričom dosiahlo bod, v ktorom v súčasnosti nadobudlo zásadný význam pre vykonávanie typických každodenných funkcií všetkých finančných subjektov. Digitalizácia sa dnes týka napríklad platieb, ktoré čoraz viac prechádzajú od hotovostných a papierových metód k používaniu digitálnych riešení, ako aj zúčtovania a vyrovnania transakcií s cennými papiermi, elektronického a algoritmického obchodovania, operácií požičiavania a financovania, partnerského financovania, úverových ratingov, správy nárokov a operácií back-office. Sektor poisťovníctva sa tiež transformoval vďaka využívaniu IKT, od vzniku sprostredkovateľov poistenia ponúkajúcich svoje služby online využívajúc nástroje InsurTech až po digitálne upisovanie poistenia. Nielenže sa financie stali v celom sektore vo veľkej miere digitálnymi, ale digitalizácia zároveň prehĺbila aj prepojenia a vzájomnú závislosť v rámci finančného sektora a s externou infraštruktúrou a externými poskytovateľmi služieb. |
| --- | --- |

(2)

Využívanie IKT začalo v posledných desaťročiach plniť v oblasti poskytovania finančných služieb kľúčovú úlohu, pričom dosiahlo bod, v ktorom v súčasnosti nadobudlo zásadný význam pre vykonávanie typických každodenných funkcií všetkých finančných subjektov. Digitalizácia sa dnes týka napríklad platieb, ktoré čoraz viac prechádzajú od hotovostných a papierových metód k používaniu digitálnych riešení, ako aj zúčtovania a vyrovnania transakcií s cennými papiermi, elektronického a algoritmického obchodovania, operácií požičiavania a financovania, partnerského financovania, úverových ratingov, správy nárokov a operácií back-office. Sektor poisťovníctva sa tiež transformoval vďaka využívaniu IKT, od vzniku sprostredkovateľov poistenia ponúkajúcich svoje služby online využívajúc nástroje InsurTech až po digitálne upisovanie poistenia. Nielenže sa financie stali v celom sektore vo veľkej miere digitálnymi, ale digitalizácia zároveň prehĺbila aj prepojenia a vzájomnú závislosť v rámci finančného sektora a s externou infraštruktúrou a externými poskytovateľmi služieb.

| (3) | Európsky výbor pre systémové riziká (ďalej len „ESRB“) v správe z roku 2020, ktorá sa zaoberá systémovým kybernetickým rizikom, opätovne potvrdil, že súčasná vysoká úroveň prepojenosti medzi finančnými subjektmi, finančnými trhmi a infraštruktúrami finančného trhu, a najmä vzájomná závislosť ich IKT systémov, by mohla predstavovať systémovú zraniteľnosť, pretože lokalizované kybernetické incidenty by sa mohli rýchlo rozšíriť z ktoréhokoľvek z približne 22 000 finančných subjektov Únie do celého finančného systému, a to bez ohľadu na geografické hranice. Závažné narušenia v oblasti IKT, ku ktorým dochádza vo finančnom sektore, nemajú vplyv len na finančné subjekty samotné. Zároveň uľahčujú aj cestu pre šírenie lokalizovaných zraniteľných miest naprieč finančnými prenosovými kanálmi a potenciálne vedú k nepriaznivým dôsledkom pre stabilitu finančného systému Únie, ako je hromadné vyberanie peňazí a celková strata dôvery vo finančné trhy. |
| --- | --- |

(3)

Európsky výbor pre systémové riziká (ďalej len „ESRB“) v správe z roku 2020, ktorá sa zaoberá systémovým kybernetickým rizikom, opätovne potvrdil, že súčasná vysoká úroveň prepojenosti medzi finančnými subjektmi, finančnými trhmi a infraštruktúrami finančného trhu, a najmä vzájomná závislosť ich IKT systémov, by mohla predstavovať systémovú zraniteľnosť, pretože lokalizované kybernetické incidenty by sa mohli rýchlo rozšíriť z ktoréhokoľvek z približne 22 000 finančných subjektov Únie do celého finančného systému, a to bez ohľadu na geografické hranice. Závažné narušenia v oblasti IKT, ku ktorým dochádza vo finančnom sektore, nemajú vplyv len na finančné subjekty samotné. Zároveň uľahčujú aj cestu pre šírenie lokalizovaných zraniteľných miest naprieč finančnými prenosovými kanálmi a potenciálne vedú k nepriaznivým dôsledkom pre stabilitu finančného systému Únie, ako je hromadné vyberanie peňazí a celková strata dôvery vo finančné trhy.

| (4) | V posledných rokoch sa na IKT riziko sústredila pozornosť medzinárodných, únijných a vnútroštátnych tvorcov politík, regulačných orgánov a orgánov stanovujúcich normy, ktorých snahou je zvýšiť digitálnu odolnosť, stanoviť normy a koordinovať regulačnú činnosť alebo prácu v oblasti dohľadu. Na medzinárodnej úrovni si Bazilejský výbor pre bankový dohľad, Výbor pre platobnú a trhovú infraštruktúru, Rada pre finančnú stabilitu, Inštitút pre finančnú stabilitu, ako aj skupiny G7 a G20 stanovili za cieľ poskytnúť príslušným orgánom a organizátorom trhu v rôznych jurisdikciách nástroje na posilnenie odolnosti ich finančných systémov. Táto práca bola motivovaná aj potrebou náležite zohľadniť IKT riziko v kontexte vysoko prepojeného globálneho finančného systému a usilovať sa o väčšiu konzistentnosť príslušných najlepších postupov. |
| --- | --- |

(4)

V posledných rokoch sa na IKT riziko sústredila pozornosť medzinárodných, únijných a vnútroštátnych tvorcov politík, regulačných orgánov a orgánov stanovujúcich normy, ktorých snahou je zvýšiť digitálnu odolnosť, stanoviť normy a koordinovať regulačnú činnosť alebo prácu v oblasti dohľadu. Na medzinárodnej úrovni si Bazilejský výbor pre bankový dohľad, Výbor pre platobnú a trhovú infraštruktúru, Rada pre finančnú stabilitu, Inštitút pre finančnú stabilitu, ako aj skupiny G7 a G20 stanovili za cieľ poskytnúť príslušným orgánom a organizátorom trhu v rôznych jurisdikciách nástroje na posilnenie odolnosti ich finančných systémov. Táto práca bola motivovaná aj potrebou náležite zohľadniť IKT riziko v kontexte vysoko prepojeného globálneho finančného systému a usilovať sa o väčšiu konzistentnosť príslušných najlepších postupov.

| (5) | Napriek cieleným únijným a vnútroštátnym politickým a legislatívnym iniciatívam IKT riziko naďalej predstavuje výzvu pre prevádzkovú odolnosť, výkonnosť a stabilitu finančného systému Únie. Reformy, ktorá nasledovali po finančnej kríze v roku 2008, v prvom rade posilnili finančnú odolnosť finančného sektora Únie a boli zamerané na ochranu konkurencieschopnosti a stability Únie z hospodárskej, prudenciálnej perspektívy a perspektívy trhového správania. Hoci sú bezpečnosť IKT a digitálna odolnosť súčasťou prevádzkového rizika, v regulačnom programe nasledujúcom po finančnej kríze neboli práve stredobodom pozornosti, pričom sa vyvinuli len v niektorých oblastiach politiky a regulácie Únie vo sfére finančných služieb, resp. len v niekoľkých členských štátoch. |
| --- | --- |

(5)

Napriek cieleným únijným a vnútroštátnym politickým a legislatívnym iniciatívam IKT riziko naďalej predstavuje výzvu pre prevádzkovú odolnosť, výkonnosť a stabilitu finančného systému Únie. Reformy, ktorá nasledovali po finančnej kríze v roku 2008, v prvom rade posilnili finančnú odolnosť finančného sektora Únie a boli zamerané na ochranu konkurencieschopnosti a stability Únie z hospodárskej, prudenciálnej perspektívy a perspektívy trhového správania. Hoci sú bezpečnosť IKT a digitálna odolnosť súčasťou prevádzkového rizika, v regulačnom programe nasledujúcom po finančnej kríze neboli práve stredobodom pozornosti, pričom sa vyvinuli len v niektorých oblastiach politiky a regulácie Únie vo sfére finančných služieb, resp. len v niekoľkých členských štátoch.

| (6) | Vo svojom oznámení z 8. marca 2018 s názvom Akčný plán pre finančné technológie: Za konkurencieschopnejší a inovatívnejší európsky finančný sektor Komisia zdôraznila, že je mimoriadne dôležité zvýšiť odolnosť finančného sektora Únie, a to aj z prevádzkového hľadiska, s cieľom zaistiť jeho technologickú bezpečnosť a dobré fungovanie, rýchle zotavenie z narušení a incidentov v oblasti IKT, čo v konečnom dôsledku umožní efektívne a plynule poskytovať finančné služby v celej Únii, a to aj v stresových situáciách, a zároveň zachovať dôveru spotrebiteľov a trhu. |
| --- | --- |

(6)

Vo svojom oznámení z 8. marca 2018 s názvom Akčný plán pre finančné technológie: Za konkurencieschopnejší a inovatívnejší európsky finančný sektor Komisia zdôraznila, že je mimoriadne dôležité zvýšiť odolnosť finančného sektora Únie, a to aj z prevádzkového hľadiska, s cieľom zaistiť jeho technologickú bezpečnosť a dobré fungovanie, rýchle zotavenie z narušení a incidentov v oblasti IKT, čo v konečnom dôsledku umožní efektívne a plynule poskytovať finančné služby v celej Únii, a to aj v stresových situáciách, a zároveň zachovať dôveru spotrebiteľov a trhu.

| (7) | V apríli 2019 Európsky orgán dohľadu (Európsky orgán pre bankovníctvo) (ďalej len „EBA“) zriadený nariadením Európskeho parlamentu a Rady (EÚ) č. 1093/2010 (4), Európsky orgán dohľadu (Európsky orgán pre poisťovníctvo a dôchodkové poistenie zamestnancov) (ďalej len „EIOPA“) zriadený nariadením Európskeho parlamentu a Rady (EÚ) č. 1094/2010 (5) a Európsky orgán dohľadu (Európsky orgán pre cenné papiere a trhy) (ďalej len „ESMA“) zriadený nariadením Európskeho parlamentu a Rady (EÚ) č. 1095/2010 (6) (spoločne ďalej len „európske orgány dohľadu“) spolu vydali technické odporúčania, v ktorých vyzvali na jednotný prístup k IKT riziku v oblasti financií a odporučili primeraným spôsobom posilniť digitálnu prevádzkovú odolnosť odvetvia finančných služieb prostredníctvom iniciatívy Únie špecifickej pre toto odvetvie. |
| --- | --- |

(7)

V apríli 2019 Európsky orgán dohľadu (Európsky orgán pre bankovníctvo) (ďalej len „EBA“) zriadený nariadením Európskeho parlamentu a Rady (EÚ) č. 1093/2010 (4), Európsky orgán dohľadu (Európsky orgán pre poisťovníctvo a dôchodkové poistenie zamestnancov) (ďalej len „EIOPA“) zriadený nariadením Európskeho parlamentu a Rady (EÚ) č. 1094/2010 (5) a Európsky orgán dohľadu (Európsky orgán pre cenné papiere a trhy) (ďalej len „ESMA“) zriadený nariadením Európskeho parlamentu a Rady (EÚ) č. 1095/2010 (6) (spoločne ďalej len „európske orgány dohľadu“) spolu vydali technické odporúčania, v ktorých vyzvali na jednotný prístup k IKT riziku v oblasti financií a odporučili primeraným spôsobom posilniť digitálnu prevádzkovú odolnosť odvetvia finančných služieb prostredníctvom iniciatívy Únie špecifickej pre toto odvetvie.

| (8) | Finančný sektor Únie je regulovaný jednotným súborom pravidiel a riadi sa európskym systémom finančného dohľadu. Ustanovenia zamerané na digitálnu prevádzkovú odolnosť a bezpečnosť IKT však ešte nie sú úplne alebo dôsledne harmonizované, a to napriek tomu, že digitálna prevádzková odolnosť je v digitálnom veku nevyhnutná na zabezpečenie finančnej stability a integrity trhu a v žiadnom prípade nie je menej dôležitá než napríklad spoločné prudenciálne normy alebo normy správania na trhu. Jednotný súbor pravidiel a systém dohľadu by sa preto mali vypracovať tak, aby zahŕňali aj digitálnu prevádzkovú odolnosť, a to posilnením mandátov príslušných orgánov s cieľom umožniť im vykonávať dohľad nad riadením IKT rizika vo finančnom sektore v záujme ochrany integrity a efektívnosti vnútorného trhu a uľahčenia jeho riadneho fungovania. |
| --- | --- |

(8)

Finančný sektor Únie je regulovaný jednotným súborom pravidiel a riadi sa európskym systémom finančného dohľadu. Ustanovenia zamerané na digitálnu prevádzkovú odolnosť a bezpečnosť IKT však ešte nie sú úplne alebo dôsledne harmonizované, a to napriek tomu, že digitálna prevádzková odolnosť je v digitálnom veku nevyhnutná na zabezpečenie finančnej stability a integrity trhu a v žiadnom prípade nie je menej dôležitá než napríklad spoločné prudenciálne normy alebo normy správania na trhu. Jednotný súbor pravidiel a systém dohľadu by sa preto mali vypracovať tak, aby zahŕňali aj digitálnu prevádzkovú odolnosť, a to posilnením mandátov príslušných orgánov s cieľom umožniť im vykonávať dohľad nad riadením IKT rizika vo finančnom sektore v záujme ochrany integrity a efektívnosti vnútorného trhu a uľahčenia jeho riadneho fungovania.

| (9) | Legislatívne rozdiely a nerovnaké vnútroštátne regulačné prístupy alebo prístupy, pokiaľ ide o dohľad nad IKT rizikom, vytvárajú prekážky fungovania vnútorného trhu s finančnými službami, čo finančným subjektom vykonávajúcim činnosť na cezhraničnom základe bráni v bezproblémovom uplatňovaní slobody usadiť sa a poskytovať služby. Narušiť by sa mohla byť aj hospodárska súťaž medzi rovnakým typom finančných subjektov pôsobiacich v rôznych členských štátoch. Týka sa to najmä oblastí, v ktorých bola harmonizácia Únie veľmi obmedzená, ako je testovanie digitálnej prevádzkovej odolnosti, alebo v ktorých chýba, ako je monitorovanie externého IKT rizika. Rozdiely vyplývajúce z predpokladaného vývoja na vnútroštátnej úrovni by mohli vytvoriť ďalšie prekážky fungovania vnútorného trhu na úkor účastníkov trhu a finančnej stability. |
| --- | --- |

(9)

Legislatívne rozdiely a nerovnaké vnútroštátne regulačné prístupy alebo prístupy, pokiaľ ide o dohľad nad IKT rizikom, vytvárajú prekážky fungovania vnútorného trhu s finančnými službami, čo finančným subjektom vykonávajúcim činnosť na cezhraničnom základe bráni v bezproblémovom uplatňovaní slobody usadiť sa a poskytovať služby. Narušiť by sa mohla byť aj hospodárska súťaž medzi rovnakým typom finančných subjektov pôsobiacich v rôznych členských štátoch. Týka sa to najmä oblastí, v ktorých bola harmonizácia Únie veľmi obmedzená, ako je testovanie digitálnej prevádzkovej odolnosti, alebo v ktorých chýba, ako je monitorovanie externého IKT rizika. Rozdiely vyplývajúce z predpokladaného vývoja na vnútroštátnej úrovni by mohli vytvoriť ďalšie prekážky fungovania vnútorného trhu na úkor účastníkov trhu a finančnej stability.

| (10) | V súčasnosti v dôsledku skutočnosti, že ustanovenia týkajúce sa IKT rizika boli len čiastočne riešené na úrovni Únie, existujú nedostatky alebo navzájom sa prekrývajúce miesta v dôležitých oblastiach, ako je nahlasovanie incidentov súvisiacich s IKT a testovanie digitálnej prevádzkovej odolnosti, a nezrovnalosti vyplývajúce z nových rozdielnych vnútroštátnych pravidiel alebo nákladovo neúčinného uplatňovania prekrývajúcich sa pravidiel. Je to obzvlášť škodlivé pre používateľa intenzívne využívajúceho IKT, ako je napríklad finančný sektor, keďže technologické riziká nepoznajú hranice a finančný sektor poskytuje svoje služby na širokom cezhraničnom základe v rámci Únie aj mimo nej. Jednotlivé finančné subjekty pôsobiace na cezhraničnom základe alebo s viacerými povoleniami (napr. jeden finančný subjekt môže mať licenciu na prevádzkovanie bankových služieb, služieb investičnej spoločnosti a služieb platobnej inštitúcie, pričom každú licenciu mohol vydať iný príslušný orgán v jednom alebo viacerých členských štátoch) čelia pri riešení IKT rizika a zmierňovaní nepriaznivých vplyvov IKT incidentov prevádzkovým výzvam samostatne a koherentným, nákladovo efektívnym spôsobom. |
| --- | --- |

(10)

V súčasnosti v dôsledku skutočnosti, že ustanovenia týkajúce sa IKT rizika boli len čiastočne riešené na úrovni Únie, existujú nedostatky alebo navzájom sa prekrývajúce miesta v dôležitých oblastiach, ako je nahlasovanie incidentov súvisiacich s IKT a testovanie digitálnej prevádzkovej odolnosti, a nezrovnalosti vyplývajúce z nových rozdielnych vnútroštátnych pravidiel alebo nákladovo neúčinného uplatňovania prekrývajúcich sa pravidiel. Je to obzvlášť škodlivé pre používateľa intenzívne využívajúceho IKT, ako je napríklad finančný sektor, keďže technologické riziká nepoznajú hranice a finančný sektor poskytuje svoje služby na širokom cezhraničnom základe v rámci Únie aj mimo nej. Jednotlivé finančné subjekty pôsobiace na cezhraničnom základe alebo s viacerými povoleniami (napr. jeden finančný subjekt môže mať licenciu na prevádzkovanie bankových služieb, služieb investičnej spoločnosti a služieb platobnej inštitúcie, pričom každú licenciu mohol vydať iný príslušný orgán v jednom alebo viacerých členských štátoch) čelia pri riešení IKT rizika a zmierňovaní nepriaznivých vplyvov IKT incidentov prevádzkovým výzvam samostatne a koherentným, nákladovo efektívnym spôsobom.

| (11) | Keďže jednotný súbor pravidiel nesprevádza komplexný rámec pre IKT riziko alebo prevádzkové riziká, je potrebná ďalšia harmonizácia kľúčových požiadaviek na digitálnu prevádzkovú odolnosť všetkých finančných subjektov. Rozvoj spôsobilostí v oblasti IKT a celková odolnosť finančných subjektov na základe uvedených kľúčových požiadaviek s cieľom odolávať prevádzkovým výpadkom, by pomohli zachovať stabilitu a integritu finančných trhov Únie, a tým by prispeli k zabezpečeniu vysokej úrovne ochrany investorov a spotrebiteľov v Únii. Keďže cieľom tohto nariadenia je prispieť k bezproblémovému fungovaniu vnútorného trhu, malo by vychádzať z ustanovení článku 114 Zmluvy o fungovaní Európskej únie (ďalej len „ZFEÚ“), ako sa vykladá v súlade s príslušnou judikatúrou Súdneho dvora Európskej únie (ďalej len „Súdny dvor“). |
| --- | --- |

(11)

Keďže jednotný súbor pravidiel nesprevádza komplexný rámec pre IKT riziko alebo prevádzkové riziká, je potrebná ďalšia harmonizácia kľúčových požiadaviek na digitálnu prevádzkovú odolnosť všetkých finančných subjektov. Rozvoj spôsobilostí v oblasti IKT a celková odolnosť finančných subjektov na základe uvedených kľúčových požiadaviek s cieľom odolávať prevádzkovým výpadkom, by pomohli zachovať stabilitu a integritu finančných trhov Únie, a tým by prispeli k zabezpečeniu vysokej úrovne ochrany investorov a spotrebiteľov v Únii. Keďže cieľom tohto nariadenia je prispieť k bezproblémovému fungovaniu vnútorného trhu, malo by vychádzať z ustanovení článku 114 Zmluvy o fungovaní Európskej únie (ďalej len „ZFEÚ“), ako sa vykladá v súlade s príslušnou judikatúrou Súdneho dvora Európskej únie (ďalej len „Súdny dvor“).

| (12) | Cieľom tohto nariadenia je konsolidovať a vylepšiť požiadavky na IKT riziko ako súčasť požiadaviek na prevádzkové riziko, ktoré sa doteraz riešili samostatne v rôznych právnych aktoch Únie. Uvedenými aktmi boli síce pokryté hlavné kategórie finančného rizika (napr. kreditné riziko, trhové riziko, kreditné riziko protistrany a riziko likvidity a riziko trhového správania), no v čase ich prijatia neriešili komplexne všetky zložky prevádzkovej odolnosti. Keď sa pravidlá týkajúce sa prevádzkového rizika ďalej rozpracovávali v týchto právnych aktoch Únie, často uprednostňovali skôr tradičný kvantitatívny prístup k riešeniu rizika (a to stanovenie kapitálovej požiadavky na pokrytie IKT rizika) než cielené kvalitatívne požiadavky na ochranu, odhaľovanie, obmedzovanie, obnovu a nápravu spôsobilostí v súvislosti s incidentmi týkajúcimi sa IKT, alebo na stanovovanie spôsobilosti v oblasti nahlasovania a digitálneho testovania. Uvedené akty mali v prvom rade upravovať a aktualizovať základné pravidlá prudenciálneho dohľadu, integrity trhu alebo trhového správania. Konsolidáciou a vylepšením rôznych pravidiel týkajúcich sa IKT rizika by sa všetky ustanovenia týkajúce sa digitálneho rizika vo finančnom sektore mali po prvýkrát konzistentným spôsobom spojiť do jedného legislatívneho aktu. Toto nariadenie preto vypĺňa medzery alebo odstraňuje nezrovnalosti v niektorých predchádzajúcich právnych aktoch, a to aj v súvislosti s terminológiou, ktorá sa v nich používa, a výslovne odkazuje na IKT riziko prostredníctvom cielených pravidiel týkajúcich sa spôsobilostí v oblasti riadenia IKT rizika, nahlasovania incidentov, testovania prevádzkovej odolnosti a monitorovania externého IKT rizika. Týmto nariadením by sa zároveň mala zvýšiť informovanosť o IKT riziku a malo by sa v ňom uznať, že incidenty v oblasti IKT a nedostatočná prevádzková odolnosť môžu ohroziť spoľahlivosť finančných subjektov. |
| --- | --- |

(12)

Cieľom tohto nariadenia je konsolidovať a vylepšiť požiadavky na IKT riziko ako súčasť požiadaviek na prevádzkové riziko, ktoré sa doteraz riešili samostatne v rôznych právnych aktoch Únie. Uvedenými aktmi boli síce pokryté hlavné kategórie finančného rizika (napr. kreditné riziko, trhové riziko, kreditné riziko protistrany a riziko likvidity a riziko trhového správania), no v čase ich prijatia neriešili komplexne všetky zložky prevádzkovej odolnosti. Keď sa pravidlá týkajúce sa prevádzkového rizika ďalej rozpracovávali v týchto právnych aktoch Únie, často uprednostňovali skôr tradičný kvantitatívny prístup k riešeniu rizika (a to stanovenie kapitálovej požiadavky na pokrytie IKT rizika) než cielené kvalitatívne požiadavky na ochranu, odhaľovanie, obmedzovanie, obnovu a nápravu spôsobilostí v súvislosti s incidentmi týkajúcimi sa IKT, alebo na stanovovanie spôsobilosti v oblasti nahlasovania a digitálneho testovania. Uvedené akty mali v prvom rade upravovať a aktualizovať základné pravidlá prudenciálneho dohľadu, integrity trhu alebo trhového správania. Konsolidáciou a vylepšením rôznych pravidiel týkajúcich sa IKT rizika by sa všetky ustanovenia týkajúce sa digitálneho rizika vo finančnom sektore mali po prvýkrát konzistentným spôsobom spojiť do jedného legislatívneho aktu. Toto nariadenie preto vypĺňa medzery alebo odstraňuje nezrovnalosti v niektorých predchádzajúcich právnych aktoch, a to aj v súvislosti s terminológiou, ktorá sa v nich používa, a výslovne odkazuje na IKT riziko prostredníctvom cielených pravidiel týkajúcich sa spôsobilostí v oblasti riadenia IKT rizika, nahlasovania incidentov, testovania prevádzkovej odolnosti a monitorovania externého IKT rizika. Týmto nariadením by sa zároveň mala zvýšiť informovanosť o IKT riziku a malo by sa v ňom uznať, že incidenty v oblasti IKT a nedostatočná prevádzková odolnosť môžu ohroziť spoľahlivosť finančných subjektov.

| (13) | Finančné subjekty by sa mali pri riešení IKT rizika riadiť rovnakým prístupom a rovnakými pravidlami založenými na zásadách, pričom by mali zohľadniť svoju veľkosť a celkový rizikový profil, ako aj povahu, rozsah a zložitosť svojich služieb, činností a operácií. Konzistentnosť prispieva k posilneniu dôvery vo finančný systém a k zachovaniu jeho stability, a to najmä v časoch vysokej miery spoliehania sa na IKT systémy, platformy a infraštruktúry, čo so sebou prináša zvýšené digitálne riziko. Dodržiavanie základnej kybernetickej hygieny by malo tiež predísť vzniku vysokých nákladov pre hospodárstvo, a to tak, že sa minimalizuje vplyv a náklady narušení v oblasti IKT. |
| --- | --- |

(13)

Finančné subjekty by sa mali pri riešení IKT rizika riadiť rovnakým prístupom a rovnakými pravidlami založenými na zásadách, pričom by mali zohľadniť svoju veľkosť a celkový rizikový profil, ako aj povahu, rozsah a zložitosť svojich služieb, činností a operácií. Konzistentnosť prispieva k posilneniu dôvery vo finančný systém a k zachovaniu jeho stability, a to najmä v časoch vysokej miery spoliehania sa na IKT systémy, platformy a infraštruktúry, čo so sebou prináša zvýšené digitálne riziko. Dodržiavanie základnej kybernetickej hygieny by malo tiež predísť vzniku vysokých nákladov pre hospodárstvo, a to tak, že sa minimalizuje vplyv a náklady narušení v oblasti IKT.

| (14) | Nariadením sa pomôže znížiť regulačná zložitosť, podporí sa konvergencia dohľadu a zvýši sa právna istota a zároveň sa prispeje k obmedzeniu nákladov na dodržiavanie predpisov, najmä v prípade finančných subjektov pôsobiacich cezhranične, a k zníženiu miery narušenia hospodárskej súťaže. Voľba nariadenia na vytvorenie spoločného rámca pre digitálnu prevádzkovú odolnosť finančných subjektov je preto najvhodnejší spôsob, ako zaručiť homogénne a ucelené uplatňovanie všetkých zložiek riadenia IKT rizika finančným sektorom Únie. |
| --- | --- |

(14)

Nariadením sa pomôže znížiť regulačná zložitosť, podporí sa konvergencia dohľadu a zvýši sa právna istota a zároveň sa prispeje k obmedzeniu nákladov na dodržiavanie predpisov, najmä v prípade finančných subjektov pôsobiacich cezhranične, a k zníženiu miery narušenia hospodárskej súťaže. Voľba nariadenia na vytvorenie spoločného rámca pre digitálnu prevádzkovú odolnosť finančných subjektov je preto najvhodnejší spôsob, ako zaručiť homogénne a ucelené uplatňovanie všetkých zložiek riadenia IKT rizika finančným sektorom Únie.

| (15) | Smernica Európskeho parlamentu a Rady (EÚ) 2016/114830 (7) bola prvým horizontálnym rámcom pre kybernetickú bezpečnosť na úrovni Únie, ktorý sa vzťahoval aj na tri typy finančných subjektov, a to úverové inštitúcie, obchodné miesta a centrálne protistrany. Keďže sa však v smernici (EÚ) 2016/1148 stanovil mechanizmus identifikácie prevádzkovateľov základných služieb na vnútroštátnej úrovni, členské štáty určili len niektoré úverové inštitúcie, obchodné miesta a centrálne protistrany, ktoré sa tak v praxi dostali do rozsahu jej pôsobnosti, a teda podliehali požiadavkám na bezpečnosť IKT a oznamovanie incidentov, ktoré sú v nej stanovené. V smernici Európskeho parlamentu a Rady (EÚ) 2022/2555 (8) sa stanovuje jednotné kritérium na určenie subjektov, ktoré patria do rozsahu jej pôsobnosti (pravidlo veľkostnej hranice), pričom sa v rozsahu jej pôsobnosti ponechávajú aj tri typy finančných subjektov. |
| --- | --- |

(15)

Smernica Európskeho parlamentu a Rady (EÚ) 2016/114830 (7) bola prvým horizontálnym rámcom pre kybernetickú bezpečnosť na úrovni Únie, ktorý sa vzťahoval aj na tri typy finančných subjektov, a to úverové inštitúcie, obchodné miesta a centrálne protistrany. Keďže sa však v smernici (EÚ) 2016/1148 stanovil mechanizmus identifikácie prevádzkovateľov základných služieb na vnútroštátnej úrovni, členské štáty určili len niektoré úverové inštitúcie, obchodné miesta a centrálne protistrany, ktoré sa tak v praxi dostali do rozsahu jej pôsobnosti, a teda podliehali požiadavkám na bezpečnosť IKT a oznamovanie incidentov, ktoré sú v nej stanovené. V smernici Európskeho parlamentu a Rady (EÚ) 2022/2555 (8) sa stanovuje jednotné kritérium na určenie subjektov, ktoré patria do rozsahu jej pôsobnosti (pravidlo veľkostnej hranice), pričom sa v rozsahu jej pôsobnosti ponechávajú aj tri typy finančných subjektov.

| (16) | Keďže sa však týmto nariadením zvyšuje úroveň harmonizácie rôznych zložiek digitálnej odolnosti zavedením požiadaviek na riadenie IKT rizika a nahlasovanie incidentov súvisiacich s IKT, ktoré sú prísnejšie v porovnaní s požiadavkami stanovenými v súčasnom práve Únie v oblasti finančných služieb, táto vyššia úroveň predstavuje zvýšenú harmonizáciu aj v porovnaní s požiadavkami stanovenými v smernici (EÚ) 2022/2555. Toto nariadenie preto predstavuje lex specialis vo vzťahu k smernici (EÚ) 2022/2555. Zároveň je nevyhnutné zachovať silný vzťah finančného sektoru s horizontálnym rámcom Únie v oblasti kybernetickej bezpečnosti, ako sa v súčasnosti stanovuje v smernici (EÚ) 2022/2555, s cieľom zabezpečiť súlad so stratégiami kybernetickej bezpečnosti, ktoré prijali členské štáty, a orgánom dohľadu nad finančnými subjektmi umožniť, aby boli informované o kybernetických incidentoch týkajúcich sa iných sektorov, na ktoré sa uvedená smernica vzťahuje. |
| --- | --- |

(16)

Keďže sa však týmto nariadením zvyšuje úroveň harmonizácie rôznych zložiek digitálnej odolnosti zavedením požiadaviek na riadenie IKT rizika a nahlasovanie incidentov súvisiacich s IKT, ktoré sú prísnejšie v porovnaní s požiadavkami stanovenými v súčasnom práve Únie v oblasti finančných služieb, táto vyššia úroveň predstavuje zvýšenú harmonizáciu aj v porovnaní s požiadavkami stanovenými v smernici (EÚ) 2022/2555. Toto nariadenie preto predstavuje lex specialis vo vzťahu k smernici (EÚ) 2022/2555. Zároveň je nevyhnutné zachovať silný vzťah finančného sektoru s horizontálnym rámcom Únie v oblasti kybernetickej bezpečnosti, ako sa v súčasnosti stanovuje v smernici (EÚ) 2022/2555, s cieľom zabezpečiť súlad so stratégiami kybernetickej bezpečnosti, ktoré prijali členské štáty, a orgánom dohľadu nad finančnými subjektmi umožniť, aby boli informované o kybernetických incidentoch týkajúcich sa iných sektorov, na ktoré sa uvedená smernica vzťahuje.

| (17) | V súlade s článkom 4 ods. 2 Zmluvy o Európskej únii a bez toho, aby bolo dotknuté súdne preskúmanie Súdnym dvorom, by toto nariadenie nemalo mať vplyv na zodpovednosť členských štátov, pokiaľ ide o základné funkcie štátu týkajúce sa verejnej bezpečnosti, obrany a ochrany národnej bezpečnosti, napríklad pokiaľ ide o poskytovanie informácií, ktoré by boli v rozpore so zaistením národnej bezpečnosti. |
| --- | --- |

(17)

V súlade s článkom 4 ods. 2 Zmluvy o Európskej únii a bez toho, aby bolo dotknuté súdne preskúmanie Súdnym dvorom, by toto nariadenie nemalo mať vplyv na zodpovednosť členských štátov, pokiaľ ide o základné funkcie štátu týkajúce sa verejnej bezpečnosti, obrany a ochrany národnej bezpečnosti, napríklad pokiaľ ide o poskytovanie informácií, ktoré by boli v rozpore so zaistením národnej bezpečnosti.

| (18) | S cieľom umožniť medziodvetvové vzdelávanie a účinne využívať skúsenosti z iných sektorov pri riešení kybernetických hrozieb by finančné subjekty uvedené v smernici (EÚ) 2022/2555+ mali zostať súčasťou „ekosystému“ uvedenej smernice (napríklad skupina pre spoluprácu a jednotky pre riešenie počítačových bezpečnostných incidentov [ďalej len „CSIRT“)]. Európske orgány dohľadu a vnútroštátne príslušné orgány by mali mať možnosť zúčastňovať sa na diskusiách o strategickej politike a na technických činnostiach skupiny pre spoluprácu podľa uvedenej smernice a vymieňať si informácie a ďalej spolupracovať s jednotnými kontaktnými miestami určenými alebo zriadenými v súlade s uvedenou smernicou. Príslušné orgány podľa tohto nariadenia by mali tiež konzultovať a spolupracovať s jednotkami CSIRT. Príslušné orgány by zároveň mali mať možnosť žiadať o technické poradenstvo príslušné orgány určené alebo zriadené v súlade so smernicou (EÚ) 2022/2555+ a uzatvárať dojednania v oblasti spolupráce, ktorých cieľom je zabezpečiť účinné a rýchlo reagujúce koordinačné mechanizmy. |
| --- | --- |

(18)

S cieľom umožniť medziodvetvové vzdelávanie a účinne využívať skúsenosti z iných sektorov pri riešení kybernetických hrozieb by finančné subjekty uvedené v smernici (EÚ) 2022/2555+ mali zostať súčasťou „ekosystému“ uvedenej smernice (napríklad skupina pre spoluprácu a jednotky pre riešenie počítačových bezpečnostných incidentov [ďalej len „CSIRT“)]. Európske orgány dohľadu a vnútroštátne príslušné orgány by mali mať možnosť zúčastňovať sa na diskusiách o strategickej politike a na technických činnostiach skupiny pre spoluprácu podľa uvedenej smernice a vymieňať si informácie a ďalej spolupracovať s jednotnými kontaktnými miestami určenými alebo zriadenými v súlade s uvedenou smernicou. Príslušné orgány podľa tohto nariadenia by mali tiež konzultovať a spolupracovať s jednotkami CSIRT. Príslušné orgány by zároveň mali mať možnosť žiadať o technické poradenstvo príslušné orgány určené alebo zriadené v súlade so smernicou (EÚ) 2022/2555+ a uzatvárať dojednania v oblasti spolupráce, ktorých cieľom je zabezpečiť účinné a rýchlo reagujúce koordinačné mechanizmy.

| (19) | Vzhľadom na silné prepojenia medzi digitálnou odolnosťou a fyzickou odolnosťou finančných subjektov je v tomto nariadení a smernici Európskeho parlamentu a Rady (EÚ) 2022/2557+ (9) potrebný koherentný prístup, pokiaľ ide o odolnosť kritických subjektov. Vzhľadom na to, že fyzická odolnosť finančných subjektov sa komplexne rieši prostredníctvom povinností v oblasti riadenia IKT rizika a nahlasovania, na ktoré sa vzťahuje toto nariadenie, povinnosti stanovené v kapitolách III a IV smernice (EÚ) 2022/2557+ by sa nemali vzťahovať na finančné subjekty, ktoré patria do rozsahu pôsobnosti uvedenej smernice. |
| --- | --- |

(19)

Vzhľadom na silné prepojenia medzi digitálnou odolnosťou a fyzickou odolnosťou finančných subjektov je v tomto nariadení a smernici Európskeho parlamentu a Rady (EÚ) 2022/2557+ (9) potrebný koherentný prístup, pokiaľ ide o odolnosť kritických subjektov. Vzhľadom na to, že fyzická odolnosť finančných subjektov sa komplexne rieši prostredníctvom povinností v oblasti riadenia IKT rizika a nahlasovania, na ktoré sa vzťahuje toto nariadenie, povinnosti stanovené v kapitolách III a IV smernice (EÚ) 2022/2557+ by sa nemali vzťahovať na finančné subjekty, ktoré patria do rozsahu pôsobnosti uvedenej smernice.

| (20) | Poskytovatelia služieb cloud computingu sú jednou z kategórií digitálnej infraštruktúry, na ktoré sa vzťahuje smernica (EÚ) 2022/2555+. Rámec dozoru zo strany Únie (ďalej len „rámec dozoru“) stanovený týmto nariadením sa vzťahuje na všetkých kritických externých poskytovateľov IKT služieb vrátane poskytovateľov služieb cloud computingu poskytujúcich IKT služby finančným subjektom a mal by sa považovať za doplnkový k dohľadu na základe smernice (EÚ) 2022/2555+. Rámec dozoru zriadený týmto nariadením by sa navyše mal vzťahovať na poskytovateľov služieb cloud computingu, keďže neexistuje horizontálny rámec Únie, ktorým by sa zriaďoval orgán pre digitálny dozor. |
| --- | --- |

(20)

Poskytovatelia služieb cloud computingu sú jednou z kategórií digitálnej infraštruktúry, na ktoré sa vzťahuje smernica (EÚ) 2022/2555+. Rámec dozoru zo strany Únie (ďalej len „rámec dozoru“) stanovený týmto nariadením sa vzťahuje na všetkých kritických externých poskytovateľov IKT služieb vrátane poskytovateľov služieb cloud computingu poskytujúcich IKT služby finančným subjektom a mal by sa považovať za doplnkový k dohľadu na základe smernice (EÚ) 2022/2555+. Rámec dozoru zriadený týmto nariadením by sa navyše mal vzťahovať na poskytovateľov služieb cloud computingu, keďže neexistuje horizontálny rámec Únie, ktorým by sa zriaďoval orgán pre digitálny dozor.

| (21) | S cieľom zachovať plnú kontrolu nad IKT rizikom musia mať finančné subjekty komplexné spôsobilosti umožňujúce silné a účinné riadenie IKT rizika, ako aj osobitné mechanizmy a politiky na zvládanie všetkých incidentov súvisiacich s IKT a nahlasovanie závažných incidentov súvisiacich s IKT. Podobne by finančné subjekty mali mať zavedené politiky na testovanie IKT systémov, kontrol a procesov, ako aj na riadenie externého IKT rizika. Mala by sa zvýšiť základná úroveň digitálnej prevádzkovej odolnosti finančných subjektov, pričom by sa malo zároveň umožniť primerané uplatňovanie požiadaviek na určité finančné subjekty, najmä mikropodniky, ako aj finančné subjekty, na ktoré sa vzťahuje zjednodušený rámec riadenia IKT rizika. S cieľom uľahčiť účinný dohľad nad inštitúciami zamestnaneckého dôchodkového zabezpečenia, ktorý je primeraný a rieši potrebu znížiť administratívne zaťaženie príslušných orgánov, by relevantné vnútroštátne mechanizmy dohľadu nad takýmito finančnými subjektmi mali zohľadňovať ich veľkosť a celkový rizikový profil, ako aj povahu, rozsah a zložitosť ich služieb, činností a operácií, a to aj v prípade prekročenia príslušných prahových hodnôt stanovených v článku 5 smernice Európskeho parlamentu a Rady (EÚ) 2016/2341 (10). Činnosti dohľadu by sa mali osobitne zameriavať predovšetkým na potrebu riešiť závažné riziká spojené s riadením IKT rizika konkrétneho subjektu.
  Príslušné orgány by mali tiež zachovávať obozretný, ale primeraný prístup v súvislosti s dohľadom nad inštitúciami zamestnaneckého dôchodkového zabezpečenia, ktoré v súlade s článkom 31 smernice (EÚ) 2016/2341 zadávajú významnú časť svojej hlavnej činnosti, ako je správa aktív, poistno-matematické výpočty, účtovníctvo a správa údajov, poskytovateľom služieb formou outsourcingu. |
| --- | --- |

(21)

S cieľom zachovať plnú kontrolu nad IKT rizikom musia mať finančné subjekty komplexné spôsobilosti umožňujúce silné a účinné riadenie IKT rizika, ako aj osobitné mechanizmy a politiky na zvládanie všetkých incidentov súvisiacich s IKT a nahlasovanie závažných incidentov súvisiacich s IKT. Podobne by finančné subjekty mali mať zavedené politiky na testovanie IKT systémov, kontrol a procesov, ako aj na riadenie externého IKT rizika. Mala by sa zvýšiť základná úroveň digitálnej prevádzkovej odolnosti finančných subjektov, pričom by sa malo zároveň umožniť primerané uplatňovanie požiadaviek na určité finančné subjekty, najmä mikropodniky, ako aj finančné subjekty, na ktoré sa vzťahuje zjednodušený rámec riadenia IKT rizika. S cieľom uľahčiť účinný dohľad nad inštitúciami zamestnaneckého dôchodkového zabezpečenia, ktorý je primeraný a rieši potrebu znížiť administratívne zaťaženie príslušných orgánov, by relevantné vnútroštátne mechanizmy dohľadu nad takýmito finančnými subjektmi mali zohľadňovať ich veľkosť a celkový rizikový profil, ako aj povahu, rozsah a zložitosť ich služieb, činností a operácií, a to aj v prípade prekročenia príslušných prahových hodnôt stanovených v článku 5 smernice Európskeho parlamentu a Rady (EÚ) 2016/2341 (10). Činnosti dohľadu by sa mali osobitne zameriavať predovšetkým na potrebu riešiť závažné riziká spojené s riadením IKT rizika konkrétneho subjektu.

Príslušné orgány by mali tiež zachovávať obozretný, ale primeraný prístup v súvislosti s dohľadom nad inštitúciami zamestnaneckého dôchodkového zabezpečenia, ktoré v súlade s článkom 31 smernice (EÚ) 2016/2341 zadávajú významnú časť svojej hlavnej činnosti, ako je správa aktív, poistno-matematické výpočty, účtovníctvo a správa údajov, poskytovateľom služieb formou outsourcingu.

| (22) | Prahové hodnoty nahlasovania incidentov súvisiacich s IKT a príslušné taxonómie sa v jednotlivých členských štátoch výrazne líšia. Hoci je možné dosiahnuť spoločný základ prostredníctvom relevantnej práce Agentúry Európskej únie pre kybernetickú bezpečnosť (ďalej len „ENISA“) zriadenej nariadením Európskeho parlamentu a Rady (EÚ) 2019/881 (11) a skupiny pre spoluprácu podľa smernice (EÚ) 2022/2555+, stále existujú alebo sa môžu objaviť rozdielne prístupy k prahovým hodnotám a používaniu taxonómií pre ostatné finančné subjekty. V dôsledku uvedených rozdielov existujú viaceré požiadavky, ktoré musia finančné subjekty dodržiavať, najmä ak pôsobia v niekoľkých členských štátoch a sú súčasťou finančnej skupiny. Takéto rozdiely majú okrem toho potenciál brániť vytvoreniu ďalších jednotných alebo centralizovaných mechanizmov Únie, ktoré urýchľujú proces nahlasovania a podporujú rýchlu a plynulú výmenu informácií medzi príslušnými orgánmi, ktorá je kľúčová pre riešenie IKT rizika v prípade rozsiahlych útokov s potenciálne systémovými následkami. |
| --- | --- |

(22)

Prahové hodnoty nahlasovania incidentov súvisiacich s IKT a príslušné taxonómie sa v jednotlivých členských štátoch výrazne líšia. Hoci je možné dosiahnuť spoločný základ prostredníctvom relevantnej práce Agentúry Európskej únie pre kybernetickú bezpečnosť (ďalej len „ENISA“) zriadenej nariadením Európskeho parlamentu a Rady (EÚ) 2019/881 (11) a skupiny pre spoluprácu podľa smernice (EÚ) 2022/2555+, stále existujú alebo sa môžu objaviť rozdielne prístupy k prahovým hodnotám a používaniu taxonómií pre ostatné finančné subjekty. V dôsledku uvedených rozdielov existujú viaceré požiadavky, ktoré musia finančné subjekty dodržiavať, najmä ak pôsobia v niekoľkých členských štátoch a sú súčasťou finančnej skupiny. Takéto rozdiely majú okrem toho potenciál brániť vytvoreniu ďalších jednotných alebo centralizovaných mechanizmov Únie, ktoré urýchľujú proces nahlasovania a podporujú rýchlu a plynulú výmenu informácií medzi príslušnými orgánmi, ktorá je kľúčová pre riešenie IKT rizika v prípade rozsiahlych útokov s potenciálne systémovými následkami.

| (23) | S cieľom znížiť administratívne zaťaženie a potenciálne duplicitné nahlasovacie povinnosti pre určité finančné subjekty by sa požiadavky na nahlasovanie incidentov podľa smernice Európskeho parlamentu a Rady (EÚ) 2015/2366 (12) mali prestať uplatňovať na poskytovateľov platobných služieb, ktorí patria do rozsahu pôsobnosti tohto nariadenia. Úverové inštitúcie, inštitúcie elektronických peňazí, platobné inštitúcie a poskytovatelia služieb informovania o účte, ako sa uvádza v článku 33 ods. 1 uvedenej smernice, by preto mali od dátumu začatia uplatňovania tohto nariadenia podľa tohto nariadenia oznamovať všetky prevádzkové alebo bezpečnostné incidenty súvisiace s platbami, ktoré boli predtým nahlásené podľa uvedenej smernice, bez ohľadu na to, či takéto incidenty súvisia s IKT. |
| --- | --- |

(23)

S cieľom znížiť administratívne zaťaženie a potenciálne duplicitné nahlasovacie povinnosti pre určité finančné subjekty by sa požiadavky na nahlasovanie incidentov podľa smernice Európskeho parlamentu a Rady (EÚ) 2015/2366 (12) mali prestať uplatňovať na poskytovateľov platobných služieb, ktorí patria do rozsahu pôsobnosti tohto nariadenia. Úverové inštitúcie, inštitúcie elektronických peňazí, platobné inštitúcie a poskytovatelia služieb informovania o účte, ako sa uvádza v článku 33 ods. 1 uvedenej smernice, by preto mali od dátumu začatia uplatňovania tohto nariadenia podľa tohto nariadenia oznamovať všetky prevádzkové alebo bezpečnostné incidenty súvisiace s platbami, ktoré boli predtým nahlásené podľa uvedenej smernice, bez ohľadu na to, či takéto incidenty súvisia s IKT.

| (24) | V snahe umožniť príslušným orgánom, aby si plnili úlohy dohľadu získaním úplného prehľadu o povahe, frekvencii, význame a vplyve incidentov súvisiacich s IKT, a zlepšiť výmenu informácií medzi relevantnými verejnými orgánmi vrátane orgánov presadzovania práva a orgánov pre riešenie krízových situácií by sa v tomto nariadení mal stanoviť spoľahlivý režim nahlasovania incidentov súvisiacich s IKT, na základe ktorého sa relevantné požiadavky zamerajú na súčasné nedostatky v práve v oblasti finančných služieb a odstránia sa existujúce prekrývania a duplicity s cieľom zmierniť náklady. Je nevyhnutné harmonizovať režim nahlasovania incidentov súvisiacich s IKT tak, že sa od všetkých finančných subjektov bude vyžadovať, aby nahlasovali svojim príslušným orgánom prostredníctvom jednotného zjednodušeného rámca stanoveného v tomto nariadení. Európske orgány dohľadu by okrem toho mali byť splnomocnené upresniť relevantné prvky rámca nahlasovania incidentov súvisiacich s IKT, ako je taxonómia, časové rámce, dátové súbory, vzory a príslušné prahové hodnoty. S cieľom zabezpečiť úplný súlad so smernicou (EÚ) 2022/2555+ by finančné subjekty mali mať možnosť dobrovoľne oznamovať závažné kybernetické hrozby relevantnému príslušnému orgánu, ak sa domnievajú, že kybernetická hrozba je relevantná pre finančný systém, používateľov služieb alebo klientov. |
| --- | --- |

(24)

V snahe umožniť príslušným orgánom, aby si plnili úlohy dohľadu získaním úplného prehľadu o povahe, frekvencii, význame a vplyve incidentov súvisiacich s IKT, a zlepšiť výmenu informácií medzi relevantnými verejnými orgánmi vrátane orgánov presadzovania práva a orgánov pre riešenie krízových situácií by sa v tomto nariadení mal stanoviť spoľahlivý režim nahlasovania incidentov súvisiacich s IKT, na základe ktorého sa relevantné požiadavky zamerajú na súčasné nedostatky v práve v oblasti finančných služieb a odstránia sa existujúce prekrývania a duplicity s cieľom zmierniť náklady. Je nevyhnutné harmonizovať režim nahlasovania incidentov súvisiacich s IKT tak, že sa od všetkých finančných subjektov bude vyžadovať, aby nahlasovali svojim príslušným orgánom prostredníctvom jednotného zjednodušeného rámca stanoveného v tomto nariadení. Európske orgány dohľadu by okrem toho mali byť splnomocnené upresniť relevantné prvky rámca nahlasovania incidentov súvisiacich s IKT, ako je taxonómia, časové rámce, dátové súbory, vzory a príslušné prahové hodnoty. S cieľom zabezpečiť úplný súlad so smernicou (EÚ) 2022/2555+ by finančné subjekty mali mať možnosť dobrovoľne oznamovať závažné kybernetické hrozby relevantnému príslušnému orgánu, ak sa domnievajú, že kybernetická hrozba je relevantná pre finančný systém, používateľov služieb alebo klientov.

| (25) | V určitých finančných podsektoroch sa vypracovali požiadavky na testovanie digitálnej prevádzkovej odolnosti, ktorými sa stanovili rámce, ktoré nie sú vždy plne zosúladené. To vedie k potenciálnej duplicite nákladov pre cezhraničné finančné subjekty a spôsobuje zložitosť vzájomného uznávania výsledkov testovania digitálnej prevádzkovej odolnosti, čo následne môže viesť k fragmentácii vnútorného trhu. |
| --- | --- |

(25)

V určitých finančných podsektoroch sa vypracovali požiadavky na testovanie digitálnej prevádzkovej odolnosti, ktorými sa stanovili rámce, ktoré nie sú vždy plne zosúladené. To vedie k potenciálnej duplicite nákladov pre cezhraničné finančné subjekty a spôsobuje zložitosť vzájomného uznávania výsledkov testovania digitálnej prevádzkovej odolnosti, čo následne môže viesť k fragmentácii vnútorného trhu.

| (26) | Okrem toho, ak sa testovanie IKT nevyžaduje, zraniteľné miesta zostávajú neodhalené a spôsobujú vystavenie finančného subjektu IKT riziku a v konečnom dôsledku vytvárajú vyššie riziko pre stabilitu a integritu finančného sektora. Bez zásahu Únie by testovanie digitálnej prevádzkovej odolnosti bolo naďalej nekonzistentné a chýbal by mu systém vzájomného uznávania výsledkov testovania IKT medzi jednotlivým jurisdikciami. Keďže je tiež nepravdepodobné, že by iné finančné podsektory prijali schémy testovania v zmysluplnom rozsahu, chýbali by im potenciálne prínosy rámca pre testovanie, pokiaľ ide o odhaľovanie IKT zraniteľných miest a rizík a testovanie spôsobilostí obrany a kontinuity činností, čo prispieva k zvýšeniu dôvery zákazníkov, dodávateľov a obchodných partnerov. S cieľom napraviť uvedené prekrývanie, rozdiely a nedostatky je potrebné stanoviť pravidlá zamerané na režim koordinovaného testovania, čím sa uľahčí vzájomné uznávanie pokročilého testovania finančných subjektov spĺňajúcich kritériá stanovené v tomto nariadení. |
| --- | --- |

(26)

Okrem toho, ak sa testovanie IKT nevyžaduje, zraniteľné miesta zostávajú neodhalené a spôsobujú vystavenie finančného subjektu IKT riziku a v konečnom dôsledku vytvárajú vyššie riziko pre stabilitu a integritu finančného sektora. Bez zásahu Únie by testovanie digitálnej prevádzkovej odolnosti bolo naďalej nekonzistentné a chýbal by mu systém vzájomného uznávania výsledkov testovania IKT medzi jednotlivým jurisdikciami. Keďže je tiež nepravdepodobné, že by iné finančné podsektory prijali schémy testovania v zmysluplnom rozsahu, chýbali by im potenciálne prínosy rámca pre testovanie, pokiaľ ide o odhaľovanie IKT zraniteľných miest a rizík a testovanie spôsobilostí obrany a kontinuity činností, čo prispieva k zvýšeniu dôvery zákazníkov, dodávateľov a obchodných partnerov. S cieľom napraviť uvedené prekrývanie, rozdiely a nedostatky je potrebné stanoviť pravidlá zamerané na režim koordinovaného testovania, čím sa uľahčí vzájomné uznávanie pokročilého testovania finančných subjektov spĺňajúcich kritériá stanovené v tomto nariadení.

| (27) | Závislosť finančných subjektov od využívania IKT služieb je čiastočne podmienená ich potrebou prispôsobiť sa vznikajúcemu konkurenčnému globálnemu digitálnemu hospodárstvu, zvýšiť ich podnikateľskú efektívnosť a uspokojiť dopyt spotrebiteľov. Povaha a rozsah takejto závislosti sa v uplynulých rokoch neustále vyvíjali, čo viedlo k znižovaniu nákladov za finančné sprostredkovanie, umožnilo obchodné rozširovanie a škálovateľnosť pri zavádzaní finančných činností a zároveň ponúklo širokú škálu nástrojov IKT na riadenie zložitých interných procesov. |
| --- | --- |

(27)

Závislosť finančných subjektov od využívania IKT služieb je čiastočne podmienená ich potrebou prispôsobiť sa vznikajúcemu konkurenčnému globálnemu digitálnemu hospodárstvu, zvýšiť ich podnikateľskú efektívnosť a uspokojiť dopyt spotrebiteľov. Povaha a rozsah takejto závislosti sa v uplynulých rokoch neustále vyvíjali, čo viedlo k znižovaniu nákladov za finančné sprostredkovanie, umožnilo obchodné rozširovanie a škálovateľnosť pri zavádzaní finančných činností a zároveň ponúklo širokú škálu nástrojov IKT na riadenie zložitých interných procesov.

| (28) | Rozsiahle využívanie IKT služieb je preukázané zložitými zmluvnými dojednaniami, v rámci ktorých sa finančné subjekty často stretávajú s ťažkosťami pri rokovaniach o zmluvných podmienkach, ktoré sú prispôsobené prudenciálnym normám alebo iným regulatórnym požiadavkám, ktorým podliehajú, alebo pri presadzovaní osobitných práv, ako sú práva na prístup alebo audit, dokonca aj keď sú tieto práva zakotvené v ich zmluvných dojednaniach. Mnohé uvedené zmluvné dojednania okrem toho neposkytujú dostatočné záruky umožňujúce plnohodnotne monitorovať subdodávateľské procesy, čím finančný subjekt stráca schopnosť posúdiť súvisiace riziká. Keďže okrem toho externí poskytovatelia IKT služieb často poskytujú štandardizované služby rôznym typom klientov, v takýchto zmluvných dojednaniach sa nemusia vždy primerane zohľadňovať individuálne alebo osobitné potreby subjektov finančného sektora. |
| --- | --- |

(28)

Rozsiahle využívanie IKT služieb je preukázané zložitými zmluvnými dojednaniami, v rámci ktorých sa finančné subjekty často stretávajú s ťažkosťami pri rokovaniach o zmluvných podmienkach, ktoré sú prispôsobené prudenciálnym normám alebo iným regulatórnym požiadavkám, ktorým podliehajú, alebo pri presadzovaní osobitných práv, ako sú práva na prístup alebo audit, dokonca aj keď sú tieto práva zakotvené v ich zmluvných dojednaniach. Mnohé uvedené zmluvné dojednania okrem toho neposkytujú dostatočné záruky umožňujúce plnohodnotne monitorovať subdodávateľské procesy, čím finančný subjekt stráca schopnosť posúdiť súvisiace riziká. Keďže okrem toho externí poskytovatelia IKT služieb často poskytujú štandardizované služby rôznym typom klientov, v takýchto zmluvných dojednaniach sa nemusia vždy primerane zohľadňovať individuálne alebo osobitné potreby subjektov finančného sektora.

| (29) | Aj keď právo Únie v oblasti finančných služieb obsahuje určité všeobecné pravidlá týkajúce sa outsourcingu, monitorovanie zmluvného rozmeru nie je plne zakotvené v práve Únie. Keďže neexistujú jasné a cielené normy Únie, ktoré by sa vzťahovali na zmluvné dojednania uzatvorené s externými poskytovateľmi IKT služieb, nie je komplexne vyriešený externý zdroj IKT rizika. V dôsledku toho je potrebné stanoviť určité kľúčové zásady na usmernenie riadenia externého IKT rizika finančnými subjektmi, ktoré majú osobitný význam, keď finančné subjekty využívajú externých poskytovateľov IKT služieb na podporu svojich kritických alebo dôležitých funkcií. Uvedené zásady by mal sprevádzať súbor základných zmluvných práv vo vzťahu k niekoľkým prvkom pri plnení a ukončení zmluvných dojednaní s cieľom poskytnúť určité minimálne záruky, s cieľom posilniť schopnosť finančných subjektov účinne monitorovať každé IKT riziko vznikajúce na úrovni externých poskytovateľov služieb. Uvedenými zásadami sa dopĺňa odvetvové právo uplatniteľné na outsourcing. |
| --- | --- |

(29)

Aj keď právo Únie v oblasti finančných služieb obsahuje určité všeobecné pravidlá týkajúce sa outsourcingu, monitorovanie zmluvného rozmeru nie je plne zakotvené v práve Únie. Keďže neexistujú jasné a cielené normy Únie, ktoré by sa vzťahovali na zmluvné dojednania uzatvorené s externými poskytovateľmi IKT služieb, nie je komplexne vyriešený externý zdroj IKT rizika. V dôsledku toho je potrebné stanoviť určité kľúčové zásady na usmernenie riadenia externého IKT rizika finančnými subjektmi, ktoré majú osobitný význam, keď finančné subjekty využívajú externých poskytovateľov IKT služieb na podporu svojich kritických alebo dôležitých funkcií. Uvedené zásady by mal sprevádzať súbor základných zmluvných práv vo vzťahu k niekoľkým prvkom pri plnení a ukončení zmluvných dojednaní s cieľom poskytnúť určité minimálne záruky, s cieľom posilniť schopnosť finančných subjektov účinne monitorovať každé IKT riziko vznikajúce na úrovni externých poskytovateľov služieb. Uvedenými zásadami sa dopĺňa odvetvové právo uplatniteľné na outsourcing.

| (30) | V súčasnosti je zjavný určitý nedostatok homogenity a konvergencie, pokiaľ ide o monitorovanie externého IKT rizika a externej závislosti v oblasti IKT. Napriek úsiliu o riešenie outsourcingu, ako sú napríklad usmernenia EBA k outsourcingu z roku 2019 a usmernenia ESMA o outsourcingu zo strany poskytovateľov cloudových služieb z roku 2021, sa širšia problematika opatrení proti systémovému riziku, ktoré môže byť vyvolané vystavením finančného sektora obmedzenému počtu kritických externých poskytovateľov IKT služieb, v práve Únie nerieši dostatočne. Chýbajúce pravidlá na úrovni Únie ešte zhoršuje neexistencia vnútroštátnych pravidiel týkajúcich sa mandátov a nástrojov, ktoré by orgánom dohľadu nad finančnými subjektmi umožňovali náležite pochopiť externú závislosť v oblasti IKT a primerane monitorovať riziká vyplývajúce z koncentrácie externej závislosti v oblasti IKT. |
| --- | --- |

(30)

V súčasnosti je zjavný určitý nedostatok homogenity a konvergencie, pokiaľ ide o monitorovanie externého IKT rizika a externej závislosti v oblasti IKT. Napriek úsiliu o riešenie outsourcingu, ako sú napríklad usmernenia EBA k outsourcingu z roku 2019 a usmernenia ESMA o outsourcingu zo strany poskytovateľov cloudových služieb z roku 2021, sa širšia problematika opatrení proti systémovému riziku, ktoré môže byť vyvolané vystavením finančného sektora obmedzenému počtu kritických externých poskytovateľov IKT služieb, v práve Únie nerieši dostatočne. Chýbajúce pravidlá na úrovni Únie ešte zhoršuje neexistencia vnútroštátnych pravidiel týkajúcich sa mandátov a nástrojov, ktoré by orgánom dohľadu nad finančnými subjektmi umožňovali náležite pochopiť externú závislosť v oblasti IKT a primerane monitorovať riziká vyplývajúce z koncentrácie externej závislosti v oblasti IKT.

| (31) | Vzhľadom na potenciálne systémové riziko súvisiace so zvýšenou mierou outsourcingu a koncentráciou externých poskytovateľov IKT a so zreteľom na nedostatočnosť vnútroštátnych mechanizmov pri poskytovaní primeraných nástrojov orgánom dohľadu nad finančnými subjektmi na kvantifikovanie, kvalifikovanie a riešenie dôsledkov IKT rizika, ktoré vzniká u kritických externých poskytovateľov IKT služieb, je potrebné vytvoriť vhodný rámec dozoru, ktorý umožní nepretržité monitorovanie činností externých poskytovateľov IKT služieb, ktorí sú pre finančné subjekty kritickými poskytovateľmi, pričom sa zabezpečí zachovanie dôveryhodnosti a bezpečnosti iných zákazníkov, než sú finančné subjekty. Hoci poskytovanie IKT služieb v rámci skupiny so sebou prináša osobitné riziká a prínosy, nemalo by sa automaticky považovať za menej rizikové ako poskytovanie IKT služieb poskytovateľmi mimo finančnej skupiny, a preto by malo podliehať rovnakému regulačnému rámcu. Ak sa však IKT služby poskytujú z tej istej finančnej skupiny, finančné subjekty môžu mať vyššiu úroveň kontroly nad poskytovateľmi v rámci skupiny, čo by sa malo zohľadniť pri celkovom posúdení rizika. |
| --- | --- |

(31)

Vzhľadom na potenciálne systémové riziko súvisiace so zvýšenou mierou outsourcingu a koncentráciou externých poskytovateľov IKT a so zreteľom na nedostatočnosť vnútroštátnych mechanizmov pri poskytovaní primeraných nástrojov orgánom dohľadu nad finančnými subjektmi na kvantifikovanie, kvalifikovanie a riešenie dôsledkov IKT rizika, ktoré vzniká u kritických externých poskytovateľov IKT služieb, je potrebné vytvoriť vhodný rámec dozoru, ktorý umožní nepretržité monitorovanie činností externých poskytovateľov IKT služieb, ktorí sú pre finančné subjekty kritickými poskytovateľmi, pričom sa zabezpečí zachovanie dôveryhodnosti a bezpečnosti iných zákazníkov, než sú finančné subjekty. Hoci poskytovanie IKT služieb v rámci skupiny so sebou prináša osobitné riziká a prínosy, nemalo by sa automaticky považovať za menej rizikové ako poskytovanie IKT služieb poskytovateľmi mimo finančnej skupiny, a preto by malo podliehať rovnakému regulačnému rámcu. Ak sa však IKT služby poskytujú z tej istej finančnej skupiny, finančné subjekty môžu mať vyššiu úroveň kontroly nad poskytovateľmi v rámci skupiny, čo by sa malo zohľadniť pri celkovom posúdení rizika.

| (32) | Keďže IKT riziko je stále zložitejšie a sofistikovanejšie, dobré opatrenia na odhaľovanie a prevenciu IKT rizika vo veľkej miere závisia od pravidelnej výmeny spravodajských informácií o hrozbách a zraniteľnosti medzi finančnými subjektmi. Výmena informácií prispieva k zvýšenej informovanosti o kybernetických hrozbách. To zase zvyšuje schopnosť finančných subjektov predchádzať tomu, aby sa kybernetické hrozby prerástli do skutočných incidentov súvisiacich s IKT, a finančným subjektom umožňuje účinnejšie obmedziť vplyv incidentov súvisiacich s IKT a rýchlejšie sa z nich zotavovať. Keďže na úrovni Únie neexistujú príslušné usmernenia, zdá sa, že takejto výmene spravodajských informácií bránia viaceré faktory, najmä neistota týkajúca sa zlučiteľnosti s pravidlami ochrany údajov, protimonopolnými pravidlami a pravidlami zodpovednosti. |
| --- | --- |

(32)

Keďže IKT riziko je stále zložitejšie a sofistikovanejšie, dobré opatrenia na odhaľovanie a prevenciu IKT rizika vo veľkej miere závisia od pravidelnej výmeny spravodajských informácií o hrozbách a zraniteľnosti medzi finančnými subjektmi. Výmena informácií prispieva k zvýšenej informovanosti o kybernetických hrozbách. To zase zvyšuje schopnosť finančných subjektov predchádzať tomu, aby sa kybernetické hrozby prerástli do skutočných incidentov súvisiacich s IKT, a finančným subjektom umožňuje účinnejšie obmedziť vplyv incidentov súvisiacich s IKT a rýchlejšie sa z nich zotavovať. Keďže na úrovni Únie neexistujú príslušné usmernenia, zdá sa, že takejto výmene spravodajských informácií bránia viaceré faktory, najmä neistota týkajúca sa zlučiteľnosti s pravidlami ochrany údajov, protimonopolnými pravidlami a pravidlami zodpovednosti.

| (33) | Pochybnosti, pokiaľ ide o druh informácií, ktoré sa môžu vymieňať s inými účastníkmi trhu alebo s orgánmi, ktoré nie sú orgánmi dohľadu (ako je agentúra ENISA – na analytické vstupy, alebo Europol – na účely presadzovania práva), navyše vedú k tom, že sa užitočné informácie neposkytnú. Rozsah a kvalita výmeny informácií ostávajú preto v súčasnosti obmedzené a roztrieštené, pričom k príslušným výmenám dochádza väčšinou na miestnej úrovni (prostredníctvom vnútroštátnych iniciatív) a bez ucelených celoúniových mechanizmov výmeny informácií, ktoré by boli prispôsobené potrebám integrovaného finančného systému. Preto je dôležité posilniť uvedené komunikačné kanály. |
| --- | --- |

(33)

Pochybnosti, pokiaľ ide o druh informácií, ktoré sa môžu vymieňať s inými účastníkmi trhu alebo s orgánmi, ktoré nie sú orgánmi dohľadu (ako je agentúra ENISA – na analytické vstupy, alebo Europol – na účely presadzovania práva), navyše vedú k tom, že sa užitočné informácie neposkytnú. Rozsah a kvalita výmeny informácií ostávajú preto v súčasnosti obmedzené a roztrieštené, pričom k príslušným výmenám dochádza väčšinou na miestnej úrovni (prostredníctvom vnútroštátnych iniciatív) a bez ucelených celoúniových mechanizmov výmeny informácií, ktoré by boli prispôsobené potrebám integrovaného finančného systému. Preto je dôležité posilniť uvedené komunikačné kanály.

| (34) | Finančné subjekty by sa mali nabádať, aby si vzájomne vymieňali informácie a spravodajské informácie o kybernetických hrozbách, ako aj kolektívne využívali svoje individuálne znalosti a praktické skúsenosti na strategickej, taktickej a operatívnej úrovni s cieľom zlepšiť svoje spôsobilosti primerane posudzovať kybernetické hrozby, monitorovať ich, brániť sa proti nim a reagovať na ne, a to na základe účasti na dojednaniach v oblasti výmeny informácií. Na úrovni Únie je preto potrebné umožniť vytvorenie mechanizmov pre dojednania v oblasti dobrovoľnej výmeny informácií, ktoré by v prípade, že sa vykonávajú v dôveryhodnom prostredí, pomohli komunite finančného odvetvia predchádzať kybernetickým hrozbám a kolektívne na ne reagovať tak, aby sa rýchlo obmedzilo šírenie IKT rizika a aby sa zabránilo potenciálnej nákaze cez finančné kanály. Uvedené mechanizmy by mali byť v súlade s platnými pravidlami práva Únie v oblasti hospodárskej súťaže stanovenými v oznámení Komisie zo 14. januára 2011 s názvom Usmernenia o uplatňovaní článku 101 Zmluvy o fungovaní Európskej únie na dohody o horizontálnej spolupráci, ako aj s pravidlami Únie v oblasti ochrany údajov, najmä s nariadením Európskeho parlamentu a Rady (EÚ) 2016/679 (13). Mali by fungovať na základe použitia jedného alebo viacerých právnych základov, ktoré sú stanovené v článku 6 uvedeného nariadenia, napríklad v súvislosti so spracúvaním osobných údajov, ktoré je nevyhnutné na účely oprávneného záujmu, ktorý sleduje prevádzkovateľ alebo tretia strana, ako sa uvádza v článku 6 ods. 1 písm. f) uvedeného nariadenia, ako aj v kontexte spracúvania osobných údajov potrebného na splnenie zákonnej povinnosti, ktorej prevádzkovateľ podlieha, potrebného na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi, ako sa uvádza v článku 6 ods. 1 písm. c) a e) uvedeného nariadenia. |
| --- | --- |

(34)

Finančné subjekty by sa mali nabádať, aby si vzájomne vymieňali informácie a spravodajské informácie o kybernetických hrozbách, ako aj kolektívne využívali svoje individuálne znalosti a praktické skúsenosti na strategickej, taktickej a operatívnej úrovni s cieľom zlepšiť svoje spôsobilosti primerane posudzovať kybernetické hrozby, monitorovať ich, brániť sa proti nim a reagovať na ne, a to na základe účasti na dojednaniach v oblasti výmeny informácií. Na úrovni Únie je preto potrebné umožniť vytvorenie mechanizmov pre dojednania v oblasti dobrovoľnej výmeny informácií, ktoré by v prípade, že sa vykonávajú v dôveryhodnom prostredí, pomohli komunite finančného odvetvia predchádzať kybernetickým hrozbám a kolektívne na ne reagovať tak, aby sa rýchlo obmedzilo šírenie IKT rizika a aby sa zabránilo potenciálnej nákaze cez finančné kanály. Uvedené mechanizmy by mali byť v súlade s platnými pravidlami práva Únie v oblasti hospodárskej súťaže stanovenými v oznámení Komisie zo 14. januára 2011 s názvom Usmernenia o uplatňovaní článku 101 Zmluvy o fungovaní Európskej únie na dohody o horizontálnej spolupráci, ako aj s pravidlami Únie v oblasti ochrany údajov, najmä s nariadením Európskeho parlamentu a Rady (EÚ) 2016/679 (13). Mali by fungovať na základe použitia jedného alebo viacerých právnych základov, ktoré sú stanovené v článku 6 uvedeného nariadenia, napríklad v súvislosti so spracúvaním osobných údajov, ktoré je nevyhnutné na účely oprávneného záujmu, ktorý sleduje prevádzkovateľ alebo tretia strana, ako sa uvádza v článku 6 ods. 1 písm. f) uvedeného nariadenia, ako aj v kontexte spracúvania osobných údajov potrebného na splnenie zákonnej povinnosti, ktorej prevádzkovateľ podlieha, potrebného na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi, ako sa uvádza v článku 6 ods. 1 písm. c) a e) uvedeného nariadenia.

| (35) | S cieľom zachovať vysokú úroveň digitálnej prevádzkovej odolnosti celého finančného sektora a zároveň držať krok s technologickým vývojom by sa v tomto nariadení malo riešiť riziko vyplývajúce zo všetkých druhov IKT služieb. Na tento účel by sa vymedzenie pojmu IKT služby v kontexte tohto nariadenia malo chápať široko a malo by zahŕňať digitálne a dátové služby poskytované prostredníctvom IKT systémov jednému alebo viacerým interným alebo externým používateľom na priebežnom základe. Uvedené vymedzenie by malo zahŕňať napríklad tzv. služby „over the top“, ktoré patria do kategórie elektronických komunikačných služieb. Mala by sa z neho vylúčiť len obmedzená kategória tradičných analógových telefónnych služieb, ktoré sa kvalifikujú ako služby verejnej prepínacej telefónnej siete (PSTN), služby pevnej linky, tradičný analógový telefónny systém (POTS) alebo telefónne služby pevnej linky. |
| --- | --- |

(35)

S cieľom zachovať vysokú úroveň digitálnej prevádzkovej odolnosti celého finančného sektora a zároveň držať krok s technologickým vývojom by sa v tomto nariadení malo riešiť riziko vyplývajúce zo všetkých druhov IKT služieb. Na tento účel by sa vymedzenie pojmu IKT služby v kontexte tohto nariadenia malo chápať široko a malo by zahŕňať digitálne a dátové služby poskytované prostredníctvom IKT systémov jednému alebo viacerým interným alebo externým používateľom na priebežnom základe. Uvedené vymedzenie by malo zahŕňať napríklad tzv. služby „over the top“, ktoré patria do kategórie elektronických komunikačných služieb. Mala by sa z neho vylúčiť len obmedzená kategória tradičných analógových telefónnych služieb, ktoré sa kvalifikujú ako služby verejnej prepínacej telefónnej siete (PSTN), služby pevnej linky, tradičný analógový telefónny systém (POTS) alebo telefónne služby pevnej linky.

| (36) | Bez ohľadu na široké pokrytie, s ktorým sa počíta v tomto nariadení, by sa pri uplatňovaní pravidiel digitálnej prevádzkovej odolnosti mali zohľadňovať významné rozdiely medzi finančnými subjektmi, pokiaľ ide o ich veľkosť a celkový rizikový profil. Vo všeobecnosti platí, že pri smerovaní zdrojov a spôsobilostí na vykonávanie rámca riadenia IKT rizika by finančné subjekty mali dosiahnuť náležitú rovnováhu medzi svojimi potrebami súvisiacimi s IKT a svojou veľkosťou a celkovým rizikovým profilom, ako aj povahou, rozsahom a zložitosťou svojich služieb, činností a operácií, pričom príslušné orgány by mali naďalej posudzovať a preskúmavať prístup týkajúci sa takéhoto smerovania. |
| --- | --- |

(36)

Bez ohľadu na široké pokrytie, s ktorým sa počíta v tomto nariadení, by sa pri uplatňovaní pravidiel digitálnej prevádzkovej odolnosti mali zohľadňovať významné rozdiely medzi finančnými subjektmi, pokiaľ ide o ich veľkosť a celkový rizikový profil. Vo všeobecnosti platí, že pri smerovaní zdrojov a spôsobilostí na vykonávanie rámca riadenia IKT rizika by finančné subjekty mali dosiahnuť náležitú rovnováhu medzi svojimi potrebami súvisiacimi s IKT a svojou veľkosťou a celkovým rizikovým profilom, ako aj povahou, rozsahom a zložitosťou svojich služieb, činností a operácií, pričom príslušné orgány by mali naďalej posudzovať a preskúmavať prístup týkajúci sa takéhoto smerovania.

| (37) | Poskytovatelia služieb informovania o účte uvedení v článku 33 ods. 1 smernice (EÚ) 2015/2366 sú výslovne zahrnutí do rozsahu pôsobnosti tohto nariadenia, pričom sa zohľadňuje osobitná povaha ich činností a z toho vyplývajúce riziká. Okrem toho inštitúcie elektronických peňazí a platobné inštitúcie vyňaté podľa článku 9 ods. 1 smernice Európskeho parlamentu a Rady 2009/110/ES (14) a článku 32 ods. 1 smernice (EÚ) 2015/2366 sú zahrnuté do rozsahu pôsobnosti tohto nariadenia, aj keď im v súlade so smernicou 2009/110/ES nebolo udelené povolenie na vydávanie elektronických peňazí, alebo ak im nebolo udelené povolenie v súlade so smernicou (EÚ) 2015/2366 na poskytovanie a vykonávanie platobných služieb. Poštové žírové inštitúcie uvedené v článku 2 ods. 5 bode 3 smernice Európskeho parlamentu a Rady 2013/36/EÚ (15) sú však vylúčené z rozsahu pôsobnosti tohto nariadenia. Príslušným orgánom pre platobné inštitúcie vyňaté podľa smernice (EÚ) 2015/2366, inštitúcie elektronického peňažníctva vyňaté podľa smernice 2009/110/ES a poskytovateľov služieb informovania o účte uvedených v článku 33 ods. 1 smernice (EÚ) 2015/2366, by mal byť príslušný orgán určený v súlade s článkom 22 smernice (EÚ) 2015/2366. |
| --- | --- |

(37)

Poskytovatelia služieb informovania o účte uvedení v článku 33 ods. 1 smernice (EÚ) 2015/2366 sú výslovne zahrnutí do rozsahu pôsobnosti tohto nariadenia, pričom sa zohľadňuje osobitná povaha ich činností a z toho vyplývajúce riziká. Okrem toho inštitúcie elektronických peňazí a platobné inštitúcie vyňaté podľa článku 9 ods. 1 smernice Európskeho parlamentu a Rady 2009/110/ES (14) a článku 32 ods. 1 smernice (EÚ) 2015/2366 sú zahrnuté do rozsahu pôsobnosti tohto nariadenia, aj keď im v súlade so smernicou 2009/110/ES nebolo udelené povolenie na vydávanie elektronických peňazí, alebo ak im nebolo udelené povolenie v súlade so smernicou (EÚ) 2015/2366 na poskytovanie a vykonávanie platobných služieb. Poštové žírové inštitúcie uvedené v článku 2 ods. 5 bode 3 smernice Európskeho parlamentu a Rady 2013/36/EÚ (15) sú však vylúčené z rozsahu pôsobnosti tohto nariadenia. Príslušným orgánom pre platobné inštitúcie vyňaté podľa smernice (EÚ) 2015/2366, inštitúcie elektronického peňažníctva vyňaté podľa smernice 2009/110/ES a poskytovateľov služieb informovania o účte uvedených v článku 33 ods. 1 smernice (EÚ) 2015/2366, by mal byť príslušný orgán určený v súlade s článkom 22 smernice (EÚ) 2015/2366.

| (38) | Keďže väčšie finančné subjekty môžu mať väčšie zdroje a môžu rýchlo vynaložiť finančné prostriedky na rozvoj riadiacich štruktúr a stanovenie rôznych podnikových stratégií, vytvorenie komplexnejších mechanizmov správy a riadenia by sa malo vyžadovať len od finančných subjektov, ktoré nie sú mikropodnikmi v zmysle tohto nariadenia. Takéto subjekty sú lepšie vybavené najmä na zriadenie špecializovaných riadiacich funkcií na dohľad nad dojednaniami s externými poskytovateľmi IKT služieb alebo na zvládanie krízového riadenia, na organizáciu svojho riadenia IKT rizika na základe modelu „troch línií obrany“ alebo na zavedenie modelu vnútorného riadenia rizika a kontroly a na predkladanie svojho rámca na riadenie IKT rizika vnútornému auditu. |
| --- | --- |

(38)

Keďže väčšie finančné subjekty môžu mať väčšie zdroje a môžu rýchlo vynaložiť finančné prostriedky na rozvoj riadiacich štruktúr a stanovenie rôznych podnikových stratégií, vytvorenie komplexnejších mechanizmov správy a riadenia by sa malo vyžadovať len od finančných subjektov, ktoré nie sú mikropodnikmi v zmysle tohto nariadenia. Takéto subjekty sú lepšie vybavené najmä na zriadenie špecializovaných riadiacich funkcií na dohľad nad dojednaniami s externými poskytovateľmi IKT služieb alebo na zvládanie krízového riadenia, na organizáciu svojho riadenia IKT rizika na základe modelu „troch línií obrany“ alebo na zavedenie modelu vnútorného riadenia rizika a kontroly a na predkladanie svojho rámca na riadenie IKT rizika vnútornému auditu.

| (39) | Niektoré finančné subjekty využívajú výnimky alebo podliehajú veľmi miernemu regulačnému rámcu podľa príslušného odvetvového práva Únie. Takéto finančné subjekty zahŕňajú správcov alternatívnych investičných fondov uvedených v článku 3 ods. 2 smernice Európskeho parlamentu a Rady 2011/61/EÚ (16), poisťovne a zaisťovne uvedené v článku 4 smernice Európskeho parlamentu a Rady 2009/138/ES (17) a inštitúcie zamestnaneckého dôchodkového zabezpečenia, ktoré prevádzkujú dôchodkové plány, ktoré spolu nemajú viac ako 15 členov. Vzhľadom na uvedené výnimky by nebolo primerané zahrnúť takéto finančné subjekty do rozsahu pôsobnosti tohto nariadenia. Okrem toho sa v tomto nariadení uznávajú osobitosti štruktúry trhu so sprostredkovaním poistenia, takže sprostredkovatelia poistenia, sprostredkovatelia zaistenia a sprostredkovatelia doplnkového poistenia, ktorí sa kvalifikujú ako mikropodniky alebo ako malé alebo stredné podniky, by nemali podliehať tomuto nariadeniu. |
| --- | --- |

(39)

Niektoré finančné subjekty využívajú výnimky alebo podliehajú veľmi miernemu regulačnému rámcu podľa príslušného odvetvového práva Únie. Takéto finančné subjekty zahŕňajú správcov alternatívnych investičných fondov uvedených v článku 3 ods. 2 smernice Európskeho parlamentu a Rady 2011/61/EÚ (16), poisťovne a zaisťovne uvedené v článku 4 smernice Európskeho parlamentu a Rady 2009/138/ES (17) a inštitúcie zamestnaneckého dôchodkového zabezpečenia, ktoré prevádzkujú dôchodkové plány, ktoré spolu nemajú viac ako 15 členov. Vzhľadom na uvedené výnimky by nebolo primerané zahrnúť takéto finančné subjekty do rozsahu pôsobnosti tohto nariadenia. Okrem toho sa v tomto nariadení uznávajú osobitosti štruktúry trhu so sprostredkovaním poistenia, takže sprostredkovatelia poistenia, sprostredkovatelia zaistenia a sprostredkovatelia doplnkového poistenia, ktorí sa kvalifikujú ako mikropodniky alebo ako malé alebo stredné podniky, by nemali podliehať tomuto nariadeniu.

| (40) | Keďže subjekty uvedené v článku 2 ods. 5 bodoch 4 až 23 smernice 2013/36/EÚ sú vylúčené z rozsahu pôsobnosti uvedenej smernice, členské štáty by preto mali mať možnosť rozhodnúť sa vyňať z uplatňovania tohto nariadenia takéto subjekty nachádzajúce sa na ich príslušných územiach. |
| --- | --- |

(40)

Keďže subjekty uvedené v článku 2 ods. 5 bodoch 4 až 23 smernice 2013/36/EÚ sú vylúčené z rozsahu pôsobnosti uvedenej smernice, členské štáty by preto mali mať možnosť rozhodnúť sa vyňať z uplatňovania tohto nariadenia takéto subjekty nachádzajúce sa na ich príslušných územiach.

| (41) | Podobne s cieľom zosúladiť toto nariadenie s rozsahom pôsobnosti smernice Európskeho parlamentu a Rady 2014/65/EÚ (18) je takisto vhodné vylúčiť z rozsahu pôsobnosti tohto nariadenia fyzické a právnické osoby uvedené v článkoch 2 a 3 uvedenej smernice, ktorým je povolené poskytovať investičné služby bez toho, aby museli získať povolenie podľa smernice 2014/65/EÚ. V článku 2 smernice 2014/65/EÚ sa však z rozsahu pôsobnosti uvedenej smernice vylučujú aj subjekty, ktoré sa na účely tohto nariadenia kvalifikujú ako finančné subjekty, ako sú centrálne depozitáre cenných papierov, podniky kolektívneho investovania alebo poisťovne a zaisťovne. Vylúčenie z rozsahu pôsobnosti tohto nariadenia pre osoby a subjekty uvedené v článkoch 2 a 3 uvedenej smernice by sa nemalo vzťahovať na uvedené centrálne depozitáre cenných papierov, podniky kolektívneho investovania alebo poisťovne a zaisťovne. |
| --- | --- |

(41)

Podobne s cieľom zosúladiť toto nariadenie s rozsahom pôsobnosti smernice Európskeho parlamentu a Rady 2014/65/EÚ (18) je takisto vhodné vylúčiť z rozsahu pôsobnosti tohto nariadenia fyzické a právnické osoby uvedené v článkoch 2 a 3 uvedenej smernice, ktorým je povolené poskytovať investičné služby bez toho, aby museli získať povolenie podľa smernice 2014/65/EÚ. V článku 2 smernice 2014/65/EÚ sa však z rozsahu pôsobnosti uvedenej smernice vylučujú aj subjekty, ktoré sa na účely tohto nariadenia kvalifikujú ako finančné subjekty, ako sú centrálne depozitáre cenných papierov, podniky kolektívneho investovania alebo poisťovne a zaisťovne. Vylúčenie z rozsahu pôsobnosti tohto nariadenia pre osoby a subjekty uvedené v článkoch 2 a 3 uvedenej smernice by sa nemalo vzťahovať na uvedené centrálne depozitáre cenných papierov, podniky kolektívneho investovania alebo poisťovne a zaisťovne.

| (42) | Podľa odvetvového práva Únie podliehajú niektoré finančné subjekty miernejším požiadavkám alebo výnimkám z dôvodov súvisiacich s ich veľkosťou alebo službami, ktoré poskytujú. Uvedená kategória finančných subjektov zahŕňa malé a neprepojené investičné spoločnosti, malé inštitúcie zamestnaneckého dôchodkového zabezpečenia, ktoré môžu byť vylúčené z rozsahu pôsobnosti smernice (EÚ) 2016/2341 za podmienok stanovených v článku 5 uvedenej smernice dotknutým členským štátom, a prevádzkujú dôchodkové plány, ktoré spolu nemajú celkovo viac ako 100 členov, ako aj inštitúcie vyňaté podľa smernice 2013/36/EÚ. Preto je v súlade so zásadou proporcionality a s cieľom zachovať ducha odvetvového práva Únie takisto vhodné, aby sa na tieto finančné subjekty vzťahoval zjednodušený rámec riadenia IKT rizika podľa tohto nariadenia. Primeraný charakter rámca riadenia IKT rizika vzťahujúceho sa na tieto finančné subjekty by sa nemal meniť regulačnými technickými predpismi, ktoré majú vypracovať európske orgány dohľadu. Okrem toho je v súlade so zásadou proporcionality vhodné podrobiť platobné inštitúcie, ktoré sú uvedené v článku 32 ods. 1 smernice (EÚ) 2015/2366, a inštitúcie elektronického peňažníctva, ktoré sú uvedené v článku 9 smernice 2009/110/ES, vyňaté v súlade s vnútroštátnym právom, ktorým sa transponujú tieto právne akty Únie, zjednodušenému rámcu riadenia IKT rizika podľa tohto nariadenia, zatiaľ čo platobné inštitúcie a inštitúcie elektronického peňažníctva, ktoré neboli vyňaté v súlade s ich príslušným právom, ktorým sa transponuje odvetvové právo Únie, by mali dodržiavať všeobecný rámec stanovený v tomto nariadení. |
| --- | --- |

(42)

Podľa odvetvového práva Únie podliehajú niektoré finančné subjekty miernejším požiadavkám alebo výnimkám z dôvodov súvisiacich s ich veľkosťou alebo službami, ktoré poskytujú. Uvedená kategória finančných subjektov zahŕňa malé a neprepojené investičné spoločnosti, malé inštitúcie zamestnaneckého dôchodkového zabezpečenia, ktoré môžu byť vylúčené z rozsahu pôsobnosti smernice (EÚ) 2016/2341 za podmienok stanovených v článku 5 uvedenej smernice dotknutým členským štátom, a prevádzkujú dôchodkové plány, ktoré spolu nemajú celkovo viac ako 100 členov, ako aj inštitúcie vyňaté podľa smernice 2013/36/EÚ. Preto je v súlade so zásadou proporcionality a s cieľom zachovať ducha odvetvového práva Únie takisto vhodné, aby sa na tieto finančné subjekty vzťahoval zjednodušený rámec riadenia IKT rizika podľa tohto nariadenia. Primeraný charakter rámca riadenia IKT rizika vzťahujúceho sa na tieto finančné subjekty by sa nemal meniť regulačnými technickými predpismi, ktoré majú vypracovať európske orgány dohľadu. Okrem toho je v súlade so zásadou proporcionality vhodné podrobiť platobné inštitúcie, ktoré sú uvedené v článku 32 ods. 1 smernice (EÚ) 2015/2366, a inštitúcie elektronického peňažníctva, ktoré sú uvedené v článku 9 smernice 2009/110/ES, vyňaté v súlade s vnútroštátnym právom, ktorým sa transponujú tieto právne akty Únie, zjednodušenému rámcu riadenia IKT rizika podľa tohto nariadenia, zatiaľ čo platobné inštitúcie a inštitúcie elektronického peňažníctva, ktoré neboli vyňaté v súlade s ich príslušným právom, ktorým sa transponuje odvetvové právo Únie, by mali dodržiavať všeobecný rámec stanovený v tomto nariadení.

| (43) | Podobne by sa od finančných subjektov, ktoré sa kvalifikujú ako mikropodniky alebo podliehajú zjednodušenému rámcu riadenia IKT rizika podľa tohto nariadenia, nemalo vyžadovať, aby ustanovili funkciu monitorovania svojich dojednaní o využívaní IKT služieb uzavretých s externými poskytovateľmi IKT služieb; alebo aby určili člena vrcholového manažmentu, ktorý má byť zodpovedný za dohľad nad súvisiacou rizikovou expozíciou a za príslušnú dokumentáciu; priradili zodpovednosť za riadenie IKT rizika a dohľad nad ním osobe vykonávajúcej kontrolnú funkciu a zabezpečili primeranú úroveň nezávislosti takejto osoby vykonávajúcej kontrolnú funkciu s cieľom zabrániť konfliktom záujmu; zdokumentovali a preskúmali aspoň raz za rok rámec riadenia IKT rizika; pravidelne vykonávali vnútorný audit rámca riadenia IKT rizika; vykonávali hĺbkové posúdenia po rozsiahlych zmenách svojich infraštruktúr a procesov sietí a informačných systémov; pravidelne vykonávali analýzy rizík v súvislosti s pôvodnými IKT systémami; zabezpečovali nezávislé vnútorné audítorské preskúmania vykonávania plánov reakcie a obnovy v oblasti IKT; mali vytvorenú funkciu krízového riadenia, rozšírili testovanie kontinuity činnosti a plánov reakcie a obnovy tak, aby sa v nich zachytili scenáre prechodu medzi primárnou infraštruktúrou IKT a redundantnými zariadeniami; oznamovali príslušným orgánom na ich žiadosť odhad súhrnných ročných nákladov a strát spôsobených závažnými incidentmi súvisiacimi s IKT, udržiavali redundantné IKT kapacity; informovali vnútroštátne príslušné orgány o zmenách vykonaných na základe preskúmaní realizovaných po incidentoch súvisiacich s IKT; nepretržite monitorovali relevantný technologický vývoj, vytvorili komplexný program testovania digitálnej prevádzkovej odolnosti ako neoddeliteľnú súčasť rámca riadenia IKT rizika stanoveného v tomto nariadení, alebo prijali a pravidelne preskúmavali stratégiu týkajúcu sa externého IKT rizika. Okrem toho by sa od mikropodnikov malo len vyžadovať, aby posudzovali potrebu udržiavať takéto redundantné IKT kapacity na základe svojho rizikového profilu. Mikropodniky by mali využívať flexibilnejší režim, pokiaľ ide o programy testovania digitálnej prevádzkovej odolnosti. Pri posudzovaní typu a frekvencie testovania, ktoré sa má vykonať, by mali náležite vyvážiť cieľ zachovania vysokej digitálnej prevádzkovej odolnosti, dostupné zdroje a svoj celkový rizikový profil. Mikropodniky a finančné subjekty, na ktoré sa vzťahuje zjednodušený rámec riadenia IKT rizika podľa tohto nariadenia, by mali byť oslobodené od požiadavky vykonávať pokročilé testovanie nástrojov, systémov a procesov IKT v zmysle penetračného testovania na základe konkrétnej hrozby (ďalej len „TLPT“), keďže takéto testovanie by sa malo vyžadovať len od finančných subjektov spĺňajúcich kritériá stanovené v tomto nariadení. Mikropodniky by vzhľadom na svoje obmedzené spôsobilosti mali mať možnosť dohodnúť sa s externým poskytovateľom IKT služieb na delegovaní práv finančného subjektu na prístup, inšpekciu a audit na nezávislú tretiu stranu, ktorú vymenuje externý poskytovateľ IKT služieb, za predpokladu, že finančný subjekt môže kedykoľvek požiadať príslušnú nezávislú tretiu stranu o všetky relevantné informácie a uistenie o výkonnosti externého poskytovateľa IKT služieb. |
| --- | --- |

(43)

Podobne by sa od finančných subjektov, ktoré sa kvalifikujú ako mikropodniky alebo podliehajú zjednodušenému rámcu riadenia IKT rizika podľa tohto nariadenia, nemalo vyžadovať, aby ustanovili funkciu monitorovania svojich dojednaní o využívaní IKT služieb uzavretých s externými poskytovateľmi IKT služieb; alebo aby určili člena vrcholového manažmentu, ktorý má byť zodpovedný za dohľad nad súvisiacou rizikovou expozíciou a za príslušnú dokumentáciu; priradili zodpovednosť za riadenie IKT rizika a dohľad nad ním osobe vykonávajúcej kontrolnú funkciu a zabezpečili primeranú úroveň nezávislosti takejto osoby vykonávajúcej kontrolnú funkciu s cieľom zabrániť konfliktom záujmu; zdokumentovali a preskúmali aspoň raz za rok rámec riadenia IKT rizika; pravidelne vykonávali vnútorný audit rámca riadenia IKT rizika; vykonávali hĺbkové posúdenia po rozsiahlych zmenách svojich infraštruktúr a procesov sietí a informačných systémov; pravidelne vykonávali analýzy rizík v súvislosti s pôvodnými IKT systémami; zabezpečovali nezávislé vnútorné audítorské preskúmania vykonávania plánov reakcie a obnovy v oblasti IKT; mali vytvorenú funkciu krízového riadenia, rozšírili testovanie kontinuity činnosti a plánov reakcie a obnovy tak, aby sa v nich zachytili scenáre prechodu medzi primárnou infraštruktúrou IKT a redundantnými zariadeniami; oznamovali príslušným orgánom na ich žiadosť odhad súhrnných ročných nákladov a strát spôsobených závažnými incidentmi súvisiacimi s IKT, udržiavali redundantné IKT kapacity; informovali vnútroštátne príslušné orgány o zmenách vykonaných na základe preskúmaní realizovaných po incidentoch súvisiacich s IKT; nepretržite monitorovali relevantný technologický vývoj, vytvorili komplexný program testovania digitálnej prevádzkovej odolnosti ako neoddeliteľnú súčasť rámca riadenia IKT rizika stanoveného v tomto nariadení, alebo prijali a pravidelne preskúmavali stratégiu týkajúcu sa externého IKT rizika. Okrem toho by sa od mikropodnikov malo len vyžadovať, aby posudzovali potrebu udržiavať takéto redundantné IKT kapacity na základe svojho rizikového profilu. Mikropodniky by mali využívať flexibilnejší režim, pokiaľ ide o programy testovania digitálnej prevádzkovej odolnosti. Pri posudzovaní typu a frekvencie testovania, ktoré sa má vykonať, by mali náležite vyvážiť cieľ zachovania vysokej digitálnej prevádzkovej odolnosti, dostupné zdroje a svoj celkový rizikový profil. Mikropodniky a finančné subjekty, na ktoré sa vzťahuje zjednodušený rámec riadenia IKT rizika podľa tohto nariadenia, by mali byť oslobodené od požiadavky vykonávať pokročilé testovanie nástrojov, systémov a procesov IKT v zmysle penetračného testovania na základe konkrétnej hrozby (ďalej len „TLPT“), keďže takéto testovanie by sa malo vyžadovať len od finančných subjektov spĺňajúcich kritériá stanovené v tomto nariadení. Mikropodniky by vzhľadom na svoje obmedzené spôsobilosti mali mať možnosť dohodnúť sa s externým poskytovateľom IKT služieb na delegovaní práv finančného subjektu na prístup, inšpekciu a audit na nezávislú tretiu stranu, ktorú vymenuje externý poskytovateľ IKT služieb, za predpokladu, že finančný subjekt môže kedykoľvek požiadať príslušnú nezávislú tretiu stranu o všetky relevantné informácie a uistenie o výkonnosti externého poskytovateľa IKT služieb.

| (44) | Keďže len uvedené finančné subjekty identifikované na účely pokročilého testovania digitálnej odolnosti by mali byť povinné vykonávať penetračné testy na základe konkrétnej hrozby, administratívne postupy a finančné náklady spojené s vykonávaním takýchto testov by malo znášať malé percento finančných subjektov. |
| --- | --- |

(44)

Keďže len uvedené finančné subjekty identifikované na účely pokročilého testovania digitálnej odolnosti by mali byť povinné vykonávať penetračné testy na základe konkrétnej hrozby, administratívne postupy a finančné náklady spojené s vykonávaním takýchto testov by malo znášať malé percento finančných subjektov.

| (45) | S cieľom zabezpečiť úplné zosúladenie a celkovú konzistentnosť medzi obchodnými stratégiami finančných subjektov na jednej strane a riadením IKT rizika na strane druhej by sa od riadiacich orgánov finančných subjektov malo vyžadovať, aby si zachovali kľúčovú a aktívnu úlohu pri riadení a prispôsobovaní rámca riadenia IKT rizika a celkovej stratégie digitálnej prevádzkovej odolnosti. Prístup, ktorý majú riadiace orgány zaujať, by sa nemal zameriavať len na prostriedky na zabezpečenie odolnosti IKT systémov, ale mal by sa vzťahovať aj na osoby a procesy prostredníctvom súboru politík, ktoré na každej podnikovej úrovni a v prípade všetkých zamestnancov podporujú silný zmysel pre informovanosť o kybernetických rizikách a záväzok dodržiavať prísnu kybernetickú hygienu na všetkých úrovniach. Hlavnou zásadou tohto komplexného prístupu by mala byť konečná zodpovednosť riadiaceho orgánu za riadenie IKT rizika finančného subjektu, ktorá by sa mala ďalej premietnuť do nepretržitého zapojenia riadiaceho orgánu do kontroly monitorovania riadenia IKT rizika. |
| --- | --- |

(45)

S cieľom zabezpečiť úplné zosúladenie a celkovú konzistentnosť medzi obchodnými stratégiami finančných subjektov na jednej strane a riadením IKT rizika na strane druhej by sa od riadiacich orgánov finančných subjektov malo vyžadovať, aby si zachovali kľúčovú a aktívnu úlohu pri riadení a prispôsobovaní rámca riadenia IKT rizika a celkovej stratégie digitálnej prevádzkovej odolnosti. Prístup, ktorý majú riadiace orgány zaujať, by sa nemal zameriavať len na prostriedky na zabezpečenie odolnosti IKT systémov, ale mal by sa vzťahovať aj na osoby a procesy prostredníctvom súboru politík, ktoré na každej podnikovej úrovni a v prípade všetkých zamestnancov podporujú silný zmysel pre informovanosť o kybernetických rizikách a záväzok dodržiavať prísnu kybernetickú hygienu na všetkých úrovniach. Hlavnou zásadou tohto komplexného prístupu by mala byť konečná zodpovednosť riadiaceho orgánu za riadenie IKT rizika finančného subjektu, ktorá by sa mala ďalej premietnuť do nepretržitého zapojenia riadiaceho orgánu do kontroly monitorovania riadenia IKT rizika.

| (46) | Zásada úplnej a konečnej zodpovednosti riadiaceho orgánu za riadenie IKT rizika finančného subjektu navyše ide ruka v ruke s potrebou zabezpečiť určitú úroveň investícií súvisiacich s IKT a celkový rozpočet pre daný finančný subjekt, ktorý by finančnému subjektu umožnil dosiahnuť vysokú úroveň digitálnej prevádzkovej odolnosti. |
| --- | --- |

(46)

Zásada úplnej a konečnej zodpovednosti riadiaceho orgánu za riadenie IKT rizika finančného subjektu navyše ide ruka v ruke s potrebou zabezpečiť určitú úroveň investícií súvisiacich s IKT a celkový rozpočet pre daný finančný subjekt, ktorý by finančnému subjektu umožnil dosiahnuť vysokú úroveň digitálnej prevádzkovej odolnosti.

| (47) | Toto nariadenie, inšpirované najlepšími príslušnými medzinárodnými, vnútroštátnymi a odvetvovými postupmi, usmerneniami, odporúčaniami a prístupmi v oblasti riadenia kybernetického rizika, presadzuje súbor zásad, ktoré uľahčujú celkové štruktúrovanie riadenia IKT rizika. V dôsledku toho, pokiaľ hlavné spôsobilosti, ktoré finančné subjekty zaviedli s cieľom zabezpečiť rôzne funkcie v oblasti riadenia IKT rizika (identifikácia, ochrana a prevencia, odhaľovanie, reakcia a obnova, učenie a vývoj a komunikácia) stanovené v tomto nariadení, mali by naďalej voľne používať modely riadenia IKT rizika, ktoré sú rôzne vymedzené alebo kategorizované. |
| --- | --- |

(47)

Toto nariadenie, inšpirované najlepšími príslušnými medzinárodnými, vnútroštátnymi a odvetvovými postupmi, usmerneniami, odporúčaniami a prístupmi v oblasti riadenia kybernetického rizika, presadzuje súbor zásad, ktoré uľahčujú celkové štruktúrovanie riadenia IKT rizika. V dôsledku toho, pokiaľ hlavné spôsobilosti, ktoré finančné subjekty zaviedli s cieľom zabezpečiť rôzne funkcie v oblasti riadenia IKT rizika (identifikácia, ochrana a prevencia, odhaľovanie, reakcia a obnova, učenie a vývoj a komunikácia) stanovené v tomto nariadení, mali by naďalej voľne používať modely riadenia IKT rizika, ktoré sú rôzne vymedzené alebo kategorizované.

| (48) | V snahe držať krok s vývojom v oblasti kybernetických hrozieb by finančné subjekty mali udržiavať aktualizované IKT systémy, ktoré sú spoľahlivé a schopné nielen zaručiť spracúvanie údajov potrebných pre ich služby, ale aj zabezpečiť dostatočnú technologickú odolnosť, ktorá im umožní primerane riešiť dodatočné potreby v oblasti spracúvania, ktoré môžu vzniknúť v dôsledku stresových trhových podmienok alebo iných nepriaznivých situácií. |
| --- | --- |

(48)

V snahe držať krok s vývojom v oblasti kybernetických hrozieb by finančné subjekty mali udržiavať aktualizované IKT systémy, ktoré sú spoľahlivé a schopné nielen zaručiť spracúvanie údajov potrebných pre ich služby, ale aj zabezpečiť dostatočnú technologickú odolnosť, ktorá im umožní primerane riešiť dodatočné potreby v oblasti spracúvania, ktoré môžu vzniknúť v dôsledku stresových trhových podmienok alebo iných nepriaznivých situácií.

| (49) | Na to, aby finančné subjekty mohli promptne a rýchlo riešiť incidenty súvisiace s IKT, a najmä kybernetické útoky, sú potrebné efektívne plány kontinuity činnosti a plány obnovy, aby sa obmedzili škody a uprednostnilo obnovenie činností a opatrenia zamerané na obnovu v súlade s ich záložnými postupmi. Takéto obnovenie by však v žiadnom prípade nemalo ohroziť integritu a bezpečnosť sietí a informačných systémov ani dostupnosť, pravosť, integritu alebo dôvernosť údajov. |
| --- | --- |

(49)

Na to, aby finančné subjekty mohli promptne a rýchlo riešiť incidenty súvisiace s IKT, a najmä kybernetické útoky, sú potrebné efektívne plány kontinuity činnosti a plány obnovy, aby sa obmedzili škody a uprednostnilo obnovenie činností a opatrenia zamerané na obnovu v súlade s ich záložnými postupmi. Takéto obnovenie by však v žiadnom prípade nemalo ohroziť integritu a bezpečnosť sietí a informačných systémov ani dostupnosť, pravosť, integritu alebo dôvernosť údajov.

| (50) | Hoci toto nariadenie umožňuje finančným subjektom pružne určovať ich časové ciele obnovy a ciele bodov obnovy, a teda stanoviť takéto ciele tak, aby sa v plnej miere zohľadnila povaha a kritickosť príslušných funkcií a akékoľvek osobitné obchodné potreby, malo by sa v ňom napriek tomu od nich vyžadovať, aby pri určovaní takýchto cieľov vykonávali aj posúdenie potenciálneho celkového vplyvu na efektívnosť trhu. |
| --- | --- |

(50)

Hoci toto nariadenie umožňuje finančným subjektom pružne určovať ich časové ciele obnovy a ciele bodov obnovy, a teda stanoviť takéto ciele tak, aby sa v plnej miere zohľadnila povaha a kritickosť príslušných funkcií a akékoľvek osobitné obchodné potreby, malo by sa v ňom napriek tomu od nich vyžadovať, aby pri určovaní takýchto cieľov vykonávali aj posúdenie potenciálneho celkového vplyvu na efektívnosť trhu.

| (51) | Šíritelia kybernetických útokov majú tendenciu usilovať sa o finančné zisky priamo pri zdroji, čím finančné subjekty vystavujú významným dôsledkom. S cieľom zabrániť tomu, aby IKT systémy stratili integritu alebo sa stali nedostupnými, a tým zabrániť narušeniu ochrany údajov a poškodeniu fyzickej infraštruktúry IKT, by sa malo výrazne zlepšiť a zefektívniť nahlasovanie závažných incidentov súvisiacich s IKT finančnými subjektmi. Nahlasovanie incidentov súvisiacich s IKT by sa malo harmonizovať prostredníctvom zavedenia požiadavky pre všetky finančné subjekty nahlasovať priamo ich relevantným príslušným orgánom. Ak finančný subjekt podlieha dohľadu viac ako jedného príslušného vnútroštátneho orgánu, členské štáty by mali určiť jediný príslušný orgán ako adresáta takéhoto nahlasovania. Úverové inštitúcie klasifikované ako významné v súlade s článkom 6 ods. 4 nariadenia Rady (EÚ) č. 1024/2013 (19) by mali takéto nahlasovanie predkladať vnútroštátnym príslušným orgánom, ktoré by následne mali správu zaslať Európskej centrálnej banke (ďalej len „ECB“). |
| --- | --- |

(51)

Šíritelia kybernetických útokov majú tendenciu usilovať sa o finančné zisky priamo pri zdroji, čím finančné subjekty vystavujú významným dôsledkom. S cieľom zabrániť tomu, aby IKT systémy stratili integritu alebo sa stali nedostupnými, a tým zabrániť narušeniu ochrany údajov a poškodeniu fyzickej infraštruktúry IKT, by sa malo výrazne zlepšiť a zefektívniť nahlasovanie závažných incidentov súvisiacich s IKT finančnými subjektmi. Nahlasovanie incidentov súvisiacich s IKT by sa malo harmonizovať prostredníctvom zavedenia požiadavky pre všetky finančné subjekty nahlasovať priamo ich relevantným príslušným orgánom. Ak finančný subjekt podlieha dohľadu viac ako jedného príslušného vnútroštátneho orgánu, členské štáty by mali určiť jediný príslušný orgán ako adresáta takéhoto nahlasovania. Úverové inštitúcie klasifikované ako významné v súlade s článkom 6 ods. 4 nariadenia Rady (EÚ) č. 1024/2013 (19) by mali takéto nahlasovanie predkladať vnútroštátnym príslušným orgánom, ktoré by následne mali správu zaslať Európskej centrálnej banke (ďalej len „ECB“).

| (52) | Priame nahlasovanie by malo orgánom dohľadu nad finančnými subjektmi umožniť okamžitý prístup k informáciám o závažných incidentoch súvisiacich s IKT. Orgány dohľadu nad finančnými subjektmi by mali zároveň podrobnosti o závažných incidentoch súvisiacich s IKT postúpiť verejným nefinančným orgánom (ako sú príslušné orgány a jednotné kontaktné miesta podľa smernice (EÚ) 2022/2555+, vnútroštátne orgány na ochranu údajov a v prípade závažných incidentov trestnej povahy súvisiacich s IKT orgány presadzovania práva), aby sa zvýšila informovanosť týchto orgánov o takýchto incidentoch a aby sa v prípade jednotiek CSIRT uľahčila promptná pomoc, ktorú možno poskytnúť finančným subjektom. Členské štáty by okrem toho mali mať možnosť určiť, že samotné finančné subjekty by mali poskytovať takéto informácie verejným orgánom mimo oblasti finančných služieb. Uvedené informačné toky by mali finančným subjektom umožniť rýchlo využívať všetky relevantné technické vstupy, poradenstvo o nápravných opatreniach a následné opatrenia zo strany takýchto orgánov. Informácie o závažných incidentoch súvisiacich s IKT by sa mali poskytovať spoločne: orgány dohľadu nad finančnými subjektmi by mali finančnému subjektu poskytnúť všetku potrebnú spätnú väzbu alebo usmernenia, zatiaľ čo európske orgány dohľadu by mali zdieľať anonymizované údaje o kybernetických hrozbách a zraniteľných miestach súvisiacich s incidentom s cieľom napomôcť širšej kolektívnej obrane. |
| --- | --- |

(52)

Priame nahlasovanie by malo orgánom dohľadu nad finančnými subjektmi umožniť okamžitý prístup k informáciám o závažných incidentoch súvisiacich s IKT. Orgány dohľadu nad finančnými subjektmi by mali zároveň podrobnosti o závažných incidentoch súvisiacich s IKT postúpiť verejným nefinančným orgánom (ako sú príslušné orgány a jednotné kontaktné miesta podľa smernice (EÚ) 2022/2555+, vnútroštátne orgány na ochranu údajov a v prípade závažných incidentov trestnej povahy súvisiacich s IKT orgány presadzovania práva), aby sa zvýšila informovanosť týchto orgánov o takýchto incidentoch a aby sa v prípade jednotiek CSIRT uľahčila promptná pomoc, ktorú možno poskytnúť finančným subjektom. Členské štáty by okrem toho mali mať možnosť určiť, že samotné finančné subjekty by mali poskytovať takéto informácie verejným orgánom mimo oblasti finančných služieb. Uvedené informačné toky by mali finančným subjektom umožniť rýchlo využívať všetky relevantné technické vstupy, poradenstvo o nápravných opatreniach a následné opatrenia zo strany takýchto orgánov. Informácie o závažných incidentoch súvisiacich s IKT by sa mali poskytovať spoločne: orgány dohľadu nad finančnými subjektmi by mali finančnému subjektu poskytnúť všetku potrebnú spätnú väzbu alebo usmernenia, zatiaľ čo európske orgány dohľadu by mali zdieľať anonymizované údaje o kybernetických hrozbách a zraniteľných miestach súvisiacich s incidentom s cieľom napomôcť širšej kolektívnej obrane.

| (53) | Aj keď by sa malo od všetkých finančných subjektov vyžadovať, aby vykonávali nahlasovanie incidentov, neočakáva sa, že táto požiadavka ich všetkých ovplyvní rovnakým spôsobom. Relevantné prahové hodnoty významnosti, ako aj lehoty pre nahlasovanie, by mali byť náležite upravené, a to v kontexte delegovaných aktov založených na regulačných technických predpisoch, ktoré majú vypracovať európske orgány dohľadu, aby zahŕňali len závažné incidenty súvisiace s IKT. Okrem toho by sa pri stanovovaní lehôt pre nahlasovacie povinnosti mali zohľadniť špecifiká finančných subjektov. |
| --- | --- |

(53)

Aj keď by sa malo od všetkých finančných subjektov vyžadovať, aby vykonávali nahlasovanie incidentov, neočakáva sa, že táto požiadavka ich všetkých ovplyvní rovnakým spôsobom. Relevantné prahové hodnoty významnosti, ako aj lehoty pre nahlasovanie, by mali byť náležite upravené, a to v kontexte delegovaných aktov založených na regulačných technických predpisoch, ktoré majú vypracovať európske orgány dohľadu, aby zahŕňali len závažné incidenty súvisiace s IKT. Okrem toho by sa pri stanovovaní lehôt pre nahlasovacie povinnosti mali zohľadniť špecifiká finančných subjektov.

| (54) | V tomto nariadení by sa od úverových inštitúcií, platobných inštitúcií, poskytovateľov služieb informovania o účte a inštitúcií elektronického peňažníctva malo vyžadovať, aby oznamovali všetky prevádzkové alebo bezpečnostné incidenty súvisiace s platbami – predtým nahlasované podľa smernice (EÚ) 2015/2366 – bez ohľadu na IKT povahu incidentu. |
| --- | --- |

(54)

V tomto nariadení by sa od úverových inštitúcií, platobných inštitúcií, poskytovateľov služieb informovania o účte a inštitúcií elektronického peňažníctva malo vyžadovať, aby oznamovali všetky prevádzkové alebo bezpečnostné incidenty súvisiace s platbami – predtým nahlasované podľa smernice (EÚ) 2015/2366 – bez ohľadu na IKT povahu incidentu.

| (55) | Európske orgány dohľadu by mali byť poverené posudzovaním uskutočniteľnosti a podmienok možnej centralizácie správ o incidentoch súvisiacich s IKT na úrovni Únie. Takáto centralizácia by mohla pozostávať z jednotného centra EÚ pre nahlasovanie závažných incidentov súvisiacich s IKT, ktoré by priamo dostávalo príslušné hlásenia a automaticky informovalo vnútroštátne príslušné orgány, alebo by len centralizovalo relevantné hlásenia postúpené vnútroštátnymi príslušnými orgánmi a tak plnilo koordinačnú úlohu. Európske orgány dohľadu by mali byť poverené úlohou, aby po konzultácii s ECB a agentúrou ENISA vypracovali spoločnú správu, v ktorej preskúmajú uskutočniteľnosť zriadenia jednotného centra EÚ. |
| --- | --- |

(55)

Európske orgány dohľadu by mali byť poverené posudzovaním uskutočniteľnosti a podmienok možnej centralizácie správ o incidentoch súvisiacich s IKT na úrovni Únie. Takáto centralizácia by mohla pozostávať z jednotného centra EÚ pre nahlasovanie závažných incidentov súvisiacich s IKT, ktoré by priamo dostávalo príslušné hlásenia a automaticky informovalo vnútroštátne príslušné orgány, alebo by len centralizovalo relevantné hlásenia postúpené vnútroštátnymi príslušnými orgánmi a tak plnilo koordinačnú úlohu. Európske orgány dohľadu by mali byť poverené úlohou, aby po konzultácii s ECB a agentúrou ENISA vypracovali spoločnú správu, v ktorej preskúmajú uskutočniteľnosť zriadenia jednotného centra EÚ.

| (56) | V snahe dosiahnuť vysokú úroveň digitálnej prevádzkovej odolnosti a v súlade s relevantnými medzinárodnými normami (napr. základnými prvkami G7 pre penetračné testovanie na základe konkrétnej hrozby) a rámcami uplatňovanými v Únii, ako ja TIBER-EÚ, by finančné subjekty mali pravidelne testovať svoje IKT systémy a personál zodpovedný za IKT, pokiaľ ide o účinnosť ich spôsobilostí v oblasti predchádzania, odhaľovania, reakcie a obnovy, v záujme odhalenia a riešenia potenciálnych zraniteľných miest v oblasti IKT. S cieľom zohľadniť rozdiely, ktoré existujú medzi rôznymi finančnými podsektormi a v rámci nich, pokiaľ ide o úroveň pripravenosti finančných subjektov v oblasti kybernetickej bezpečnosti, by testovanie malo zahŕňať širokú škálu nástrojov a opatrení, od posúdenia základných požiadaviek (napr. posúdenia a prehľady zraniteľnosti, analýzy otvorených zdrojov (analýzy open-source riešení), posúdenia bezpečnosti sietí, analýzy nedostatkov, preskúmania fyzickej bezpečnosti, dotazníky a skenovacie softvérové riešenia, preskúmania zdrojových kódov, ak je to možné, testy založené na konkrétnych scenároch, testovanie kompatibility, testovanie výkonnosti alebo testovanie medzi koncovými bodmi (end-to-end testovanie)) až po pokročilejšie testovanie prostredníctvom TLPT. Takéto pokročilé testovanie by sa malo vyžadovať len od finančných subjektov, ktoré sú dostatočne vyspelé z hľadiska IKT na to, aby ho mohli primerane vykonať. Testovanie digitálnej prevádzkovej odolnosti vyžadované týmto nariadením by preto malo byť náročnejšie pre tie finančné subjekty, ktoré spĺňajú kritériá stanovené v tomto nariadení (napr. veľké systémové úverové inštitúcie, ktoré sú vyspelé z hľadiska IKT, burzy cenných papierov, centrálne depozitáre cenných papierov a centrálne protistrany) než pre iné finančné subjekty. Testovanie digitálnej prevádzkovej odolnosti prostredníctvom TLPT by malo byť relevantnejšie pre finančné subjekty, ktoré vykonávajú činnosť v podsektoroch hlavných finančných služieb a zohrávajú systémovú úlohu (napr. platby, bankovníctvo a zúčtovanie a vyrovnanie), a menej relevantné pre iné subsektory (napr. správcovia aktív a ratingové agentúry). |
| --- | --- |

(56)

V snahe dosiahnuť vysokú úroveň digitálnej prevádzkovej odolnosti a v súlade s relevantnými medzinárodnými normami (napr. základnými prvkami G7 pre penetračné testovanie na základe konkrétnej hrozby) a rámcami uplatňovanými v Únii, ako ja TIBER-EÚ, by finančné subjekty mali pravidelne testovať svoje IKT systémy a personál zodpovedný za IKT, pokiaľ ide o účinnosť ich spôsobilostí v oblasti predchádzania, odhaľovania, reakcie a obnovy, v záujme odhalenia a riešenia potenciálnych zraniteľných miest v oblasti IKT. S cieľom zohľadniť rozdiely, ktoré existujú medzi rôznymi finančnými podsektormi a v rámci nich, pokiaľ ide o úroveň pripravenosti finančných subjektov v oblasti kybernetickej bezpečnosti, by testovanie malo zahŕňať širokú škálu nástrojov a opatrení, od posúdenia základných požiadaviek (napr. posúdenia a prehľady zraniteľnosti, analýzy otvorených zdrojov (analýzy open-source riešení), posúdenia bezpečnosti sietí, analýzy nedostatkov, preskúmania fyzickej bezpečnosti, dotazníky a skenovacie softvérové riešenia, preskúmania zdrojových kódov, ak je to možné, testy založené na konkrétnych scenároch, testovanie kompatibility, testovanie výkonnosti alebo testovanie medzi koncovými bodmi (end-to-end testovanie)) až po pokročilejšie testovanie prostredníctvom TLPT. Takéto pokročilé testovanie by sa malo vyžadovať len od finančných subjektov, ktoré sú dostatočne vyspelé z hľadiska IKT na to, aby ho mohli primerane vykonať. Testovanie digitálnej prevádzkovej odolnosti vyžadované týmto nariadením by preto malo byť náročnejšie pre tie finančné subjekty, ktoré spĺňajú kritériá stanovené v tomto nariadení (napr. veľké systémové úverové inštitúcie, ktoré sú vyspelé z hľadiska IKT, burzy cenných papierov, centrálne depozitáre cenných papierov a centrálne protistrany) než pre iné finančné subjekty. Testovanie digitálnej prevádzkovej odolnosti prostredníctvom TLPT by malo byť relevantnejšie pre finančné subjekty, ktoré vykonávajú činnosť v podsektoroch hlavných finančných služieb a zohrávajú systémovú úlohu (napr. platby, bankovníctvo a zúčtovanie a vyrovnanie), a menej relevantné pre iné subsektory (napr. správcovia aktív a ratingové agentúry).

| (57) | Finančné subjekty, ktoré vykonávajú cezhraničné činnosti a uplatňujú si slobodu usadiť sa alebo poskytovať služby v rámci Únie, by mali spĺňať jednotný súbor pokročilých požiadaviek na testovanie (napr. TLPT) vo svojom domovskom členskom štáte, ktorý by mal zahŕňať infraštruktúry IKT vo všetkých jurisdikciách, v ktorých cezhraničná finančná skupina pôsobí v rámci Únie, čím by takýmto cezhraničným finančným skupinám umožnil, aby im náklady na testovanie súvisiace s IKT vznikali len v jednej jurisdikcii. |
| --- | --- |

(57)

Finančné subjekty, ktoré vykonávajú cezhraničné činnosti a uplatňujú si slobodu usadiť sa alebo poskytovať služby v rámci Únie, by mali spĺňať jednotný súbor pokročilých požiadaviek na testovanie (napr. TLPT) vo svojom domovskom členskom štáte, ktorý by mal zahŕňať infraštruktúry IKT vo všetkých jurisdikciách, v ktorých cezhraničná finančná skupina pôsobí v rámci Únie, čím by takýmto cezhraničným finančným skupinám umožnil, aby im náklady na testovanie súvisiace s IKT vznikali len v jednej jurisdikcii.

| (58) | S cieľom využiť odborné znalosti, ktoré už získali určité príslušné orgány, najmä pokiaľ ide o vykonávanie rámca TIBER – EÚ, by toto nariadenie malo členským štátom umožniť, aby určili jeden verejný orgán zodpovedný za finančný sektor na vnútroštátnej úrovni za všetky záležitosti TLPT, alebo príslušným orgánom, aby v prípade, že takéto určenie neexistuje, delegovali výkon úloh súvisiacich s TLPT na iný vnútroštátny finančný príslušný orgán. |
| --- | --- |

(58)

S cieľom využiť odborné znalosti, ktoré už získali určité príslušné orgány, najmä pokiaľ ide o vykonávanie rámca TIBER – EÚ, by toto nariadenie malo členským štátom umožniť, aby určili jeden verejný orgán zodpovedný za finančný sektor na vnútroštátnej úrovni za všetky záležitosti TLPT, alebo príslušným orgánom, aby v prípade, že takéto určenie neexistuje, delegovali výkon úloh súvisiacich s TLPT na iný vnútroštátny finančný príslušný orgán.

| (59) | Keďže sa v tomto nariadení nevyžaduje, aby finančné subjekty pokrývali všetky kritické alebo dôležité funkcie v rámci jediného penetračného testu na základe konkrétnej hrozby, finančné subjekty by mali mať možnosť určiť, ktoré a koľko kritických alebo dôležitých funkcií by sa malo zahrnúť do rozsahu takéhoto testu. |
| --- | --- |

(59)

Keďže sa v tomto nariadení nevyžaduje, aby finančné subjekty pokrývali všetky kritické alebo dôležité funkcie v rámci jediného penetračného testu na základe konkrétnej hrozby, finančné subjekty by mali mať možnosť určiť, ktoré a koľko kritických alebo dôležitých funkcií by sa malo zahrnúť do rozsahu takéhoto testu.

| (60) | Združené testovanie v zmysle tohto nariadenia – zahŕňajúce účasť viacerých finančných subjektov na TLPT a v prípade ktorého môže externý poskytovateľ IKT služieb priamo vstupovať do zmluvných dojednaní s externým testujúcim subjektom – by sa malo umožniť len vtedy, keď sa odôvodnene predpokladá, že kvalita alebo bezpečnosť služieb, ktoré poskytuje externý poskytovateľ IKT služieb zákazníkom, ktorí sú subjektmi, na ktoré sa toto nariadenie nevzťahuje, alebo dôvernosť údajov súvisiacich s takýmito službami, by boli nepriaznivo ovplyvnené. Združené testovanie by tiež malo podliehať zárukám (riadenie jedným určeným finančným subjektom, kalibrácia viacerých zúčastňujúcich sa finančných subjektov) s cieľom zabezpečiť prísny výkon testovania zúčastnených finančných subjektov, ktoré spĺňa ciele TLPT podľa tohto nariadenia. |
| --- | --- |

(60)

Združené testovanie v zmysle tohto nariadenia – zahŕňajúce účasť viacerých finančných subjektov na TLPT a v prípade ktorého môže externý poskytovateľ IKT služieb priamo vstupovať do zmluvných dojednaní s externým testujúcim subjektom – by sa malo umožniť len vtedy, keď sa odôvodnene predpokladá, že kvalita alebo bezpečnosť služieb, ktoré poskytuje externý poskytovateľ IKT služieb zákazníkom, ktorí sú subjektmi, na ktoré sa toto nariadenie nevzťahuje, alebo dôvernosť údajov súvisiacich s takýmito službami, by boli nepriaznivo ovplyvnené. Združené testovanie by tiež malo podliehať zárukám (riadenie jedným určeným finančným subjektom, kalibrácia viacerých zúčastňujúcich sa finančných subjektov) s cieľom zabezpečiť prísny výkon testovania zúčastnených finančných subjektov, ktoré spĺňa ciele TLPT podľa tohto nariadenia.

| (61) | S cieľom využiť interné zdroje dostupné na podnikovej úrovni by sa týmto nariadením malo umožniť využívanie interných testovacích subjektov na účely vykonávania TLPT za predpokladu, že existuje súhlas orgánov dohľadu, nie sú žiadne konflikty záujmov a vykonáva sa pravidelné striedanie využívania interných a externých testovacích subjektov (každé tri testy), pričom sa vyžaduje, aby poskytovateľ spravodajských informácií o hrozbe v TLPT bol vo vzťahu k finančnému subjektu vždy externý. Zodpovednosť za vykonávanie TLPT by mal v plnej miere niesť finančný subjekt. Potvrdenia, ktoré poskytujú orgány, by mali byť výlučne na účely vzájomného uznávania a nemali by brániť žiadnym následným opatreniam potrebným na riešenie IKT rizika, ktorému je finančný subjekt vystavený, ani by sa nemali považovať za schválenie schopností, ktoré má finančný subjekt v oblasti riadenia a zmierňovania IKT rizika, v rámci dohľadu. |
| --- | --- |

(61)

S cieľom využiť interné zdroje dostupné na podnikovej úrovni by sa týmto nariadením malo umožniť využívanie interných testovacích subjektov na účely vykonávania TLPT za predpokladu, že existuje súhlas orgánov dohľadu, nie sú žiadne konflikty záujmov a vykonáva sa pravidelné striedanie využívania interných a externých testovacích subjektov (každé tri testy), pričom sa vyžaduje, aby poskytovateľ spravodajských informácií o hrozbe v TLPT bol vo vzťahu k finančnému subjektu vždy externý. Zodpovednosť za vykonávanie TLPT by mal v plnej miere niesť finančný subjekt. Potvrdenia, ktoré poskytujú orgány, by mali byť výlučne na účely vzájomného uznávania a nemali by brániť žiadnym následným opatreniam potrebným na riešenie IKT rizika, ktorému je finančný subjekt vystavený, ani by sa nemali považovať za schválenie schopností, ktoré má finančný subjekt v oblasti riadenia a zmierňovania IKT rizika, v rámci dohľadu.

| (62) | Na zabezpečenie riadneho monitorovania externého IKT rizika vo finančnom sektore je potrebné stanoviť súbor pravidiel založených na zásadách s cieľom usmerňovať finančné subjekty pri monitorovaní rizika, ktoré vzniká v súvislosti s funkciami, ktoré sú zabezpečované na základe outsourcingu externými poskytovateľmi IKT služieb, najmä v prípade IKT služieb podporujúcich kritické alebo dôležité funkcie, ako aj všeobecnejšie v súvislosti so všetkými externými závislosťami v oblasti IKT. |
| --- | --- |

(62)

Na zabezpečenie riadneho monitorovania externého IKT rizika vo finančnom sektore je potrebné stanoviť súbor pravidiel založených na zásadách s cieľom usmerňovať finančné subjekty pri monitorovaní rizika, ktoré vzniká v súvislosti s funkciami, ktoré sú zabezpečované na základe outsourcingu externými poskytovateľmi IKT služieb, najmä v prípade IKT služieb podporujúcich kritické alebo dôležité funkcie, ako aj všeobecnejšie v súvislosti so všetkými externými závislosťami v oblasti IKT.

| (63) | S cieľom riešiť zložitosť rôznych zdrojov IKT rizika a zároveň zohľadniť množstvo a rozmanitosť poskytovateľov technologických riešení, ktoré umožňujú bezproblémové poskytovanie finančných služieb, by sa toto nariadenie malo vzťahovať na širokú škálu externých poskytovateľov IKT služieb vrátane poskytovateľov služieb cloud computingu, softvéru, služieb analýzy údajov a poskytovateľov služieb dátových centier. Podobne, keďže finančné subjekty by mali účinne a koherentne identifikovať a riadiť všetky druhy rizík, a to aj v kontexte IKT služieb obstarávaných v rámci finančnej skupiny, malo by sa objasniť, že podniky, ktoré sú súčasťou finančnej skupiny a poskytujú IKT služby prevažne svojmu materskému podniku alebo dcérskym podnikom či pobočkám svojho materského podniku, ako aj finančné subjekty, ktoré poskytujú IKT služby iným finančným subjektom, by sa mali tiež považovať za externých poskytovateľov IKT služieb podľa tohto nariadenia. Napokon, vzhľadom na to, že vyvíjajúci sa trh s platobnými službami sa čoraz viac stáva závislým od zložitých technických riešení, a vzhľadom na nové druhy platobných služieb a riešenia súvisiace s platbami by sa účastníci ekosystému platobných služieb, ktorí poskytujú činnosti spracovania platieb alebo prevádzkujú platobné infraštruktúry, mali tiež považovať za externých poskytovateľov IKT služieb podľa tohto nariadenia s výnimkou centrálnych bánk, keď prevádzkujú platobné systémy alebo systémy vyrovnania transakcií s cennými papiermi, a verejných orgánov pri poskytovaní služieb súvisiacich s IKT v kontexte plnenia funkcií štátu. |
| --- | --- |

(63)

S cieľom riešiť zložitosť rôznych zdrojov IKT rizika a zároveň zohľadniť množstvo a rozmanitosť poskytovateľov technologických riešení, ktoré umožňujú bezproblémové poskytovanie finančných služieb, by sa toto nariadenie malo vzťahovať na širokú škálu externých poskytovateľov IKT služieb vrátane poskytovateľov služieb cloud computingu, softvéru, služieb analýzy údajov a poskytovateľov služieb dátových centier. Podobne, keďže finančné subjekty by mali účinne a koherentne identifikovať a riadiť všetky druhy rizík, a to aj v kontexte IKT služieb obstarávaných v rámci finančnej skupiny, malo by sa objasniť, že podniky, ktoré sú súčasťou finančnej skupiny a poskytujú IKT služby prevažne svojmu materskému podniku alebo dcérskym podnikom či pobočkám svojho materského podniku, ako aj finančné subjekty, ktoré poskytujú IKT služby iným finančným subjektom, by sa mali tiež považovať za externých poskytovateľov IKT služieb podľa tohto nariadenia. Napokon, vzhľadom na to, že vyvíjajúci sa trh s platobnými službami sa čoraz viac stáva závislým od zložitých technických riešení, a vzhľadom na nové druhy platobných služieb a riešenia súvisiace s platbami by sa účastníci ekosystému platobných služieb, ktorí poskytujú činnosti spracovania platieb alebo prevádzkujú platobné infraštruktúry, mali tiež považovať za externých poskytovateľov IKT služieb podľa tohto nariadenia s výnimkou centrálnych bánk, keď prevádzkujú platobné systémy alebo systémy vyrovnania transakcií s cennými papiermi, a verejných orgánov pri poskytovaní služieb súvisiacich s IKT v kontexte plnenia funkcií štátu.

| (64) | Za dodržiavanie svojich povinností podľa tohto nariadenia by mal neustále naďalej niesť plnú zodpovednosť finančný subjekt. Finančné subjekty by mali uplatňovať primeraný prístup k monitorovaniu rizík, ktoré vznikajú na úrovni externých poskytovateľov IKT služieb, a to náležitým zohľadnením povahy, rozsahu, zložitosti a významu ich závislostí súvisiacich s IKT, kritickosti alebo dôležitosti služieb, procesov alebo funkcií, na ktoré sa vzťahujú zmluvné dojednania, a v konečnom dôsledku na základe dôkladného posúdenia akéhokoľvek potenciálneho vplyvu na kontinuitu a kvalitu finančných služieb na individuálnej, resp. skupinovej úrovni. |
| --- | --- |

(64)

Za dodržiavanie svojich povinností podľa tohto nariadenia by mal neustále naďalej niesť plnú zodpovednosť finančný subjekt. Finančné subjekty by mali uplatňovať primeraný prístup k monitorovaniu rizík, ktoré vznikajú na úrovni externých poskytovateľov IKT služieb, a to náležitým zohľadnením povahy, rozsahu, zložitosti a významu ich závislostí súvisiacich s IKT, kritickosti alebo dôležitosti služieb, procesov alebo funkcií, na ktoré sa vzťahujú zmluvné dojednania, a v konečnom dôsledku na základe dôkladného posúdenia akéhokoľvek potenciálneho vplyvu na kontinuitu a kvalitu finančných služieb na individuálnej, resp. skupinovej úrovni.

| (65) | Vykonávanie takéhoto monitorovania by sa malo riadiť strategickým prístupom k externému IKT riziku, ktoré by bolo formalizované tak, že riadiaci orgán finančného subjektu prijme špecializovanú stratégiu zameranú na externé IKT riziko, ktorá bude vychádzať z nepretržitého preverovania všetkých externých závislostí v oblasti IKT. S cieľom zvýšiť informovanosť orgánov dohľadu o externých závislostiach v oblasti IKT a s cieľom ďalej podporovať prácu v kontexte rámca dozoru zriadeného týmto nariadením by sa od všetkých finančných subjektov malo vyžadovať, aby viedli register informácií so všetkými zmluvnými dojednaniami o využívaní IKT služieb poskytovaných externými poskytovateľmi IKT služieb. Orgány dohľadu nad finančnými subjektmi by mali mať možnosť požiadať o úplný register alebo požiadať o jeho konkrétne časti, a tak získať dôležité informácie na širšie pochopenie závislostí finančných subjektov v oblasti IKT. |
| --- | --- |

(65)

Vykonávanie takéhoto monitorovania by sa malo riadiť strategickým prístupom k externému IKT riziku, ktoré by bolo formalizované tak, že riadiaci orgán finančného subjektu prijme špecializovanú stratégiu zameranú na externé IKT riziko, ktorá bude vychádzať z nepretržitého preverovania všetkých externých závislostí v oblasti IKT. S cieľom zvýšiť informovanosť orgánov dohľadu o externých závislostiach v oblasti IKT a s cieľom ďalej podporovať prácu v kontexte rámca dozoru zriadeného týmto nariadením by sa od všetkých finančných subjektov malo vyžadovať, aby viedli register informácií so všetkými zmluvnými dojednaniami o využívaní IKT služieb poskytovaných externými poskytovateľmi IKT služieb. Orgány dohľadu nad finančnými subjektmi by mali mať možnosť požiadať o úplný register alebo požiadať o jeho konkrétne časti, a tak získať dôležité informácie na širšie pochopenie závislostí finančných subjektov v oblasti IKT.

| (66) | Dôkladnou analýzou pred uzavretím zmluvy by sa malo podporiť formálne uzavretie zmluvných dojednaní, a to najmä zameraním sa na prvky, ako je kritickosť alebo dôležitosť služieb podporovaných plánovanou zmluvou v oblasti IKT, potrebné schválenia orgánmi dohľadu alebo iné podmienky, možné súvisiace riziko koncentrácie, ako aj uplatňovaním náležitej starostlivosti v procese výberu a posudzovania externých poskytovateľov IKT služieb a posúdením potenciálnych konfliktov záujmov. V prípade zmluvných dojednaní týkajúcich sa kritických alebo dôležitých funkcií by finančné subjekty mali zohľadňovať, ako externí poskytovatelia IKT služieb využívajú najaktuálnejšie a najprísnejšie normy informačnej bezpečnosti. Ukončenie zmluvných dojednaní by mohlo byť motivované aspoň sériou okolností, ktoré preukazujú nedostatky na úrovni externého poskytovateľa IKT služieb, najmä významné porušenia právnych predpisov alebo zmluvných podmienok, okolnosti odhaľujúce možnú zmenu v plnení funkcií poskytovaných na základe zmluvných dojednaní, dôkazy o slabých stránkach externého poskytovateľa IKT služieb v jeho celkovom riadení IKT rizika alebo okolnosti naznačujúce neschopnosť relevantného príslušného orgánu vykonávať účinný dohľad nad finančným subjektom. |
| --- | --- |

(66)

Dôkladnou analýzou pred uzavretím zmluvy by sa malo podporiť formálne uzavretie zmluvných dojednaní, a to najmä zameraním sa na prvky, ako je kritickosť alebo dôležitosť služieb podporovaných plánovanou zmluvou v oblasti IKT, potrebné schválenia orgánmi dohľadu alebo iné podmienky, možné súvisiace riziko koncentrácie, ako aj uplatňovaním náležitej starostlivosti v procese výberu a posudzovania externých poskytovateľov IKT služieb a posúdením potenciálnych konfliktov záujmov. V prípade zmluvných dojednaní týkajúcich sa kritických alebo dôležitých funkcií by finančné subjekty mali zohľadňovať, ako externí poskytovatelia IKT služieb využívajú najaktuálnejšie a najprísnejšie normy informačnej bezpečnosti. Ukončenie zmluvných dojednaní by mohlo byť motivované aspoň sériou okolností, ktoré preukazujú nedostatky na úrovni externého poskytovateľa IKT služieb, najmä významné porušenia právnych predpisov alebo zmluvných podmienok, okolnosti odhaľujúce možnú zmenu v plnení funkcií poskytovaných na základe zmluvných dojednaní, dôkazy o slabých stránkach externého poskytovateľa IKT služieb v jeho celkovom riadení IKT rizika alebo okolnosti naznačujúce neschopnosť relevantného príslušného orgánu vykonávať účinný dohľad nad finančným subjektom.

| (67) | S cieľom riešiť systémový vplyv rizika koncentrácie externých poskytovateľov IKT sa týmto nariadením podporuje vyvážené riešenie prostredníctvom uplatnenia flexibilného a postupného prístupu k takémuto riziku koncentrácie, keďže stanovenie akýchkoľvek pevných horných hraníc alebo prísnych obmedzení by mohlo brániť vykonávaniu obchodnej činnosti a obmedzovať zmluvnú slobodu. Finančné subjekty by mali dôkladne posúdiť svoje zamýšľané zmluvné dojednania s cieľom identifikovať pravdepodobnosť vzniku takéhoto rizika, a to aj prostredníctvom hĺbkových analýz dohôd o subdodávkach, najmä ak sa uzatvárajú s externými poskytovateľmi IKT služieb usadenými v tretej krajine. V tejto fáze a s cieľom dosiahnuť spravodlivú rovnováhu medzi nevyhnutnosťou zachovať zmluvnú slobodu a zaručiť finančnú stabilitu sa nepovažuje za vhodné stanoviť prísne horné hranice a obmedzenia expozícií voči externým stranám v oblasti IKT. V súvislosti s rámcom dozoru by mal hlavný orgán dozoru vymenovaný podľa tohto nariadenia, a to vo vzťahu ku kritickým externým poskytovateľom IKT služieb, venovať osobitnú pozornosť plnému využitiu celého rozsahu vzájomných závislostí, odhaľovať konkrétne prípady, keď vysoký stupeň koncentrácie kritických externých poskytovateľov IKT služieb v Únii pravdepodobne zaťaží stabilitu a integritu finančného systému Únie, a udržiavať dialóg s kritickými externými poskytovateľmi IKT služieb, ak dôjde k identifikácii konkrétneho rizika. |
| --- | --- |

(67)

S cieľom riešiť systémový vplyv rizika koncentrácie externých poskytovateľov IKT sa týmto nariadením podporuje vyvážené riešenie prostredníctvom uplatnenia flexibilného a postupného prístupu k takémuto riziku koncentrácie, keďže stanovenie akýchkoľvek pevných horných hraníc alebo prísnych obmedzení by mohlo brániť vykonávaniu obchodnej činnosti a obmedzovať zmluvnú slobodu. Finančné subjekty by mali dôkladne posúdiť svoje zamýšľané zmluvné dojednania s cieľom identifikovať pravdepodobnosť vzniku takéhoto rizika, a to aj prostredníctvom hĺbkových analýz dohôd o subdodávkach, najmä ak sa uzatvárajú s externými poskytovateľmi IKT služieb usadenými v tretej krajine. V tejto fáze a s cieľom dosiahnuť spravodlivú rovnováhu medzi nevyhnutnosťou zachovať zmluvnú slobodu a zaručiť finančnú stabilitu sa nepovažuje za vhodné stanoviť prísne horné hranice a obmedzenia expozícií voči externým stranám v oblasti IKT. V súvislosti s rámcom dozoru by mal hlavný orgán dozoru vymenovaný podľa tohto nariadenia, a to vo vzťahu ku kritickým externým poskytovateľom IKT služieb, venovať osobitnú pozornosť plnému využitiu celého rozsahu vzájomných závislostí, odhaľovať konkrétne prípady, keď vysoký stupeň koncentrácie kritických externých poskytovateľov IKT služieb v Únii pravdepodobne zaťaží stabilitu a integritu finančného systému Únie, a udržiavať dialóg s kritickými externými poskytovateľmi IKT služieb, ak dôjde k identifikácii konkrétneho rizika.

| (68) | S cieľom pravidelne hodnotiť a monitorovať schopnosť externého poskytovateľa IKT služieb bezpečne poskytovať služby finančnému subjektu bez nepriaznivých účinkov na digitálnu prevádzkovú odolnosť finančného subjektu, by sa malo harmonizovať niekoľko kľúčových zmluvných prvkov s externými poskytovateľmi IKT služieb. Takáto harmonizácia by mala zahŕňať aspoň oblasti, ktoré sú kľúčové na to, aby finančnému subjektu umožnili úplné monitorovanie rizík, ktoré by mohol spôsobiť externý poskytovateľ IKT služieb, a to z hľadiska potreby finančného subjektu zabezpečiť svoju digitálnu odolnosť, keďže výrazne závisí od stability, funkčnosti, dostupnosti a bezpečnosti IKT služieb, ktoré sú mu poskytované. |
| --- | --- |

(68)

S cieľom pravidelne hodnotiť a monitorovať schopnosť externého poskytovateľa IKT služieb bezpečne poskytovať služby finančnému subjektu bez nepriaznivých účinkov na digitálnu prevádzkovú odolnosť finančného subjektu, by sa malo harmonizovať niekoľko kľúčových zmluvných prvkov s externými poskytovateľmi IKT služieb. Takáto harmonizácia by mala zahŕňať aspoň oblasti, ktoré sú kľúčové na to, aby finančnému subjektu umožnili úplné monitorovanie rizík, ktoré by mohol spôsobiť externý poskytovateľ IKT služieb, a to z hľadiska potreby finančného subjektu zabezpečiť svoju digitálnu odolnosť, keďže výrazne závisí od stability, funkčnosti, dostupnosti a bezpečnosti IKT služieb, ktoré sú mu poskytované.

| (69) | Pri opätovnom prerokovaní zmluvných dojednaní s cieľom dosiahnuť súlad s požiadavkami tohto nariadenia by finančné subjekty a externí poskytovatelia IKT služieb mali zabezpečiť pokrytie kľúčových zmluvných ustanovení, ako sa stanovuje v tomto nariadení. |
| --- | --- |

(69)

Pri opätovnom prerokovaní zmluvných dojednaní s cieľom dosiahnuť súlad s požiadavkami tohto nariadenia by finančné subjekty a externí poskytovatelia IKT služieb mali zabezpečiť pokrytie kľúčových zmluvných ustanovení, ako sa stanovuje v tomto nariadení.

| (70) | Vymedzenie pojmu „kritická alebo dôležitá funkcia“ stanovené v tomto nariadení zahŕňa vymedzenie pojmu „zásadné funkcie“ stanovené v článku 2 ods. 1 bode 35 smernice Európskeho parlamentu a Rady 2014/59/EÚ (20). Funkcie považované za zásadné podľa smernice 2014/59/EÚ sú preto zahrnuté do vymedzenia kritických funkcií v zmysle tohto nariadenia. |
| --- | --- |

(70)

Vymedzenie pojmu „kritická alebo dôležitá funkcia“ stanovené v tomto nariadení zahŕňa vymedzenie pojmu „zásadné funkcie“ stanovené v článku 2 ods. 1 bode 35 smernice Európskeho parlamentu a Rady 2014/59/EÚ (20). Funkcie považované za zásadné podľa smernice 2014/59/EÚ sú preto zahrnuté do vymedzenia kritických funkcií v zmysle tohto nariadenia.

| (71) | Bez ohľadu na kritickosť alebo dôležitosť funkcie podporovanej IKT službami by zmluvné dojednania mali obsahovať najmä uvedenie úplných opisov funkcií a služieb, miest, kde sa takéto funkcie poskytujú a kde sa údaje majú spracúvať, ako aj uvedenie opisov úrovne služieb. Iné nevyhnutné prvky na to, aby finančný subjekt mohol monitorovať externé IKT riziko sú: zmluvné ustanovenia, v ktorých sa stanovuje, ako externý poskytovateľ IKT služieb zabezpečuje prístupnosť, dostupnosť, integritu, bezpečnosť a ochranu osobných údajov, ustanovenia, v ktorých sa stanovujú relevantné záruky umožňujúce prístup k údajom, ich obnovu a vrátenie v prípade platobnej neschopnosti, riešenia krízových situácií alebo ukončenia obchodných činností externého poskytovateľa IKT služieb, ako aj ustanovenia vyžadujúce, aby externý poskytovateľ IKT služieb poskytol pomoc v prípade incidentov týkajúcich sa IKT v súvislosti s poskytovanými službami, a to bez dodatočných nákladov alebo s nákladmi určenými ex-ante; ustanovenia o povinnosti externého poskytovateľa IKT služieb plne spolupracovať s príslušnými orgánmi a orgánmi pre riešenie krízových situácií finančného subjektu; a ustanovenia o práve ukončiť zmluvný vzťah a súvisiacich minimálnych výpovedných lehôt na ukončenie zmluvných dojednaní v súlade s očakávaniami príslušných orgánov a orgánov pre riešenie krízových situácií. |
| --- | --- |

(71)

Bez ohľadu na kritickosť alebo dôležitosť funkcie podporovanej IKT službami by zmluvné dojednania mali obsahovať najmä uvedenie úplných opisov funkcií a služieb, miest, kde sa takéto funkcie poskytujú a kde sa údaje majú spracúvať, ako aj uvedenie opisov úrovne služieb. Iné nevyhnutné prvky na to, aby finančný subjekt mohol monitorovať externé IKT riziko sú: zmluvné ustanovenia, v ktorých sa stanovuje, ako externý poskytovateľ IKT služieb zabezpečuje prístupnosť, dostupnosť, integritu, bezpečnosť a ochranu osobných údajov, ustanovenia, v ktorých sa stanovujú relevantné záruky umožňujúce prístup k údajom, ich obnovu a vrátenie v prípade platobnej neschopnosti, riešenia krízových situácií alebo ukončenia obchodných činností externého poskytovateľa IKT služieb, ako aj ustanovenia vyžadujúce, aby externý poskytovateľ IKT služieb poskytol pomoc v prípade incidentov týkajúcich sa IKT v súvislosti s poskytovanými službami, a to bez dodatočných nákladov alebo s nákladmi určenými ex-ante; ustanovenia o povinnosti externého poskytovateľa IKT služieb plne spolupracovať s príslušnými orgánmi a orgánmi pre riešenie krízových situácií finančného subjektu; a ustanovenia o práve ukončiť zmluvný vzťah a súvisiacich minimálnych výpovedných lehôt na ukončenie zmluvných dojednaní v súlade s očakávaniami príslušných orgánov a orgánov pre riešenie krízových situácií.

| (72) | Okrem takýchto zmluvných ustanovení a s cieľom zabezpečiť, aby si finančné subjekty zachovali plnú kontrolu nad všetkými možnosťami vývoja na úrovni externého subjektu, ktorý môže narušiť ich bezpečnosť IKT, by zmluvy o poskytovaní IKT služieb podporujúcich kritické alebo dôležité funkcie mali tiež obsahovať: uvedenie úplného opisu úrovne poskytovaných služieb vrátane presných kvantitatívnych a kvalitatívnych výkonnostných cieľov, s cieľom umožniť bezodkladné prijatie vhodných nápravných opatrení, ak sa dohodnutá úroveň poskytovaných služieb nedosahuje; príslušné výpovedné lehoty a nahlasovacie povinnosti externého poskytovateľa IKT služieb v prípade vývoja, ktorý môže mať potenciálne významný vplyv na schopnosť externého poskytovateľa IKT služieb účinne poskytovať svoje príslušné IKT služby; požiadavku, aby externý poskytovateľ IKT služieb vykonával a testoval pohotovostné plány obchodnej činnosti a aby mal k dispozícii bezpečnostné opatrenia, nástroje a politiky v oblasti IKT, ktoré umožňujú bezpečné poskytovanie služieb, a aby sa zúčastňoval a plne spolupracoval na TLPT, ktorý vykonáva finančný subjekt. |
| --- | --- |

(72)

Okrem takýchto zmluvných ustanovení a s cieľom zabezpečiť, aby si finančné subjekty zachovali plnú kontrolu nad všetkými možnosťami vývoja na úrovni externého subjektu, ktorý môže narušiť ich bezpečnosť IKT, by zmluvy o poskytovaní IKT služieb podporujúcich kritické alebo dôležité funkcie mali tiež obsahovať: uvedenie úplného opisu úrovne poskytovaných služieb vrátane presných kvantitatívnych a kvalitatívnych výkonnostných cieľov, s cieľom umožniť bezodkladné prijatie vhodných nápravných opatrení, ak sa dohodnutá úroveň poskytovaných služieb nedosahuje; príslušné výpovedné lehoty a nahlasovacie povinnosti externého poskytovateľa IKT služieb v prípade vývoja, ktorý môže mať potenciálne významný vplyv na schopnosť externého poskytovateľa IKT služieb účinne poskytovať svoje príslušné IKT služby; požiadavku, aby externý poskytovateľ IKT služieb vykonával a testoval pohotovostné plány obchodnej činnosti a aby mal k dispozícii bezpečnostné opatrenia, nástroje a politiky v oblasti IKT, ktoré umožňujú bezpečné poskytovanie služieb, a aby sa zúčastňoval a plne spolupracoval na TLPT, ktorý vykonáva finančný subjekt.

| (73) | Zmluvy o poskytovaní IKT služieb podporujúcich kritické alebo dôležité funkcie by mali obsahovať aj ustanovenia poskytujúce finančnému subjektu alebo určenému externému subjektu práva na prístup, inšpekciu a audit, ako aj právo vyhotovovať kópie, ako kľúčové nástroje pri priebežnom monitorovaní výkonnosti externého poskytovateľa IKT služieb zo strany finančného subjektu, spolu s úplnou spoluprácou poskytovateľa služieb počas inšpekcií. Podobne by sa príslušnému orgánu finančného subjektu malo na základe oznámení udeliť právo na inšpekciu a audit externého poskytovateľa IKT služieb, a to pod podmienkou ochrany dôverných informácií. |
| --- | --- |

(73)

Zmluvy o poskytovaní IKT služieb podporujúcich kritické alebo dôležité funkcie by mali obsahovať aj ustanovenia poskytujúce finančnému subjektu alebo určenému externému subjektu práva na prístup, inšpekciu a audit, ako aj právo vyhotovovať kópie, ako kľúčové nástroje pri priebežnom monitorovaní výkonnosti externého poskytovateľa IKT služieb zo strany finančného subjektu, spolu s úplnou spoluprácou poskytovateľa služieb počas inšpekcií. Podobne by sa príslušnému orgánu finančného subjektu malo na základe oznámení udeliť právo na inšpekciu a audit externého poskytovateľa IKT služieb, a to pod podmienkou ochrany dôverných informácií.

| (74) | V takýchto zmluvných dojednaniach by sa mali stanoviť aj osobitné stratégie ukončenia angažovanosti umožňujúce najmä povinné prechodné obdobia, počas ktorých by externí poskytovatelia IKT služieb mali naďalej poskytovať príslušné služby s cieľom znížiť riziko narušení na úrovni finančného subjektu alebo umožniť tomuto subjektu účinne prejsť k využívaniu iných externých poskytovateľov IKT služieb, alebo alternatívne začať využívať vlastné riešenia v závislosti od zložitosti poskytovanej IKT služby. Okrem toho by finančné subjekty patriace do rozsahu pôsobnosti smernice 2014/59/EÚ mali zabezpečiť, aby príslušné zmluvy o IKT službách boli spoľahlivé a plne vynútiteľné v prípade riešenia krízových situácií týchto finančných subjektov. V súlade s očakávaniami orgánov pre riešenie krízových situácií by tieto finančné subjekty mali zabezpečiť, aby príslušné zmluvy o IKT službách boli odolné voči krízovým situáciám. Pokiaľ tieto finančné subjekty naďalej plnia svoje platobné záväzky, mali by okrem iných požiadaviek zabezpečiť, aby príslušné zmluvy o IKT službách obsahovali doložky o nevypovedaní, nepozastavení a nezmenení z dôvodu reštrukturalizácie alebo riešenia krízových situácií. |
| --- | --- |

(74)

V takýchto zmluvných dojednaniach by sa mali stanoviť aj osobitné stratégie ukončenia angažovanosti umožňujúce najmä povinné prechodné obdobia, počas ktorých by externí poskytovatelia IKT služieb mali naďalej poskytovať príslušné služby s cieľom znížiť riziko narušení na úrovni finančného subjektu alebo umožniť tomuto subjektu účinne prejsť k využívaniu iných externých poskytovateľov IKT služieb, alebo alternatívne začať využívať vlastné riešenia v závislosti od zložitosti poskytovanej IKT služby. Okrem toho by finančné subjekty patriace do rozsahu pôsobnosti smernice 2014/59/EÚ mali zabezpečiť, aby príslušné zmluvy o IKT službách boli spoľahlivé a plne vynútiteľné v prípade riešenia krízových situácií týchto finančných subjektov. V súlade s očakávaniami orgánov pre riešenie krízových situácií by tieto finančné subjekty mali zabezpečiť, aby príslušné zmluvy o IKT službách boli odolné voči krízovým situáciám. Pokiaľ tieto finančné subjekty naďalej plnia svoje platobné záväzky, mali by okrem iných požiadaviek zabezpečiť, aby príslušné zmluvy o IKT službách obsahovali doložky o nevypovedaní, nepozastavení a nezmenení z dôvodu reštrukturalizácie alebo riešenia krízových situácií.

| (75) | Dobrovoľné používanie štandardných zmluvných doložiek vypracovaných verejnými orgánmi alebo inštitúciami Únie, najmä používanie zmluvných doložiek vypracovaných Komisiou pre služby cloud computingu by mohlo navyše finančné subjekty a externých poskytovateľov IKT služieb ešte viac odbremeniť, a to zvýšením ich úrovne právnej istoty, pokiaľ ide o využívanie služieb cloud computingu vo finančnom sektore, v plnom súlade s požiadavkami a očakávaniami stanovenými v práve Únie v oblasti finančných služieb. Vypracovanie štandardných zmluvných doložiek vychádza z opatrení, ktoré už boli naplánované v akčnom pláne pre finančné technológie z roku 2018, v ktorom Komisia oznámila zámer podporiť a uľahčiť vypracovanie štandardných zmluvných doložiek o využívaní služieb cloud computingu formou outsourcingu finančnými subjektmi, a to na základe medziodvetvového úsilia zainteresovaných strán v oblasti služieb cloud computingu, ktoré Komisia uľahčila zapojením finančného sektora. |
| --- | --- |

(75)

Dobrovoľné používanie štandardných zmluvných doložiek vypracovaných verejnými orgánmi alebo inštitúciami Únie, najmä používanie zmluvných doložiek vypracovaných Komisiou pre služby cloud computingu by mohlo navyše finančné subjekty a externých poskytovateľov IKT služieb ešte viac odbremeniť, a to zvýšením ich úrovne právnej istoty, pokiaľ ide o využívanie služieb cloud computingu vo finančnom sektore, v plnom súlade s požiadavkami a očakávaniami stanovenými v práve Únie v oblasti finančných služieb. Vypracovanie štandardných zmluvných doložiek vychádza z opatrení, ktoré už boli naplánované v akčnom pláne pre finančné technológie z roku 2018, v ktorom Komisia oznámila zámer podporiť a uľahčiť vypracovanie štandardných zmluvných doložiek o využívaní služieb cloud computingu formou outsourcingu finančnými subjektmi, a to na základe medziodvetvového úsilia zainteresovaných strán v oblasti služieb cloud computingu, ktoré Komisia uľahčila zapojením finančného sektora.

| (76) | S cieľom podporiť konvergenciu a efektívnosť, pokiaľ ide o prístupy dohľadu pri riešení externého IKT rizika vo finančnom sektore, ako aj posilniť digitálnu prevádzkovú odolnosť finančných subjektov, ktoré sa v súvislosti s poskytovaním IKT služieb podporujúcimi poskytovanie finančných služieb spoliehajú na kritických externých poskytovateľov IKT služieb, a tým prispieť k zachovaniu stability finančného systému Únie a integrity vnútorného trhu s finančnými službami, by sa na kritických externých poskytovateľov IKT služieb mal vzťahovať rámec dozoru Únie. Hoci je vytvorenie rámca dozoru odôvodnené pridanou hodnotou prijatia opatrení na úrovni Únie a prirodzenou úlohou a osobitosťami využívania IKT služieb pri poskytovaní finančných služieb, zároveň by sa malo pripomenúť, že toto riešenie sa zdá vhodné len v kontexte tohto nariadenia, ktoré sa špecificky zaoberá digitálnou prevádzkovou odolnosťou finančného sektora. Takýto rámec dozoru by sa však nemal považovať za nový model dohľadu Únie v iných oblastiach finančných služieb a činností. |
| --- | --- |

(76)

S cieľom podporiť konvergenciu a efektívnosť, pokiaľ ide o prístupy dohľadu pri riešení externého IKT rizika vo finančnom sektore, ako aj posilniť digitálnu prevádzkovú odolnosť finančných subjektov, ktoré sa v súvislosti s poskytovaním IKT služieb podporujúcimi poskytovanie finančných služieb spoliehajú na kritických externých poskytovateľov IKT služieb, a tým prispieť k zachovaniu stability finančného systému Únie a integrity vnútorného trhu s finančnými službami, by sa na kritických externých poskytovateľov IKT služieb mal vzťahovať rámec dozoru Únie. Hoci je vytvorenie rámca dozoru odôvodnené pridanou hodnotou prijatia opatrení na úrovni Únie a prirodzenou úlohou a osobitosťami využívania IKT služieb pri poskytovaní finančných služieb, zároveň by sa malo pripomenúť, že toto riešenie sa zdá vhodné len v kontexte tohto nariadenia, ktoré sa špecificky zaoberá digitálnou prevádzkovou odolnosťou finančného sektora. Takýto rámec dozoru by sa však nemal považovať za nový model dohľadu Únie v iných oblastiach finančných služieb a činností.

| (77) | Rámec dozoru by sa mal uplatňovať len na kritických externých poskytovateľov IKT služieb. Mal by preto existovať mechanizmus určenia, ktorý zohľadní rozmer a povahu spoliehania sa finančného sektora na takýchto externých poskytovateľov IKT služieb. Uvedený mechanizmus by mal zahŕňať súbor kvantitatívnych a kvalitatívnych kritérií na stanovenie parametrov kritickosti ako základu pre začlenenie do rámca dozoru. S cieľom zabezpečiť presnosť tohto posúdenia a bez ohľadu na podnikovú štruktúru externého poskytovateľa IKT služieb by takéto kritériá v prípade externého poskytovateľa IKT služieb, ktorý je súčasťou širšej skupiny, mali zohľadňovať celú skupinovú štruktúru externého poskytovateľa IKT služieb. Na jednej strane kritickí externí poskytovatelia IKT služieb, ktorí nie sú automaticky označení na základe uplatňovania uvedených kritérií, by mali mať možnosť zapojiť sa na dobrovoľnom základe do rámca dozoru, na strane druhej tí externí poskytovatelia IKT služieb, na ktorých sa už vzťahujú rámce mechanizmov dozoru podporujúce plnenie úloh Európskeho systému centrálnych bánk, ako sa uvádza v článku 127 ods. 2 ZFEÚ, by sa mali z rámca vyňať. |
| --- | --- |

(77)

Rámec dozoru by sa mal uplatňovať len na kritických externých poskytovateľov IKT služieb. Mal by preto existovať mechanizmus určenia, ktorý zohľadní rozmer a povahu spoliehania sa finančného sektora na takýchto externých poskytovateľov IKT služieb. Uvedený mechanizmus by mal zahŕňať súbor kvantitatívnych a kvalitatívnych kritérií na stanovenie parametrov kritickosti ako základu pre začlenenie do rámca dozoru. S cieľom zabezpečiť presnosť tohto posúdenia a bez ohľadu na podnikovú štruktúru externého poskytovateľa IKT služieb by takéto kritériá v prípade externého poskytovateľa IKT služieb, ktorý je súčasťou širšej skupiny, mali zohľadňovať celú skupinovú štruktúru externého poskytovateľa IKT služieb. Na jednej strane kritickí externí poskytovatelia IKT služieb, ktorí nie sú automaticky označení na základe uplatňovania uvedených kritérií, by mali mať možnosť zapojiť sa na dobrovoľnom základe do rámca dozoru, na strane druhej tí externí poskytovatelia IKT služieb, na ktorých sa už vzťahujú rámce mechanizmov dozoru podporujúce plnenie úloh Európskeho systému centrálnych bánk, ako sa uvádza v článku 127 ods. 2 ZFEÚ, by sa mali z rámca vyňať.

| (78) | Podobne by sa z rámca dozoru mali vyňať aj finančné subjekty, ktoré poskytujú IKT služby iným finančným subjektom, hoci patria do kategórie externých poskytovateľov IKT služieb podľa tohto nariadenia, keďže už podliehajú mechanizmom dohľadu stanoveným v príslušnom práve Únie v oblasti finančných služieb. V príslušných prípadoch by príslušné orgány mali v kontexte svojich činností dohľadu zohľadniť IKT riziko, ktoré pre finančné subjekty predstavujú finančné subjekty poskytujúce IKT služby. Podobne by sa vzhľadom na existujúce mechanizmy monitorovania rizík na úrovni skupiny mala zaviesť rovnaká výnimka pre externých poskytovateľov IKT služieb, ktorí poskytujú služby prevažne subjektom svojej vlastnej skupiny. Externí poskytovatelia IKT služieb, ktorí poskytujú IKT služby výlučne v jednom členskom štáte finančným subjektom, ktoré pôsobia len v tomto členskom štáte, by mali byť takisto vyňatí z mechanizmu určenia z dôvodu ich obmedzených činností a nedostatočného cezhraničného vplyvu. |
| --- | --- |

(78)

Podobne by sa z rámca dozoru mali vyňať aj finančné subjekty, ktoré poskytujú IKT služby iným finančným subjektom, hoci patria do kategórie externých poskytovateľov IKT služieb podľa tohto nariadenia, keďže už podliehajú mechanizmom dohľadu stanoveným v príslušnom práve Únie v oblasti finančných služieb. V príslušných prípadoch by príslušné orgány mali v kontexte svojich činností dohľadu zohľadniť IKT riziko, ktoré pre finančné subjekty predstavujú finančné subjekty poskytujúce IKT služby. Podobne by sa vzhľadom na existujúce mechanizmy monitorovania rizík na úrovni skupiny mala zaviesť rovnaká výnimka pre externých poskytovateľov IKT služieb, ktorí poskytujú služby prevažne subjektom svojej vlastnej skupiny. Externí poskytovatelia IKT služieb, ktorí poskytujú IKT služby výlučne v jednom členskom štáte finančným subjektom, ktoré pôsobia len v tomto členskom štáte, by mali byť takisto vyňatí z mechanizmu určenia z dôvodu ich obmedzených činností a nedostatočného cezhraničného vplyvu.

| (79) | Digitálna transformácia v oblasti finančných služieb priniesla bezprecedentnú úroveň využívania IKT služieb a spoliehania sa na ne. Keďže poskytovanie finančných služieb bez využívania služieb cloud computingu, softvérových riešení a služieb súvisiacich s údajmi sa stalo nemysliteľným, finančný ekosystém Únie sa stal vo svojej podstate spoluzávislým od určitých IKT služieb poskytovaných poskytovateľmi IKT služieb. Niektorí z týchto dodávateľov, inovátorov pri vývoji a uplatňovaní technológií založených na IKT, zohrávajú významnú úlohu pri poskytovaní finančných služieb alebo sa stali súčasťou hodnotového reťazca finančných služieb. Nadobudli tak kritické postavenie z hľadiska stability a integrity finančného systému Únie. Toto rozsiahle spoliehanie sa na služby poskytované kritickými externými poskytovateľmi IKT služieb v kombinácii so vzájomnou závislosťou informačných systémov rôznych organizátorov trhu vytvára priame a potenciálne závažné riziko pre systém finančných služieb Únie a pre kontinuitu poskytovania finančných služieb, ak by kritickí externí poskytovatelia IKT služieb boli ovplyvnení prevádzkovými narušeniami alebo závažnými kybernetickými incidentmi. Kybernetické incidenty majú jedinečnú schopnosť znásobiť a šíriť sa v celom finančnom systéme výrazne rýchlejším tempom než iné druhy rizík monitorované vo finančnom sektore a môžu sa rozšíriť naprieč sektormi a za geografickými hranicami. Majú potenciál vyvinúť sa v systémovú krízu, v ktorej sa narušila dôvera vo finančný systém v dôsledku narušenia funkcií podporujúcich reálnu ekonomiku alebo značných finančných strát, ktoré dosahujú úroveň, ktorú finančný systém nie je schopný zvládnuť, alebo ktorá si vyžaduje zavedenie rozsiahlych opatrení na absorpciu otrasov. S cieľom zabrániť vzniku týchto scenárov, a tým ohroziť finančnú stabilitu a integritu Únie, je nevyhnutné zabezpečiť konvergenciu postupov dohľadu týkajúcich sa externého IKT rizika v oblasti financií, a to najmä prostredníctvom nových pravidiel umožňujúcich dohľad Únie nad kritickými externými poskytovateľmi IKT služieb. |
| --- | --- |

(79)

Digitálna transformácia v oblasti finančných služieb priniesla bezprecedentnú úroveň využívania IKT služieb a spoliehania sa na ne. Keďže poskytovanie finančných služieb bez využívania služieb cloud computingu, softvérových riešení a služieb súvisiacich s údajmi sa stalo nemysliteľným, finančný ekosystém Únie sa stal vo svojej podstate spoluzávislým od určitých IKT služieb poskytovaných poskytovateľmi IKT služieb. Niektorí z týchto dodávateľov, inovátorov pri vývoji a uplatňovaní technológií založených na IKT, zohrávajú významnú úlohu pri poskytovaní finančných služieb alebo sa stali súčasťou hodnotového reťazca finančných služieb. Nadobudli tak kritické postavenie z hľadiska stability a integrity finančného systému Únie. Toto rozsiahle spoliehanie sa na služby poskytované kritickými externými poskytovateľmi IKT služieb v kombinácii so vzájomnou závislosťou informačných systémov rôznych organizátorov trhu vytvára priame a potenciálne závažné riziko pre systém finančných služieb Únie a pre kontinuitu poskytovania finančných služieb, ak by kritickí externí poskytovatelia IKT služieb boli ovplyvnení prevádzkovými narušeniami alebo závažnými kybernetickými incidentmi. Kybernetické incidenty majú jedinečnú schopnosť znásobiť a šíriť sa v celom finančnom systéme výrazne rýchlejším tempom než iné druhy rizík monitorované vo finančnom sektore a môžu sa rozšíriť naprieč sektormi a za geografickými hranicami. Majú potenciál vyvinúť sa v systémovú krízu, v ktorej sa narušila dôvera vo finančný systém v dôsledku narušenia funkcií podporujúcich reálnu ekonomiku alebo značných finančných strát, ktoré dosahujú úroveň, ktorú finančný systém nie je schopný zvládnuť, alebo ktorá si vyžaduje zavedenie rozsiahlych opatrení na absorpciu otrasov. S cieľom zabrániť vzniku týchto scenárov, a tým ohroziť finančnú stabilitu a integritu Únie, je nevyhnutné zabezpečiť konvergenciu postupov dohľadu týkajúcich sa externého IKT rizika v oblasti financií, a to najmä prostredníctvom nových pravidiel umožňujúcich dohľad Únie nad kritickými externými poskytovateľmi IKT služieb.

| (80) | Rámec dozoru vo veľkej miere závisí od stupňa spolupráce medzi hlavným orgánom dozoru a kritickým externým poskytovateľom IKT služieb, ktorý finančným subjektom poskytuje služby ovplyvňujúce poskytovanie finančných služieb. Úspešný dozor je okrem iného založený na schopnosti hlavného orgánu dozoru účinne vykonávať monitorovacie misie a inšpekcie s cieľom posúdiť pravidlá, kontroly a procesy, ktoré používajú kritickí externí poskytovatelia IKT služieb, ako aj posúdiť potenciálny kumulatívny vplyv ich činností na finančnú stabilitu a integritu finančného systému. Zároveň je veľmi dôležité, aby kritickí externí poskytovatelia IKT služieb dodržiavali odporúčania hlavného orgánu dozoru a riešili jeho obavy. Keďže nedostatočná spolupráca zo strany kritického externého poskytovateľa IKT služieb, ktorý poskytuje služby, ktoré majú vplyv na poskytovanie finančných služieb, ako je odmietnutie udeliť prístup do jeho priestorov alebo predložiť informácie, by v konečnom dôsledku zbavila hlavného orgánu dozoru jeho základných nástrojov na hodnotenie externého IKT rizika a mohla by mať nepriaznivý vplyv na finančnú stabilitu a integritu finančného systému, je potrebné stanoviť aj primeraný sankčný režim. |
| --- | --- |

(80)

Rámec dozoru vo veľkej miere závisí od stupňa spolupráce medzi hlavným orgánom dozoru a kritickým externým poskytovateľom IKT služieb, ktorý finančným subjektom poskytuje služby ovplyvňujúce poskytovanie finančných služieb. Úspešný dozor je okrem iného založený na schopnosti hlavného orgánu dozoru účinne vykonávať monitorovacie misie a inšpekcie s cieľom posúdiť pravidlá, kontroly a procesy, ktoré používajú kritickí externí poskytovatelia IKT služieb, ako aj posúdiť potenciálny kumulatívny vplyv ich činností na finančnú stabilitu a integritu finančného systému. Zároveň je veľmi dôležité, aby kritickí externí poskytovatelia IKT služieb dodržiavali odporúčania hlavného orgánu dozoru a riešili jeho obavy. Keďže nedostatočná spolupráca zo strany kritického externého poskytovateľa IKT služieb, ktorý poskytuje služby, ktoré majú vplyv na poskytovanie finančných služieb, ako je odmietnutie udeliť prístup do jeho priestorov alebo predložiť informácie, by v konečnom dôsledku zbavila hlavného orgánu dozoru jeho základných nástrojov na hodnotenie externého IKT rizika a mohla by mať nepriaznivý vplyv na finančnú stabilitu a integritu finančného systému, je potrebné stanoviť aj primeraný sankčný režim.

| (81) | V tejto súvislosti by nemala byť ohrozená potreba hlavného orgánu dozoru ukladať sankcie s cieľom prinútiť kritických externých poskytovateľov IKT služieb, aby dodržiavali povinnosti týkajúce sa transparentnosti a prístupu stanovené v tomto nariadení, a to ťažkosťami vyvolanými vymáhaním uvedených sankcií v súvislosti s kritickými externými poskytovateľmi IKT služieb usadenými v tretích krajinách. S cieľom zabezpečiť vykonateľnosť takýchto sankcií a umožniť rýchle uplatnenie postupov na dodržiavanie práva kritických externých poskytovateľov IKT služieb na obhajobu v kontexte mechanizmu určenia a vydávania odporúčaní by sa od uvedených kritických externých poskytovateľov IKT služieb, ktorí poskytujú finančným subjektom služby ovplyvňujúce poskytovanie finančných služieb, malo vyžadovať, aby si zachovali primeranú obchodnú prítomnosť v Únii. Vzhľadom na povahu dozoru a neexistenciu porovnateľných dojednaní v iných jurisdikciách neexistujú žiadne vhodné alternatívne mechanizmy na zabezpečenie tohto cieľa prostredníctvom účinnej spolupráce s orgánmi dohľadu nad finančnými subjektmi v tretích krajinách v súvislosti s monitorovaním vplyvu digitálnych prevádzkových rizík, ktoré predstavujú externí systémoví poskytovatelia IKT služieb, ktorí sa kvalifikujú ako kritickí externí poskytovatelia IKT služieb usadení v tretích krajinách. S cieľom naďalej poskytovať svoje IKT služby finančným subjektom v Únii by preto externý poskytovateľ IKT služieb usadený v tretej krajine, ktorý bol určený ako kritický v súlade s týmto nariadením, mal do 12 mesiacov od takéhoto určenia prijať všetky potrebné opatrenia s cieľom zabezpečiť svoju registráciu v Únii prostredníctvom založenia dcérskeho podniku, ako sa vymedzuje v acquis Únie, konkrétne v smernici Európskeho parlamentu a Rady 2013/34/EÚ (21). |
| --- | --- |

(81)

V tejto súvislosti by nemala byť ohrozená potreba hlavného orgánu dozoru ukladať sankcie s cieľom prinútiť kritických externých poskytovateľov IKT služieb, aby dodržiavali povinnosti týkajúce sa transparentnosti a prístupu stanovené v tomto nariadení, a to ťažkosťami vyvolanými vymáhaním uvedených sankcií v súvislosti s kritickými externými poskytovateľmi IKT služieb usadenými v tretích krajinách. S cieľom zabezpečiť vykonateľnosť takýchto sankcií a umožniť rýchle uplatnenie postupov na dodržiavanie práva kritických externých poskytovateľov IKT služieb na obhajobu v kontexte mechanizmu určenia a vydávania odporúčaní by sa od uvedených kritických externých poskytovateľov IKT služieb, ktorí poskytujú finančným subjektom služby ovplyvňujúce poskytovanie finančných služieb, malo vyžadovať, aby si zachovali primeranú obchodnú prítomnosť v Únii. Vzhľadom na povahu dozoru a neexistenciu porovnateľných dojednaní v iných jurisdikciách neexistujú žiadne vhodné alternatívne mechanizmy na zabezpečenie tohto cieľa prostredníctvom účinnej spolupráce s orgánmi dohľadu nad finančnými subjektmi v tretích krajinách v súvislosti s monitorovaním vplyvu digitálnych prevádzkových rizík, ktoré predstavujú externí systémoví poskytovatelia IKT služieb, ktorí sa kvalifikujú ako kritickí externí poskytovatelia IKT služieb usadení v tretích krajinách. S cieľom naďalej poskytovať svoje IKT služby finančným subjektom v Únii by preto externý poskytovateľ IKT služieb usadený v tretej krajine, ktorý bol určený ako kritický v súlade s týmto nariadením, mal do 12 mesiacov od takéhoto určenia prijať všetky potrebné opatrenia s cieľom zabezpečiť svoju registráciu v Únii prostredníctvom založenia dcérskeho podniku, ako sa vymedzuje v acquis Únie, konkrétne v smernici Európskeho parlamentu a Rady 2013/34/EÚ (21).

| (82) | Požiadavka založiť dcérsky podnik v Únii by nemala brániť kritickému externému poskytovateľovi IKT služieb v poskytovaní IKT služieb a súvisiacej technickej podpory zo zariadení a infraštruktúry, ktoré sa nachádzajú mimo Únie. Týmto nariadením sa neukladá povinnosť lokalizácie údajov, keďže sa v ňom nevyžaduje, aby sa údaje uchovávali alebo spracúvali v Únii. |
| --- | --- |

(82)

Požiadavka založiť dcérsky podnik v Únii by nemala brániť kritickému externému poskytovateľovi IKT služieb v poskytovaní IKT služieb a súvisiacej technickej podpory zo zariadení a infraštruktúry, ktoré sa nachádzajú mimo Únie. Týmto nariadením sa neukladá povinnosť lokalizácie údajov, keďže sa v ňom nevyžaduje, aby sa údaje uchovávali alebo spracúvali v Únii.

| (83) | Kritickí externí poskytovatelia IKT služieb by mali byť schopní poskytovať IKT služby z akéhokoľvek miesta na svete, nie nevyhnutne alebo nielen z priestorov nachádzajúcich sa v Únii. Činnosti dozoru by sa mali najprv vykonávať v priestoroch nachádzajúcich sa v Únii a prostredníctvom interakcie so subjektmi nachádzajúcimi sa v Únii vrátane dcérskych podnikov založených kritickými externými poskytovateľmi IKT služieb podľa tohto nariadenia. Takéto opatrenia v rámci Únie by však nemuseli byť dostatočné na to, aby hlavnému orgánu dozoru umožnili v plnej miere a účinne vykonávať svoje povinnosti podľa tohto nariadenia. Hlavný orgán dozoru by preto mal mať možnosť vykonávať svoje príslušné právomoci dozoru aj v tretích krajinách. Vykonávanie uvedených právomocí v tretích krajinách by malo umožniť hlavnému orgánu dozoru preskúmať zariadenia, z ktorých IKT služby alebo služby technickej podpory skutočne poskytuje alebo riadi kritický externý poskytovateľ IKT služieb, a hlavnému orgánu dozoru by malo poskytnúť komplexné a operatívne pochopenie riadenia IKT rizika kritického externého poskytovateľa IKT služieb. Možnosť hlavného orgánu dozoru ako agentúry Únie vykonávať právomoci mimo územia Únie by mala byť riadne vymedzená príslušnými podmienkami, najmä súhlasom dotknutého kritického externého poskytovateľa IKT služieb. Podobne by mali byť relevantné orgány tretej krajiny informované o vykonávaní činností hlavného orgánu dozoru na svojom vlastnom území a nemali by proti nemu namietať. S cieľom zabezpečiť účinné vykonávanie a bez toho, aby boli dotknuté príslušné právomoci inštitúcií Únie a členských štátov, však takéto právomoci musia byť plne zakotvené aj v uzavretých dohodách o administratívnej spolupráci s relevantnými orgánmi dotknutej tretej krajiny. Toto nariadenie by preto malo európskym orgánom dohľadu umožniť uzatvárať dohody o administratívnej spolupráci s relevantnými orgánmi tretích krajín, ktoré by inak nemali vytvárať právne záväzky vo vzťahu k Únii a jej členským štátom. |
| --- | --- |

(83)

Kritickí externí poskytovatelia IKT služieb by mali byť schopní poskytovať IKT služby z akéhokoľvek miesta na svete, nie nevyhnutne alebo nielen z priestorov nachádzajúcich sa v Únii. Činnosti dozoru by sa mali najprv vykonávať v priestoroch nachádzajúcich sa v Únii a prostredníctvom interakcie so subjektmi nachádzajúcimi sa v Únii vrátane dcérskych podnikov založených kritickými externými poskytovateľmi IKT služieb podľa tohto nariadenia. Takéto opatrenia v rámci Únie by však nemuseli byť dostatočné na to, aby hlavnému orgánu dozoru umožnili v plnej miere a účinne vykonávať svoje povinnosti podľa tohto nariadenia. Hlavný orgán dozoru by preto mal mať možnosť vykonávať svoje príslušné právomoci dozoru aj v tretích krajinách. Vykonávanie uvedených právomocí v tretích krajinách by malo umožniť hlavnému orgánu dozoru preskúmať zariadenia, z ktorých IKT služby alebo služby technickej podpory skutočne poskytuje alebo riadi kritický externý poskytovateľ IKT služieb, a hlavnému orgánu dozoru by malo poskytnúť komplexné a operatívne pochopenie riadenia IKT rizika kritického externého poskytovateľa IKT služieb. Možnosť hlavného orgánu dozoru ako agentúry Únie vykonávať právomoci mimo územia Únie by mala byť riadne vymedzená príslušnými podmienkami, najmä súhlasom dotknutého kritického externého poskytovateľa IKT služieb. Podobne by mali byť relevantné orgány tretej krajiny informované o vykonávaní činností hlavného orgánu dozoru na svojom vlastnom území a nemali by proti nemu namietať. S cieľom zabezpečiť účinné vykonávanie a bez toho, aby boli dotknuté príslušné právomoci inštitúcií Únie a členských štátov, však takéto právomoci musia byť plne zakotvené aj v uzavretých dohodách o administratívnej spolupráci s relevantnými orgánmi dotknutej tretej krajiny. Toto nariadenie by preto malo európskym orgánom dohľadu umožniť uzatvárať dohody o administratívnej spolupráci s relevantnými orgánmi tretích krajín, ktoré by inak nemali vytvárať právne záväzky vo vzťahu k Únii a jej členským štátom.

| (84) | S cieľom uľahčiť komunikáciu s hlavným orgánom dozoru a zabezpečiť primerané zastúpenie by kritickí externí poskytovatelia IKT služieb, ktorí sú súčasťou skupiny, mali ako svoje koordinačné miesto určiť jednu právnickú osobu. |
| --- | --- |

(84)

S cieľom uľahčiť komunikáciu s hlavným orgánom dozoru a zabezpečiť primerané zastúpenie by kritickí externí poskytovatelia IKT služieb, ktorí sú súčasťou skupiny, mali ako svoje koordinačné miesto určiť jednu právnickú osobu.

| (85) | Rámcom dozoru by nemala byť dotknutá právomoc členských štátov vykonávať vlastné dozorné alebo monitorovacie úlohy v súvislosti s externými poskytovateľmi IKT služieb, ktorí nie sú určení ako kritickí podľa tohto nariadenia, ale ktorí by sa mohli považovať za dôležitých na vnútroštátnej úrovni. |
| --- | --- |

(85)

Rámcom dozoru by nemala byť dotknutá právomoc členských štátov vykonávať vlastné dozorné alebo monitorovacie úlohy v súvislosti s externými poskytovateľmi IKT služieb, ktorí nie sú určení ako kritickí podľa tohto nariadenia, ale ktorí by sa mohli považovať za dôležitých na vnútroštátnej úrovni.

| (86) | V snahe využiť viacvrstvovú inštitucionálnu architektúru v oblasti finančných služieb by spoločný výbor európskych orgánov dohľadu mal naďalej zabezpečovať celkovú medziodvetvovú koordináciu vo vzťahu ku všetkým záležitostiam týkajúcim sa IKT rizika, a to v súlade so svojimi úlohami v oblasti kybernetickej bezpečnosti. Mal by ho podporovať nový podvýbor (ďalej len „fórum pre dozor“), ktorý bude vykonávať prípravné práce pre jednotlivé rozhodnutia určené kritickým externým poskytovateľom IKT služieb, ako aj pre vydávanie kolektívnych odporúčaní, najmä v súvislosti s referenčným porovnávaním programov dozoru pre kritických externých poskytovateľov IKT služieb, a identifikovať najlepšie postupy na riešenie rizika koncentrácie IKT. |
| --- | --- |

(86)

V snahe využiť viacvrstvovú inštitucionálnu architektúru v oblasti finančných služieb by spoločný výbor európskych orgánov dohľadu mal naďalej zabezpečovať celkovú medziodvetvovú koordináciu vo vzťahu ku všetkým záležitostiam týkajúcim sa IKT rizika, a to v súlade so svojimi úlohami v oblasti kybernetickej bezpečnosti. Mal by ho podporovať nový podvýbor (ďalej len „fórum pre dozor“), ktorý bude vykonávať prípravné práce pre jednotlivé rozhodnutia určené kritickým externým poskytovateľom IKT služieb, ako aj pre vydávanie kolektívnych odporúčaní, najmä v súvislosti s referenčným porovnávaním programov dozoru pre kritických externých poskytovateľov IKT služieb, a identifikovať najlepšie postupy na riešenie rizika koncentrácie IKT.

| (87) | S cieľom zabezpečiť, aby kritickí externí poskytovatelia IKT služieb podliehali náležitému a účinnému dozoru na úrovni Únie sa v tomto nariadení stanovuje, že ktorýkoľvek z troch európskych orgánov dohľadu by sa mohol určiť ako hlavný orgán dozoru. Individuálne pridelenie kritického externého poskytovateľa IKT služieb jednému z troch európskych orgánov dohľadu by malo vyplývať z posúdenia prevahy finančných subjektov pôsobiacich vo finančných sektoroch, za ktoré má daný európsky orgán dohľadu zodpovednosť. Tento prístup by mal viesť k vyváženému rozdeleniu úloh a zodpovedností medzi tri európske orgány dohľadu v kontexte vykonávania funkcií dozoru a mal by čo najlepšie využívať ľudské zdroje a technické odborné znalosti dostupné v každom z troch európskych orgánov dohľadu. |
| --- | --- |

(87)

S cieľom zabezpečiť, aby kritickí externí poskytovatelia IKT služieb podliehali náležitému a účinnému dozoru na úrovni Únie sa v tomto nariadení stanovuje, že ktorýkoľvek z troch európskych orgánov dohľadu by sa mohol určiť ako hlavný orgán dozoru. Individuálne pridelenie kritického externého poskytovateľa IKT služieb jednému z troch európskych orgánov dohľadu by malo vyplývať z posúdenia prevahy finančných subjektov pôsobiacich vo finančných sektoroch, za ktoré má daný európsky orgán dohľadu zodpovednosť. Tento prístup by mal viesť k vyváženému rozdeleniu úloh a zodpovedností medzi tri európske orgány dohľadu v kontexte vykonávania funkcií dozoru a mal by čo najlepšie využívať ľudské zdroje a technické odborné znalosti dostupné v každom z troch európskych orgánov dohľadu.

| (88) | Hlavným orgánom dozoru by sa mali udeliť právomoci nevyhnutné na vykonávanie vyšetrovaní, inšpekcií na mieste i na diaľku v priestoroch a lokalitách kritických externých poskytovateľov IKT služieb a na získavanie úplných a aktualizovaných informácií. Uvedené právomoci by mali umožniť hlavnému orgánu dozoru získať skutočný prehľad o druhu, rozmere a vplyve externého IKT rizika pre finančné subjekty a v konečnom dôsledku pre finančný systém Únie. Poverenie európskych orgánov dohľadu úlohou hlavného orgánu dozoru je predpokladom na pochopenie a riešenie systémového rozmeru IKT rizika v oblasti financií. Vplyv kritických externých poskytovateľov IKT služieb na finančný sektor Únie a potenciálne problémy spôsobené súvisiacim rizikom koncentrácie IKT si vyžadujú prijatie kolektívneho prístupu na úrovni Únie. Súbežné vykonávanie viacerých auditov a prístupových práv realizované zo strany viacerých samostatných príslušných orgánov pri malej alebo žiadnej vzájomnej koordinácii by orgánom dohľadu nad finančnými subjektmi bránilo získať úplný a komplexný prehľad o externom IKT riziku v Únii, a zároveň by sa vytvorila redundancia, zaťaženie a zložitosť pre kritických externých poskytovateľov IKT služieb, ak by boli vystavení početným žiadostiam o monitorovanie a inšpekciu. |
| --- | --- |

(88)

Hlavným orgánom dozoru by sa mali udeliť právomoci nevyhnutné na vykonávanie vyšetrovaní, inšpekcií na mieste i na diaľku v priestoroch a lokalitách kritických externých poskytovateľov IKT služieb a na získavanie úplných a aktualizovaných informácií. Uvedené právomoci by mali umožniť hlavnému orgánu dozoru získať skutočný prehľad o druhu, rozmere a vplyve externého IKT rizika pre finančné subjekty a v konečnom dôsledku pre finančný systém Únie. Poverenie európskych orgánov dohľadu úlohou hlavného orgánu dozoru je predpokladom na pochopenie a riešenie systémového rozmeru IKT rizika v oblasti financií. Vplyv kritických externých poskytovateľov IKT služieb na finančný sektor Únie a potenciálne problémy spôsobené súvisiacim rizikom koncentrácie IKT si vyžadujú prijatie kolektívneho prístupu na úrovni Únie. Súbežné vykonávanie viacerých auditov a prístupových práv realizované zo strany viacerých samostatných príslušných orgánov pri malej alebo žiadnej vzájomnej koordinácii by orgánom dohľadu nad finančnými subjektmi bránilo získať úplný a komplexný prehľad o externom IKT riziku v Únii, a zároveň by sa vytvorila redundancia, zaťaženie a zložitosť pre kritických externých poskytovateľov IKT služieb, ak by boli vystavení početným žiadostiam o monitorovanie a inšpekciu.

| (89) | Vzhľadom na významné dôsledky určenia kritickosti by sa týmto nariadením malo zabezpečiť, aby sa práva kritických externých poskytovateľov IKT služieb dodržiavali počas celého vykonávania rámca dozoru. Pred určením kritickosti by takíto poskytovatelia mali napríklad mať právo predložiť hlavnému orgánu dozoru odôvodnené vyhlásenie obsahujúce všetky relevantné informácie na účely posúdenia týkajúceho sa ich určenia. Keďže hlavný orgán dozoru by mal byť oprávnený predkladať odporúčania týkajúce sa problematiky IKT rizika a vhodných s tým súvisiacich nápravných opatrení vrátane právomoci namietať proti určitým zmluvným dojednaniam, ktoré v konečnom dôsledku ovplyvňujú stabilitu finančného subjektu alebo finančného systému, kritickí externí poskytovatelia IKT služieb by tiež mali dostať možnosť poskytnúť pred finalizáciou uvedených odporúčaní vysvetlenia týkajúce sa očakávaného vplyvu riešení, ktoré sú plánované v odporúčaniach, na zákazníkov, ktorí sú subjektmi mimo rozsahu pôsobnosti tohto nariadenia, a sformulovať riešenia na zmiernenie rizík. Kritickí externí poskytovatelia IKT služieb, ktorí nesúhlasia s odporúčaniami, by mali predložiť odôvodnené vysvetlenie svojho zámeru nepodporiť odporúčanie. Ak takéto odôvodnené vysvetlenie nie je predložené alebo sa považuje za nedostatočné, hlavný orgán dozoru by mal vydať verejné oznámenie, v ktorom stručne opíše záležitosť nesúladu. |
| --- | --- |

(89)

Vzhľadom na významné dôsledky určenia kritickosti by sa týmto nariadením malo zabezpečiť, aby sa práva kritických externých poskytovateľov IKT služieb dodržiavali počas celého vykonávania rámca dozoru. Pred určením kritickosti by takíto poskytovatelia mali napríklad mať právo predložiť hlavnému orgánu dozoru odôvodnené vyhlásenie obsahujúce všetky relevantné informácie na účely posúdenia týkajúceho sa ich určenia. Keďže hlavný orgán dozoru by mal byť oprávnený predkladať odporúčania týkajúce sa problematiky IKT rizika a vhodných s tým súvisiacich nápravných opatrení vrátane právomoci namietať proti určitým zmluvným dojednaniam, ktoré v konečnom dôsledku ovplyvňujú stabilitu finančného subjektu alebo finančného systému, kritickí externí poskytovatelia IKT služieb by tiež mali dostať možnosť poskytnúť pred finalizáciou uvedených odporúčaní vysvetlenia týkajúce sa očakávaného vplyvu riešení, ktoré sú plánované v odporúčaniach, na zákazníkov, ktorí sú subjektmi mimo rozsahu pôsobnosti tohto nariadenia, a sformulovať riešenia na zmiernenie rizík. Kritickí externí poskytovatelia IKT služieb, ktorí nesúhlasia s odporúčaniami, by mali predložiť odôvodnené vysvetlenie svojho zámeru nepodporiť odporúčanie. Ak takéto odôvodnené vysvetlenie nie je predložené alebo sa považuje za nedostatočné, hlavný orgán dozoru by mal vydať verejné oznámenie, v ktorom stručne opíše záležitosť nesúladu.

| (90) | Príslušné orgány by mali do svojich funkcií v súvislosti s prudenciálnym dohľadom nad finančnými subjektmi náležite zahrnúť úlohu overovania vecného dodržiavania odporúčaní vydaných hlavným orgánom dozoru. Príslušné orgány by mali mať možnosť požadovať od finančných subjektov, aby prijali dodatočné opatrenia na riešenie rizík identifikovaných v odporúčaniach hlavného orgánu dozoru, a vo vhodnom čase by na tento účel mali vydávať oznámenia. Ak hlavný orgán dozoru adresuje odporúčania kritickým externým poskytovateľom IKT služieb, nad ktorými sa vykonáva dohľad podľa smernice (EÚ) 2022/2555+, príslušné orgány by mali mať možnosť na dobrovoľnom základe a pred prijatím dodatočných opatrení konzultovať s príslušnými orgánmi podľa uvedenej smernice s cieľom podporiť koordinovaný prístup vo vzťahu k dotknutým kritickým externým poskytovateľom IKT služieb. |
| --- | --- |

(90)

Príslušné orgány by mali do svojich funkcií v súvislosti s prudenciálnym dohľadom nad finančnými subjektmi náležite zahrnúť úlohu overovania vecného dodržiavania odporúčaní vydaných hlavným orgánom dozoru. Príslušné orgány by mali mať možnosť požadovať od finančných subjektov, aby prijali dodatočné opatrenia na riešenie rizík identifikovaných v odporúčaniach hlavného orgánu dozoru, a vo vhodnom čase by na tento účel mali vydávať oznámenia. Ak hlavný orgán dozoru adresuje odporúčania kritickým externým poskytovateľom IKT služieb, nad ktorými sa vykonáva dohľad podľa smernice (EÚ) 2022/2555+, príslušné orgány by mali mať možnosť na dobrovoľnom základe a pred prijatím dodatočných opatrení konzultovať s príslušnými orgánmi podľa uvedenej smernice s cieľom podporiť koordinovaný prístup vo vzťahu k dotknutým kritickým externým poskytovateľom IKT služieb.

| (91) | Vykonávanie dozoru by sa malo riadiť tromi operatívnymi zásadami, ktorých cieľom je zabezpečiť: a) úzku koordináciu medzi európskymi orgánmi dohľadu v ich úlohách hlavných orgánov dozoru prostredníctvom spoločnej siete dozoru, b) súlad s rámcom stanoveným smernicou (EÚ) 2022/2555+ (prostredníctvom dobrovoľnej konzultácie s orgánmi podľa uvedenej smernice s cieľom zabrániť duplicite opatrení zameraných na kritických externých poskytovateľov IKT služieb) a c) uplatňovanie náležitej starostlivosti s cieľom minimalizovať potenciálne riziko narušenia služieb, ktoré poskytujú kritickí externí poskytovatelia IKT služieb zákazníkom, ktorí sú subjektmi mimo rozsahu pôsobnosti tohto nariadenia. |
| --- | --- |

(91)

Vykonávanie dozoru by sa malo riadiť tromi operatívnymi zásadami, ktorých cieľom je zabezpečiť: a) úzku koordináciu medzi európskymi orgánmi dohľadu v ich úlohách hlavných orgánov dozoru prostredníctvom spoločnej siete dozoru, b) súlad s rámcom stanoveným smernicou (EÚ) 2022/2555+ (prostredníctvom dobrovoľnej konzultácie s orgánmi podľa uvedenej smernice s cieľom zabrániť duplicite opatrení zameraných na kritických externých poskytovateľov IKT služieb) a c) uplatňovanie náležitej starostlivosti s cieľom minimalizovať potenciálne riziko narušenia služieb, ktoré poskytujú kritickí externí poskytovatelia IKT služieb zákazníkom, ktorí sú subjektmi mimo rozsahu pôsobnosti tohto nariadenia.

| (92) | Rámec dozoru by nemal nahrádzať ani žiadnym spôsobom a ani čiastočne suplovať požiadavku na finančné subjekty, aby sami riadili riziká súvisiace s využívaním externých poskytovateľov IKT služieb vrátane ich povinnosti zachovávať priebežné monitorovanie zmluvných dojednaní uzavretých s kritickými externými poskytovateľmi IKT služieb. Podobne by rámec dozoru nemal mať vplyv na plnú zodpovednosť finančných subjektov za dodržiavanie a plnenie všetkých právnych povinností stanovených v tomto nariadení a v príslušnom práve v oblasti finančných služieb. |
| --- | --- |

(92)

Rámec dozoru by nemal nahrádzať ani žiadnym spôsobom a ani čiastočne suplovať požiadavku na finančné subjekty, aby sami riadili riziká súvisiace s využívaním externých poskytovateľov IKT služieb vrátane ich povinnosti zachovávať priebežné monitorovanie zmluvných dojednaní uzavretých s kritickými externými poskytovateľmi IKT služieb. Podobne by rámec dozoru nemal mať vplyv na plnú zodpovednosť finančných subjektov za dodržiavanie a plnenie všetkých právnych povinností stanovených v tomto nariadení a v príslušnom práve v oblasti finančných služieb.

| (93) | Aby sa predišlo duplicite a prekrývaniu, príslušné orgány by sa mali zdržať individuálneho prijímania akýchkoľvek opatrení zameraných na monitorovanie rizík súvisiacich s kritickými externými poskytovateľmi IKT služieb a v tejto súvislosti by sa mali spoliehať na posúdenie hlavného dozorného orgánu. Akékoľvek opatrenia by sa mali v každom prípade koordinovať a dohodnúť vopred s hlavným dozorným orgánom v kontexte výkonu úloh v rámci dozoru. |
| --- | --- |

(93)

Aby sa predišlo duplicite a prekrývaniu, príslušné orgány by sa mali zdržať individuálneho prijímania akýchkoľvek opatrení zameraných na monitorovanie rizík súvisiacich s kritickými externými poskytovateľmi IKT služieb a v tejto súvislosti by sa mali spoliehať na posúdenie hlavného dozorného orgánu. Akékoľvek opatrenia by sa mali v každom prípade koordinovať a dohodnúť vopred s hlavným dozorným orgánom v kontexte výkonu úloh v rámci dozoru.

| (94) | V snahe podporiť na medzinárodnej úrovni zbližovanie, pokiaľ ide o používanie najlepších postupov pri preskúmavaní a monitorovaní riadenia digitálnych rizík v súvislosti s externými poskytovateľmi IKT služieb, by sa európske orgány dohľadu mali nabádať k tomu, aby uzatvárali dohody o spolupráci s relevantnými orgánmi dohľadu a regulačnými orgánmi tretích krajín. |
| --- | --- |

(94)

V snahe podporiť na medzinárodnej úrovni zbližovanie, pokiaľ ide o používanie najlepších postupov pri preskúmavaní a monitorovaní riadenia digitálnych rizík v súvislosti s externými poskytovateľmi IKT služieb, by sa európske orgány dohľadu mali nabádať k tomu, aby uzatvárali dohody o spolupráci s relevantnými orgánmi dohľadu a regulačnými orgánmi tretích krajín.

| (95) | S cieľom využiť osobitné kompetencie, technické zručnosti a odborné znalosti pracovníkov špecializujúcich sa na prevádzkové riziká a IKT riziko v rámci príslušných orgánov, troch európskych orgánov dohľadu, a na dobrovoľnom základe príslušných orgánov podľa smernice (EÚ) 2022/2555+, hlavný orgán dozoru by mal vychádzať zo spôsobilostí a znalostí vnútroštátneho dohľadu a mal by vytvoriť špecializované prieskumné tímy pre každého kritického externého poskytovateľa IKT služieb, v ktorých by sa združili multidisciplinárne tímy na podporu prípravy a vykonávania činností dozoru vrátane všeobecných vyšetrovaní a inšpekcií na mieste u kritických externých poskytovateľov IKT služieb, ako aj akýchkoľvek potrebných následných opatrení. |
| --- | --- |

(95)

S cieľom využiť osobitné kompetencie, technické zručnosti a odborné znalosti pracovníkov špecializujúcich sa na prevádzkové riziká a IKT riziko v rámci príslušných orgánov, troch európskych orgánov dohľadu, a na dobrovoľnom základe príslušných orgánov podľa smernice (EÚ) 2022/2555+, hlavný orgán dozoru by mal vychádzať zo spôsobilostí a znalostí vnútroštátneho dohľadu a mal by vytvoriť špecializované prieskumné tímy pre každého kritického externého poskytovateľa IKT služieb, v ktorých by sa združili multidisciplinárne tímy na podporu prípravy a vykonávania činností dozoru vrátane všeobecných vyšetrovaní a inšpekcií na mieste u kritických externých poskytovateľov IKT služieb, ako aj akýchkoľvek potrebných následných opatrení.

| (96) | Zatiaľ čo náklady vyplývajúce z úloh dozoru by sa v plnej miere financovali z poplatkov vyberaných od kritických externých poskytovateľov IKT služieb, európskym orgánom dohľadu pred začatím fungovania rámca dozoru pravdepodobne vzniknú náklady na zavedenie špecializovaných IKT systémov podporujúcich nadchádzajúci dozor, keďže špecializované IKT systémy by sa museli vyvinúť a zaviesť vopred. V tomto nariadení sa preto stanovuje hybridný model financovania, na základe ktorého by bol rámec dozoru ako taký plne financovaný z poplatkov, zatiaľ čo vývoj systémov IKT európskych orgánov dohľadu by sa financoval z príspevkov Únie a príslušných vnútroštátnych orgánov. |
| --- | --- |

(96)

Zatiaľ čo náklady vyplývajúce z úloh dozoru by sa v plnej miere financovali z poplatkov vyberaných od kritických externých poskytovateľov IKT služieb, európskym orgánom dohľadu pred začatím fungovania rámca dozoru pravdepodobne vzniknú náklady na zavedenie špecializovaných IKT systémov podporujúcich nadchádzajúci dozor, keďže špecializované IKT systémy by sa museli vyvinúť a zaviesť vopred. V tomto nariadení sa preto stanovuje hybridný model financovania, na základe ktorého by bol rámec dozoru ako taký plne financovaný z poplatkov, zatiaľ čo vývoj systémov IKT európskych orgánov dohľadu by sa financoval z príspevkov Únie a príslušných vnútroštátnych orgánov.

| (97) | Príslušné orgány by mali mať všetky potrebné právomoci v oblasti dohľadu, vyšetrovania a ukladania sankcií na zabezpečenie riadneho výkonu ich funkcií podľa tohto nariadenia. Mali by v zásade uverejňovať informácie o administratívnych sankciách, ktoré uložili. Keďže finančné subjekty a externí poskytovatelia IKT služieb môžu byť usadení v rôznych členských štátoch a môžu podliehať dohľadu rôznych príslušných orgánov, uplatňovanie tohto nariadenia by mala uľahčovať na jednej strane úzka spolupráca medzi relevantnými príslušnými orgánmi vrátane ECB, pokiaľ ide o osobitné úlohy, ktoré sa na ňu preniesli v súlade s nariadením Rady (EÚ) č. 1024/201339, a na strane druhej konzultácia s európskymi orgánmi dohľadu prostredníctvom vzájomnej výmeny informácií a poskytovania pomoci v kontexte relevantných činností dohľadu. |
| --- | --- |

(97)

Príslušné orgány by mali mať všetky potrebné právomoci v oblasti dohľadu, vyšetrovania a ukladania sankcií na zabezpečenie riadneho výkonu ich funkcií podľa tohto nariadenia. Mali by v zásade uverejňovať informácie o administratívnych sankciách, ktoré uložili. Keďže finančné subjekty a externí poskytovatelia IKT služieb môžu byť usadení v rôznych členských štátoch a môžu podliehať dohľadu rôznych príslušných orgánov, uplatňovanie tohto nariadenia by mala uľahčovať na jednej strane úzka spolupráca medzi relevantnými príslušnými orgánmi vrátane ECB, pokiaľ ide o osobitné úlohy, ktoré sa na ňu preniesli v súlade s nariadením Rady (EÚ) č. 1024/201339, a na strane druhej konzultácia s európskymi orgánmi dohľadu prostredníctvom vzájomnej výmeny informácií a poskytovania pomoci v kontexte relevantných činností dohľadu.

| (98) | S cieľom bližšie kvantifikovať a kvalifikovať kritériá určovania externých poskytovateľov IKT služieb ako kritických a harmonizovať poplatky za dozor by sa mala na Komisiu delegovať právomoc prijímať akty v súlade s článkom 290 ZFEÚ s cieľom doplniť toto nariadenie tým, že sa bližšie určí systémový vplyv, ktorý by zlyhanie alebo výpadok prevádzky externého poskytovateľa IKT služieb mohol mať na finančné subjekty, ktorým poskytuje IKT služby, počet globálne systémovo významných inštitúcií (G-SII) alebo inak systémovo významných inštitúcií (O-SII), ktoré sa spoliehajú na príslušného externého poskytovateľa IKT služieb, počet externých poskytovateľov IKT služieb pôsobiacich na danom trhu, náklady na prenos údajov a pracovnej záťaže v oblasti IKT na iných externých poskytovateľov IKT služieb, ako aj výška poplatkov za dozor a spôsob ich úhrady. Je osobitne dôležité, aby Komisia počas prípravných prác uskutočnila príslušné konzultácie, a to aj na úrovni expertov, a aby tieto konzultácie vykonávala v súlade so zásadami stanovenými v Medziinštitucionálnej dohode z 13. apríla 2016 o lepšej tvorbe práva (22). Predovšetkým v záujme rovnakého zastúpenia pri príprave delegovaných aktov by sa všetky dokumenty mali Európskemu parlamentu a Rade doručovať v rovnakom čase ako expertom z členských štátov, a experti Európskeho parlamentu a Rady by mali mať systematicky prístup na zasadnutia skupín expertov Komisie, ktoré sa zaoberajú prípravou delegovaných aktov. |
| --- | --- |

(98)

S cieľom bližšie kvantifikovať a kvalifikovať kritériá určovania externých poskytovateľov IKT služieb ako kritických a harmonizovať poplatky za dozor by sa mala na Komisiu delegovať právomoc prijímať akty v súlade s článkom 290 ZFEÚ s cieľom doplniť toto nariadenie tým, že sa bližšie určí systémový vplyv, ktorý by zlyhanie alebo výpadok prevádzky externého poskytovateľa IKT služieb mohol mať na finančné subjekty, ktorým poskytuje IKT služby, počet globálne systémovo významných inštitúcií (G-SII) alebo inak systémovo významných inštitúcií (O-SII), ktoré sa spoliehajú na príslušného externého poskytovateľa IKT služieb, počet externých poskytovateľov IKT služieb pôsobiacich na danom trhu, náklady na prenos údajov a pracovnej záťaže v oblasti IKT na iných externých poskytovateľov IKT služieb, ako aj výška poplatkov za dozor a spôsob ich úhrady. Je osobitne dôležité, aby Komisia počas prípravných prác uskutočnila príslušné konzultácie, a to aj na úrovni expertov, a aby tieto konzultácie vykonávala v súlade so zásadami stanovenými v Medziinštitucionálnej dohode z 13. apríla 2016 o lepšej tvorbe práva (22). Predovšetkým v záujme rovnakého zastúpenia pri príprave delegovaných aktov by sa všetky dokumenty mali Európskemu parlamentu a Rade doručovať v rovnakom čase ako expertom z členských štátov, a experti Európskeho parlamentu a Rady by mali mať systematicky prístup na zasadnutia skupín expertov Komisie, ktoré sa zaoberajú prípravou delegovaných aktov.

| (99) | Konzistentná harmonizácia požiadaviek stanovených v tomto nariadení by mala byť zabezpečená regulačnými technickými predpismi. Európske orgány dohľadu by v úlohe orgánov disponujúcich vysoko špecializovanými odbornými znalosťami mali vypracovať návrh regulačných technických predpisov, ktoré nezahŕňajú politické rozhodnutia a ktoré sa predložia Komisii. Mali by sa vypracovať regulačné technické predpisy v oblasti riadenia IKT rizika, nahlasovania závažných incidentov súvisiacich s IKT, testovania, ako aj vo vzťahu ku kľúčovým požiadavkám na riadne monitorovanie externého IKT rizika. Komisia a európske orgány dohľadu by mali zabezpečiť, aby uvedené predpisy a požiadavky mohli všetky finančné subjekty uplatňovať spôsobom, ktorý je primeraný ich veľkosti a celkovému rizikovému profilu, ako aj povahe, rozsahu a zložitosti ich služieb, činností a operácií. Komisia by mala byť splnomocnená prijať uvedené regulačné technické predpisy prostredníctvom delegovaných aktov podľa článku 290 ZFEÚ a v súlade s článkami 10 až 14 nariadení (EÚ) č. 1093/2010, (EÚ) č. 1094/2010 a (EÚ) č. 1095/2010. |
| --- | --- |

(99)

Konzistentná harmonizácia požiadaviek stanovených v tomto nariadení by mala byť zabezpečená regulačnými technickými predpismi. Európske orgány dohľadu by v úlohe orgánov disponujúcich vysoko špecializovanými odbornými znalosťami mali vypracovať návrh regulačných technických predpisov, ktoré nezahŕňajú politické rozhodnutia a ktoré sa predložia Komisii. Mali by sa vypracovať regulačné technické predpisy v oblasti riadenia IKT rizika, nahlasovania závažných incidentov súvisiacich s IKT, testovania, ako aj vo vzťahu ku kľúčovým požiadavkám na riadne monitorovanie externého IKT rizika. Komisia a európske orgány dohľadu by mali zabezpečiť, aby uvedené predpisy a požiadavky mohli všetky finančné subjekty uplatňovať spôsobom, ktorý je primeraný ich veľkosti a celkovému rizikovému profilu, ako aj povahe, rozsahu a zložitosti ich služieb, činností a operácií. Komisia by mala byť splnomocnená prijať uvedené regulačné technické predpisy prostredníctvom delegovaných aktov podľa článku 290 ZFEÚ a v súlade s článkami 10 až 14 nariadení (EÚ) č. 1093/2010, (EÚ) č. 1094/2010 a (EÚ) č. 1095/2010.

| (100) | S cieľom uľahčiť porovnateľnosť hlásení o závažných incidentoch súvisiacich s IKT a závažných prevádzkových alebo bezpečnostných incidentoch súvisiacich s platbami, ako aj zabezpečiť transparentnosť zmluvných dojednaní o využívaní IKT služieb poskytovaných externými poskytovateľmi IKT služieb by európske orgány dohľadu mali vypracovať návrh vykonávacích technických predpisov, ktorými sa stanovia štandardizované vzory, formuláre a postupy pre finančné subjekty na nahlasovanie závažných incidentov súvisiacich s IKT a závažných prevádzkových alebo bezpečnostných incidentoch súvisiacich s platbami, ako aj štandardizované vzory registra informácií. Pri vypracúvaní uvedených predpisov by európske orgány dohľadu mali zohľadniť veľkosť a celkový rizikový profil finančného subjektu, ako aj povahu, rozsah a zložitosť ich služieb, činností a operácií. Komisia by mala byť splnomocnená prijať uvedené vykonávacie technické predpisy prostredníctvom vykonávacích aktov podľa článku 291 ZFEÚ a v súlade s článkom 15 nariadení (EÚ) č. 1093/2010, (EÚ) č. 1094/2010 a (EÚ) č. 1095/2010. |
| --- | --- |

(100)

S cieľom uľahčiť porovnateľnosť hlásení o závažných incidentoch súvisiacich s IKT a závažných prevádzkových alebo bezpečnostných incidentoch súvisiacich s platbami, ako aj zabezpečiť transparentnosť zmluvných dojednaní o využívaní IKT služieb poskytovaných externými poskytovateľmi IKT služieb by európske orgány dohľadu mali vypracovať návrh vykonávacích technických predpisov, ktorými sa stanovia štandardizované vzory, formuláre a postupy pre finančné subjekty na nahlasovanie závažných incidentov súvisiacich s IKT a závažných prevádzkových alebo bezpečnostných incidentoch súvisiacich s platbami, ako aj štandardizované vzory registra informácií. Pri vypracúvaní uvedených predpisov by európske orgány dohľadu mali zohľadniť veľkosť a celkový rizikový profil finančného subjektu, ako aj povahu, rozsah a zložitosť ich služieb, činností a operácií. Komisia by mala byť splnomocnená prijať uvedené vykonávacie technické predpisy prostredníctvom vykonávacích aktov podľa článku 291 ZFEÚ a v súlade s článkom 15 nariadení (EÚ) č. 1093/2010, (EÚ) č. 1094/2010 a (EÚ) č. 1095/2010.

| (101) | Keďže bližšie požiadavky už boli stanovené prostredníctvom delegovaných a vykonávacích aktov založených na regulačných technických a vykonávacích technických predpisoch v nariadeniach Európskeho parlamentu a Rady (ES) č. 1060/2009 (23), (EÚ) č. 648/2012 (24), (EÚ) č. 600/2014 (25) a (EÚ) č. 909/2014 (26), je vhodné poveriť európske orgány dohľadu, či už jednotlivo alebo kolektívne prostredníctvom spoločného výboru, aby Komisii predložili regulačné a vykonávacie technické predpisy na prijatie delegovaných a vykonávacích aktov, ktorými sa prenášajú a aktualizujú existujúce pravidlá riadenia IKT rizika. |
| --- | --- |

(101)

Keďže bližšie požiadavky už boli stanovené prostredníctvom delegovaných a vykonávacích aktov založených na regulačných technických a vykonávacích technických predpisoch v nariadeniach Európskeho parlamentu a Rady (ES) č. 1060/2009 (23), (EÚ) č. 648/2012 (24), (EÚ) č. 600/2014 (25) a (EÚ) č. 909/2014 (26), je vhodné poveriť európske orgány dohľadu, či už jednotlivo alebo kolektívne prostredníctvom spoločného výboru, aby Komisii predložili regulačné a vykonávacie technické predpisy na prijatie delegovaných a vykonávacích aktov, ktorými sa prenášajú a aktualizujú existujúce pravidlá riadenia IKT rizika.

| (102) | Keďže toto nariadenie spolu so smernicou Európskeho parlamentu a Rady (EÚ) 2022/2556+ (27) zahŕňa konsolidáciu ustanovení o riadení IKT rizika naprieč viacerými nariadeniami a smernicami acquis Únie v oblasti finančných služieb vrátane nariadení (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014 a (EÚ) č. 909/2014 a nariadení (EÚ) 2016/1011 (28), s cieľom zabezpečiť úplný súlad by sa uvedené nariadenia mali zmeniť tak, aby sa v nich objasnilo, že príslušné ustanovenia týkajúce sa IKT rizika sú stanovené v tomto nariadení. |
| --- | --- |

(102)

Keďže toto nariadenie spolu so smernicou Európskeho parlamentu a Rady (EÚ) 2022/2556+ (27) zahŕňa konsolidáciu ustanovení o riadení IKT rizika naprieč viacerými nariadeniami a smernicami acquis Únie v oblasti finančných služieb vrátane nariadení (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014 a (EÚ) č. 909/2014 a nariadení (EÚ) 2016/1011 (28), s cieľom zabezpečiť úplný súlad by sa uvedené nariadenia mali zmeniť tak, aby sa v nich objasnilo, že príslušné ustanovenia týkajúce sa IKT rizika sú stanovené v tomto nariadení.

| (103) | Rozsah pôsobnosti relevantných článkov súvisiacich s prevádzkovým rizikom, na základe ktorých splnomocnenia v nariadeniach (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014, (EÚ) č. 909/2014 a (EÚ) 2016/1011 viedli k prijatiu delegovaných a vykonávacích aktov, by sa mal preto zúžiť s cieľom preniesť do tohto nariadenia všetky ustanovenia týkajúce sa aspektov digitálnej prevádzkovej odolnosti, ktoré sú dnes súčasťou uvedených nariadení. |
| --- | --- |

(103)

Rozsah pôsobnosti relevantných článkov súvisiacich s prevádzkovým rizikom, na základe ktorých splnomocnenia v nariadeniach (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014, (EÚ) č. 909/2014 a (EÚ) 2016/1011 viedli k prijatiu delegovaných a vykonávacích aktov, by sa mal preto zúžiť s cieľom preniesť do tohto nariadenia všetky ustanovenia týkajúce sa aspektov digitálnej prevádzkovej odolnosti, ktoré sú dnes súčasťou uvedených nariadení.

| (104) | Potenciálne systémové kybernetické riziko spojené s využívaním infraštruktúr IKT, ktoré umožňujú prevádzku platobných systémov a poskytovanie činností spracovania platieb, by sa malo náležite riešiť na úrovni Únie prostredníctvom harmonizovaných pravidiel digitálnej odolnosti. Na tento účel by Komisia mala urýchlene posúdiť potrebu preskúmania rozsahu pôsobnosti tohto nariadenia a zároveň zosúladiť takéto preskúmanie s výsledkom komplexného preskúmania stanoveného v smernici (EÚ) 2015/2366. Početné rozsiahle útoky za posledné desaťročie ukazujú, ako sa platobné systémy stali vystavené kybernetickým hrozbám. Postavenie v centre reťazca platobných služieb a preukázanie silných prepojení s celkovým finančným systémom, platobnými systémami a činnosťami spracovania platieb nadobudli rozhodujúci význam pre fungovanie finančných trhov Únie. Kybernetické útoky na takéto systémy môžu spôsobiť vážne narušenia prevádzky s priamymi dôsledkami pre kľúčové hospodárske funkcie, ako je uľahčovanie platieb, a nepriame účinky na súvisiace hospodárske procesy. Kým sa na úrovni Únie nezavedie harmonizovaný režim a dohľad nad prevádzkovateľmi platobných systémov a spracovateľskými subjektmi, členské štáty sa môžu pri uplatňovaní pravidiel na prevádzkovateľov platobných systémov a spracovateľské subjekty, nad ktorými vykonávajú dohľad v rámci svojej vlastnej jurisdikcie, inšpirovať požiadavkami na digitálnu prevádzkovú odolnosť stanovenými v tomto nariadení s cieľom uplatňovať podobné trhové postupy. |
| --- | --- |

(104)

Potenciálne systémové kybernetické riziko spojené s využívaním infraštruktúr IKT, ktoré umožňujú prevádzku platobných systémov a poskytovanie činností spracovania platieb, by sa malo náležite riešiť na úrovni Únie prostredníctvom harmonizovaných pravidiel digitálnej odolnosti. Na tento účel by Komisia mala urýchlene posúdiť potrebu preskúmania rozsahu pôsobnosti tohto nariadenia a zároveň zosúladiť takéto preskúmanie s výsledkom komplexného preskúmania stanoveného v smernici (EÚ) 2015/2366. Početné rozsiahle útoky za posledné desaťročie ukazujú, ako sa platobné systémy stali vystavené kybernetickým hrozbám. Postavenie v centre reťazca platobných služieb a preukázanie silných prepojení s celkovým finančným systémom, platobnými systémami a činnosťami spracovania platieb nadobudli rozhodujúci význam pre fungovanie finančných trhov Únie. Kybernetické útoky na takéto systémy môžu spôsobiť vážne narušenia prevádzky s priamymi dôsledkami pre kľúčové hospodárske funkcie, ako je uľahčovanie platieb, a nepriame účinky na súvisiace hospodárske procesy. Kým sa na úrovni Únie nezavedie harmonizovaný režim a dohľad nad prevádzkovateľmi platobných systémov a spracovateľskými subjektmi, členské štáty sa môžu pri uplatňovaní pravidiel na prevádzkovateľov platobných systémov a spracovateľské subjekty, nad ktorými vykonávajú dohľad v rámci svojej vlastnej jurisdikcie, inšpirovať požiadavkami na digitálnu prevádzkovú odolnosť stanovenými v tomto nariadení s cieľom uplatňovať podobné trhové postupy.

| (105) | Keďže cieľ tohto nariadenia, a to dosiahnutie vysokej úrovne digitálnej prevádzkovej odolnosti pre regulované finančné subjekty, nie je možné uspokojivo dosiahnuť na úrovni členských štátov, pretože si vyžaduje harmonizáciu rôznych predpisov v rámci práva Únie alebo vnútroštátneho práva, ale ho možno z dôvodu jeho rozsahu a účinkov lepšie dosiahnuť na úrovni Únie, môže Únia prijať opatrenia v súlade so zásadou subsidiarity podľa článku 5 Zmluvy o Európskej únii. V súlade so zásadou proporcionality podľa uvedeného článku toto nariadenie neprekračuje rámec nevyhnutný na dosiahnutie tohto cieľa. |
| --- | --- |

(105)

Keďže cieľ tohto nariadenia, a to dosiahnutie vysokej úrovne digitálnej prevádzkovej odolnosti pre regulované finančné subjekty, nie je možné uspokojivo dosiahnuť na úrovni členských štátov, pretože si vyžaduje harmonizáciu rôznych predpisov v rámci práva Únie alebo vnútroštátneho práva, ale ho možno z dôvodu jeho rozsahu a účinkov lepšie dosiahnuť na úrovni Únie, môže Únia prijať opatrenia v súlade so zásadou subsidiarity podľa článku 5 Zmluvy o Európskej únii. V súlade so zásadou proporcionality podľa uvedeného článku toto nariadenie neprekračuje rámec nevyhnutný na dosiahnutie tohto cieľa.

| (106) | V súlade s článkom 42 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725 (29) sa konzultovalo s európskym dozorným úradníkom pre ochranu údajov, ktorý vydal svoje stanovisko 10. mája 2021 (30), |
| --- | --- |

(106)

V súlade s článkom 42 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725 (29) sa konzultovalo s európskym dozorným úradníkom pre ochranu údajov, ktorý vydal svoje stanovisko 10. mája 2021 (30),

PRIJALI TOTO NARIADENIE:

KAPITOLA I

Všeobecné ustanovenia

Článok 1

Predmet úpravy

1.   S cieľom dosiahnuť vysokú spoločnú úroveň digitálnej prevádzkovej odolnosti sa v tomto nariadení stanovujú tieto jednotné požiadavky týkajúce sa bezpečnosti sietí a informačných systémov podporujúcich obchodné procesy finančných subjektov:

| a) | požiadavky, ktoré sa vzťahujú na finančné subjekty v súvislosti s týmito aspektmi:






  i) | riadenie rizika v oblasti informačných a komunikačných technológií (ďalej len „IKT“); |
| --- | --- | --- |

a)

požiadavky, ktoré sa vzťahujú na finančné subjekty v súvislosti s týmito aspektmi:

i)

riadenie rizika v oblasti informačných a komunikačných technológií (ďalej len „IKT“);

| ii) | nahlasovanie závažných incidentov súvisiacich s IKT a dobrovoľné oznamovanie významných kybernetických hrozieb príslušným orgánom; |
| --- | --- |

ii)

nahlasovanie závažných incidentov súvisiacich s IKT a dobrovoľné oznamovanie významných kybernetických hrozieb príslušným orgánom;

| iii) | nahlasovanie závažných prevádzkových incidentov alebo bezpečnostných incidentov súvisiacich s platbami príslušným orgánom zo strany finančných subjektov uvedených v článku 2 ods. 1 písm. a) až d); |
| --- | --- |

iii)

nahlasovanie závažných prevádzkových incidentov alebo bezpečnostných incidentov súvisiacich s platbami príslušným orgánom zo strany finančných subjektov uvedených v článku 2 ods. 1 písm. a) až d);

| iv) | testovanie digitálnej prevádzkovej odolnosti; |
| --- | --- |

iv)

testovanie digitálnej prevádzkovej odolnosti;

| v) | výmena informácií a spravodajských informácií v súvislosti s kybernetickými hrozbami a zraniteľnými miestami; |
| --- | --- |

v)

výmena informácií a spravodajských informácií v súvislosti s kybernetickými hrozbami a zraniteľnými miestami;

| vi) | opatrenia na správne riadenie externého IKT rizika; |
| --- | --- |

vi)

opatrenia na správne riadenie externého IKT rizika;

| b) | požiadavky súvisiace so zmluvnými dojednaniami uzavretými medzi externými poskytovateľmi IKT služieb a finančnými subjektmi; |
| --- | --- |

b)

požiadavky súvisiace so zmluvnými dojednaniami uzavretými medzi externými poskytovateľmi IKT služieb a finančnými subjektmi;

| c) | pravidlá zriadenia a vykonávania rámca dozoru nad kritickými externými poskytovateľmi IKT služieb, keď tieto služby poskytujú finančným subjektom; |
| --- | --- |

c)

pravidlá zriadenia a vykonávania rámca dozoru nad kritickými externými poskytovateľmi IKT služieb, keď tieto služby poskytujú finančným subjektom;

| d) | pravidlá spolupráce medzi príslušnými orgánmi a pravidlá dohľadu a presadzovania príslušnými orgánmi v súvislosti so všetkými záležitosťami, na ktoré sa vzťahuje toto nariadenie. |
| --- | --- |

d)

pravidlá spolupráce medzi príslušnými orgánmi a pravidlá dohľadu a presadzovania príslušnými orgánmi v súvislosti so všetkými záležitosťami, na ktoré sa vzťahuje toto nariadenie.

2.   V súvislosti s finančnými subjektmi identifikovanými ako kľúčové alebo dôležité subjekty podľa vnútroštátnych predpisov, ktorými sa transponuje článok 3 smernice (EÚ) 2022/2555 sa toto nariadenie považuje za právny akt Únie špecifický pre určité odvetvie na účely článku 4 uvedenej smernice.

3.   Týmto nariadením nie je dotknutá zodpovednosť členských štátov, pokiaľ ide o základné funkcie štátu týkajúce sa verejnej bezpečnosti, obrany a národnej bezpečnosti v súlade s právom Únie.

Článok 2

Rozsah pôsobnosti

1.   Bez toho, aby boli dotknuté odseky 3 a 4, sa toto nariadenie vzťahuje na tieto subjekty:

| a) | úverové inštitúcie; |
| --- | --- |

a)

úverové inštitúcie;

| b) | platobné inštitúcie vrátane platobných inštitúcií vyňatých podľa smernice (EÚ) 2015/2366; |
| --- | --- |

b)

platobné inštitúcie vrátane platobných inštitúcií vyňatých podľa smernice (EÚ) 2015/2366;

| c) | poskytovatelia služieb informovania o účte; |
| --- | --- |

c)

poskytovatelia služieb informovania o účte;

| d) | inštitúcie elektronického peňažníctva vrátane inštitúcií elektronického peňažníctva vyňatých podľa smernice 2009/110/ES; |
| --- | --- |

d)

inštitúcie elektronického peňažníctva vrátane inštitúcií elektronického peňažníctva vyňatých podľa smernice 2009/110/ES;

| e) | investičné spoločnosti; |
| --- | --- |

e)

investičné spoločnosti;

| f) | poskytovatelia služieb kryptoaktív, ktorým bolo udelené povolenie podľa nariadenia Európskeho parlamentu a Rady o trhoch s kryptoaktívami a o zmene nariadení (EÚ) č. 1093/2010 a (EÚ) č. 1095/2010 a smerníc 2013/36/EÚ a (EÚ) 2019/1937 (ďalej len „nariadenie o trhoch s kryptoaktívami“) a emitenti tokenov krytých aktívami; |
| --- | --- |

f)

poskytovatelia služieb kryptoaktív, ktorým bolo udelené povolenie podľa nariadenia Európskeho parlamentu a Rady o trhoch s kryptoaktívami a o zmene nariadení (EÚ) č. 1093/2010 a (EÚ) č. 1095/2010 a smerníc 2013/36/EÚ a (EÚ) 2019/1937 (ďalej len „nariadenie o trhoch s kryptoaktívami“) a emitenti tokenov krytých aktívami;

| g) | centrálne depozitáre cenných papierov; |
| --- | --- |

g)

centrálne depozitáre cenných papierov;

| h) | centrálne protistrany; |
| --- | --- |

h)

centrálne protistrany;

| i) | obchodné miesta; |
| --- | --- |

i)

obchodné miesta;

| j) | archívy obchodných údajov; |
| --- | --- |

j)

archívy obchodných údajov;

| k) | správcovia alternatívnych investičných fondov; |
| --- | --- |

k)

správcovia alternatívnych investičných fondov;

| l) | správcovské spoločnosti; |
| --- | --- |

l)

správcovské spoločnosti;

| m) | poskytovatelia služieb vykazovania údajov; |
| --- | --- |

m)

poskytovatelia služieb vykazovania údajov;

| n) | poisťovne a zaisťovne; |
| --- | --- |

n)

poisťovne a zaisťovne;

| o) | sprostredkovatelia poistenia, sprostredkovatelia zaistenia a sprostredkovatelia doplnkového poistenia; |
| --- | --- |

o)

sprostredkovatelia poistenia, sprostredkovatelia zaistenia a sprostredkovatelia doplnkového poistenia;

| p) | inštitúcie zamestnaneckého dôchodkového zabezpečenia; |
| --- | --- |

p)

inštitúcie zamestnaneckého dôchodkového zabezpečenia;

| q) | ratingové agentúry; |
| --- | --- |

q)

ratingové agentúry;

| r) | správcovia kritických referenčných hodnôt; |
| --- | --- |

r)

správcovia kritických referenčných hodnôt;

| s) | poskytovatelia služieb hromadného financovania; |
| --- | --- |

s)

poskytovatelia služieb hromadného financovania;

| t) | archívy sekuritizačných údajov; |
| --- | --- |

t)

archívy sekuritizačných údajov;

| u) | externí poskytovatelia IKT služieb. |
| --- | --- |

u)

externí poskytovatelia IKT služieb.

2.   Na účely tohto nariadenia sa subjekty uvedené v odseku 1 písm. a) až t) spoločne označujú ako „finančné subjekty“.

3.   Toto nariadenie sa neuplatňuje na:

| a) | správcov alternatívnych investičných fondov, ako sa uvádza v článku 3 ods. 2 smernice 2011/61/EÚ; |
| --- | --- |

a)

správcov alternatívnych investičných fondov, ako sa uvádza v článku 3 ods. 2 smernice 2011/61/EÚ;

| b) | poisťovne a zaisťovne, ako sa uvádza v článku 4 smernice 2009/138/ES; |
| --- | --- |

b)

poisťovne a zaisťovne, ako sa uvádza v článku 4 smernice 2009/138/ES;

| c) | inštitúcie zamestnaneckého dôchodkového zabezpečenia, ktoré prevádzkujú dôchodkové plány, ktoré spolu nemajú viac ako 15 členov; |
| --- | --- |

c)

inštitúcie zamestnaneckého dôchodkového zabezpečenia, ktoré prevádzkujú dôchodkové plány, ktoré spolu nemajú viac ako 15 členov;

| d) | fyzické alebo právnické osoby oslobodené podľa článkov 2 a 3 smernice 2014/65/EÚ; |
| --- | --- |

d)

fyzické alebo právnické osoby oslobodené podľa článkov 2 a 3 smernice 2014/65/EÚ;

| e) | sprostredkovateľov poistenia, sprostredkovateľov zaistenia a sprostredkovateľov doplnkového poistenia, ktorými sú mikropodniky alebo malé alebo stredné podniky; |
| --- | --- |

e)

sprostredkovateľov poistenia, sprostredkovateľov zaistenia a sprostredkovateľov doplnkového poistenia, ktorými sú mikropodniky alebo malé alebo stredné podniky;

| f) | poštové sporožírové inštitúcie ako sa uvádza v článku 2 ods. 5 bode 3 smernice 2013/36/EÚ. |
| --- | --- |

f)

poštové sporožírové inštitúcie ako sa uvádza v článku 2 ods. 5 bode 3 smernice 2013/36/EÚ.

4.   Členské štáty môžu z rozsahu pôsobnosti tohto nariadenia vylúčiť subjekty uvedené v článku 2 ods. 5 bodoch 4 až 23 smernice 2013/36/EÚ, ktoré sa nachádzajú na ich príslušných územiach. Ak členský štát využije takúto možnosť, informuje o tom, ako aj o všetkých jej následných zmenách Komisiu. Komisia tieto informácie zverejní na svojom webovom sídle alebo inými ľahko dostupnými prostriedkami.

Článok 3

Vymedzenie pojmov

Na účely tohto nariadenia sa uplatňuje toto vymedzenie pojmov:

| 1. | „digitálna prevádzková odolnosť“ je schopnosť finančného subjektu budovať, zabezpečovať a preskúmavať svoju prevádzkovú integritu a spoľahlivosť tak, že priamo alebo nepriamo prostredníctvom využívania služieb poskytovaných externými poskytovateľmi IKT služieb zabezpečí celú škálu spôsobilostí súvisiacich s IKT, ktoré sú potrebné na zaistenie bezpečnosti sietí a informačných systémov, ktoré finančný subjekt využíva, a ktoré podporujú nepretržité poskytovanie finančných služieb a ich kvalitu, a to aj počas narušení; |
| --- | --- |

1.

„digitálna prevádzková odolnosť“ je schopnosť finančného subjektu budovať, zabezpečovať a preskúmavať svoju prevádzkovú integritu a spoľahlivosť tak, že priamo alebo nepriamo prostredníctvom využívania služieb poskytovaných externými poskytovateľmi IKT služieb zabezpečí celú škálu spôsobilostí súvisiacich s IKT, ktoré sú potrebné na zaistenie bezpečnosti sietí a informačných systémov, ktoré finančný subjekt využíva, a ktoré podporujú nepretržité poskytovanie finančných služieb a ich kvalitu, a to aj počas narušení;

| 2. | „sieť a informačný systém“ je sieť a informačný systém v zmysle vymedzenia v článku 6 bodu 1 smernice (EÚ) 2022/2555+; |
| --- | --- |

2.

„sieť a informačný systém“ je sieť a informačný systém v zmysle vymedzenia v článku 6 bodu 1 smernice (EÚ) 2022/2555+;

| 3. | „pôvodný IKT systém“ je IKT systém, ktorý dosiahol koniec svojho životného cyklu (koniec životnosti), ktorý nie je vhodný na vylepšenia alebo opravy z technologických alebo obchodných dôvodov alebo ho už jeho dodávateľ alebo externý poskytovateľ IKT služieb nepodporuje, ale ktorý sa stále používa a podporuje funkcie finančného subjektu; |
| --- | --- |

3.

„pôvodný IKT systém“ je IKT systém, ktorý dosiahol koniec svojho životného cyklu (koniec životnosti), ktorý nie je vhodný na vylepšenia alebo opravy z technologických alebo obchodných dôvodov alebo ho už jeho dodávateľ alebo externý poskytovateľ IKT služieb nepodporuje, ale ktorý sa stále používa a podporuje funkcie finančného subjektu;

| 4. | „bezpečnosť sietí a informačných systémov“ je bezpečnosť sietí a informačných systémov v zmysle vymedzenia v článku 6 bode 2 smernice (EÚ) 2022/2555+; |
| --- | --- |

4.

„bezpečnosť sietí a informačných systémov“ je bezpečnosť sietí a informačných systémov v zmysle vymedzenia v článku 6 bode 2 smernice (EÚ) 2022/2555+;

| 5. | „IKT riziko“ je každá primerane identifikovateľná okolnosť v súvislosti s používaním sietí a informačných systémov, ktorá, ak k nej dôjde, môže ohroziť bezpečnosť sietí a informačných systémov, akéhokoľvek nástroja alebo procesu závislého od technológií, ako aj bezpečnosť operácií a procesov alebo poskytovania služieb vytvorením nepriaznivých účinkov v digitálnom alebo fyzickom prostredí; |
| --- | --- |

5.

„IKT riziko“ je každá primerane identifikovateľná okolnosť v súvislosti s používaním sietí a informačných systémov, ktorá, ak k nej dôjde, môže ohroziť bezpečnosť sietí a informačných systémov, akéhokoľvek nástroja alebo procesu závislého od technológií, ako aj bezpečnosť operácií a procesov alebo poskytovania služieb vytvorením nepriaznivých účinkov v digitálnom alebo fyzickom prostredí;

| 6. | „informačné aktívum“ je súbor informácií, buď hmotných alebo nehmotných, ktoré sa oplatí chrániť; |
| --- | --- |

6.

„informačné aktívum“ je súbor informácií, buď hmotných alebo nehmotných, ktoré sa oplatí chrániť;

| 7. | „IKT aktívum“ je softvérové alebo hardvérové aktívum v sieťach a informačných systémoch, ktoré používa finančný subjekt; |
| --- | --- |

7.

„IKT aktívum“ je softvérové alebo hardvérové aktívum v sieťach a informačných systémoch, ktoré používa finančný subjekt;

| 8. | „incident súvisiaci s IKT“ je jedna udalosť alebo séria prepojených udalostí, ktoré finančný subjekt neplánoval a ktoré narúšajú bezpečnosť sietí a informačných systémov a majú nepriaznivý vplyv na dostupnosť, pravosť, integritu alebo dôvernosť údajov alebo na služby, ktoré poskytuje finančný subjekt; |
| --- | --- |

8.

„incident súvisiaci s IKT“ je jedna udalosť alebo séria prepojených udalostí, ktoré finančný subjekt neplánoval a ktoré narúšajú bezpečnosť sietí a informačných systémov a majú nepriaznivý vplyv na dostupnosť, pravosť, integritu alebo dôvernosť údajov alebo na služby, ktoré poskytuje finančný subjekt;

| 9. | „prevádzkový alebo bezpečnostný incident súvisiaci s platbami“ je jedna udalosť alebo séria prepojených udalostí, ktoré finančné subjekty uvedené v článku 2 ods. 1 písm. a) až d) neplánovali, bez ohľadu na to, či súvisia s IKT alebo nie, a ktoré majú nepriaznivý vplyv na dostupnosť, pravosť, integritu alebo dôvernosť údajov súvisiacich s platbami, alebo na služby súvisiace s platbami, ktoré poskytuje finančný subjekt; |
| --- | --- |

9.

„prevádzkový alebo bezpečnostný incident súvisiaci s platbami“ je jedna udalosť alebo séria prepojených udalostí, ktoré finančné subjekty uvedené v článku 2 ods. 1 písm. a) až d) neplánovali, bez ohľadu na to, či súvisia s IKT alebo nie, a ktoré majú nepriaznivý vplyv na dostupnosť, pravosť, integritu alebo dôvernosť údajov súvisiacich s platbami, alebo na služby súvisiace s platbami, ktoré poskytuje finančný subjekt;

| 10. | „závažný incident súvisiaci s IKT“ je incident súvisiaci s IKT, ktorý má veľký nepriaznivý vplyv na siete a informačné systémy, ktoré podporujú kritické alebo dôležité funkcie finančného subjektu; |
| --- | --- |

10.

„závažný incident súvisiaci s IKT“ je incident súvisiaci s IKT, ktorý má veľký nepriaznivý vplyv na siete a informačné systémy, ktoré podporujú kritické alebo dôležité funkcie finančného subjektu;

| 11. | „závažný prevádzkový alebo bezpečnostný incident súvisiaci s platbami“ je prevádzkový alebo bezpečnostný incident súvisiaci s platbami, ktorý má veľký nepriaznivý vplyv na poskytované služby súvisiace s platbami; |
| --- | --- |

11.

„závažný prevádzkový alebo bezpečnostný incident súvisiaci s platbami“ je prevádzkový alebo bezpečnostný incident súvisiaci s platbami, ktorý má veľký nepriaznivý vplyv na poskytované služby súvisiace s platbami;

| 12. | „kybernetická hrozba“ je kybernetická hrozba v zmysle vymedzenia v článku 2 bode 8 nariadenia (EÚ) 2019/881; |
| --- | --- |

12.

„kybernetická hrozba“ je kybernetická hrozba v zmysle vymedzenia v článku 2 bode 8 nariadenia (EÚ) 2019/881;

| 13. | „významná kybernetická hrozba“ je kybernetická hrozba, ktorej technické charakteristiky naznačujú, že by mohla mať potenciál viesť k závažnému incidentu súvisiacemu s IKT alebo závažnému prevádzkovému alebo bezpečnostnému incidentu súvisiacemu s platbami; |
| --- | --- |

13.

„významná kybernetická hrozba“ je kybernetická hrozba, ktorej technické charakteristiky naznačujú, že by mohla mať potenciál viesť k závažnému incidentu súvisiacemu s IKT alebo závažnému prevádzkovému alebo bezpečnostnému incidentu súvisiacemu s platbami;

| 14. | „kybernetický útok“ je zlomyseľný incident súvisiaci s IKT spôsobený prostredníctvom pokusu, ktorého sa dopustil akýkoľvek aktér hrozby, o zničenie, odhalenie, zmenu, znefunkčnenie, krádež alebo získanie neoprávneného prístupu k aktívu, alebo o neoprávnené použitie aktíva; |
| --- | --- |

14.

„kybernetický útok“ je zlomyseľný incident súvisiaci s IKT spôsobený prostredníctvom pokusu, ktorého sa dopustil akýkoľvek aktér hrozby, o zničenie, odhalenie, zmenu, znefunkčnenie, krádež alebo získanie neoprávneného prístupu k aktívu, alebo o neoprávnené použitie aktíva;

| 15. | „spravodajské informácie o hrozbách“ sú informácie, ktoré boli agregované, transformované, analyzované, interpretované alebo obohatené tak, aby poskytli potrebný kontext pre rozhodovanie a umožnili relevantné a dostatočné pochopenie s cieľom zmierniť vplyv incidentu súvisiaceho s IKT alebo kybernetickej hrozby vrátane technických podrobností kybernetického útoku, subjektov zodpovedných za útok a ich modu operandi a motivácie; |
| --- | --- |

15.

„spravodajské informácie o hrozbách“ sú informácie, ktoré boli agregované, transformované, analyzované, interpretované alebo obohatené tak, aby poskytli potrebný kontext pre rozhodovanie a umožnili relevantné a dostatočné pochopenie s cieľom zmierniť vplyv incidentu súvisiaceho s IKT alebo kybernetickej hrozby vrátane technických podrobností kybernetického útoku, subjektov zodpovedných za útok a ich modu operandi a motivácie;

| 16. | „zraniteľnosť“ je slabé miesto, náchylnosť alebo chyba aktíva, systému, procesu alebo kontroly, ktoré môžu byť zneužité; |
| --- | --- |

16.

„zraniteľnosť“ je slabé miesto, náchylnosť alebo chyba aktíva, systému, procesu alebo kontroly, ktoré môžu byť zneužité;

| 17. | „penetračné testovanie na základe konkrétnej hrozby“ alebo „TLPT“)“ je rámec, ktorý simuluje taktiku, techniky a postupy reálnych aktérov hrozby považovaných za subjekty predstavujúce skutočnú kybernetickú hrozbu a ktorým sa realizuje kontrolovaný, individualizovaný test kritických živých produkčných systémov finančného subjektu založený na spravodajských informáciách (červený tím); |
| --- | --- |

17.

„penetračné testovanie na základe konkrétnej hrozby“ alebo „TLPT“)“ je rámec, ktorý simuluje taktiku, techniky a postupy reálnych aktérov hrozby považovaných za subjekty predstavujúce skutočnú kybernetickú hrozbu a ktorým sa realizuje kontrolovaný, individualizovaný test kritických živých produkčných systémov finančného subjektu založený na spravodajských informáciách (červený tím);

| 18. | „externé IKT riziko“ je IKT riziko, ktoré môže finančnému subjektu vzniknúť v súvislosti s jeho využívaním IKT služieb, ktoré poskytujú externí poskytovatelia IKT služieb alebo ich subdodávatelia, a to aj prostredníctvom dohôd o outsourcingu; |
| --- | --- |

18.

„externé IKT riziko“ je IKT riziko, ktoré môže finančnému subjektu vzniknúť v súvislosti s jeho využívaním IKT služieb, ktoré poskytujú externí poskytovatelia IKT služieb alebo ich subdodávatelia, a to aj prostredníctvom dohôd o outsourcingu;

| 19. | „externý poskytovateľ IKT služieb“ je podnik poskytujúci IKT služby; |
| --- | --- |

19.

„externý poskytovateľ IKT služieb“ je podnik poskytujúci IKT služby;

| 20. | „vnútroskupinový poskytovateľ IKT služieb“ je podnik, ktorý je súčasťou finančnej skupiny a ktorý poskytuje prevažne IKT služby finančným subjektom v rámci rovnakej skupiny alebo finančným subjektom patriacim do rovnakej schémy inštitucionálneho zabezpečenia vrátane ich materských podnikov, dcérskych podnikov, pobočiek alebo iných subjektov, ktoré sú v spoločnom vlastníctve alebo pod spoločnou kontrolou; |
| --- | --- |

20.

„vnútroskupinový poskytovateľ IKT služieb“ je podnik, ktorý je súčasťou finančnej skupiny a ktorý poskytuje prevažne IKT služby finančným subjektom v rámci rovnakej skupiny alebo finančným subjektom patriacim do rovnakej schémy inštitucionálneho zabezpečenia vrátane ich materských podnikov, dcérskych podnikov, pobočiek alebo iných subjektov, ktoré sú v spoločnom vlastníctve alebo pod spoločnou kontrolou;

| 21. | „IKT služby“ sú digitálne a dátové služby poskytované prostredníctvom IKT systémov jednému alebo viacerým interným alebo externým používateľom priebežne vrátane hardvéru ako služby a hardvérových služieb, ktoré zahŕňajú poskytovanie technickej podpory prostredníctvom aktualizácií softvéru alebo firmvéru poskytovateľom hardvéru s výnimkou tradičných analógových telefónnych služieb; |
| --- | --- |

21.

„IKT služby“ sú digitálne a dátové služby poskytované prostredníctvom IKT systémov jednému alebo viacerým interným alebo externým používateľom priebežne vrátane hardvéru ako služby a hardvérových služieb, ktoré zahŕňajú poskytovanie technickej podpory prostredníctvom aktualizácií softvéru alebo firmvéru poskytovateľom hardvéru s výnimkou tradičných analógových telefónnych služieb;

| 22. | „kritická alebo dôležitá funkcia“ je funkcia, ktorej narušenie by v podstatnej miere negatívne ovplyvnilo finančnú výkonnosť finančného subjektu či správnosť alebo kontinuitu jeho služieb a činností, alebo funkcia, ktorej ukončenie, chybné plnenie alebo neplnenie by v podstatnej miere negatívne ovplyvnilo nepretržité dodržiavanie podmienok a povinností finančného subjektu vyplývajúcich z jeho povolenia alebo jeho iných povinností podľa uplatniteľného práva v oblasti finančných služieb; |
| --- | --- |

22.

„kritická alebo dôležitá funkcia“ je funkcia, ktorej narušenie by v podstatnej miere negatívne ovplyvnilo finančnú výkonnosť finančného subjektu či správnosť alebo kontinuitu jeho služieb a činností, alebo funkcia, ktorej ukončenie, chybné plnenie alebo neplnenie by v podstatnej miere negatívne ovplyvnilo nepretržité dodržiavanie podmienok a povinností finančného subjektu vyplývajúcich z jeho povolenia alebo jeho iných povinností podľa uplatniteľného práva v oblasti finančných služieb;

| 23. | „kritický externý poskytovateľ IKT služieb“ je externý poskytovateľ IKT služieb určený ako kritický v súlade s článkom 31; |
| --- | --- |

23.

„kritický externý poskytovateľ IKT služieb“ je externý poskytovateľ IKT služieb určený ako kritický v súlade s článkom 31;

| 24. | „externý poskytovateľ IKT služieb usadený v tretej krajine“ je externý poskytovateľ IKT služieb, ktorý je právnickou osobou usadenou v tretej krajine a ktorý má s finančným subjektom uzavreté zmluvné dojednanie o poskytovaní IKT služieb; |
| --- | --- |

24.

„externý poskytovateľ IKT služieb usadený v tretej krajine“ je externý poskytovateľ IKT služieb, ktorý je právnickou osobou usadenou v tretej krajine a ktorý má s finančným subjektom uzavreté zmluvné dojednanie o poskytovaní IKT služieb;

| 25. | „dcérsky podnik“ je dcérsky podnik v zmysle článku 2 bodu 10 a článku 22 smernice 2013/34/EÚ; |
| --- | --- |

25.

„dcérsky podnik“ je dcérsky podnik v zmysle článku 2 bodu 10 a článku 22 smernice 2013/34/EÚ;

| 26. | „skupina“ je skupina v zmysle článku 2 bodu 11 smernice 2013/34/EÚ; |
| --- | --- |

26.

„skupina“ je skupina v zmysle článku 2 bodu 11 smernice 2013/34/EÚ;

| 27. | „materský podnik“ je materský podnik v zmysle článku 2 bodu 9 a článku 22 smernice 2013/34/EÚ; |
| --- | --- |

27.

„materský podnik“ je materský podnik v zmysle článku 2 bodu 9 a článku 22 smernice 2013/34/EÚ;

| 28. | „subdodávateľ IKT usadený v tretej krajine“ je subdodávateľ IKT, ktorý je právnickou osobou usadenou v tretej krajine a ktorý má uzavreté zmluvné dojednanie buď s externým poskytovateľom IKT služieb alebo s externým poskytovateľom IKT služieb usadeným v tretej krajine; |
| --- | --- |

28.

„subdodávateľ IKT usadený v tretej krajine“ je subdodávateľ IKT, ktorý je právnickou osobou usadenou v tretej krajine a ktorý má uzavreté zmluvné dojednanie buď s externým poskytovateľom IKT služieb alebo s externým poskytovateľom IKT služieb usadeným v tretej krajine;

| 29. | „riziko koncentrácie IKT“ je expozícia voči jednotlivému kritickému externému poskytovateľovi IKT služieb alebo viacerým súvisiacim kritickým externým poskytovateľom IKT služieb, v dôsledku ktorej vzniká určitá závislosť od takýchto poskytovateľov, takže nedostupnosť, zlyhanie alebo iný druh nedostatku na strane takéhoto poskytovateľa môže potenciálne ohroziť schopnosť finančného subjektu plniť kritické alebo dôležité funkcie alebo spôsobiť mu iný druh nepriaznivých účinkov vrátane veľkých strát, alebo ohroziť finančnú stabilitu Únie ako celku; |
| --- | --- |

29.

„riziko koncentrácie IKT“ je expozícia voči jednotlivému kritickému externému poskytovateľovi IKT služieb alebo viacerým súvisiacim kritickým externým poskytovateľom IKT služieb, v dôsledku ktorej vzniká určitá závislosť od takýchto poskytovateľov, takže nedostupnosť, zlyhanie alebo iný druh nedostatku na strane takéhoto poskytovateľa môže potenciálne ohroziť schopnosť finančného subjektu plniť kritické alebo dôležité funkcie alebo spôsobiť mu iný druh nepriaznivých účinkov vrátane veľkých strát, alebo ohroziť finančnú stabilitu Únie ako celku;

| 30. | „riadiaci orgán“ je riadiaci orgán v zmysle vymedzenia v článku 4 ods. 1 bode 36 smernice Európskeho parlamentu a Rady 2014/65/EÚ, v článku 3 ods. 1 bode 7 smernice Európskeho parlamentu a Rady 2013/36/EÚ, v článku 2 ods. 1 písm. s) smernice Európskeho parlamentu a Rady 2009/65/ES (31), v článku 2 ods. 1 bode 45 nariadenia (EÚ) č. 909/2014, v článku 3 ods. 1 bode 20 nariadenia (EÚ) 2016/1011 a v príslušnom ustanovení nariadenia o trhoch s kryptoaktívami alebo rovnocenné osoby, ktoré daný subjekt skutočne riadia alebo vykonávajú kľúčové funkcie v súlade s príslušným právom Únie alebo vnútroštátnym právom; |
| --- | --- |

30.

„riadiaci orgán“ je riadiaci orgán v zmysle vymedzenia v článku 4 ods. 1 bode 36 smernice Európskeho parlamentu a Rady 2014/65/EÚ, v článku 3 ods. 1 bode 7 smernice Európskeho parlamentu a Rady 2013/36/EÚ, v článku 2 ods. 1 písm. s) smernice Európskeho parlamentu a Rady 2009/65/ES (31), v článku 2 ods. 1 bode 45 nariadenia (EÚ) č. 909/2014, v článku 3 ods. 1 bode 20 nariadenia (EÚ) 2016/1011 a v príslušnom ustanovení nariadenia o trhoch s kryptoaktívami alebo rovnocenné osoby, ktoré daný subjekt skutočne riadia alebo vykonávajú kľúčové funkcie v súlade s príslušným právom Únie alebo vnútroštátnym právom;

31

| 31. | „úverová inštitúcia“ je úverová inštitúcia v zmysle vymedzenia v článku 4 ods. 1 bode 1 nariadenia Európskeho parlamentu a Rady (EÚ) č. 575/2013 (32); |
| --- | --- |

31.

„úverová inštitúcia“ je úverová inštitúcia v zmysle vymedzenia v článku 4 ods. 1 bode 1 nariadenia Európskeho parlamentu a Rady (EÚ) č. 575/2013 (32);

32

| 32. | „inštitúcia vyňatá podľa smernice 2013/36/EÚ“ je subjekt uvedený v článku 2 ods. 5 bodoch 4 až 23 smernice 2013/36/EÚ; |
| --- | --- |

32.

„inštitúcia vyňatá podľa smernice 2013/36/EÚ“ je subjekt uvedený v článku 2 ods. 5 bodoch 4 až 23 smernice 2013/36/EÚ;

| 33. | „investičná spoločnosť“ je investičná spoločnosť v zmysle vymedzenia v článku 4 ods. 1 bode 1 smernice 2014/65/EÚ; |
| --- | --- |

33.

„investičná spoločnosť“ je investičná spoločnosť v zmysle vymedzenia v článku 4 ods. 1 bode 1 smernice 2014/65/EÚ;

| 34. | „malá a neprepojená investičná spoločnosť“ je investičná spoločnosť, ktorá spĺňa podmienky stanovené v článku 12 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2019/2033 (33); |
| --- | --- |

34.

„malá a neprepojená investičná spoločnosť“ je investičná spoločnosť, ktorá spĺňa podmienky stanovené v článku 12 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2019/2033 (33);

33

| 35. | „platobná inštitúcia“ je platobná inštitúcia v zmysle vymedzenia v článku 4 bode 4 smernice (EÚ) 2015/2366; |
| --- | --- |

35.

„platobná inštitúcia“ je platobná inštitúcia v zmysle vymedzenia v článku 4 bode 4 smernice (EÚ) 2015/2366;

| 36. | „platobná inštitúcia vyňatá podľa smernice (EÚ) 2015/2366“ je platobná inštitúcia vyňatá podľa článku 32 ods. 1 smernice (EÚ) 2015/2366; |
| --- | --- |

36.

„platobná inštitúcia vyňatá podľa smernice (EÚ) 2015/2366“ je platobná inštitúcia vyňatá podľa článku 32 ods. 1 smernice (EÚ) 2015/2366;

| 37. | „poskytovateľ služieb informovania o účte“ je poskytovateľ služieb informovania o účte, ako sa uvádza v článku 33 ods. 1 smernice (EÚ) 2015/2366; |
| --- | --- |

37.

„poskytovateľ služieb informovania o účte“ je poskytovateľ služieb informovania o účte, ako sa uvádza v článku 33 ods. 1 smernice (EÚ) 2015/2366;

| 38. | „inštitúcia elektronického peňažníctva“ je inštitúcia elektronického peňažníctva v zmysle vymedzenia v článku 2 bode 1 smernice Európskeho parlamentu a Rady 2009/110/ES; |
| --- | --- |

38.

„inštitúcia elektronického peňažníctva“ je inštitúcia elektronického peňažníctva v zmysle vymedzenia v článku 2 bode 1 smernice Európskeho parlamentu a Rady 2009/110/ES;

| 39. | „inštitúcia elektronického peňažníctva vyňatá podľa smernice 2009/110/ES“ je inštitúcia elektronického peňažníctva, na ktorú sa vzťahuje výnimka uvedená v článku 9 ods. 1 smernice 2009/110/ES; |
| --- | --- |

39.

„inštitúcia elektronického peňažníctva vyňatá podľa smernice 2009/110/ES“ je inštitúcia elektronického peňažníctva, na ktorú sa vzťahuje výnimka uvedená v článku 9 ods. 1 smernice 2009/110/ES;

| 40. | „centrálna protistrana“ je centrálna protistrana v zmysle vymedzenia v článku 2 bode 1 nariadenia (EÚ) č. 648/2012; |
| --- | --- |

40.

„centrálna protistrana“ je centrálna protistrana v zmysle vymedzenia v článku 2 bode 1 nariadenia (EÚ) č. 648/2012;

| 41. | „archív obchodných údajov“ je archív obchodných údajov v zmysle vymedzenia v článku 2 bode 2 nariadenia (EÚ) č. 648/2012; |
| --- | --- |

41.

„archív obchodných údajov“ je archív obchodných údajov v zmysle vymedzenia v článku 2 bode 2 nariadenia (EÚ) č. 648/2012;

| 42. | „centrálny depozitár cenných papierov“ je centrálny depozitár cenných papierov v zmysle vymedzenia v článku 2 ods. 1 bode 1 nariadenia (EÚ) č. 909/2014; |
| --- | --- |

42.

„centrálny depozitár cenných papierov“ je centrálny depozitár cenných papierov v zmysle vymedzenia v článku 2 ods. 1 bode 1 nariadenia (EÚ) č. 909/2014;

| 43. | „obchodné miesto“ je obchodné miesto v zmysle vymedzenia v článku 4 ods. 1 bode 24 smernice 2014/65/EÚ; |
| --- | --- |

43.

„obchodné miesto“ je obchodné miesto v zmysle vymedzenia v článku 4 ods. 1 bode 24 smernice 2014/65/EÚ;

| 44. | „správca alternatívnych investičných fondov“ je správca alternatívnych investičných fondov v zmysle vymedzenia v článku 4 ods. 1 písm. b) smernice 2011/61/EÚ; |
| --- | --- |

44.

„správca alternatívnych investičných fondov“ je správca alternatívnych investičných fondov v zmysle vymedzenia v článku 4 ods. 1 písm. b) smernice 2011/61/EÚ;

| 45. | „správcovská spoločnosť“ je správcovská spoločnosť v zmysle vymedzenia v článku 2 ods. 1 písm. b) smernice 2009/65/ES; |
| --- | --- |

45.

„správcovská spoločnosť“ je správcovská spoločnosť v zmysle vymedzenia v článku 2 ods. 1 písm. b) smernice 2009/65/ES;

| 46. | „poskytovateľ služieb vykazovania údajov“ je poskytovateľ služieb vykazovania údajov v zmysle nariadenia (EÚ) č. 600/2014, ako sa uvádza v jeho článku 2 ods. 1 bodoch 34 až 36; |
| --- | --- |

46.

„poskytovateľ služieb vykazovania údajov“ je poskytovateľ služieb vykazovania údajov v zmysle nariadenia (EÚ) č. 600/2014, ako sa uvádza v jeho článku 2 ods. 1 bodoch 34 až 36;

| 47. | „poisťovňa“ je poisťovňa v zmysle vymedzenia v článku 13 bode 1 smernice 2009/138/ES; |
| --- | --- |

47.

„poisťovňa“ je poisťovňa v zmysle vymedzenia v článku 13 bode 1 smernice 2009/138/ES;

| 48. | „zaisťovňa“ je zaisťovňa v zmysle vymedzenia v článku 13 bode 4 smernice 2009/138/ES; |
| --- | --- |

48.

„zaisťovňa“ je zaisťovňa v zmysle vymedzenia v článku 13 bode 4 smernice 2009/138/ES;

| 49. | „sprostredkovateľ poistenia“ je sprostredkovateľ poistenia v zmysle vymedzenia v článku 2 ods. 1 bode 3 smernice Európskeho parlamentu a Rady (EÚ) 2016/97 (34); |
| --- | --- |

49.

„sprostredkovateľ poistenia“ je sprostredkovateľ poistenia v zmysle vymedzenia v článku 2 ods. 1 bode 3 smernice Európskeho parlamentu a Rady (EÚ) 2016/97 (34);

34

| 50. | „sprostredkovateľ doplnkového poistenia“ je sprostredkovateľ doplnkového poistenia v zmysle vymedzenia v článku 2 ods. 1 bode 4 smernice (EÚ) 2016/97; |
| --- | --- |

50.

„sprostredkovateľ doplnkového poistenia“ je sprostredkovateľ doplnkového poistenia v zmysle vymedzenia v článku 2 ods. 1 bode 4 smernice (EÚ) 2016/97;

| 51. | „sprostredkovateľ zaistenia“ je sprostredkovateľ zaistenia v zmysle vymedzenia v článku 2 ods. 1 bode 5 smernice (EÚ) 2016/97; |
| --- | --- |

51.

„sprostredkovateľ zaistenia“ je sprostredkovateľ zaistenia v zmysle vymedzenia v článku 2 ods. 1 bode 5 smernice (EÚ) 2016/97;

| 52. | „inštitúcia zamestnaneckého dôchodkového zabezpečenia“ je inštitúcia zamestnaneckého dôchodkového zabezpečenia v zmysle vymedzenia v článku 6 bode 1 smernice (EÚ) 2016/2341; |
| --- | --- |

52.

„inštitúcia zamestnaneckého dôchodkového zabezpečenia“ je inštitúcia zamestnaneckého dôchodkového zabezpečenia v zmysle vymedzenia v článku 6 bode 1 smernice (EÚ) 2016/2341;

| 53. | „malá inštitúcia zamestnaneckého dôchodkového zabezpečenia“ je inštitúcia zamestnaneckého dôchodkového zabezpečenia, ktorá prevádzkuje dôchodkové plány, ktoré majú spolu celkovo menej ako 100 členov; |
| --- | --- |

53.

„malá inštitúcia zamestnaneckého dôchodkového zabezpečenia“ je inštitúcia zamestnaneckého dôchodkového zabezpečenia, ktorá prevádzkuje dôchodkové plány, ktoré majú spolu celkovo menej ako 100 členov;

| 54. | „ratingová agentúra“ je ratingová agentúra v zmysle vymedzenia v článku 3 ods. 1 písm. b) nariadenia (ES) č. 1060/2009; |
| --- | --- |

54.

„ratingová agentúra“ je ratingová agentúra v zmysle vymedzenia v článku 3 ods. 1 písm. b) nariadenia (ES) č. 1060/2009;

| 55. | „poskytovateľ služieb kryptoaktív“ je poskytovateľ služieb kryptoaktív v zmysle vymedzenia v príslušnom ustanovení nariadenia o trhoch s kryptoaktívami; |
| --- | --- |

55.

„poskytovateľ služieb kryptoaktív“ je poskytovateľ služieb kryptoaktív v zmysle vymedzenia v príslušnom ustanovení nariadenia o trhoch s kryptoaktívami;

| 56. | „emitent tokenov krytých aktívami“ je emitent tokenov krytých aktívami v zmysle vymedzenia v príslušnom ustanovení nariadenia o trhoch s kryptoaktívami; |
| --- | --- |

56.

„emitent tokenov krytých aktívami“ je emitent tokenov krytých aktívami v zmysle vymedzenia v príslušnom ustanovení nariadenia o trhoch s kryptoaktívami;

| 57. | „správca kritických referenčných hodnôt“ je správca kritických referenčných hodnôt v zmysle vymedzenia v článku 3 ods. 1 bode 25 (EÚ) 2016/1011; |
| --- | --- |

57.

„správca kritických referenčných hodnôt“ je správca kritických referenčných hodnôt v zmysle vymedzenia v článku 3 ods. 1 bode 25 (EÚ) 2016/1011;

| 58. | „poskytovateľ služieb hromadného financovania“ je poskytovateľ služieb hromadného financovania v zmysle vymedzenia v článku 2 ods. 1 písm. e) nariadenia Európskeho parlamentu a Rady (EÚ) 2020/1503 (35); |
| --- | --- |

58.

„poskytovateľ služieb hromadného financovania“ je poskytovateľ služieb hromadného financovania v zmysle vymedzenia v článku 2 ods. 1 písm. e) nariadenia Európskeho parlamentu a Rady (EÚ) 2020/1503 (35);

35

| 59. | „archív sekuritizačných údajov“ je archív sekuritizačných údajov v zmysle vymedzenia v článku 2 bode 23 nariadenia Európskeho parlamentu a Rady (EÚ) 2017/2402 (36); |
| --- | --- |

59.

„archív sekuritizačných údajov“ je archív sekuritizačných údajov v zmysle vymedzenia v článku 2 bode 23 nariadenia Európskeho parlamentu a Rady (EÚ) 2017/2402 (36);

36

| 60. | „mikropodnik“ je finančný subjekt iný ako obchodné miesto, centrálna protistrana, archív obchodných údajov alebo centrálny depozitár cenných papierov, ktorý zamestnáva menej ako 10 osôb a ktorého ročný obrat a/alebo celková ročná súvaha nepresahuje 2 milióny EUR; |
| --- | --- |

60.

„mikropodnik“ je finančný subjekt iný ako obchodné miesto, centrálna protistrana, archív obchodných údajov alebo centrálny depozitár cenných papierov, ktorý zamestnáva menej ako 10 osôb a ktorého ročný obrat a/alebo celková ročná súvaha nepresahuje 2 milióny EUR;

| 61. | „hlavný orgán dozoru“ je európsky orgán dohľadu vymenovaný v súlade s článkom 31 ods. 1 písm. b) tohto nariadenia; |
| --- | --- |

61.

„hlavný orgán dozoru“ je európsky orgán dohľadu vymenovaný v súlade s článkom 31 ods. 1 písm. b) tohto nariadenia;

| 62. | „spoločný výbor“ je výbor uvedený v článku 54 nariadení (EÚ) č. 1093/2010, (EÚ) č. 1094/2010 a (EÚ) č. 1095/2010; |
| --- | --- |

62.

„spoločný výbor“ je výbor uvedený v článku 54 nariadení (EÚ) č. 1093/2010, (EÚ) č. 1094/2010 a (EÚ) č. 1095/2010;

| 63. | „malý podnik“ je finančný subjekt, ktorý zamestnáva 10 alebo viac osôb, ale menej ako 50 osôb a ktorého ročný obrat a/alebo ročná súvaha presahujú 2 milióny EUR, ale nepresahujú 10 miliónov EUR; |
| --- | --- |

63.

„malý podnik“ je finančný subjekt, ktorý zamestnáva 10 alebo viac osôb, ale menej ako 50 osôb a ktorého ročný obrat a/alebo ročná súvaha presahujú 2 milióny EUR, ale nepresahujú 10 miliónov EUR;

| 64. | „stredný podnik“ je finančný subjekt, ktorý nie je malým podnikom, zamestnáva menej ako 250 osôb a jeho ročný obrat nepresahuje 50 miliónov EUR a/alebo ročná súvaha nepresahuje 43 miliónov EUR; |
| --- | --- |

64.

„stredný podnik“ je finančný subjekt, ktorý nie je malým podnikom, zamestnáva menej ako 250 osôb a jeho ročný obrat nepresahuje 50 miliónov EUR a/alebo ročná súvaha nepresahuje 43 miliónov EUR;

| 65. | „orgán verejnej moci“ je akýkoľvek vládny alebo iný subjekt verejnej správy vrátane národných centrálnych bánk. |
| --- | --- |

65.

„orgán verejnej moci“ je akýkoľvek vládny alebo iný subjekt verejnej správy vrátane národných centrálnych bánk.

Článok 4

Zásada proporcionality

1.   Finančné subjekty uplatňujú pravidlá stanovené v kapitole II v súlade so zásadou proporcionality, pričom zohľadňujú svoju veľkosť a celkový rizikový profil, ako aj povahu, rozsah a zložitosť svojich služieb, činností a operácií.

2.   Okrem toho uplatňovanie oddielu I v kapitolách III, IV a V finančnými subjektmi musí byť primerané ich veľkosti a celkovému rizikovému profilu, ako aj povahe, rozsahu a zložitosti ich služieb, činností a operácií, ako sa konkrétne stanovuje v príslušných pravidlách uvedených kapitol.

3.   Príslušné orgány zvážia uplatňovanie zásady proporcionality finančnými subjektmi pri skúmaní konzistentnosti rámca riadenia IKT rizika na základe správ predložených na žiadosť príslušných orgánov podľa článku 6 ods. 5 a článku 16 ods. 2

KAPITOLA II

Riadenie IKT rizika

Oddiel I

Článok 5

Správa a riadenie a organizácia

1.   Finančné subjekty musia mať v súlade s článkom 6 ods. 4 zavedený rámec vnútornej správy a riadenia a kontroly, ktorým sa zabezpečí účinné a obozretné riadenie IKT rizika s cieľom dosiahnuť vysokú úroveň digitálnej prevádzkovej odolnosti.

2.   Riadiaci orgán finančného subjektu vymedzuje a schvaľuje vykonávanie všetkých opatrení súvisiacich s rámcom riadenia IKT rizika uvedeným v článku 6 ods. 1, vykonáva nad ním dozor a zodpovedá zaň.

Na účely prvého pododseku riadiaci orgán:

| a) | nesie konečnú zodpovednosť za riadenie IKT rizika finančného subjektu; |
| --- | --- |

a)

nesie konečnú zodpovednosť za riadenie IKT rizika finančného subjektu;

| b) | zavádza politiky zamerané na zabezpečenie zachovania vysokých noriem dostupnosti, pravosti, integrity a dôvernosti údajov; |
| --- | --- |

b)

zavádza politiky zamerané na zabezpečenie zachovania vysokých noriem dostupnosti, pravosti, integrity a dôvernosti údajov;

| c) | stanovuje jasné úlohy a zodpovednosti pre všetky funkcie súvisiace s IKT a zavádza vhodné mechanizmy správy a riadenia s cieľom zabezpečiť účinnú a včasnú komunikáciu, spoluprácu a koordináciu medzi týmito funkciami; |
| --- | --- |

c)

stanovuje jasné úlohy a zodpovednosti pre všetky funkcie súvisiace s IKT a zavádza vhodné mechanizmy správy a riadenia s cieľom zabezpečiť účinnú a včasnú komunikáciu, spoluprácu a koordináciu medzi týmito funkciami;

| d) | nesie celkovú zodpovednosť za stanovenie a schválenie stratégie digitálnej prevádzkovej odolnosti, ako sa uvádza v článku 6 ods. 8, vrátane určenia primeranej úrovne tolerancie IKT rizika finančného subjektu, ako sa uvádza v článku 6 ods. 8 písm. b); |
| --- | --- |

d)

nesie celkovú zodpovednosť za stanovenie a schválenie stratégie digitálnej prevádzkovej odolnosti, ako sa uvádza v článku 6 ods. 8, vrátane určenia primeranej úrovne tolerancie IKT rizika finančného subjektu, ako sa uvádza v článku 6 ods. 8 písm. b);

| e) | schvaľuje, vykonáva dozor a pravidelne preskúmava vykonávanie politiky kontinuity činností finančného subjektu v oblasti IKT a plánov reakcie a obnovy v oblasti IKT uvedených v článku 11 ods. 1 a 3, ktoré sa môžu prijať ako osobitná politika tvoriaca neoddeliteľnú súčasť celkovej politiky kontinuity činností finančného subjektu a plánu reakcie a obnovy finančného subjektu; |
| --- | --- |

e)

schvaľuje, vykonáva dozor a pravidelne preskúmava vykonávanie politiky kontinuity činností finančného subjektu v oblasti IKT a plánov reakcie a obnovy v oblasti IKT uvedených v článku 11 ods. 1 a 3, ktoré sa môžu prijať ako osobitná politika tvoriaca neoddeliteľnú súčasť celkovej politiky kontinuity činností finančného subjektu a plánu reakcie a obnovy finančného subjektu;

| f) | schvaľuje a pravidelne preskúmava plány vnútorných auditov IKT, ktoré vypracúva finančný subjekt, audity IKT a ich podstatné zmeny; |
| --- | --- |

f)

schvaľuje a pravidelne preskúmava plány vnútorných auditov IKT, ktoré vypracúva finančný subjekt, audity IKT a ich podstatné zmeny;

| g) | prideľuje a pravidelne preskúmava primeraný rozpočet na splnenie potrieb finančného subjektu v oblasti digitálnej prevádzkovej odolnosti, pokiaľ ide o všetky druhy zdrojov, vrátane relevantných programov zvyšovania informovanosti o bezpečnosti v oblasti IKT a školení o digitálnej prevádzkovej odolnosti uvedených v článku 13 ods. 6 a IKT zručností pre všetkých zamestnancov; |
| --- | --- |

g)

prideľuje a pravidelne preskúmava primeraný rozpočet na splnenie potrieb finančného subjektu v oblasti digitálnej prevádzkovej odolnosti, pokiaľ ide o všetky druhy zdrojov, vrátane relevantných programov zvyšovania informovanosti o bezpečnosti v oblasti IKT a školení o digitálnej prevádzkovej odolnosti uvedených v článku 13 ods. 6 a IKT zručností pre všetkých zamestnancov;

| h) | schvaľuje a pravidelne preskúmava politiku finančného subjektu týkajúcu sa opatrení súvisiacich s využívaním IKT služieb, ktoré poskytujú externí poskytovatelia IKT služieb; |
| --- | --- |

h)

schvaľuje a pravidelne preskúmava politiku finančného subjektu týkajúcu sa opatrení súvisiacich s využívaním IKT služieb, ktoré poskytujú externí poskytovatelia IKT služieb;

| i) | zavádza na podnikovej úrovni kanály nahlasovania, ktoré mu umožnia, aby bol riadne informovaný o:






  i) | dojednaniach o využívaní IKT služieb uzavretých s externými poskytovateľmi IKT služieb; |
| --- | --- | --- |

i)

zavádza na podnikovej úrovni kanály nahlasovania, ktoré mu umožnia, aby bol riadne informovaný o:

i)

dojednaniach o využívaní IKT služieb uzavretých s externými poskytovateľmi IKT služieb;

| ii) | akýchkoľvek relevantných plánovaných podstatných zmenách týkajúcich sa externých poskytovateľov IKT služieb; |
| --- | --- |

ii)

akýchkoľvek relevantných plánovaných podstatných zmenách týkajúcich sa externých poskytovateľov IKT služieb;

| iii) | potenciálnom vplyve takýchto zmien na kritické alebo dôležité funkcie, ktoré podliehajú uvedeným dojednaniam, vrátane zhrnutia analýzy rizík na posúdenie vplyvu uvedených zmien, a aspoň o závažných incidentoch súvisiacich s IKT a ich vplyve, ako aj o opatreniach zameraných na reakciu, obnovu a nápravu. |
| --- | --- |

iii)

potenciálnom vplyve takýchto zmien na kritické alebo dôležité funkcie, ktoré podliehajú uvedeným dojednaniam, vrátane zhrnutia analýzy rizík na posúdenie vplyvu uvedených zmien, a aspoň o závažných incidentoch súvisiacich s IKT a ich vplyve, ako aj o opatreniach zameraných na reakciu, obnovu a nápravu.

3.   Finančné subjekty iné než mikropodniky zriadia funkciu, ktorej cieľom je monitorovať dojednania o využívaní IKT služieb uzavreté s externými poskytovateľmi IKT služieb, alebo určia člena vrcholového manažmentu, ktorý bude zodpovedať za vykonávanie dozoru nad príslušnými rizikovými expozíciami a za relevantnú dokumentáciu.

4.   Členovia riadiaceho orgánu finančného subjektu si aktívne udržiavajú dostatočné znalosti a zručnosti potrebné na pochopenie a posúdenie IKT rizika a jeho vplyvu na operácie finančného subjektu, a to aj pravidelným absolvovaním osobitných školení zodpovedajúcich IKT riziku, ktoré je predmetom riadenia.

Oddiel II

Článok 6

Rámec riadenia IKT rizika

1.   Finančné subjekty musia mať ako súčasť svojho celkového systému riadenia rizika zavedený spoľahlivý, komplexný a dobre zdokumentovaný rámec riadenia IKT rizika, ktorý im umožňuje riešiť IKT riziko rýchlo, efektívne a komplexne a zabezpečiť vysokú úroveň digitálnej prevádzkovej odolnosti.

2.   Rámec riadenia IKT rizika zahŕňa aspoň stratégie, politiky, postupy, IKT protokoly a nástroje, ktoré sú potrebné na riadnu a primeranú ochranu všetkých informačných aktív a IKT aktív vrátane počítačového softvéru, hardvéru, serverov, ako aj ochranu všetkých relevantných fyzických zložiek a infraštruktúr, ako sú priestory, dátové centrá a citlivé určené oblasti s cieľom zabezpečiť, aby boli všetky informačné aktíva a IKT aktíva primerane chránené pred rizikami vrátane poškodenia a neoprávneného prístupu či používania.

3.   Finančné subjekty v súlade so svojím rámcom riadenia IKT rizika minimalizujú vplyv IKT rizika zavedením vhodných stratégií, politík, postupov, IKT protokolov a nástrojov. Príslušným orgánom poskytujú na ich žiadosť úplné a aktualizované informácie o IKT riziku a o svojom rámci riadenia IKT rizika.

4.   Finančné subjekty iné než mikropodniky priradia zodpovednosť za riadenie IKT rizika a dozor nad ním kontrolnej funkcii a zabezpečia primeranú úroveň nezávislosti tejto kontrolnej funkcie, aby sa zabránilo konfliktom záujmov. Finančné subjekty zabezpečia primeranú segregáciu a nezávislosť riadiacich funkcií v oblasti IKT rizika, kontrolných funkcií a funkcií vnútorného auditu, a to na základe modelu troch línií obrany alebo na základe interného modelu riadenia rizík a kontroly.

5.   Rámec riadenia IKT rizika sa zdokumentuje a preskúma aspoň raz ročne, alebo pravidelne v prípade mikropodnikov, ako aj pri výskyte závažných incidentov súvisiacich s IKT, pričom sa riadi pokynmi alebo závermi dohľadu vyplývajúcimi z príslušných procesov testovania alebo auditu digitálnej prevádzkovej odolnosti. Na základe skúseností získaných pri vykonávaní a monitorovaní sa rámec neustále vylepšuje. Správa o preskúmaní rámca riadenia IKT rizika sa predkladá príslušnému orgánu na jeho žiadosť.

6.   Rámec riadenia IKT rizika finančných subjektov iných ako mikropodnikov podlieha pravidelnému vnútornému auditu vykonávanému audítormi v súlade s plánom auditu finančných subjektov. Títo audítori musia mať dostatočné znalosti, zručnosti a odborné znalosti v oblasti IKT rizika, ako aj primeranú nezávislosť. Frekvencia a zameranie auditov IKT musia zodpovedať IKT riziku daného finančného subjektu.

7.   Na základe záverov vnútorného audítorského preskúmania finančné subjekty zavedú formálny postup prijímania následných opatrení vrátane pravidiel včasného overovania a nápravy kritických zistení auditu IKT.

8.   Rámec riadenia IKT rizika zahŕňa stratégiu digitálnej prevádzkovej odolnosti, v ktorej sa stanoví spôsob vykonávania rámca. Na tento účel stratégia digitálnej prevádzkovej odolnosti zahŕňa metódy na riešenie IKT rizika a dosiahnutie konkrétnych cieľov IKT, a to prostredníctvom týchto prvkov:

| a) | vysvetlenie, ako rámec riadenia IKT rizika podporuje obchodnú stratégiu a ciele finančného subjektu; |
| --- | --- |

a)

vysvetlenie, ako rámec riadenia IKT rizika podporuje obchodnú stratégiu a ciele finančného subjektu;

| b) | stanovenie úrovne tolerancie rizika v prípade IKT rizika v súlade s ochotou finančného subjektu podstupovať riziko a analýza tolerancie vplyvu narušení v oblasti IKT; |
| --- | --- |

b)

stanovenie úrovne tolerancie rizika v prípade IKT rizika v súlade s ochotou finančného subjektu podstupovať riziko a analýza tolerancie vplyvu narušení v oblasti IKT;

| c) | stanovenie jasných cieľov informačnej bezpečnosti vrátane kľúčových ukazovateľov výkonnosti a kľúčových ukazovateľov rizika; |
| --- | --- |

c)

stanovenie jasných cieľov informačnej bezpečnosti vrátane kľúčových ukazovateľov výkonnosti a kľúčových ukazovateľov rizika;

| d) | vysvetlenie referenčnej architektúry IKT a akýchkoľvek zmien potrebných na dosiahnutie konkrétnych obchodných cieľov; |
| --- | --- |

d)

vysvetlenie referenčnej architektúry IKT a akýchkoľvek zmien potrebných na dosiahnutie konkrétnych obchodných cieľov;

| e) | načrtnutie rôznych mechanizmov zavedených na účely odhaľovania incidentov súvisiacich s IKT, prevencie ich vplyvu a poskytnutie ochrany pred ním; |
| --- | --- |

e)

načrtnutie rôznych mechanizmov zavedených na účely odhaľovania incidentov súvisiacich s IKT, prevencie ich vplyvu a poskytnutie ochrany pred ním;

| f) | preukázanie súčasnej situácie v oblasti digitálnej prevádzkovej odolnosti na základe počtu nahlásených závažných incidentov súvisiacich s IKT a účinnosti preventívnych opatrení; |
| --- | --- |

f)

preukázanie súčasnej situácie v oblasti digitálnej prevádzkovej odolnosti na základe počtu nahlásených závažných incidentov súvisiacich s IKT a účinnosti preventívnych opatrení;

| g) | vykonávanie testovania digitálnej prevádzkovej odolnosti v súlade s kapitolou IV tohto nariadenia; |
| --- | --- |

g)

vykonávanie testovania digitálnej prevádzkovej odolnosti v súlade s kapitolou IV tohto nariadenia;

| h) | stanovenie komunikačnej stratégie v prípade incidentov súvisiacich s IKT, ktorých zverejnenie sa vyžaduje v súlade s článkom 14. |
| --- | --- |

h)

stanovenie komunikačnej stratégie v prípade incidentov súvisiacich s IKT, ktorých zverejnenie sa vyžaduje v súlade s článkom 14.

9.   Finančné subjekty môžu v súvislosti so stratégiou digitálnej prevádzkovej odolnosti uvedenou v odseku 8 vymedziť holistickú stratégiu viacerých dodávateľov IKT, a to na úrovni skupiny alebo subjekt, ktorá preukazuje kľúčové závislosti od externých poskytovateľov IKT služieb a vysvetľuje dôvody, na ktorých je založený príslušný obstarávací mix externých poskytovateľov služieb.

10.   Finančné subjekty môžu v súlade s právom Únie a vnútroštátnym odvetvovým právom zadať úlohy overovania súladu s požiadavkami na riadenie IKT rizika vnútroskupinovým alebo externým podnikom formou outsourcingu. V prípade takéhoto outsourcingu zostáva finančný subjekt plne zodpovedný za overovanie súladu s požiadavkami na riadenie IKT rizika.

Článok 7

Systémy, protokoly a nástroje IKT

S cieľom riešiť a riadiť IKT riziko finančné subjekty používajú a udržiavajú aktualizované systémy, protokoly a nástroje IKT, ktoré sú:

| a) | primerané rozsahu operácií, ktoré podporujú vykonávanie ich činností, v súlade so zásadou proporcionality uvedenou v článku 4; |
| --- | --- |

a)

primerané rozsahu operácií, ktoré podporujú vykonávanie ich činností, v súlade so zásadou proporcionality uvedenou v článku 4;

| b) | spoľahlivé; |
| --- | --- |

b)

spoľahlivé;

| c) | vybavené dostatočnou kapacitou na to, aby sa nimi presne spracúvali údaje potrebné na vykonávanie činností a včasné poskytovanie služieb a na to, aby v čase prevádzkovej špičky dokázali podľa potreby zvládať objednávky, správy alebo objemy transakcií, a to aj v prípade zavedenia novej technológie; |
| --- | --- |

c)

vybavené dostatočnou kapacitou na to, aby sa nimi presne spracúvali údaje potrebné na vykonávanie činností a včasné poskytovanie služieb a na to, aby v čase prevádzkovej špičky dokázali podľa potreby zvládať objednávky, správy alebo objemy transakcií, a to aj v prípade zavedenia novej technológie;

| d) | dostatočne technologicky odolné na to, aby primerane zvládali dodatočné potreby v oblasti spracúvania informácií, ak si to vyžadujú stresové trhové podmienky alebo iné nepriaznivé situácie. |
| --- | --- |

d)

dostatočne technologicky odolné na to, aby primerane zvládali dodatočné potreby v oblasti spracúvania informácií, ak si to vyžadujú stresové trhové podmienky alebo iné nepriaznivé situácie.

Článok 8

Identifikácia

1.   Ako súčasť rámca riadenia IKT rizika uvedeného v článku 6 ods. 1 finančné subjekty identifikujú, klasifikujú a primerane dokumentujú všetky obchodné funkcie, úlohy a povinnosti podporované IKT, informačné aktíva a IKT aktíva podporujúce uvedené funkcie a ich úlohy a závislosti vo vzťahu k IKT riziku. Finančné subjekty podľa potreby, najmenej však raz ročne, preskúmavajú primeranosť tejto klasifikácie a akejkoľvek relevantnej dokumentácie.

2.   Finančné subjekty nepretržite identifikujú všetky zdroje IKT rizika, najmä rizikovú expozíciu voči iným finančným subjektom a pochádzajúcu od nich, a posudzujú kybernetické hrozby a zraniteľné miesta v oblasti IKT relevantné z hľadiska ich obchodných funkcií podporovaných IKT, informačných aktív a IKT aktív. Finančné subjekty pravidelne a aspoň raz ročne preskúmavajú rizikové scenáre, ktoré na ne majú vplyv.

3.   Finančné subjekty iné než mikropodniky vykonávajú posúdenie rizík pri každej významnej zmene infraštruktúry siete a informačných systémov, pokiaľ ide o procesy alebo postupy, ktoré majú vplyv na ich obchodné funkcie podporované IKT, informačné aktíva alebo IKT aktíva.

4.   Finančné subjekty identifikujú všetky informačné aktíva a IKT aktíva vrátane aktív na vzdialených miestach, sieťové zdroje a hardvérové zariadenia a zmapujú tie, ktoré sa považujú za kritické. Zmapujú konfiguráciu informačných aktív a IKT aktív, ako aj prepojenia a vzájomné závislosti medzi jednotlivými informačnými aktívami a IKT aktívami.

5.   Finančné subjekty identifikujú a zdokumentujú všetky procesy, ktoré sú závislé od externých poskytovateľov IKT služieb, a identifikujú vzájomné prepojenia s externými poskytovateľmi IKT služieb, ktorí poskytujú služby podporujúce kritické alebo dôležité funkcie.

6.   Na účely odsekov 1, 4 a 5 finančné subjekty vedú relevantné inventáre a aktualizujú ich pravidelne a vždy, keď dôjde k akejkoľvek významnej zmene uvedenej v odseku 3.

7.   Finančné subjekty iné než mikropodniky pravidelne a aspoň raz ročne vykonávajú osobitné posúdenie IKT rizika vo všetkých pôvodných IKT systémoch, a v každom prípade pred prepojením technológií, aplikácií alebo systémov a po takomto prepojení.

Článok 9

Ochrana a prevencia

1.   Na účely primeranej ochrany IKT systémov a s cieľom organizovať opatrenia v oblasti reakcie finančné subjekty nepretržite monitorujú a kontrolujú bezpečnosť a fungovanie IKT systémov a nástrojov a minimalizujú vplyv IKT rizika na IKT systémy tak, že zavedú vhodné nástroje, politiky a postupy v oblasti bezpečnosti IKT.

2.   Finančné subjekty navrhujú, obstarávajú a realizujú stratégie, politiky, postupy, protokoly a nástroje v oblasti bezpečnosti IKT, ktorých cieľom je zabezpečiť odolnosť, kontinuitu a dostupnosť IKT systémov, najmä tých, ktoré podporujú kritické alebo dôležité funkcie, a zachovať vysoké štandardy dostupnosti, pravosti, integrity a dôvernosti údajov, či už v pokoji, pri používaní alebo pri prenose.

3.   Na dosiahnutie cieľov uvedených v odseku 2 finančné subjekty používajú IKT riešenia a procesy, ktoré sú vhodné v súlade s článkom 4. Uvedené IKT riešenia a procesy:

| a) | zaručujú bezpečnosť prostriedkov prenosu údajov; |
| --- | --- |

a)

zaručujú bezpečnosť prostriedkov prenosu údajov;

| b) | minimalizujú riziko poškodenia alebo straty údajov, neoprávneného prístupu a technických nedostatkov, ktoré môžu brániť podnikateľskej činnosti; |
| --- | --- |

b)

minimalizujú riziko poškodenia alebo straty údajov, neoprávneného prístupu a technických nedostatkov, ktoré môžu brániť podnikateľskej činnosti;

| c) | predchádzajú nedostatočnej dostupnosti, narušeniu pravosti a integrity, porušeniam dôvernosti a strate údajov; |
| --- | --- |

c)

predchádzajú nedostatočnej dostupnosti, narušeniu pravosti a integrity, porušeniam dôvernosti a strate údajov;

| d) | zabezpečujú, že údaje sú chránené pred rizikami vyplývajúcimi z riadenia údajov vrátane nedostatočnej správy, rizikami súvisiacimi so spracúvaním a ľudskou chybou. |
| --- | --- |

d)

zabezpečujú, že údaje sú chránené pred rizikami vyplývajúcimi z riadenia údajov vrátane nedostatočnej správy, rizikami súvisiacimi so spracúvaním a ľudskou chybou.

4.   Ako súčasť rámca riadenia IKT rizika uvedeného v článku 6 ods. 1 finančné subjekty:

| a) | vypracúvajú a zdokumentujú politiku v oblasti informačnej bezpečnosti, v ktorej sa vymedzujú pravidlá na ochranu dostupnosti, pravosti, integrity a dôvernosti údajov, informačných aktív a IKT aktív vrátane prípadných údajov a aktív ich zákazníkov; |
| --- | --- |

a)

vypracúvajú a zdokumentujú politiku v oblasti informačnej bezpečnosti, v ktorej sa vymedzujú pravidlá na ochranu dostupnosti, pravosti, integrity a dôvernosti údajov, informačných aktív a IKT aktív vrátane prípadných údajov a aktív ich zákazníkov;

| b) | na základe prístupu založeného na riziku zavedú spoľahlivé riadenie siete a infraštruktúry pomocou vhodných techník, metód a protokolov, ktoré môžu zahŕňať zavedenie automatizovaných mechanizmov na izolovanie dotknutých informačných aktív v prípade kybernetických útokov; |
| --- | --- |

b)

na základe prístupu založeného na riziku zavedú spoľahlivé riadenie siete a infraštruktúry pomocou vhodných techník, metód a protokolov, ktoré môžu zahŕňať zavedenie automatizovaných mechanizmov na izolovanie dotknutých informačných aktív v prípade kybernetických útokov;

| c) | vykonávajú politiky, ktoré obmedzujú fyzický alebo logický prístup k informačným aktívam a IKT aktívam len na to, čo je nevyhnutné pre legitímne a schválené funkcie a činnosti, a na tento účel zavedú súbor politík, postupov a kontrol, ktoré sa zaoberajú oprávneniami na prístup a zabezpečujú ich riadnu správu; |
| --- | --- |

c)

vykonávajú politiky, ktoré obmedzujú fyzický alebo logický prístup k informačným aktívam a IKT aktívam len na to, čo je nevyhnutné pre legitímne a schválené funkcie a činnosti, a na tento účel zavedú súbor politík, postupov a kontrol, ktoré sa zaoberajú oprávneniami na prístup a zabezpečujú ich riadnu správu;

| d) | vykonávajú politiky a protokoly pre silné mechanizmy autentifikácie založené na príslušných normách a špecializovaných kontrolných systémoch, ako aj ochranné opatrenia v podobe šifrovacích kľúčov, pričom údaje sú šifrované na základe výsledkov schválenej klasifikácie údajov a procesov posudzovania IKT rizika; |
| --- | --- |

d)

vykonávajú politiky a protokoly pre silné mechanizmy autentifikácie založené na príslušných normách a špecializovaných kontrolných systémoch, ako aj ochranné opatrenia v podobe šifrovacích kľúčov, pričom údaje sú šifrované na základe výsledkov schválenej klasifikácie údajov a procesov posudzovania IKT rizika;

| e) | vykonávajú zdokumentované politiky, postupy a kontroly riadenia zmien IKT vrátane zmien komponentov softvéru, hardvéru, firmvéru, systémov alebo bezpečnostných parametrov, ktoré sú založené na prístupe posudzovania rizík a sú neoddeliteľnou súčasťou celkového procesu riadenia zmien finančného subjektu s cieľom zabezpečiť, aby sa všetky zmeny IKT systémov zaznamenávali, testovali, posudzovali, schvaľovali, vykonávali a overovali kontrolovaným spôsobom; |
| --- | --- |

e)

vykonávajú zdokumentované politiky, postupy a kontroly riadenia zmien IKT vrátane zmien komponentov softvéru, hardvéru, firmvéru, systémov alebo bezpečnostných parametrov, ktoré sú založené na prístupe posudzovania rizík a sú neoddeliteľnou súčasťou celkového procesu riadenia zmien finančného subjektu s cieľom zabezpečiť, aby sa všetky zmeny IKT systémov zaznamenávali, testovali, posudzovali, schvaľovali, vykonávali a overovali kontrolovaným spôsobom;

| f) | majú vhodné a komplexné zdokumentované politiky týkajúce sa opráv a aktualizácií. |
| --- | --- |

f)

majú vhodné a komplexné zdokumentované politiky týkajúce sa opráv a aktualizácií.

Na účely prvého pododseku písm. b) finančné subjekty navrhnú infraštruktúru sieťového pripojenia tak, aby umožňovala jej okamžité odpojenie alebo segmentáciu s cieľom minimalizovať šírenie nákazy a predchádzať mu, a to najmä v prípade vzájomne prepojených finančných procesov.

Proces riadenia zmien IKT na účely prvého pododseku písm. e) schvaľujú príslušné riadiace línie, ktoré majú zavedené osobitné protokoly.

Článok 10

Detekcia

1.   Finančné subjekty musia mať zavedené mechanizmy na rýchle odhaľovanie anomálnych činností v súlade s článkom 17 vrátane problémov s výkonnosťou IKT siete a incidentov súvisiacich s IKT, ako aj na identifikáciu potenciálnych závažných jednotlivých miest zlyhania.

Všetky detekčné mechanizmy uvedené v prvom pododseku sa pravidelne testujú v súlade s článkom 25.

2.   Detekčné mechanizmy uvedené v odseku 1 umožňujú viaceré úrovne kontroly, vymedzujú sa v nich varovné prahové hodnoty a kritériá na spustenie a iniciáciu procesov reakcie na incidenty súvisiace s IKT vrátane automatických mechanizmov varovania pre príslušných zamestnancov zodpovedných za reakciu na incidenty súvisiace s IKT.

3.   Finančné subjekty venujú dostatočné zdroje a spôsobilosti na monitorovanie činnosti používateľov, výskytu anomálií IKT a incidentov súvisiacich s IKT, a to najmä kybernetických útokov.

4.   Poskytovateľ služieb vykazovania údajov musí mať navyše zavedené systémy, ktoré dokážu účinne kontrolovať úplnosť správ o obchode, identifikovať opomenutia a zjavné chyby a požiadať o opätovné zaslanie všetkých týchto správ.

Článok 11

Reakcia a obnova

1.   Finančné subjekty ako súčasť rámca riadenia IKT rizika uvedeného v článku 6 ods. 1 a na základe požiadaviek na identifikáciu stanovených v článku 8 zavedú komplexnú politiku kontinuity činností v oblasti IKT, ktorá môže byť prijatá ako osobitná, špecifická politika tvoriaca neoddeliteľnú súčasť celkovej politiky kontinuity činností finančného subjektu.

2.   Finančné subjekty vykonávajú politiku kontinuity činností v oblasti IKT prostredníctvom špecializovaných, primeraných a zdokumentovaných opatrení, plánov, postupov a mechanizmov zameraných na:

| a) | zabezpečenie kontinuity kritických alebo dôležitých funkcií finančného subjektu; |
| --- | --- |

a)

zabezpečenie kontinuity kritických alebo dôležitých funkcií finančného subjektu;

| b) | rýchlu, primeranú a účinnú reakciu na všetky incidenty súvisiace s IKT a ich riešenie,, a to spôsobom, ktorý obmedzuje škody a uprednostňuje obnovenie činností a opatrenia zamerané na obnovu; |
| --- | --- |

b)

rýchlu, primeranú a účinnú reakciu na všetky incidenty súvisiace s IKT a ich riešenie,, a to spôsobom, ktorý obmedzuje škody a uprednostňuje obnovenie činností a opatrenia zamerané na obnovu;

| c) | bezodkladnú aktiváciu špecializovaných plánov, ktoré umožňujú uplatniť opatrenia, procesy a technológie na zamedzenie šírenia vhodné pre každý typ incidentu súvisiaceho s IKT, a predchádzanie ďalším škodám, ako aj prispôsobené postupy reakcie a obnovy stanovené v súlade s článkom 12; |
| --- | --- |

c)

bezodkladnú aktiváciu špecializovaných plánov, ktoré umožňujú uplatniť opatrenia, procesy a technológie na zamedzenie šírenia vhodné pre každý typ incidentu súvisiaceho s IKT, a predchádzanie ďalším škodám, ako aj prispôsobené postupy reakcie a obnovy stanovené v súlade s článkom 12;

| d) | odhad predbežných vplyvov, škôd a strát; |
| --- | --- |

d)

odhad predbežných vplyvov, škôd a strát;

| e) | stanovenie opatrení v oblasti komunikácie a krízového riadenia, ktorými sa zabezpečí, aby sa aktualizované informácie zasielali všetkým príslušným interným zamestnancom a externým zainteresovaným stranám v súlade s článkom 14 a aby sa o nich podávali správy príslušným orgánom v súlade s článkom 19. |
| --- | --- |

e)

stanovenie opatrení v oblasti komunikácie a krízového riadenia, ktorými sa zabezpečí, aby sa aktualizované informácie zasielali všetkým príslušným interným zamestnancom a externým zainteresovaným stranám v súlade s článkom 14 a aby sa o nich podávali správy príslušným orgánom v súlade s článkom 19.

3.   Finančné subjekty ako súčasť rámca riadenia IKT rizika uvedeného v článku 6 ods. 1 vykonávajú súvisiace plány reakcie a obnovy v oblasti IKT, ktoré v prípade finančných subjektov iných než mikropodnikov podliehajú nezávislému vnútornému audítorskému preskúmaniu.

4.   Finančné subjekty zavedú, udržiavajú a pravidelne testujú príslušné plány kontinuity činností v oblasti IKT, najmä pokiaľ ide o kritické alebo dôležité funkcie zabezpečované formou outsourcingu alebo zmluvne dohodnuté v rámci dojednaní s externými poskytovateľmi IKT služieb.

5.   V rámci celkovej politiky kontinuity činností finančné subjekty vykonávajú analýzu vplyvu na svoje činnosti (ďalej len „BIA“) zameranú na svoje expozície voči závažným narušeniam činnosti. V rámci BIA finančné subjekty posudzujú potenciálny vplyv závažných narušení činnosti prostredníctvom kvantitatívnych a kvalitatívnych kritérií, pričom náležite využívajú interné a externé údaje a analýzu scenárov. V BIA sa zohľadňuje kritickosť identifikovaných a zmapovaných obchodných funkcií, podporných procesov, závislostí od tretích strán a informačných aktív a ich vzájomná závislosť. Finančné subjekty zabezpečia, aby sa IKT aktíva a IKT služby koncipovali a používali v plnom súlade s BIA, najmä pokiaľ ide o primerané zabezpečenie redundancie všetkých kritických komponentov.

6.   Finančné subjekty v rámci svojho komplexného riadenia IKT rizika:

| a) | testujú plány kontinuity činností v oblasti IKT a plány reakcie a obnovy v oblasti IKT vo vzťahu k IKT systémom podporujúcim všetky funkcie aspoň raz ročne, ako aj v prípade akýchkoľvek podstatných zmien IKT systémov podporujúcich kritické alebo dôležité funkcie; |
| --- | --- |

a)

testujú plány kontinuity činností v oblasti IKT a plány reakcie a obnovy v oblasti IKT vo vzťahu k IKT systémom podporujúcim všetky funkcie aspoň raz ročne, ako aj v prípade akýchkoľvek podstatných zmien IKT systémov podporujúcich kritické alebo dôležité funkcie;

| b) | testujú plány krízovej komunikácie vypracované v súlade s článkom 14. |
| --- | --- |

b)

testujú plány krízovej komunikácie vypracované v súlade s článkom 14.

Na účely prvého pododseku písm. a) finančné subjekty iné než mikropodniky zahrnú do testovacích plánov scenáre kybernetických útokov a prepnutia medzi primárnou infraštruktúrou IKT a redundantnou kapacitou, zálohami a redundantnými zariadeniami potrebnými na splnenie povinností stanovených v článku 12.

Finančné subjekty pravidelne preskúmavajú svoju politiku kontinuity činností v oblasti IKT a plány reakcie a obnovy v oblasti IKT, pričom zohľadňujú výsledky testov vykonaných v súlade s prvým pododsekom a odporúčania vyplývajúce z audítorských kontrol alebo preskúmaní orgánmi dohľadu.

7.   Finančné subjekty iné než mikropodniky musia mať funkciu krízového riadenia, ktorá v prípade aktivácie ich plánov kontinuity činností v oblasti IKT alebo plánov reakcie a obnovy v oblasti IKT stanoví okrem iného jasné postupy riadenia vnútornej a vonkajšej krízovej komunikácie v súlade s článkom 14.

8.   Finančné subjekty vedú ľahko prístupné záznamy o činnostiach pred udalosťami narušenia a počas nich, keď sa aktivujú ich plány kontinuity činností v oblasti IKT alebo plány reakcie a obnovy v oblasti IKT.

9.   Centrálni depozitári cenných papierov poskytnú príslušným orgánom kópie výsledkov testov kontinuity činností v oblasti IKT alebo podobných cvičení.

10.   Finančné subjekty iné ako mikropodniky oznamujú príslušným orgánom na ich žiadosť odhad súhrnných ročných nákladov a strát spôsobených závažnými incidentmi súvisiacimi s IKT.

11.   V súlade s článkom 16 nariadení (EÚ) č. 1093/2010, (EÚ) č. 1094/2010 a (EÚ) č. 1095/2010 európske orgány dohľadu prostredníctvom spoločného výboru do 17. júla 2024 vypracujú spoločné usmernenia o odhade súhrnných ročných nákladov a strát uvedených v odseku 10.

Článok 12

Politiky a postupy zálohovania, postupy a metódy reštaurovania a obnovy

1.   Na účely zabezpečenia reštaurovania IKT systémov a údajov s minimálnym výpadkom, obmedzeným narušením a stratami finančné subjekty v rámci ich riadenia IKT rizika vypracujú a zdokumentujú:

| a) | politiky a postupy zálohovania, v ktorých sa špecifikuje rozsah údajov, ktoré sú predmetom zálohovania, a minimálna frekvencia zálohovania na základe kritickosti informácií alebo úrovne dôvernosti údajov; |
| --- | --- |

a)

politiky a postupy zálohovania, v ktorých sa špecifikuje rozsah údajov, ktoré sú predmetom zálohovania, a minimálna frekvencia zálohovania na základe kritickosti informácií alebo úrovne dôvernosti údajov;

| b) | postupy a metódy reštaurovania a obnovy. |
| --- | --- |

b)

postupy a metódy reštaurovania a obnovy.

2.   Finančné subjekty zriadia záložné systémy, ktoré možno aktivovať v súlade s politikami a postupmi zálohovania, ako aj postupmi a metódami reštaurovania a obnovy. Aktivácia záložných systémov nesmie ohroziť bezpečnosť sietí a informačných systémov ani dostupnosť, pravosť, integritu alebo dôvernosť údajov. Pravidelne sa vykonáva testovanie postupov zálohovania a postupov a metód reštaurovania a obnovy.

3.   Pri reštaurovaní záložných údajov pomocou vlastných systémov finančné subjekty používajú IKT systémy, ktoré sú fyzicky a logicky oddelené od zdrojového IKT systému. IKT systémy musia byť bezpečne chránené pred akýmkoľvek neoprávneným prístupom alebo poškodením IKT a podľa potreby umožňujú včasné reštaurovanie služieb využívajúcich údaje a zálohy systému.

V prípade centrálnych protistrán musia plány obnovy umožňovať obnovu všetkých transakcií v čase narušenia, aby centrálna protistrana mohla naďalej fungovať s istotou a aby vyrovnanie dokončila k plánovanému dátumu.

Poskytovatelia služieb vykazovania údajov okrem toho udržiavajú primerané zdroje a majú zavedené záložné zariadenia a zariadenia na reštaurovanie s cieľom neustále ponúkať a udržiavať svoje služby.

4.   Finančné subjekty iné ako mikropodniky udržiavajú redundantné IKT kapacity vybavené zdrojmi, spôsobilosťami a funkciami, ktoré sú dostatočné na zabezpečenie obchodných potrieb. Mikropodniky posudzujú potrebu udržiavať takéto redundantné IKT kapacity na základe svojho rizikového profilu.

5.   Centrálni depozitári cenných papierov udržiavajú aspoň jedno sekundárne miesto spracúvania vybavené dostatočnými zdrojmi, spôsobilosťami, funkciami a personálnym zabezpečením na zaistenie obchodných potrieb.

Sekundárne miesto spracúvania musí:

| a) | byť umiestnené v lokalite geograficky vzdialenej od primárneho miesta spracúvania s cieľom zabezpečiť, aby malo odlišný rizikový profil, a zabrániť tomu, aby bol ovplyvnený udalosťou, ktorá ovplyvnila primárne miesto; |
| --- | --- |

a)

byť umiestnené v lokalite geograficky vzdialenej od primárneho miesta spracúvania s cieľom zabezpečiť, aby malo odlišný rizikový profil, a zabrániť tomu, aby bol ovplyvnený udalosťou, ktorá ovplyvnila primárne miesto;

| b) | byť schopné zabezpečiť kontinuitu kritických alebo dôležitých funkcií rovnako ako primárne miesto alebo poskytovať úroveň služieb potrebnú na zabezpečenie toho, aby finančný subjekt vykonával svoje kritické operácie v rámci cieľov obnovy; |
| --- | --- |

b)

byť schopné zabezpečiť kontinuitu kritických alebo dôležitých funkcií rovnako ako primárne miesto alebo poskytovať úroveň služieb potrebnú na zabezpečenie toho, aby finančný subjekt vykonával svoje kritické operácie v rámci cieľov obnovy;

| c) | byť okamžite prístupné pre zamestnancov finančného subjektu, aby sa zabezpečila kontinuita kritických alebo dôležitých funkcií v prípade, že sa primárne miesto spracúvania stalo nedostupným. |
| --- | --- |

c)

byť okamžite prístupné pre zamestnancov finančného subjektu, aby sa zabezpečila kontinuita kritických alebo dôležitých funkcií v prípade, že sa primárne miesto spracúvania stalo nedostupným.

6.   Pri určovaní časových bodov obnovy a cieľov bodov obnovy pre každú funkciu finančné subjekty zohľadňujú, či ide o kritickú alebo dôležitú funkciu a potenciálny celkový vplyv na efektívnosť trhu. Takéto časové ciele zabezpečia, aby sa v extrémnych scenároch dosiahli dohodnuté úrovne služieb.

7.   Pri zotavovaní sa po incidente súvisiacom s IKT vykonávajú finančné subjekty potrebné kontroly vrátane akýchkoľvek viacnásobných kontrol a zosúhlasení s cieľom zabezpečiť zachovanie najvyššej úrovne integrity údajov. Tieto kontroly sa vykonávajú aj pri rekonštrukcii údajov od externých zainteresovaných strán s cieľom zabezpečiť konzistentnosť všetkých údajov medzi jednotlivými systémami.

Článok 13

Učenie sa a vývoj

1.   Finančné subjekty musia mať k dispozícii spôsobilosti a personál na zhromažďovanie informácií o zraniteľných miestach a kybernetických hrozbách, incidentoch súvisiacich s IKT, najmä kybernetických útokoch, a analyzovanie vplyvu, ktorý pravdepodobne majú na ich digitálnu prevádzkovú odolnosť.

2.   Finančné subjekty zavedú preskúmania realizované po incidentoch súvisiacich s IKT po tom, ako závažný incident súvisiaci s IKT narušil ich hlavné činnosti, pričom analyzujú príčiny narušenia a identifikujú požadované zlepšenia operácií IKT alebo zlepšenia v rámci politiky kontinuity činností v oblasti IKT uvedenej v článku 11.

Finančné subjekty iné ako mikropodniky na požiadanie oznámia príslušným orgánom zmeny, ktoré sa vykonali v nadväznosti na preskúmania realizované po incidentoch súvisiacich s IKT, ako sa uvádza v prvom pododseku.

V preskúmaniach realizovaných po incidentoch súvisiacich s IKT uvedených v prvom pododseku sa určí, či sa dodržali zavedené postupy a či boli prijaté opatrenia účinné, a to aj pokiaľ ide o:

| a) | promptnosť reakcie na bezpečnostné varovania a určovania vplyvu incidentov súvisiacich s IKT a ich závažnosť; |
| --- | --- |

a)

promptnosť reakcie na bezpečnostné varovania a určovania vplyvu incidentov súvisiacich s IKT a ich závažnosť;

| b) | kvalitu a rýchlosť vykonania forenznej analýzy, ak sa to považuje za vhodné; |
| --- | --- |

b)

kvalitu a rýchlosť vykonania forenznej analýzy, ak sa to považuje za vhodné;

| c) | účinnosť eskalácie incidentu v rámci finančného subjektu; |
| --- | --- |

c)

účinnosť eskalácie incidentu v rámci finančného subjektu;

| d) | účinnosť vnútornej a vonkajšej komunikácie. |
| --- | --- |

d)

účinnosť vnútornej a vonkajšej komunikácie.

3.   Poznatky získané z testovania digitálnej prevádzkovej odolnosti, ktoré sa vykonalo v súlade s článkami 26 a 27, a z reálnych incidentov súvisiacich s IKT, najmä kybernetických útokov, spolu s výzvami, ktorým sa čelilo po aktivácii plánov kontinuity činností v oblasti IKT a plánov reakcie a obnovy v oblasti IKT spolu s príslušnými informáciami vymieňanými s protistranami a posudzovanými počas preskúmaní orgánmi dohľadu, sa náležite a nepretržite začleňujú do procesu posudzovania IKT rizika. Uvedené zistenia sa premietnu do vhodných preskúmaní príslušných zložiek rámca riadenia IKT rizika uvedeného v článku 6 ods. 1.

4.   Finančné subjekty monitorujú účinnosť vykonávania svojej stratégie digitálnej prevádzkovej odolnosti stanovenej v článku 6 ods. 8 Mapujú vývoj v oblasti IKT rizika v priebehu času, analyzujú frekvenciu, druhy, rozsah a vývoj incidentov súvisiacich s IKT, najmä kybernetických útokov a ich spôsobov vedenia, s cieľom pochopiť úroveň vystavenia IKT riziku, najmä pokiaľ ide o kritické a dôležité funkcie, a zlepšiť kybernetickú vyspelosť a pripravenosť finančného subjektu.

5.   Vedúci pracovníci v oblasti IKT podávajú aspoň raz ročne riadiacemu orgánu správu o zisteniach uvedených v odseku 3 a predkladajú odporúčania.

6.   Finančné subjekty vypracujú programy zvyšovania informovanosti o bezpečnosti v oblasti IKT a školenia o digitálnej prevádzkovej odolnosti ako povinné moduly vo svojich systémoch školenia zamestnancov. Uvedené programy a školenia sa vzťahujú na všetkých zamestnancov a zamestnancov vrcholového manažmentu a majú takú úroveň zložitosti, ktorá zodpovedá rozsahu ich funkcií. Finančné subjekty v náležitých prípadoch zahrnú do svojich príslušných systémov školenia v súlade s článkom 30 ods. 2 písm. i) aj externých poskytovateľov IKT služieb.

7.   Finančné subjekty iné ako mikropodniky priebežne monitorujú príslušný technologický vývoj, a to aj s cieľom pochopiť možné vplyvy zavádzania takýchto nových technológií na bezpečnostné požiadavky v oblasti IKT a digitálnu prevádzkovú odolnosť. Musia držať krok s najnovšími procesmi riadenia IKT rizika s cieľom účinne bojovať proti súčasným alebo novým formám kybernetických útokov.

Článok 14

Komunikácia

1.   Finančné subjekty majú ako súčasť rámca riadenia IKT rizika uvedeného v článku 6 ods. 1 zavedené krízové komunikačné plány, ktoré umožňujú zodpovedné zverejňovanie aspoň závažných incidentov súvisiacich s IKT alebo zraniteľných miest pre klientov a protistrany, ako aj pre verejnosť, podľa konkrétneho prípadu.

2.   Finančné subjekty vykonávajú ako súčasť rámca riadenia IKT rizika komunikačné politiky pre interných zamestnancov a externé zainteresované strany. V komunikačných politikách pre zamestnancov sa zohľadňuje potreba rozlišovať medzi zamestnancami, ktorí sú zapojení do riadenia IKT rizika, najmä pokiaľ ide o zamestnancov zodpovedných za reakciu a obnovu, a zamestnancami, ktorí musia byť informovaní.

3.   Aspoň jedna osoba vo finančnom subjekte musí byť poverená vykonávaním komunikačnej stratégie pre incidenty súvisiace s IKT a na tento účel plní funkciu styku s verejnosťou a médiami.

Článok 15

Ďalšia harmonizácia nástrojov, metód, postupov a politík riadenia IKT rizika

Európske orgány dohľadu prostredníctvom spoločného výboru a po konzultácii s Agentúrou Európskej únie pre kybernetickú bezpečnosť (ďalej len „ENISA“) vypracujú spoločný návrh regulačných technických predpisov s cieľom:

| a) | bližšie špecifikovať ďalšie prvky, ktoré sa majú zahrnúť do bezpečnostných politík, postupov, protokolov a nástrojov v oblasti IKT uvedených v článku 9 ods. 2, aby sa zaistila bezpečnosť sietí, umožnili primerané záruky proti neoprávneným vniknutiam a zneužitiu údajov, zachovala dostupnosť, pravosť, integrita a dôvernosť údajov vrátane kryptografických techník, ako aj zaručil presný a rýchly prenos údajov bez závažných narušení a zbytočných omeškaní; |
| --- | --- |

a)

bližšie špecifikovať ďalšie prvky, ktoré sa majú zahrnúť do bezpečnostných politík, postupov, protokolov a nástrojov v oblasti IKT uvedených v článku 9 ods. 2, aby sa zaistila bezpečnosť sietí, umožnili primerané záruky proti neoprávneným vniknutiam a zneužitiu údajov, zachovala dostupnosť, pravosť, integrita a dôvernosť údajov vrátane kryptografických techník, ako aj zaručil presný a rýchly prenos údajov bez závažných narušení a zbytočných omeškaní;

| b) | vypracovať ďalšie zložky kontrol práv na riadenie prístupu uvedené v článku 9 ods. 4 písm. c) a súvisiacej politiky v oblasti ľudských zdrojov, ktorými sa upresnia prístupové práva, postupy udeľovania a odoberania práv, monitorovanie anomálneho správania vo vzťahu k IKT riziku prostredníctvom vhodných ukazovateľov, a to aj pokiaľ ide o modely využívania siete, hodiny, činnosť v oblasti IT a neznáme zariadenia; |
| --- | --- |

b)

vypracovať ďalšie zložky kontrol práv na riadenie prístupu uvedené v článku 9 ods. 4 písm. c) a súvisiacej politiky v oblasti ľudských zdrojov, ktorými sa upresnia prístupové práva, postupy udeľovania a odoberania práv, monitorovanie anomálneho správania vo vzťahu k IKT riziku prostredníctvom vhodných ukazovateľov, a to aj pokiaľ ide o modely využívania siete, hodiny, činnosť v oblasti IT a neznáme zariadenia;

| c) | ďalej rozvíjať mechanizmy uvedené v článku 10 ods. 1, ktoré umožňujú rýchle odhalenie anomálnych činností, a kritériá stanovené v článku 10 ods. 2, ktoré spúšťajú procesy zisťovania incidentov súvisiacich s IKT a reakcie na takéto incidenty; |
| --- | --- |

c)

ďalej rozvíjať mechanizmy uvedené v článku 10 ods. 1, ktoré umožňujú rýchle odhalenie anomálnych činností, a kritériá stanovené v článku 10 ods. 2, ktoré spúšťajú procesy zisťovania incidentov súvisiacich s IKT a reakcie na takéto incidenty;

| d) | bližšie špecifikovať zložky politiky kontinuity činností v oblasti IKT uvedenej v článku 11 ods. 1; |
| --- | --- |

d)

bližšie špecifikovať zložky politiky kontinuity činností v oblasti IKT uvedenej v článku 11 ods. 1;

| e) | bližšie špecifikovať testovanie plánov kontinuity činností v oblasti IKT uvedené v článku 11 ods. 6 s cieľom zabezpečiť, aby takéto testovanie náležite zohľadnilo scenáre, v ktorých sa kvalita poskytovania kritickej alebo dôležitej funkcie zhoršuje na neprijateľnú úroveň alebo zlyháva, ako aj náležite zvážilo potenciálny vplyv platobnej neschopnosti alebo iných zlyhaní ktoréhokoľvek príslušného externého poskytovateľa IKT služieb a prípadne politické riziká v jurisdikciách príslušných poskytovateľov; |
| --- | --- |

e)

bližšie špecifikovať testovanie plánov kontinuity činností v oblasti IKT uvedené v článku 11 ods. 6 s cieľom zabezpečiť, aby takéto testovanie náležite zohľadnilo scenáre, v ktorých sa kvalita poskytovania kritickej alebo dôležitej funkcie zhoršuje na neprijateľnú úroveň alebo zlyháva, ako aj náležite zvážilo potenciálny vplyv platobnej neschopnosti alebo iných zlyhaní ktoréhokoľvek príslušného externého poskytovateľa IKT služieb a prípadne politické riziká v jurisdikciách príslušných poskytovateľov;

| f) | bližšie špecifikovať zložky plánov reakcie a obnovy v oblasti IKT uvedených v článku 11 ods. 3; |
| --- | --- |

f)

bližšie špecifikovať zložky plánov reakcie a obnovy v oblasti IKT uvedených v článku 11 ods. 3;

| g) | bližšie špecifikovať obsah a formát správy o preskúmaní rámca riadenia IKT rizika uvedenej v článku 6 ods. 5. |
| --- | --- |

g)

bližšie špecifikovať obsah a formát správy o preskúmaní rámca riadenia IKT rizika uvedenej v článku 6 ods. 5.

Pri vypracúvaní tohto návrhu regulačných technických predpisov európske orgány dohľadu zohľadňujú veľkosť a celkový rizikový profil finančného subjektu, ako aj povahu, rozsah a zložitosť jeho služieb, činností a operácií, pričom náležite zohľadňujú všetky osobitné vlastnosti vyplývajúce z odlišnej povahy činností v rôznych sektoroch finančných služieb.

Európske orgány dohľadu predložia uvedený návrh regulačných technických predpisov Komisii do 17. januára 2024.

Na Komisiu sa deleguje právomoc doplniť toto nariadenie prijatím regulačných technických predpisov uvedených v prvom odseku v súlade s článkami 10 až 14 nariadení (EÚ) č. 1093/2010, (EÚ) č. 1094/2010 a (EÚ) č. 1095/2010.

Článok 16

Zjednodušený rámec riadenia IKT rizika

1.   Články 5 až 15 tohto nariadenia sa neuplatňujú na malé a neprepojené investičné spoločnosti, platobné inštitúcie vyňaté podľa smernice (EÚ) 2015/2366; inštitúcie vyňaté podľa smernice 2013/36/EÚ, v súvislosti s ktorými sa členské štáty rozhodli neuplatňovať možnosť uvedenú v článku 2 ods. 4 tohto nariadenia, inštitúcie elektronického peňažníctva vyňaté podľa smernice 2009/110/ES; a malé inštitúcie zamestnaneckého dôchodkového zabezpečenia.

Bez toho, aby bol dotknutý prvý pododsek subjekty uvedené v prvom pododseku:

| a) | zavedú a udržiavajú spoľahlivý a zdokumentovaný rámec riadenia IKT rizika, v ktorom sa podrobne opisujú mechanizmy a opatrenia zamerané na rýchle, účinné a komplexné riadenie IKT rizika vrátane ochrany príslušných fyzických zložiek a infraštruktúr; |
| --- | --- |

a)

zavedú a udržiavajú spoľahlivý a zdokumentovaný rámec riadenia IKT rizika, v ktorom sa podrobne opisujú mechanizmy a opatrenia zamerané na rýchle, účinné a komplexné riadenie IKT rizika vrátane ochrany príslušných fyzických zložiek a infraštruktúr;

| b) | neustále monitorujú bezpečnosť a fungovanie všetkých IKT systémov; |
| --- | --- |

b)

neustále monitorujú bezpečnosť a fungovanie všetkých IKT systémov;

| c) | minimalizujú vplyv IKT rizika využívaním spoľahlivých, odolných a aktualizovaných IKT systémov, protokolov a nástrojov, ktoré sú vhodné na podporu výkonu ich činností a poskytovania služieb a na primeranú ochranu dostupnosti, pravosti, integrity a dôvernosti údajov v sieťach a informačných systémoch; |
| --- | --- |

c)

minimalizujú vplyv IKT rizika využívaním spoľahlivých, odolných a aktualizovaných IKT systémov, protokolov a nástrojov, ktoré sú vhodné na podporu výkonu ich činností a poskytovania služieb a na primeranú ochranu dostupnosti, pravosti, integrity a dôvernosti údajov v sieťach a informačných systémoch;

| d) | umožňujú rýchlo identifikovať a odhaľovať zdroje IKT rizika a anomálií v sieťach a informačných systémoch a rýchlo riešiť incidenty súvisiace s IKT; |
| --- | --- |

d)

umožňujú rýchlo identifikovať a odhaľovať zdroje IKT rizika a anomálií v sieťach a informačných systémoch a rýchlo riešiť incidenty súvisiace s IKT;

| e) | identifikujú kľúčové závislosti od externých poskytovateľov IKT služieb; |
| --- | --- |

e)

identifikujú kľúčové závislosti od externých poskytovateľov IKT služieb;

| f) | zabezpečujú kontinuitu kritických alebo dôležitých funkcií prostredníctvom plánov kontinuity činností a opatrení reakcie a obnovy, ktoré zahŕňajú aspoň záložné a reštaurovacie opatrenia; |
| --- | --- |

f)

zabezpečujú kontinuitu kritických alebo dôležitých funkcií prostredníctvom plánov kontinuity činností a opatrení reakcie a obnovy, ktoré zahŕňajú aspoň záložné a reštaurovacie opatrenia;

| g) | pravidelne testujú plány a opatrenia uvedené v písmene f), ako aj účinnosť kontrol vykonaných v súlade s písmenami a) a c); |
| --- | --- |

g)

pravidelne testujú plány a opatrenia uvedené v písmene f), ako aj účinnosť kontrol vykonaných v súlade s písmenami a) a c);

| h) | náležite vykonávajú príslušné operatívne závery, ktoré vyplývajú z testov uvedených v písmene g) a z analýzy po incidente, do procesu posudzovania IKT rizika a v súlade s potrebami a rizikovým profilom v oblasti IKT vypracúvajú programy zvyšovania informovanosti v oblasti bezpečnosti IKT a školenia digitálnej prevádzkovej odolnosti pre zamestnancov a manažment. |
| --- | --- |

h)

náležite vykonávajú príslušné operatívne závery, ktoré vyplývajú z testov uvedených v písmene g) a z analýzy po incidente, do procesu posudzovania IKT rizika a v súlade s potrebami a rizikovým profilom v oblasti IKT vypracúvajú programy zvyšovania informovanosti v oblasti bezpečnosti IKT a školenia digitálnej prevádzkovej odolnosti pre zamestnancov a manažment.

2.   Rámec riadenia IKT rizika uvedený v odseku 1 druhom pododseku písm. a) sa pravidelne dokumentuje a preskúmava v prípade výskytu závažných incidentov súvisiacich s IKT v súlade s pokynmi orgánov dohľadu. Na základe skúseností získaných pri vykonávaní a monitorovaní sa rámec neustále vylepšuje. Správa o preskúmaní rámca riadenia IKT rizika sa predkladá príslušnému orgánu na jeho žiadosť.

3.   Európske orgány dohľadu prostredníctvom spoločného výboru a po konzultácii s agentúrou ENISA vypracujú spoločný návrh regulačných technických predpisov s cieľom:

| a) | bližšie špecifikovať prvky, ktoré sa majú zahrnúť do rámca riadenia IKT rizika uvedeného v odseku 1 druhom pododseku písm. a); |
| --- | --- |

a)

bližšie špecifikovať prvky, ktoré sa majú zahrnúť do rámca riadenia IKT rizika uvedeného v odseku 1 druhom pododseku písm. a);

| b) | bližšie špecifikovať prvky v súvislosti so systémami, protokolmi a nástrojmi na minimalizáciu vplyvu IKT rizika uvedeného v odseku 1 druhom pododseku písm. c) s cieľom zaistiť bezpečnosť sietí, umožniť primerané záruky proti vniknutiam a zneužitiu údajov a zachovať dostupnosť, pravosť integritu a dôvernosť údajov; |
| --- | --- |

b)

bližšie špecifikovať prvky v súvislosti so systémami, protokolmi a nástrojmi na minimalizáciu vplyvu IKT rizika uvedeného v odseku 1 druhom pododseku písm. c) s cieľom zaistiť bezpečnosť sietí, umožniť primerané záruky proti vniknutiam a zneužitiu údajov a zachovať dostupnosť, pravosť integritu a dôvernosť údajov;

| c) | bližšie špecifikovať zložky plánov kontinuity činností v oblasti IKT uvedených v odseku 1 druhom pododseku písm. f); |
| --- | --- |

c)

bližšie špecifikovať zložky plánov kontinuity činností v oblasti IKT uvedených v odseku 1 druhom pododseku písm. f);

| d) | bližšie špecifikovať pravidlá testovania plánov kontinuity činností a zabezpečiť účinnosť kontrol uvedených v odseku 1 druhom pododseku písm. g) a zabezpečiť, aby takéto testovanie náležite zohľadňovalo scenáre, v ktorých sa kvalita poskytovania kritickej alebo dôležitej funkcie zhoršuje na neprijateľnú úroveň alebo zlyháva; |
| --- | --- |

d)

bližšie špecifikovať pravidlá testovania plánov kontinuity činností a zabezpečiť účinnosť kontrol uvedených v odseku 1 druhom pododseku písm. g) a zabezpečiť, aby takéto testovanie náležite zohľadňovalo scenáre, v ktorých sa kvalita poskytovania kritickej alebo dôležitej funkcie zhoršuje na neprijateľnú úroveň alebo zlyháva;

| e) | bližšie špecifikovať obsah a formát správy o preskúmaní rámca riadenia IKT rizika uvedenej v odseku 2. |
| --- | --- |

e)

bližšie špecifikovať obsah a formát správy o preskúmaní rámca riadenia IKT rizika uvedenej v odseku 2.

Pri vypracúvaní uvedeného návrhu regulačných technických predpisov by európske orgány dohľadu mali zohľadniť veľkosť a celkový rizikový profil finančného subjektu, ako aj povahu, rozsah a zložitosť jeho služieb, činností a operácií.

Európske orgány dohľadu predložia uvedený návrh regulačných technických predpisov Komisii do 17. januára 2024.

Na Komisiu sa deleguje právomoc doplniť toto nariadenie prijatím regulačných technických predpisov uvedených v prvom pododseku v súlade s článkami 10 až 14 nariadení (EÚ) č. 1093/2010, (EÚ) č. 1094/2010 a (EÚ) č. 1095/2010.

KAPITOLA III

Riadenie, klasifikácia a nahlasovanie incidentov súvisiacich s IKT

Článok 17

Proces riadenia incidentov súvisiacich s IKT

1.   Finančné subjekty vymedzia, zavedú a vykonávajú proces riadenia incidentov súvisiacich s IKT s cieľom odhaľovať, riadiť a oznamovať incidenty súvisiace s IKT.

2.   Finančné subjekty zaznamenávajú všetky incidenty súvisiace s IKT a významné kybernetické hrozby. Finančné subjekty stanovia vhodné postupy a procesy na zaistenie konzistentného a integrovaného monitorovania, riešenia a následných opatrení v prípade incidentov súvisiacich s IKT s cieľom zabezpečiť, aby sa hlavné príčiny identifikovali, zdokumentovali a riešili s cieľom zabrániť výskytu takýchto incidentov.

3.   V rámci procesu riadenia incidentov súvisiacich s IKT uvedeným v odseku 1 sa:

| a) | zavedú ukazovatele včasného varovania; |
| --- | --- |

a)

zavedú ukazovatele včasného varovania;

| b) | v súlade s kritériami stanovenými v článku 18 ods. 1 stanovia postupy na identifikáciu, sledovanie, zaznamenávanie, kategorizáciu a klasifikáciu incidentov súvisiacich s IKT podľa ich priority a závažnosti a podľa kritickosti zasiahnutých služieb; |
| --- | --- |

b)

v súlade s kritériami stanovenými v článku 18 ods. 1 stanovia postupy na identifikáciu, sledovanie, zaznamenávanie, kategorizáciu a klasifikáciu incidentov súvisiacich s IKT podľa ich priority a závažnosti a podľa kritickosti zasiahnutých služieb;

| c) | prideľujú úlohy a povinnosti, ktoré treba aktivovať pre jednotlivé druhy a scenáre incidentov súvisiacich s IKT; |
| --- | --- |

c)

prideľujú úlohy a povinnosti, ktoré treba aktivovať pre jednotlivé druhy a scenáre incidentov súvisiacich s IKT;

| d) | stanovujú plány komunikácie so zamestnancami, externými zainteresovanými stranami a médiami v súlade s článkom 14 a plány oznamovania klientom, plány interných eskalačných postupov vrátane sťažností zákazníkov súvisiacich s IKT, ako aj plány poskytovania informácií finančným subjektom, ktoré konajú ako protistrany, vo vhodných prípadoch; |
| --- | --- |

d)

stanovujú plány komunikácie so zamestnancami, externými zainteresovanými stranami a médiami v súlade s článkom 14 a plány oznamovania klientom, plány interných eskalačných postupov vrátane sťažností zákazníkov súvisiacich s IKT, ako aj plány poskytovania informácií finančným subjektom, ktoré konajú ako protistrany, vo vhodných prípadoch;

| e) | zabezpečujú, aby sa aspoň závažné incidenty súvisiace s IKT nahlasovali príslušnému vrcholovému manažmentu a informujú riadiaci orgán aspoň o závažných incidentoch súvisiacich s IKT, pričom vysvetlia vplyv, reakciu a dodatočné kontroly, ktoré sa majú zaviesť v dôsledku takýchto incidentov súvisiacich s IKT; |
| --- | --- |

e)

zabezpečujú, aby sa aspoň závažné incidenty súvisiace s IKT nahlasovali príslušnému vrcholovému manažmentu a informujú riadiaci orgán aspoň o závažných incidentoch súvisiacich s IKT, pričom vysvetlia vplyv, reakciu a dodatočné kontroly, ktoré sa majú zaviesť v dôsledku takýchto incidentov súvisiacich s IKT;

| f) | stanovujú postupy reakcie na incidenty súvisiace s IKT s cieľom zmierniť vplyvy a zabezpečiť včasné sfunkčnenie a bezpečnosť služieb. |
| --- | --- |

f)

stanovujú postupy reakcie na incidenty súvisiace s IKT s cieľom zmierniť vplyvy a zabezpečiť včasné sfunkčnenie a bezpečnosť služieb.

Článok 18

Klasifikácia incidentov súvisiacich s IKT a kybernetických hrozieb

1.   Finančné subjekty klasifikujú incidenty súvisiace s IKT a určujú ich vplyv na základe týchto kritérií:

| a) | počet a/alebo relevantnosť klientov alebo finančných protistrán a prípadne výška alebo počet transakcií, ktoré sú ovplyvnené incidentom súvisiacim s IKT, a to, či incident súvisiaci s IKT mal vplyv na dobré meno; |
| --- | --- |

a)

počet a/alebo relevantnosť klientov alebo finančných protistrán a prípadne výška alebo počet transakcií, ktoré sú ovplyvnené incidentom súvisiacim s IKT, a to, či incident súvisiaci s IKT mal vplyv na dobré meno;

| b) | trvanie incidentu súvisiaceho s IKT vrátane výpadku služby; |
| --- | --- |

b)

trvanie incidentu súvisiaceho s IKT vrátane výpadku služby;

| c) | geografické rozloženie, pokiaľ ide o oblasti postihnuté incidentom súvisiacim s IKT, najmä ak sa týka viac ako dvoch členských štátov; |
| --- | --- |

c)

geografické rozloženie, pokiaľ ide o oblasti postihnuté incidentom súvisiacim s IKT, najmä ak sa týka viac ako dvoch členských štátov;

| d) | straty údajov, ktoré incident súvisiaci s IKT prináša v súvislosti s dostupnosťou, pravosťou, integritou alebo dôvernosťou údajov; |
| --- | --- |

d)

straty údajov, ktoré incident súvisiaci s IKT prináša v súvislosti s dostupnosťou, pravosťou, integritou alebo dôvernosťou údajov;

| e) | kritickosť zasiahnutých služieb vrátane transakcií a operácií finančného subjektu; |
| --- | --- |

e)

kritickosť zasiahnutých služieb vrátane transakcií a operácií finančného subjektu;

| f) | hospodársky vplyv, najmä priame a nepriame náklady a straty, incidentu súvisiaceho s IKT v absolútnom aj relatívnom vyjadrení. |
| --- | --- |

f)

hospodársky vplyv, najmä priame a nepriame náklady a straty, incidentu súvisiaceho s IKT v absolútnom aj relatívnom vyjadrení.

2.   Finančné subjekty klasifikujú kybernetické hrozby ako významné na základe kritickosti služieb vystavených riziku vrátane transakcií a operácií finančného subjektu, počtu a/alebo relevantnosti cieľových klientov alebo finančných protistrán a geografického rozloženia rizikových oblastí.

3.   Európske orgány dohľadu prostredníctvom spoločného výboru a po konzultácii s ECB a agentúrou ENISA vypracuje spoločný návrh regulačných technických predpisov s cieľom bližšie špecifikovať:

| a) | kritériá stanovené v odseku 1 vrátane prahových hodnôt významnosti na určenie závažných incidentov súvisiacich s IKT alebo prípadne závažných prevádzkových alebo bezpečnostných incidentov súvisiacich s platbami, na ktoré sa vzťahuje nahlasovacia povinnosť stanovená v článku 19 ods. 1; |
| --- | --- |

a)

kritériá stanovené v odseku 1 vrátane prahových hodnôt významnosti na určenie závažných incidentov súvisiacich s IKT alebo prípadne závažných prevádzkových alebo bezpečnostných incidentov súvisiacich s platbami, na ktoré sa vzťahuje nahlasovacia povinnosť stanovená v článku 19 ods. 1;

| b) | kritériá, ktoré majú príslušné orgány uplatňovať na účely posúdenia relevantnosti závažných incidentov súvisiacich s IKT alebo prípadne závažných prevádzkových alebo bezpečnostných incidentov súvisiacich s platbami na relevantné príslušné orgány v iných členských štátoch, ako aj podrobnosti hlásení o závažných incidentoch súvisiacich s IKT alebo prípadne závažných prevádzkových alebo bezpečnostných incidentov súvisiacich s platbami, ktoré sa majú poskytnúť iným príslušným orgánom podľa článku 19 ods. 6 a 7; |
| --- | --- |

b)

kritériá, ktoré majú príslušné orgány uplatňovať na účely posúdenia relevantnosti závažných incidentov súvisiacich s IKT alebo prípadne závažných prevádzkových alebo bezpečnostných incidentov súvisiacich s platbami na relevantné príslušné orgány v iných členských štátoch, ako aj podrobnosti hlásení o závažných incidentoch súvisiacich s IKT alebo prípadne závažných prevádzkových alebo bezpečnostných incidentov súvisiacich s platbami, ktoré sa majú poskytnúť iným príslušným orgánom podľa článku 19 ods. 6 a 7;

| c) | kritériá stanovené v odseku 2 tohto článku vrátane vysokých prahových hodnôt významnosti na určenie významných kybernetických hrozieb. |
| --- | --- |

c)

kritériá stanovené v odseku 2 tohto článku vrátane vysokých prahových hodnôt významnosti na určenie významných kybernetických hrozieb.

4.   Pri vypracúvaní spoločného návrhu regulačných technických predpisov uvedeného v odseku 3 tohto článku európske orgány dohľadu zohľadňujú kritériá uvedené v článku 4 ods. 2, ako aj medzinárodné normy, usmernenia a špecifikácie vypracované a uverejnené agentúrou ENISA vrátane prípadných špecifikácií pre iné hospodárske odvetvia. Na účely uplatňovania kritérií stanovených v článku 4 ods. 2 európske orgány dohľadu náležite zvážia potrebu, aby mikropodniky a malé a stredné podniky mobilizovali dostatočné zdroje a kapacity na zabezpečenie rýchleho riadenia incidentov súvisiacich s IKT.

Európske orgány dohľadu predložia uvedený návrh regulačných technických predpisov Komisii do 17. januára 2024.

Na Komisiu sa deleguje právomoc doplniť toto nariadenie prijatím regulačných technických predpisov uvedených v odseku 3 v súlade s článkami 10 až 14 nariadení (EÚ) č. 1093/2010, (EÚ) č. 1094/2010 a (EÚ) č. 1095/2010.

Článok 19

Nahlasovanie závažných incidentov súvisiacich s IKT a dobrovoľné oznamovanie významných kybernetických hrozieb

1.   Finančné subjekty nahlasujú závažné incidenty súvisiace s IKT relevantnému príslušnému orgánu uvedenému v článku 46 v súlade s odsekom 4 tohto článku.

Ak finančný subjekt podlieha dohľadu viac ako jedného príslušného vnútroštátneho orgánu uvedeného v článku 46, členské štáty určia jediný príslušný orgán ako relevantný príslušný orgán zodpovedný za vykonávanie funkcií a povinností stanovených v tomto článku.

Úverové inštitúcie klasifikované ako významné v súlade s článkom 6 ods. 4 nariadenia (EÚ) č. 1024/2013 oznamujú závažné incidenty súvisiace s IKT relevantnému vnútroštátnemu príslušnému orgánu určenému v súlade s článkom 4 smernice 2013/36/EÚ, ktorý uvedenú správu bezodkladne zašle ECB.

Na účely prvého pododseku finančné subjekty vypracujú po získaní a analýze všetkých relevantných informácií počiatočné oznámenie a správy uvedené v odseku 4 tohto článku s použitím vzorov uvedených v článku 20 a predložia ich príslušnému orgánu. V prípade, že nie je technicky možné predložiť počiatočné oznámenia s použitím vzoru, finančné subjekty o tom informujú príslušný orgán alternatívnymi prostriedkami.

Počiatočné oznámenie a správy uvedené v odseku 4 obsahujú všetky informácie, ktoré príslušný orgán potrebuje na určenie významnosti závažného incidentu súvisiaceho s IKT a posúdenie možných cezhraničných vplyvov.

Bez toho, aby bolo dotknuté nahlasovanie podľa prvého pododseku zo strany finančného subjektu relevantnému príslušnému orgánu môžu členské štáty dodatočne stanoviť, aby niektoré alebo všetky finančné subjekty tiež poskytovali počiatočné oznámenie a každú správu uvedenú v odseku 4 tohto článku s použitím vzorov uvedených v článku 20 príslušným orgánom alebo jednotkami pre riešenie počítačových bezpečnostných incidentov (ďalej len „CSIRT“) určeným alebo zriadeným v súlade so smernicou (EÚ) 2022/2555.

2.   Finančné subjekty môžu dobrovoľne oznamovať významné kybernetické hrozby relevantnému príslušnému orgánu, ak sa domnievajú, že hrozba je relevantná pre finančný systém, používateľov služieb alebo klientov. Relevantný príslušný orgán môže poskytnúť takéto informácie iným relevantným orgánom uvedeným v odseku 6.

Úverové inštitúcie klasifikované ako významné v súlade s článkom 6 ods. 4 nariadenia (EÚ) č. 1024/2013 môžu dobrovoľne oznamovať významné kybernetické hrozby relevantnému vnútroštátnemu príslušnému orgánu určenému v súlade s článkom 4 smernice 2013/36/EÚ, ktorý oznámenie bezodkladne zašle ECB.

Členské štáty môžu určiť, že tie finančné subjekty, ktoré dobrovoľne oznamujú v súlade s prvým pododsekom, môžu uvedené oznámenie zaslať aj jednotkám CSIRT určeným alebo zriadeným v súlade so smernicou (EÚ) 2022/2555.

3.   Ak dôjde k závažnému incidentu súvisiacemu s IKT, ktorý má vplyv na finančné záujmy klientov, finančné subjekty bez zbytočného odkladu a čo najskôr po tom, ako o ňom nadobudli vedomosť, informujú svojich klientov o závažnom incidente súvisiacom s IKT a o opatreniach, ktoré boli prijaté na zmiernenie nepriaznivých účinkov takéhoto incidentu.

V prípade významnej kybernetickej hrozby finančné subjekty v náležitých prípadoch informujú svojich klientov, ktorí sú potenciálne dotknutí, o akýchkoľvek vhodných ochranných opatreniach, ktorých prijatie títo klienti môžu zvážiť.

4.   Finančné subjekty v lehotách, ktoré sa stanovia v súlade s článkom 20 prvým odsekom písm. a) bodom ii), predložia relevantnému príslušnému orgánu:

| a) | počiatočné oznámenie; |
| --- | --- |

a)

počiatočné oznámenie;

| b) | priebežnú správu po počiatočnom oznámení uvedenom v písmene a), hneď ako sa výrazne zmení stav pôvodného incidentu alebo po zmene riešenia závažného incidentu súvisiaceho s IKT na základe nových dostupných informácií, po ktorej v náležitých prípadoch nasledujú aktualizované oznámenia vždy, keď je k dispozícii príslušná aktualizácia stavu, ako aj na základe osobitnej žiadosti príslušného orgánu; |
| --- | --- |

b)

priebežnú správu po počiatočnom oznámení uvedenom v písmene a), hneď ako sa výrazne zmení stav pôvodného incidentu alebo po zmene riešenia závažného incidentu súvisiaceho s IKT na základe nových dostupných informácií, po ktorej v náležitých prípadoch nasledujú aktualizované oznámenia vždy, keď je k dispozícii príslušná aktualizácia stavu, ako aj na základe osobitnej žiadosti príslušného orgánu;

| c) | záverečnú správu po dokončení analýzy hlavných príčin, bez ohľadu na to, či už boli vykonané zmierňujúce opatrenia, a keď sú k dispozícii skutočné údaje o vplyve, aby sa nahradili odhady. |
| --- | --- |

c)

záverečnú správu po dokončení analýzy hlavných príčin, bez ohľadu na to, či už boli vykonané zmierňujúce opatrenia, a keď sú k dispozícii skutočné údaje o vplyve, aby sa nahradili odhady.

5.   Finančné subjekty môžu v súlade s odvetvovým právom Únie a vnútroštátnym odvetvovým právom zveriť nahlasovacie povinnosti podľa tohto článku externému poskytovateľovi služieb formou outsourcing. V prípade takéhoto outsourcingu je finančný subjekt naďalej plne zodpovedný za plnenie požiadaviek na nahlasovanie incidentov.

6.   Po prijatí počiatočného oznámenia a každej správy uvedenej v odseku 4 príslušný orgán včas poskytne podrobné údaje o závažnom incidente súvisiacom s IKT týmto príjemcom, a to náležite na základe ich príslušných právomocí:

| a) | orgánom EBA, ESMA alebo EIOPA; |
| --- | --- |

a)

orgánom EBA, ESMA alebo EIOPA;

| b) | ECB v prípade finančných subjektov uvedených v článku 2 ods. 1 písm. a), b) a d); |
| --- | --- |

b)

ECB v prípade finančných subjektov uvedených v článku 2 ods. 1 písm. a), b) a d);

| c) | príslušným orgánom, jednotným kontaktným miestam alebo jednotkám CSIRT určeným alebo zriadeným v súlade so smernicou (EÚ) 2022/2555; |
| --- | --- |

c)

príslušným orgánom, jednotným kontaktným miestam alebo jednotkám CSIRT určeným alebo zriadeným v súlade so smernicou (EÚ) 2022/2555;

| d) | orgánom pre riešenie krízových situácií uvedeným v článku 3 smernice 2014/59/EÚ a Jednotnej rade pre riešenie krízových situácií (SRB), pokiaľ ide o subjekty uvedené v článku 7 ods. 2 nariadenia Európskeho parlamentu a Rady (EÚ) č. 806/2014 (37), a pokiaľ ide o subjekty a skupiny uvedené v článku 7 ods. 4 písm. b) a článku 7 ods. 5 nariadenia (EÚ) č. 806/2014, ak sa takéto údaje týkajú incidentov, ktoré predstavujú riziko pre zabezpečenie kritických funkcií v zmysle článku 2 ods. 1 bodu 35 smernice 2014/59/EÚ, a |
| --- | --- |

d)

orgánom pre riešenie krízových situácií uvedeným v článku 3 smernice 2014/59/EÚ a Jednotnej rade pre riešenie krízových situácií (SRB), pokiaľ ide o subjekty uvedené v článku 7 ods. 2 nariadenia Európskeho parlamentu a Rady (EÚ) č. 806/2014 (37), a pokiaľ ide o subjekty a skupiny uvedené v článku 7 ods. 4 písm. b) a článku 7 ods. 5 nariadenia (EÚ) č. 806/2014, ak sa takéto údaje týkajú incidentov, ktoré predstavujú riziko pre zabezpečenie kritických funkcií v zmysle článku 2 ods. 1 bodu 35 smernice 2014/59/EÚ, a

| e) | iným príslušným verejným orgánom podľa vnútroštátneho práva. |
| --- | --- |

e)

iným príslušným verejným orgánom podľa vnútroštátneho práva.

7.   Po prijatí informácií v súlade s odsekom 6 EBA, ESMA alebo EIOPA a ECB po konzultácii s agentúrou ENISA a v spolupráci s relevantným príslušným orgánom posúdia, či je závažný incident súvisiaci s IKT relevantný pre príslušné orgány v iných členských štátoch. Po tomto posúdení EBA, ESMA alebo EIOPA čo najskôr náležite informujú relevantné príslušné orgány v iných členských štátoch. ECB informuje členov Európskeho systému centrálnych bánk o otázkach relevantných pre platobné systémy. Na základe uvedeného oznámenia príslušné orgány v relevantných prípadoch prijmú všetky nevyhnutné opatrenia s cieľom ochrániť bezprostrednú stabilitu finančného systému.

8.   Oznámením, ktoré má orgán ESMA vykonať podľa odseku 7 tohto článku, nie je dotknutá zodpovednosť príslušného orgánu bezodkladne zaslať podrobné údaje o závažnom incidente súvisiacom s IKT relevantnému orgánu v hostiteľskom členskom štáte, ak centrálny depozitár cenných papierov vykonáva významnú cezhraničnú činnosť v hostiteľskom členskom štáte, závažný incident súvisiaci s IKT bude mať pravdepodobne vážne dôsledky pre finančné trhy hostiteľského členského štátu a ak medzi príslušnými orgánmi existujú dohody o spolupráci týkajúce sa dohľadu nad finančnými subjektmi.

Článok 20

Harmonizácia obsahu a vzorov nahlasovania

Európske orgány dohľadu prostredníctvom spoločného výboru a po konzultácii s agentúrou ENISA a ECB vypracujú:

| a) | spoločný návrh regulačných technických predpisov s cieľom:






  i) | stanoviť obsah správ závažných incidentov súvisiacich s IKT, aby sa zohľadnili kritériá stanovené v článku 18 ods. 1 a začlenili ďalšie prvky, ako napríklad podrobnosti na stanovenie relevantnosti nahlasovania pre iné členské štáty a toho, či predstavuje závažný prevádzkový alebo bezpečnostný incident súvisiaci s platbami alebo nie; |
| --- | --- | --- |

a)

spoločný návrh regulačných technických predpisov s cieľom:

i)

stanoviť obsah správ závažných incidentov súvisiacich s IKT, aby sa zohľadnili kritériá stanovené v článku 18 ods. 1 a začlenili ďalšie prvky, ako napríklad podrobnosti na stanovenie relevantnosti nahlasovania pre iné členské štáty a toho, či predstavuje závažný prevádzkový alebo bezpečnostný incident súvisiaci s platbami alebo nie;

| ii) | určiť lehoty pre počiatočné oznámenie a pre každú správu uvedenú v článku 19 ods. 4; |
| --- | --- |

ii)

určiť lehoty pre počiatočné oznámenie a pre každú správu uvedenú v článku 19 ods. 4;

| iii) | stanoviť obsah oznámenia o významných kybernetických hrozbách. |
| --- | --- |

iii)

stanoviť obsah oznámenia o významných kybernetických hrozbách.

Pri vypracúvaní tohto návrhu regulačných technických predpisov európske úrady dohľadu zohľadňujú veľkosť a celkový rizikový profil finančného subjektu a povahu, rozsah a zložitosť jeho služieb, činností a operácií, a najmä s cieľom zabezpečiť, aby na účely tohto odseku písm. a) bodu ii) mohli rôzne lehoty náležite odrážať osobitosti finančných sektorov bez toho, aby bolo dotknuté zachovanie konzistentného prístupu k nahlasovaniu incidentov súvisiacich s IKT podľa tohto nariadenia a smernice (EÚ) 2022/2555. Ak sa európske úrady dohľadu odchyľujú od prístupov prijatých v súvislosti s uvedenou smernicou, poskytnú odôvodnenie.

| b) | spoločný návrh vykonávacích technických predpisov s cieľom stanoviť štandardné formuláre, vzory a postupy pre finančné subjekty na nahlasovanie závažných incidentov súvisiacich s IKT a oznamovanie významnej kybernetickej hrozby. |
| --- | --- |

b)

spoločný návrh vykonávacích technických predpisov s cieľom stanoviť štandardné formuláre, vzory a postupy pre finančné subjekty na nahlasovanie závažných incidentov súvisiacich s IKT a oznamovanie významnej kybernetickej hrozby.

Európske úrady dohľadu predložia Komisii spoločný návrh regulačných technických predpisov uvedený v prvom odseku písm. a) a spoločný návrh vykonávacích technických predpisov uvedený v prvom odseku písm. b) do 17. júla 2024.

Na Komisiu sa deleguje právomoc doplniť toto nariadenie prijatím spoločných regulačných technických predpisov uvedených v prvom odseku písm. a) v súlade s článkami 10 až 14 nariadení (EÚ) č. 1093/2010, (EÚ) č. 1094/2010 a (EÚ) č. 1095/2010.

Komisii sa udeľuje právomoc prijať spoločné vykonávacie technické predpisy uvedené v prvom odseku písm. b) v súlade s článkom 15 nariadení (EÚ) č. 1093/2010, (EÚ) č. 1094/2010 a (EÚ) č. 1095/2010.

Článok 21

Centralizácia nahlasovania závažných incidentov súvisiacich s IKT

1.   Európske úrady dohľadu prostredníctvom spoločného výboru a po konzultácii s ECB a agentúrou ENISA vypracujú spoločnú správu, v ktorej posúdia uskutočniteľnosť ďalšej centralizácie nahlasovania incidentov pomocou zriadenia jednotného centra EÚ pre nahlasovanie závažných incidentov súvisiacich s IKT finančnými subjektmi. V spoločnej správe sa preskúmajú spôsoby, ako uľahčiť tok nahlasovania údajov o incidentoch súvisiacich s IKT, znížiť súvisiace náklady a podporiť tematické analýzy s cieľom posilniť konvergenciu dohľadu.

2.   Spoločná správa uvedená v odseku 1 obsahuje aspoň tieto prvky:

| a) | predpoklady na zriadenie jednotného centra EÚ; |
| --- | --- |

a)

predpoklady na zriadenie jednotného centra EÚ;

| b) | prínosy, obmedzenia a riziká vrátane rizík spojených s vysokou koncentráciou citlivých informácií; |
| --- | --- |

b)

prínosy, obmedzenia a riziká vrátane rizík spojených s vysokou koncentráciou citlivých informácií;

| c) | potrebnú spôsobilosť na zabezpečenie interoperability, pokiaľ ide o iné relevantné systémy nahlasovania; |
| --- | --- |

c)

potrebnú spôsobilosť na zabezpečenie interoperability, pokiaľ ide o iné relevantné systémy nahlasovania;

| d) | prvky prevádzkového riadenia; |
| --- | --- |

d)

prvky prevádzkového riadenia;

| e) | podmienky členstva; |
| --- | --- |

e)

podmienky členstva;

| f) | technické dojednania prístupu finančných subjektov a príslušných vnútroštátnych orgánov k jednotnému centru EÚ; |
| --- | --- |

f)

technické dojednania prístupu finančných subjektov a príslušných vnútroštátnych orgánov k jednotnému centru EÚ;

| g) | predbežné posúdenie finančných nákladov spojených so zriadením prevádzkovej platformy na podporu jednotného centra EÚ vrátane požadovaných odborných znalostí. |
| --- | --- |

g)

predbežné posúdenie finančných nákladov spojených so zriadením prevádzkovej platformy na podporu jednotného centra EÚ vrátane požadovaných odborných znalostí.

3.   Európske úrady dohľadu predložia správu uvedenú v odseku 1 Európskemu parlamentu, Rade a Komisii do 17. januára 2025.

Článok 22

Spätná väzba orgánov dohľadu

1.   Bez toho, aby boli dotknuté technické vstupy, poradenstvo alebo nápravné opatrenia a následné úkony, ktoré jednotky CSIRT môžu v súlade s vnútroštátnym právom prípadne vykonať podľa smernice (EÚ) 2022/2555, príslušný orgán po prijatí počiatočného oznámenia a každej správy uvedenej v článku 19 ods. 4 potvrdí prijatie a v prípade, že je to uskutočniteľné, môže včas poskytnúť finančnému subjektu relevantnú a primeranú spätnú väzbu alebo usmernenie na vysokej úrovni, najmä sprístupnením akýchkoľvek relevantných anonymizovaných informácií a spravodajských informácií o podobných hrozbách, a môže prediskutovať nápravné opatrenia uplatnené na úrovni finančného subjektu a spôsoby minimalizovania a zmiernenia nepriaznivého vplyvu v celom finančnom sektore. Bez toho, aby bola dotknutá získaná spätná väzba orgánov dohľadu, finančné subjekty zostávajú plne zodpovedné za riešenie incidentov súvisiacich s IKT nahlásených podľa článku 19 ods. 1 a za ich dôsledky.

2.   Európske úrady dohľadu podávajú každoročne prostredníctvom spoločného výboru anonymizované a súhrnné správy o závažných incidentoch súvisiacich s IKT, o ktorých ich informovali príslušné orgány v súlade s článkom 19 ods. 6, pričom uvedú aspoň počet závažných incidentov súvisiacich s IKT, ich povahu a ich vplyv na operácie finančných subjektov alebo klientov, prijaté nápravné opatrenia a vzniknuté náklady.

Európske úrady dohľadu vydávajú varovania a vypracúvajú štatistiky na vysokej úrovni na podporu posudzovania hrozieb a zraniteľnosti IKT.

Článok 23

Prevádzkové alebo bezpečnostné incidenty súvisiace s platbami týkajúce sa úverových inštitúcií, platobných inštitúcií, poskytovateľov služieb informovania o účte a inštitúcií elektronického peňažníctva

Požiadavky stanovené v tejto kapitole sa vzťahujú aj na prevádzkové alebo bezpečnostné incidenty súvisiace s platbami a na závažné prevádzkové alebo bezpečnostné incidenty súvisiace s platbami, ak sa týkajú úverových inštitúcií, platobných inštitúcií, poskytovateľov služieb informovania o účte a inštitúcií elektronického peňažníctva.

KAPITOLA IV

Testovanie digitálnej prevádzkovej odolnosti

Článok 24

Všeobecné požiadavky na vykonávanie testovania digitálnej prevádzkovej odolnosti

1.   Na účely posúdenia pripravenosti riešiť incidenty súvisiace s IKT, identifikácie slabých miest, nedostatkov a medzier v digitálnej prevádzkovej odolnosti a urýchleného vykonania nápravných opatrení finančné subjekty iné ako mikropodniky zriadia, udržiavajú a preskúmavajú spoľahlivý a komplexný program testovania digitálnej prevádzkovej odolnosti ako integrálnu súčasť rámca riadenia IKT rizika uvedeného v článku 6, pričom zohľadňujú kritériá stanovené v článku 4 ods. 2.

2.   Program na testovanie digitálnej prevádzkovej odolnosti zahŕňa celý rad posúdení, testov, metodík, postupov a nástrojov, ktoré sa majú uplatňovať v súlade s článkami 25 a 26.

3.   Pri vykonávaní programu testovania digitálnej prevádzkovej odolnosti uvedeného v odseku 1 tohto článku sa finančné subjekty iné ako mikropodniky riadia prístupom založeným na riziku, zohľadňujúc kritériá stanovené v článku 4 ods. 2, pričom náležite prihliadajú na vyvíjajúce sa prostredie IKT rizika, všetky špecifické riziká, ktorým je alebo by mohol byť dotknutý finančný subjekt vystavený, kritickosť informačných aktív a poskytovaných služieb, ako aj akýkoľvek iný faktor, ktorý finančný subjekt považuje za vhodný.

4.   Finančné subjekty iné ako mikropodniky zabezpečia, aby testy vykonávali nezávislé strany, či už interné alebo externé. Ak testy vykonáva interný testovací subjekt, finančné subjekty vyčlenia dostatočné zdroje a zabezpečia, aby sa vo fáze navrhovania a vykonávania testu zabránilo konfliktom záujmov.

5.   Finančné subjekty iné ako mikropodniky stanovia postupy a politiky na určenie priorít, klasifikáciu a nápravu všetkých problémov odhalených počas vykonávania testov a zavedú interné metodiky validácie s cieľom zabezpečiť úplné riešenie všetkých zistených slabých miest, nedostatkov a medzier.

6.   Finančné subjekty iné ako mikropodniky zabezpečia, aby sa aspoň raz ročne vykonávali vhodné testy všetkých IKT systémov a aplikácií podporujúcich kritické alebo dôležité funkcie.

Článok 25

Testovanie IKT nástrojov a systémov

1.   V rámci programu testovania digitálnej prevádzkovej odolnosti uvedeného v článku 24 sa v súlade s kritériami stanovenými v článku 4 ods. 2 zabezpečí vykonanie vhodných testov, ako sú posúdenia a vyhľadávania zraniteľnosti, analýzy otvorených zdrojov (analýzy open-source riešení), posúdenia bezpečnosti sietí, analýzy nedostatkov, preskúmania fyzickej bezpečnosti, dotazníky a skenovacie softvérové riešenia, preskúmania zdrojových kódov, ak je to možné, testy založené na konkrétnych scenároch, testovania kompatibility, testovania výkonnosti, testovania medzi koncovými bodmi (end-to-end testovania) a penetračné testovania.

2.   Centrálni depozitári cenných papierov a centrálne protistrany vykonávajú posúdenia zraniteľnosti pred akýmkoľvek nasadením alebo opätovným nasadením nových alebo existujúcich aplikácií a zložiek infraštruktúry a IKT služieb podporujúcich kritické alebo dôležité funkcie finančného subjektu.

3.   Mikropodniky vykonávajú testy uvedené v odseku 1 tak, že kombinujú prístup založený na riziku so strategickým plánovaním testovania IKT, pričom náležite zohľadňujú potrebu zachovať vyvážený prístup medzi rozsahom zdrojov a časom, ktorý sa má venovať testovaniu IKT stanovenému v tomto článku, na jednej strane a naliehavosťou, typom rizika, kritickosťou informačných aktív a poskytovaných služieb, ako aj akýmkoľvek iným relevantným faktorom vrátane schopnosti finančného subjektu podstupovať predvídané riziká na strane druhej.

Článok 26

Pokročilé testovanie IKT nástrojov, systémov a procesov vychádzajúce z TLPT

1.   Finančné subjekty iné ako subjekty uvedené v článku 16 ods. 1 prvom pododseku a iné ako mikropodniky, ktoré sú identifikované v súlade s odsekom 8 tretím pododsekom tohto článku, vykonávajú aspoň každé tri roky pokročilé testovanie prostredníctvom TLPT. Na základe rizikového profilu finančného subjektu a s prihliadnutím na prevádzkové okolnosti môže príslušný orgán v prípade potreby požiadať finančný subjekt o zníženie alebo zvýšenie tejto frekvencie.

2.   Každý penetračný test na základe konkrétnej hrozby zahŕňa viaceré alebo všetky kritické alebo dôležité funkcie finančného subjektu a vykonáva sa na živých produkčných systémoch podporujúcich takéto funkcie.

Finančné subjekty identifikujú všetky relevantné podkladové IKT systémy, procesy a technológie podporujúce kritické alebo dôležité funkcie a všetky relevantné IKT služby vrátane tých, ktoré podporujú kritické alebo dôležité funkcie, ktoré sú externe zabezpečované formou outsourcingu alebo zmluvne dohodnuté s externým poskytovateľom IKT služieb.

Finančné subjekty posúdia, na ktoré kritické alebo dôležité funkcie, sa TLPT musí vzťahovať. Výsledok tohto posúdenia určí presný rozsah TLPT a validujú ho príslušné orgány.

3.   Ak sú externí poskytovatelia IKT služieb zahrnutí do rozsahu pôsobnosti TLPT, finančný subjekt prijme potrebné opatrenia a záruky na zabezpečenie účasti takýchto externých poskytovateľov IKT služieb na TLPT a vždy si ponechá plnú zodpovednosť za zabezpečenie súladu s týmto nariadením.

4.   Bez toho, aby bol dotknutý odsek 2 prvý a druhý pododsek, ak sa opodstatnene očakáva, že účasť externého poskytovateľa IKT služieb na TLPT uvedenom v odseku 3, by mala nepriaznivý vplyv na kvalitu alebo bezpečnosť služieb, ktoré externý poskytovateľ IKT služieb poskytuje zákazníkom, ktorí sú subjektmi, na ktoré sa toto nariadenie nevzťahuje, alebo na dôvernosť údajov súvisiacich s takýmito službami, finančný subjekt a externý poskytovateľ IKT služieb sa môžu písomne dohodnúť, že externý poskytovateľ IKT služieb priamo vstúpi do zmluvných dojednaní s externým testovacím subjektom na účely vykonania združeného TLPT riadeného jedným určeným finančným subjektom, ktoré zahŕňa niekoľko finančných subjektov (ďalej len „združené testovanie“), ktorým externý poskytovateľ IKT služieb poskytuje IKT služby.

Toto združené testovanie sa vzťahuje na príslušnú škálu IKT služieb podporujúcich kritické alebo dôležité funkcie, v súvislosti s ktorými finančné subjekty uzavreli zmluvy s príslušným externým poskytovateľom IKT služieb. Združené testovanie sa považuje za TLPT vykonané finančnými subjektmi, ktoré sa zúčastňujú na združenom testovaní.

Počet finančných subjektov zúčastňujúcich sa na združenom testovaní sa náležite kalibruje s prihliadnutím na zložitosť a typy príslušných služieb.

5.   Finančné subjekty v spolupráci s externými poskytovateľmi IKT služieb a inými zainteresovanými stranami vrátane testovacích subjektov, ale s výnimkou príslušných orgánov, uplatňujú účinné kontroly riadenia rizík s cieľom zmierniť riziká akéhokoľvek potenciálneho vplyvu na údaje, poškodenie aktív a narušenie kritických alebo dôležitých funkcií, služieb alebo operácií samotného finančného subjektu, jeho protistrán alebo finančného sektora.

6.   Na konci testovania po schválení správ a plánov nápravy finančný subjekt a v náležitých prípadoch externé testovacie subjekty poskytnú orgánu určenému v súlade s odsekom 9 alebo 10 zhrnutie príslušných zistení, plány nápravy a dokumentáciu preukazujúcu, že TLPT bolo vykonané v súlade s požiadavkami.

7.   Orgány poskytnú finančným subjektom osvedčenie potvrdzujúce, že test bol vykonaný v súlade s požiadavkami uvedenými v dokumentácii, aby mohli príslušné orgány tieto penetračné testy na základe konkrétnej hrozby navzájom uznávať. Finančný subjekt oznámi osvedčenie, zhrnutie relevantných zistení a plány nápravy relevantnému príslušnému orgánu.

Bez toho, aby bolo dotknuté takéto osvedčenie, finančné subjekty zostávajú vždy plne zodpovedné za dôsledky testov uvedených v odseku 4.

8.   Finančné subjekty uzatvárajú zmluvy s testovacími subjektmi na účely vykonávania TLPT v súlade s článkom 27. Ak finančné subjekty využívajú interné testovacie subjekty na účely vykonávania TLPT, uzatvoria zmluvu s externými testovacími subjektmi po každom treťom testovaní.

Úverové inštitúcie, ktoré sú klasifikované ako významné v súlade s článkom 6 ods. 4 nariadenia (EÚ) č. 1024/2013, využívajú len externé testovacie subjekty v súlade s článkom 27 ods. 1 písm. a) až e).

Príslušné orgány určia finančné subjekty, od ktorých sa vyžaduje vykonávanie TLPT, pričom zohľadnia kritériá stanovené v článku 4 ods. 2, a to na základe posúdenia:

| a) | faktorov súvisiacich s vplyvom, najmä rozsahom, v akom služby poskytované a činnosti vykonávané finančným subjektom majú vplyv na finančný sektor; |
| --- | --- |

a)

faktorov súvisiacich s vplyvom, najmä rozsahom, v akom služby poskytované a činnosti vykonávané finančným subjektom majú vplyv na finančný sektor;

| b) | prípadných obáv o finančnú stabilitu vrátane systémového charakteru finančného subjektu na úrovni Únie alebo na vnútroštátnej úrovni, podľa toho, čo je uplatniteľné; |
| --- | --- |

b)

prípadných obáv o finančnú stabilitu vrátane systémového charakteru finančného subjektu na úrovni Únie alebo na vnútroštátnej úrovni, podľa toho, čo je uplatniteľné;

| c) | konkrétneho IKT rizikového profilu, úrovne IKT vyspelosti finančného subjektu alebo súvisiacich technologických prvkov. |
| --- | --- |

c)

konkrétneho IKT rizikového profilu, úrovne IKT vyspelosti finančného subjektu alebo súvisiacich technologických prvkov.

9.   Členské štáty môžu určiť jeden verejný orgán vo finančnom sektore, ktorý bude zodpovedný za záležitosti súvisiace s TLPT vo finančnom sektore na vnútroštátnej úrovni, a poveria ho všetkými právomocami a úlohami na tento účel.

10.   Ak neexistuje určenie v súlade s odsekom 9 tohto článku a bez toho, aby bola dotknutá právomoc identifikovať finančné subjekty, od ktorých sa vyžaduje, aby vykonávali TLPT, príslušný orgán môže delegovať vykonávanie niektorých alebo všetkých úloh uvedených v tomto článku a článku 27 na iný vnútroštátny orgán vo finančnom sektore.

11.   Európske orgány dohľadu po dohode s ECB vypracujú spoločný návrh regulačných technických predpisov v súlade s rámcom TIBER–EU s cieľom bližšie špecifikovať:

| a) | kritériá používané na účely uplatňovania odseku 8 druhého pododseku; |
| --- | --- |

a)

kritériá používané na účely uplatňovania odseku 8 druhého pododseku;

| b) | požiadavky a normy, ktorými sa riadi využívanie interných testovacích subjektov; |
| --- | --- |

b)

požiadavky a normy, ktorými sa riadi využívanie interných testovacích subjektov;

| c) | požiadavky v súvislosti s:






  i) | rozsahom pôsobnosti TLPT uvedeným v odseku 2; |
| --- | --- | --- |

c)

požiadavky v súvislosti s:

i)

rozsahom pôsobnosti TLPT uvedeným v odseku 2;

| ii) | metodikou testovania a prístupom, ktoré sa majú dodržiavať pre každú konkrétnu fázu testovania; |
| --- | --- |

ii)

metodikou testovania a prístupom, ktoré sa majú dodržiavať pre každú konkrétnu fázu testovania;

| iii) | výsledkami, záverečnými a nápravnými štádiami testovania; |
| --- | --- |

iii)

výsledkami, záverečnými a nápravnými štádiami testovania;

| d) | druh spolupráce v oblasti dohľadu a v iných relevantných oblastiach, ktorá je potrebná na vykonávanie TLPT, ako aj na uľahčenie vzájomného uznávania uvedeného testovania v kontexte finančných subjektov, ktoré pôsobia vo viac ako jednom členskom štáte, aby sa umožnila primeraná úroveň zapojenia orgánov dohľadu a pružné vykonávanie s cieľom zohľadniť osobitosti finančných podsektorov alebo miestnych finančných trhov. |
| --- | --- |

d)

druh spolupráce v oblasti dohľadu a v iných relevantných oblastiach, ktorá je potrebná na vykonávanie TLPT, ako aj na uľahčenie vzájomného uznávania uvedeného testovania v kontexte finančných subjektov, ktoré pôsobia vo viac ako jednom členskom štáte, aby sa umožnila primeraná úroveň zapojenia orgánov dohľadu a pružné vykonávanie s cieľom zohľadniť osobitosti finančných podsektorov alebo miestnych finančných trhov.

Pri vypracúvaní tohto návrhu regulačných technických predpisov európske orgány dohľadu náležite zohľadnia všetky špecifické aspekty vyplývajúce z odlišnej povahy činností v rôznych sektoroch finančných služieb.

Európske orgány dohľadu predložia uvedený návrh regulačných technických predpisov Komisii do 17. júla 2024.

Na Komisiu sa deleguje právomoc doplniť toto nariadenie prijatím regulačných technických predpisov uvedených v prvom pododseku v súlade s článkami 10 až 14 nariadení (EÚ) č. 1093/2010, (EÚ) č. 1094/2010 a (EÚ) č. 1095/2010.

Článok 27

Požiadavky na testovacie subjekty pri vykonávaní TLPT

1.   Finančné subjekty využívajú na vykonávanie TLPT iba testovacie subjekty, ktoré:

| a) | sú najvhodnejšie a najuznávanejšie; |
| --- | --- |

a)

sú najvhodnejšie a najuznávanejšie;

| b) | disponujú technickými a organizačnými spôsobilosťami a preukazujú osobitné odborné znalosti v oblasti spravodajských informácií o hrozbách, penetračného testovania a testovania prostredníctvom červeného tímu; |
| --- | --- |

b)

disponujú technickými a organizačnými spôsobilosťami a preukazujú osobitné odborné znalosti v oblasti spravodajských informácií o hrozbách, penetračného testovania a testovania prostredníctvom červeného tímu;

| c) | sú certifikované akreditačným orgánom v členskom štáte alebo dodržiavajú formálne kódexy správania alebo etické rámce; |
| --- | --- |

c)

sú certifikované akreditačným orgánom v členskom štáte alebo dodržiavajú formálne kódexy správania alebo etické rámce;

| d) | poskytujú nezávislé uistenie alebo audítorskú správu v súvislosti so správnym riadením rizík spojených s vykonávaním TLPT vrátane náležitej ochrany dôverných informácií finančného subjektu a nápravy obchodných rizík finančného subjektu; |
| --- | --- |

d)

poskytujú nezávislé uistenie alebo audítorskú správu v súvislosti so správnym riadením rizík spojených s vykonávaním TLPT vrátane náležitej ochrany dôverných informácií finančného subjektu a nápravy obchodných rizík finančného subjektu;

| e) | sú riadne a v plnom rozsahu kryté príslušnými poisteniami zodpovednosti za škodu spôsobenú pri výkone povolania, a to aj pre prípad pochybenia a nedbanlivosti. |
| --- | --- |

e)

sú riadne a v plnom rozsahu kryté príslušnými poisteniami zodpovednosti za škodu spôsobenú pri výkone povolania, a to aj pre prípad pochybenia a nedbanlivosti.

2.   Ak využívajú interné testovacie subjekty, finančné subjekty musia zabezpečiť, aby okrem požiadaviek v odseku 1, boli splnené aj tieto podmienky:

| a) | takéto využitie schválil relevantný príslušný orgán alebo jeden verejný orgán určený v súlade s článkom 26 ods. 9 a 10; |
| --- | --- |

a)

takéto využitie schválil relevantný príslušný orgán alebo jeden verejný orgán určený v súlade s článkom 26 ods. 9 a 10;

| b) | relevantný príslušný orgán overil, že finančný subjekt má dostatočné vyčlenené zdroje a zabezpečil, aby sa vo fáze navrhovania a vykonávania testu zabránilo konfliktom záujmov, a |
| --- | --- |

b)

relevantný príslušný orgán overil, že finančný subjekt má dostatočné vyčlenené zdroje a zabezpečil, aby sa vo fáze navrhovania a vykonávania testu zabránilo konfliktom záujmov, a

| c) | poskytovateľ spravodajských informácií o hrozbách je vo vzťahu k finančnému subjektu externým subjektom. |
| --- | --- |

c)

poskytovateľ spravodajských informácií o hrozbách je vo vzťahu k finančnému subjektu externým subjektom.

3.   Finančné subjekty zabezpečia, aby sa v zmluvách uzavretých s externými testovacími subjektmi vyžadovalo správne riadenie výsledkov TLPT a aby akékoľvek spracúvanie z toho vyplývajúcich údajov vrátane akéhokoľvek generovania, uchovávania, agregácie, navrhovania, podávania správ, komunikácie alebo likvidácie nevytváralo pre finančný subjekt riziká.

KAPITOLA V

Riadenie externého IKT rizika

Oddiel I

Kľúčové zásady správneho riadenia externého IKT rizika

Článok 28

Všeobecné zásady

1.   Finančné subjekty riadia externé IKT riziko ako integrálnu súčasť IKT rizika v medziach svojho rámca riadenia IKT rizika, ako je uvedené v článku 6 ods. 1, a v súlade s týmito zásadami:

| a) | finančné subjekty, ktoré majú uzavreté zmluvné dojednania o využívaní IKT služieb na vykonávanie svojich obchodných činností, sú vždy plne zodpovedné za dodržiavanie a plnenie všetkých povinností vyplývajúcich z tohto nariadenia a uplatniteľného práva v oblasti finančných službách; |
| --- | --- |

a)

finančné subjekty, ktoré majú uzavreté zmluvné dojednania o využívaní IKT služieb na vykonávanie svojich obchodných činností, sú vždy plne zodpovedné za dodržiavanie a plnenie všetkých povinností vyplývajúcich z tohto nariadenia a uplatniteľného práva v oblasti finančných službách;

| b) | riadenie externého IKT rizika finančnými subjektmi sa vykonáva so zreteľom na zásadu proporcionality, pričom sa zohľadňujú tieto aspekty:






  i) | povaha, rozsah, zložitosť a význam závislostí súvisiacich s IKT; |
| --- | --- | --- |

b)

riadenie externého IKT rizika finančnými subjektmi sa vykonáva so zreteľom na zásadu proporcionality, pričom sa zohľadňujú tieto aspekty:

i)

povaha, rozsah, zložitosť a význam závislostí súvisiacich s IKT;

| ii) | riziká vyplývajúce zo zmluvných dojednaní o využívaní IKT služieb uzavretých s externými poskytovateľmi IKT služieb, pričom sa zohľadňuje kritickosť alebo dôležitosť príslušnej služby, procesu alebo funkcie, ako aj potenciálny vplyv na kontinuitu a dostupnosť finančných služieb a činností na individuálnej úrovni a na úrovni skupiny. |
| --- | --- |

ii)

riziká vyplývajúce zo zmluvných dojednaní o využívaní IKT služieb uzavretých s externými poskytovateľmi IKT služieb, pričom sa zohľadňuje kritickosť alebo dôležitosť príslušnej služby, procesu alebo funkcie, ako aj potenciálny vplyv na kontinuitu a dostupnosť finančných služieb a činností na individuálnej úrovni a na úrovni skupiny.

2.   Finančné subjekty iné ako subjekty uvedené v článku 16 ods. 1 prvom pododseku a iné ako mikropodniky prijmú a pravidelne preskúmavajú stratégiu týkajúcu sa externého IKT rizika ako súčasť svojho rámca riadenia IKT rizika, pričom v náležitých prípadoch zohľadnia stratégiu viacerých dodávateľov uvedenú v článku 6 ods. 9 Stratégia týkajúca sa externého IKT rizika zahŕňa politiku využívania IKT služieb podporujúcich kritické alebo dôležité funkcie poskytované externými poskytovateľmi IKT služieb a uplatňuje sa na individuálnom, a v relevantných prípadoch na subkonsolidovanom a konsolidovanom základe. Riadiaci orgán na základe posúdenia celkového rizikového profilu finančného subjektu a rozsahu a zložitosti obchodných služieb pravidelne preskúmava riziká identifikované v súvislosti so zmluvnými dojednaniami o využívaní IKT služieb podporujúcich kritické alebo dôležité funkcie.

3.   Finančné subjekty ako súčasť svojho rámca riadenia IKT rizika vedú a aktualizujú na úrovni subjektu, ako aj na subkonsolidovanej a konsolidovanej úrovni register informácií v súvislosti so všetkými zmluvnými dojednaniami o využívaní IKT služieb poskytovaných externými poskytovateľmi IKT služieb.

Zmluvné dojednania uvedené v prvom pododseku musia byť náležite zdokumentované, pričom sa rozlišuje medzi tými, ktoré sa vzťahujú na IKT služby podporujúce kritické alebo dôležité funkcie, a tými, ktoré sa na ne nevzťahujú.

Finančné subjekty aspoň raz ročne nahlasujú príslušným orgánom počet nových dojednaní o využívaní IKT služieb, kategórie externých poskytovateľov IKT služieb, druh zmluvných dojednaní a poskytované IKT služby a funkcie.

Finančné subjekty sprístupnia príslušnému orgánu na jeho žiadosť úplný register informácií alebo na požiadanie jeho konkrétne oddiely spolu so všetkými informáciami, ktoré sa považujú za potrebné na umožnenie účinného dohľadu nad finančným subjektom.

Finančné subjekty včas informujú príslušný orgán o každom plánovanom zmluvnom dojednaní o využívaní IKT služieb podporujúcich kritické alebo dôležité funkcie, ako aj o tom, kedy sa funkcia stala kritickou alebo dôležitou.

4.   Pred uzavretím zmluvného dojednania o využívaní IKT služieb finančné subjekty:

| a) | posúdia, či sa zmluvné dojednanie vzťahuje na využívanie IKT služieb podporujúcich kritickú alebo dôležitú funkciu; |
| --- | --- |

a)

posúdia, či sa zmluvné dojednanie vzťahuje na využívanie IKT služieb podporujúcich kritickú alebo dôležitú funkciu;

| b) | posúdia, či sú splnené podmienky dohľadu pre uzatváranie zmlúv; |
| --- | --- |

b)

posúdia, či sú splnené podmienky dohľadu pre uzatváranie zmlúv;

| c) | identifikujú a posúdia všetky relevantné riziká v súvislosti so zmluvným dojednaním vrátane možnosti, že takéto zmluvné dojednania môžu prispieť k posilneniu rizika koncentrácie IKT, ako sa uvádza v článku 29; |
| --- | --- |

c)

identifikujú a posúdia všetky relevantné riziká v súvislosti so zmluvným dojednaním vrátane možnosti, že takéto zmluvné dojednania môžu prispieť k posilneniu rizika koncentrácie IKT, ako sa uvádza v článku 29;

| d) | vykonajú všetku náležitú starostlivosť v súvislosti s potenciálnymi externými poskytovateľmi IKT služieb a zabezpečia vhodnosť externého poskytovateľa IKT služieb počas celého procesu výberu a posudzovania; |
| --- | --- |

d)

vykonajú všetku náležitú starostlivosť v súvislosti s potenciálnymi externými poskytovateľmi IKT služieb a zabezpečia vhodnosť externého poskytovateľa IKT služieb počas celého procesu výberu a posudzovania;

| e) | identifikujú a posúdia konflikty záujmu, ktoré môže zmluvné dojednanie spôsobiť. |
| --- | --- |

e)

identifikujú a posúdia konflikty záujmu, ktoré môže zmluvné dojednanie spôsobiť.

5.   Finančné subjekty môžu uzatvárať zmluvné dojednania len s externými poskytovateľmi IKT služieb, ktorí spĺňajú primerané normy v oblasti informačnej bezpečnosti. V prípade, že sa uvedené zmluvné dojednania týkajú kritických alebo dôležitých funkcií, finančné subjekty pred uzatvorením dojednaní náležite zohľadnia, ako externí poskytovatelia IKT služieb využívajú najaktuálnejšie a najprísnejšie normy kvality v oblasti informačnej bezpečnosti.

6.   Pri vykonávaní práv na prístup, inšpekciu a audit, pokiaľ ide o externého poskytovateľa IKT služieb, finančné subjekty na základe prístupu založeného na riziku vopred určia frekvenciu auditov a inšpekcií, ako aj oblasti, v ktorých sa má audit vykonať dodržiavaním všeobecne akceptovaných audítorských štandardov v súlade s akýmikoľvek pokynmi orgánov dohľadu o používaní a začlenení týchto audítorských štandardov.

V prípade, že zmluvné dojednania o využívaní IKT služieb uzatvorené s externými poskytovateľmi IKT služieb so sebou prinášajú vysokú technickú zložitosť, finančný subjekt overí, či audítori, a to interní alebo externí, alebo združenie audítorov, majú primerané zručnosti a znalosti na účinné vykonávanie príslušných auditov a posúdení.

7.   Finančné subjekty zabezpečia, aby sa zmluvné dojednania o využívaní IKT služieb mohli ukončiť za ktorýchkoľvek z týchto okolností:

| a) | významné porušenie príslušných zákonov, iných právnych predpisov alebo zmluvných podmienok zo strany externého poskytovateľa IKT služieb; |
| --- | --- |

a)

významné porušenie príslušných zákonov, iných právnych predpisov alebo zmluvných podmienok zo strany externého poskytovateľa IKT služieb;

| b) | okolnosti zistené počas monitorovania externého IKT rizika, ktoré sa považujú za schopné zmeniť výkon funkcií poskytovaných prostredníctvom zmluvného dojednania vrátane závažných zmien, ktoré majú vplyv na dojednanie alebo situáciu externého poskytovateľa IKT služieb; |
| --- | --- |

b)

okolnosti zistené počas monitorovania externého IKT rizika, ktoré sa považujú za schopné zmeniť výkon funkcií poskytovaných prostredníctvom zmluvného dojednania vrátane závažných zmien, ktoré majú vplyv na dojednanie alebo situáciu externého poskytovateľa IKT služieb;

| c) | preukázané slabé stránky externého poskytovateľa IKT služieb, týkajúce sa jeho celkového riadenia IKT rizika, a najmä spôsobu, akým zaisťuje dostupnosť, pravosť, integritu a dôvernosť údajov, či už osobných alebo inak citlivých údajov, alebo iných ako osobných údajov; |
| --- | --- |

c)

preukázané slabé stránky externého poskytovateľa IKT služieb, týkajúce sa jeho celkového riadenia IKT rizika, a najmä spôsobu, akým zaisťuje dostupnosť, pravosť, integritu a dôvernosť údajov, či už osobných alebo inak citlivých údajov, alebo iných ako osobných údajov;

| d) | ak príslušný orgán už nemôže účinne vykonávať dohľad nad finančným subjektom v dôsledku podmienok alebo okolností súvisiacich s príslušným zmluvným dojednaním. |
| --- | --- |

d)

ak príslušný orgán už nemôže účinne vykonávať dohľad nad finančným subjektom v dôsledku podmienok alebo okolností súvisiacich s príslušným zmluvným dojednaním.

8.   Pokiaľ ide o IKT služby podporujúce kritické alebo dôležité funkcie, finančné subjekty zavedú stratégie ukončenia angažovanosti. Stratégie ukončenia angažovanosti zohľadňujú riziká, ktoré môžu vzniknúť na úrovni externých poskytovateľov IKT služieb, najmä ich možné zlyhanie, zhoršenie kvality poskytovaných IKT služieb, akékoľvek narušenie obchodnej činnosti v dôsledku neprimeraného alebo neúspešného poskytovania IKT služieb alebo akéhokoľvek závažného rizika vyplývajúceho z primeraného a nepretržitého využívania príslušnej IKT služby, alebo v prípade ukončenia zmluvných dojednaní s externými poskytovateľmi IKT služieb za akýchkoľvek okolností uvedených v odseku 7.

Finančné subjekty zabezpečia, aby mohli ukončiť zmluvné dojednania bez:

| a) | narušenia svojej obchodnej činnosti; |
| --- | --- |

a)

narušenia svojej obchodnej činnosti;

| b) | obmedzenia dodržiavania regulačných požiadaviek; |
| --- | --- |

b)

obmedzenia dodržiavania regulačných požiadaviek;

| c) | ohrozenia kontinuity a kvality služieb poskytovaných klientom. |
| --- | --- |

c)

ohrozenia kontinuity a kvality služieb poskytovaných klientom.

Plány ukončenia angažovanosti musia byť komplexné, zdokumentované a v súlade s kritériami stanovenými v článku 4 ods. 2 dostatočne otestované a pravidelne preskúmavané.

Finančné subjekty určia alternatívne riešenia a vypracujú plány transformácie, ktoré im umožnia odstrániť zmluvne dohodnuté IKT služby a príslušné údaje od externého poskytovateľa IKT služieb a bezpečne a úplne ich preniesť na alternatívnych poskytovateľov alebo ich opätovne začleniť medzi interne zabezpečované funkcie.

Finančné subjekty majú zavedené primerané pohotovostné opatrenia na zachovanie kontinuity činností v prípade okolností uvedených v prvom pododseku.

9.   Európske orgány dohľadu vypracujú prostredníctvom spoločného výboru návrh vykonávacích technických predpisov na stanovenie štandardných vzorov na účely registra informácií uvedeného v odseku 3 vrátane informácií, ktoré sú spoločné pre všetky zmluvné dojednania o využívaní IKT služieb. Európske orgány dohľadu predložia uvedený návrh vykonávacích technických predpisov Komisii do 17. januára 2024.

Komisii sa udeľuje právomoc prijať vykonávacie technické predpisy uvedené v prvom pododseku v súlade s článkom 15 nariadení (EÚ) č. 1093/2010, (EÚ) č. 1094/2010 a (EÚ) č. 1095/2010.

10.   Európske orgány dohľadu prostredníctvom spoločného výboru vypracujú návrh regulačných technických predpisov s cieľom bližšie špecifikovať podrobný obsah politiky uvedenej v odseku 2 v súvislosti so zmluvnými dojednaniami o využívaní IKT služieb podporujúcich kritické alebo dôležité funkcie, ktoré poskytujú externí poskytovatelia IKT služieb.

Európske orgány dohľadu pri vypracúvaní tohto návrhu regulačných technických predpisov zohľadňujú veľkosť a celkový rizikový profil finančného subjektu, ako aj povahu, rozsah a zložitosť jeho služieb, činností a operácií. Európske orgány dohľadu predložia uvedený návrh regulačných technických predpisov Komisii do 17. januára 2024.

Na Komisiu sa deleguje právomoc doplniť toto nariadenie prijatím regulačných technických predpisov uvedených v prvom pododseku v súlade s článkami 10 až 14 nariadení (EÚ) č. 1093/2010, (EÚ) č. 1094/2010 a (EÚ) č. 1095/2010.

Článok 29

Predbežné posúdenie rizika koncentrácie IKT na úrovni subjektu

1.   Pri vykonávaní identifikácie a posudzovania rizík uvedených v článku 28 ods. 4 písm. c) finančné subjekty zohľadňujú aj to, či by plánované uzavretie zmluvného dojednania v súvislosti s IKT službami podporujúcimi kritické alebo dôležité funkcie viedlo k niektorej z týchto skutočností:

| a) | uzatvorenie zmluvy s externým poskytovateľom IKT služieb, ktorý nie je ľahko nahraditeľný, alebo |
| --- | --- |

a)

uzatvorenie zmluvy s externým poskytovateľom IKT služieb, ktorý nie je ľahko nahraditeľný, alebo

| b) | uzatvorenie viacerých zmluvných dojednaní v súvislosti s poskytovaním IKT služieb podporujúcich kritické alebo dôležité funkcie s tým istým externým poskytovateľom IKT služieb alebo s úzko prepojenými externými poskytovateľmi IKT služieb. |
| --- | --- |

b)

uzatvorenie viacerých zmluvných dojednaní v súvislosti s poskytovaním IKT služieb podporujúcich kritické alebo dôležité funkcie s tým istým externým poskytovateľom IKT služieb alebo s úzko prepojenými externými poskytovateľmi IKT služieb.

Finančné subjekty zvážia prínosy a náklady alternatívnych riešení, ako je využívanie rôznych externých poskytovateľov IKT služieb, a súčasne zohľadnia, či a ako plánované riešenia zodpovedajú obchodným potrebám a cieľom stanoveným v ich stratégii digitálnej odolnosti.

2.   Ak zmluvné dojednania o využívaní IKT služieb podporujúcich kritické alebo dôležité funkcie zahŕňajú možnosť, že externý poskytovateľ IKT služieb ďalej subdodávateľsky zabezpečí IKT služby podporujúce kritickú alebo dôležitú funkciu iným externým poskytovateľom IKT služieb, finančné subjekty zvážia prínosy a riziká, ktoré môžu vzniknúť v súvislosti s takýmto subdodávateľským zabezpečením, najmä v prípade subdodávateľa IKT usadeného v tretej krajine.

Ak sa zmluvné dojednania týkajú IKT služieb podporujúcich kritické alebo dôležité funkcie, finančné subjekty náležite zohľadnia ustanovenia insolvenčného práva, ktoré by sa uplatnili v prípade konkurzu externého poskytovateľa IKT služieb, ako aj akékoľvek obmedzenia, ktoré môžu vzniknúť v súvislosti s naliehavým obnovením údajov finančného subjektu.

Ak sa zmluvné dojednania o využívaní IKT služieb podporujúcich kritické alebo dôležité funkcie uzatvoria s externým poskytovateľom IKT služieb usadeným v tretej krajine, finančné subjekty okrem aspektov uvedených v druhom pododseku zvážia aj súlad s pravidlami Únie v oblasti ochrany údajov a účinné presadzovanie práva v tejto tretej krajine.

Ak zmluvné dojednania o využívaní IKT služieb podporujúcich kritické alebo dôležité funkcie umožňujú využívanie subdodávateľských vzťahov, finančné subjekty posúdia, či a ako môžu potenciálne dlhé alebo zložité subdodávateľské reťazce ovplyvniť ich schopnosť plne monitorovať zmluvne dohodnuté funkcie a schopnosť príslušného orgánu účinne vykonávať dohľad nad finančným subjektom v tejto súvislosti.

Článok 30

Kľúčové zmluvné ustanovenia

1.   Práva a povinnosti finančného subjektu a externého poskytovateľa IKT služieb sa jasne pridelia a stanovia písomne. Úplná zmluva zahŕňa dohody o úrovni poskytovaných služieb a zdokumentuje sa v jednom písomnom dokumente, ktorý majú zmluvné strany k dispozícii v papierovej forme, alebo v dokumente v inom stiahnuteľnom, trvalom a prístupnom formáte.

2.   Zmluvné dojednania o využívaní IKT služieb zahŕňajú aspoň tieto prvky:

| a) | jasný a úplný opis všetkých funkcií a IKT služieb, ktoré má externý poskytovateľ IKT služieb poskytovať, pričom sa uvedie, či je povolené zadávanie IKT služieb podporujúcich kritickú alebo dôležitú funkciu alebo jej závažných častí subdodávateľovi, a ak áno, podmienky vzťahujúce sa na takéto využívanie subdodávateľa; |
| --- | --- |

a)

jasný a úplný opis všetkých funkcií a IKT služieb, ktoré má externý poskytovateľ IKT služieb poskytovať, pričom sa uvedie, či je povolené zadávanie IKT služieb podporujúcich kritickú alebo dôležitú funkciu alebo jej závažných častí subdodávateľovi, a ak áno, podmienky vzťahujúce sa na takéto využívanie subdodávateľa;

| b) | miesta, konkrétne regióny alebo krajiny, kde sa majú poskytovať zmluvne dohodnuté alebo subdodávateľsky zabezpečované funkcie a IKT služby a kde sa majú údaje spracúvať vrátane miesta uchovávania, ako aj požiadavka, aby externý poskytovateľ IKT služieb vopred informoval finančný subjekt, ak plánuje zmeniť takéto miesto; |
| --- | --- |

b)

miesta, konkrétne regióny alebo krajiny, kde sa majú poskytovať zmluvne dohodnuté alebo subdodávateľsky zabezpečované funkcie a IKT služby a kde sa majú údaje spracúvať vrátane miesta uchovávania, ako aj požiadavka, aby externý poskytovateľ IKT služieb vopred informoval finančný subjekt, ak plánuje zmeniť takéto miesto;

| c) | ustanovenia o dostupnosti, pravosti, integrite alebo dôvernosti v súvislosti s ochranou údajov vrátane osobných údajov; |
| --- | --- |

c)

ustanovenia o dostupnosti, pravosti, integrite alebo dôvernosti v súvislosti s ochranou údajov vrátane osobných údajov;

| d) | ustanovenia o zabezpečení obnovy a návratu osobných údajov a iných ako osobných údajov spracúvaných finančným subjektom v ľahko prístupnom formáte v prípade platobnej neschopnosti, riešenia krízových situácií alebo ukončenia obchodných operácií externého poskytovateľa IKT služieb, alebo v prípade ukončenia zmluvných dojednaní, a prístupu k takýmto údajom; |
| --- | --- |

d)

ustanovenia o zabezpečení obnovy a návratu osobných údajov a iných ako osobných údajov spracúvaných finančným subjektom v ľahko prístupnom formáte v prípade platobnej neschopnosti, riešenia krízových situácií alebo ukončenia obchodných operácií externého poskytovateľa IKT služieb, alebo v prípade ukončenia zmluvných dojednaní, a prístupu k takýmto údajom;

| e) | opis úrovne poskytovaných služieb vrátane ich aktualizácií a revízií; |
| --- | --- |

e)

opis úrovne poskytovaných služieb vrátane ich aktualizácií a revízií;

| f) | povinnosť externého poskytovateľa IKT služieb poskytovať pomoc finančnému subjektu bez dodatočných nákladov alebo za náklady stanovené ex ante, keď dôjde k IKT incidentu, ktorý súvisí s IKT službou poskytnutou finančnému subjektu; |
| --- | --- |

f)

povinnosť externého poskytovateľa IKT služieb poskytovať pomoc finančnému subjektu bez dodatočných nákladov alebo za náklady stanovené ex ante, keď dôjde k IKT incidentu, ktorý súvisí s IKT službou poskytnutou finančnému subjektu;

| g) | povinnosť externého poskytovateľa IKT služieb plne spolupracovať s príslušnými orgánmi a orgánmi pre riešenie krízových situácií finančného subjektu, vrátane osôb nimi vymenovanými; |
| --- | --- |

g)

povinnosť externého poskytovateľa IKT služieb plne spolupracovať s príslušnými orgánmi a orgánmi pre riešenie krízových situácií finančného subjektu, vrátane osôb nimi vymenovanými;

| h) | právo ukončiť zmluvný vzťah a súvisiaca minimálna výpovedná lehota na ukončenie zmluvných dojednaní v súlade s očakávaniami príslušných orgánov a orgánov pre riešenie krízových situácií; |
| --- | --- |

h)

právo ukončiť zmluvný vzťah a súvisiaca minimálna výpovedná lehota na ukončenie zmluvných dojednaní v súlade s očakávaniami príslušných orgánov a orgánov pre riešenie krízových situácií;

| i) | podmienky účasti externých poskytovateľov IKT služieb na programoch zvyšovania informovanosti finančných subjektov v oblasti bezpečnosti IKT a na školení v oblasti digitálnej prevádzkovej odolnosti v súlade s článkom 13 ods. 6 |
| --- | --- |

i)

podmienky účasti externých poskytovateľov IKT služieb na programoch zvyšovania informovanosti finančných subjektov v oblasti bezpečnosti IKT a na školení v oblasti digitálnej prevádzkovej odolnosti v súlade s článkom 13 ods. 6

3.   Zmluvné dojednania o využívaní IKT služieb podporujúcich kritické alebo dôležité funkcie zahŕňajú okrem prvkov uvedených v odseku 2 aspoň tieto prvky:

| a) | úplné opisy úrovne služieb vrátane ich aktualizácií a revízií, ako aj presné kvantitatívne a kvalitatívne výkonnostné ciele v rámci dohodnutých úrovní služieb, aby finančný subjekt mohol účinne monitorovať IKT služby a mal možnosť bez zbytočného odkladu vykonať primerané nápravné opatrenia v prípade nesplnenia dohodnutých úrovní služieb; |
| --- | --- |

a)

úplné opisy úrovne služieb vrátane ich aktualizácií a revízií, ako aj presné kvantitatívne a kvalitatívne výkonnostné ciele v rámci dohodnutých úrovní služieb, aby finančný subjekt mohol účinne monitorovať IKT služby a mal možnosť bez zbytočného odkladu vykonať primerané nápravné opatrenia v prípade nesplnenia dohodnutých úrovní služieb;

| b) | výpovedné lehoty a nahlasovacie povinnosti externého poskytovateľa IKT služieb voči finančnému subjektu vrátane oznamovania akéhokoľvek vývoja, ktorý by mohol mať významný vplyv na schopnosť externého poskytovateľa IKT služieb účinne poskytovať IKT služby podporujúce kritické alebo dôležité funkcie v súlade s dohodnutými úrovňami služieb; |
| --- | --- |

b)

výpovedné lehoty a nahlasovacie povinnosti externého poskytovateľa IKT služieb voči finančnému subjektu vrátane oznamovania akéhokoľvek vývoja, ktorý by mohol mať významný vplyv na schopnosť externého poskytovateľa IKT služieb účinne poskytovať IKT služby podporujúce kritické alebo dôležité funkcie v súlade s dohodnutými úrovňami služieb;

| c) | požiadavky na externého poskytovateľa IKT služieb na vykonávanie a testovanie obchodných krízových plánov a na zavedenie bezpečnostných opatrení, nástrojov a politík v oblasti IKT, ktoré poskytujú primeranú úroveň bezpečnosti na poskytovanie služieb zo strany finančného subjektu v súlade s jeho regulačným rámcom; |
| --- | --- |

c)

požiadavky na externého poskytovateľa IKT služieb na vykonávanie a testovanie obchodných krízových plánov a na zavedenie bezpečnostných opatrení, nástrojov a politík v oblasti IKT, ktoré poskytujú primeranú úroveň bezpečnosti na poskytovanie služieb zo strany finančného subjektu v súlade s jeho regulačným rámcom;

| d) | povinnosť externého poskytovateľa IKT služieb zúčastňovať sa a plne spolupracovať na TLPT finančného subjektu, ako sa uvádza v článkoch 26 a 27; |
| --- | --- |

d)

povinnosť externého poskytovateľa IKT služieb zúčastňovať sa a plne spolupracovať na TLPT finančného subjektu, ako sa uvádza v článkoch 26 a 27;

| e) | právo priebežne monitorovať výkonnosť externého poskytovateľa IKT služieb, ktoré zahŕňa:






  i) | neobmedzené práva na prístup, inšpekciu a audit vykonávané finančným subjektom alebo vymenovanou treťou stranou a príslušným orgánom, ako aj právo vyhotovovať kópie príslušnej dokumentácie na mieste, ak je kritická pre operácie externého poskytovateľa IKT služieb, ktorého účinnému vykonávaniu nebránia ani ho neobmedzujú iné zmluvné dojednania alebo vykonávacie politiky; |
| --- | --- | --- |

e)

právo priebežne monitorovať výkonnosť externého poskytovateľa IKT služieb, ktoré zahŕňa:

i)

neobmedzené práva na prístup, inšpekciu a audit vykonávané finančným subjektom alebo vymenovanou treťou stranou a príslušným orgánom, ako aj právo vyhotovovať kópie príslušnej dokumentácie na mieste, ak je kritická pre operácie externého poskytovateľa IKT služieb, ktorého účinnému vykonávaniu nebránia ani ho neobmedzujú iné zmluvné dojednania alebo vykonávacie politiky;

| ii) | právo dohodnúť sa na alternatívnych úrovniach zabezpečenia, ak sú dotknuté práva iných klientov; |
| --- | --- |

ii)

právo dohodnúť sa na alternatívnych úrovniach zabezpečenia, ak sú dotknuté práva iných klientov;

| iii) | povinnosť externého poskytovateľa IKT služieb plne spolupracovať počas inšpekcií na mieste a auditov vykonávaných príslušnými orgánmi, hlavným orgánom dozoru, finančným subjektom alebo vymenovanou treťou stranou; a |
| --- | --- |

iii)

povinnosť externého poskytovateľa IKT služieb plne spolupracovať počas inšpekcií na mieste a auditov vykonávaných príslušnými orgánmi, hlavným orgánom dozoru, finančným subjektom alebo vymenovanou treťou stranou; a

| iv) | povinnosť poskytnúť podrobnosti o rozsahu, postupoch, ktoré sa majú dodržiavať, a frekvencii takýchto inšpekcií a auditov; |
| --- | --- |

iv)

povinnosť poskytnúť podrobnosti o rozsahu, postupoch, ktoré sa majú dodržiavať, a frekvencii takýchto inšpekcií a auditov;

| f) | stratégie ukončenia angažovanosti, najmä zavedenie primeraného povinného prechodného obdobia:






  i) | počas ktorého bude externý poskytovateľ IKT služieb naďalej poskytovať príslušné funkcie alebo IKT služby s cieľom znížiť riziko narušenia na úrovni finančného subjektu alebo zabezpečiť efektívne riešenie jeho krízovej situácie a reštrukturalizáciu; |
| --- | --- | --- |

f)

stratégie ukončenia angažovanosti, najmä zavedenie primeraného povinného prechodného obdobia:

i)

počas ktorého bude externý poskytovateľ IKT služieb naďalej poskytovať príslušné funkcie alebo IKT služby s cieľom znížiť riziko narušenia na úrovni finančného subjektu alebo zabezpečiť efektívne riešenie jeho krízovej situácie a reštrukturalizáciu;

| ii) | ktoré umožňuje finančnému subjektu prejsť k inému externému poskytovateľovi IKT služieb alebo začať využívať vlastné riešenia v závislosti od zložitosti poskytovanej služby. |
| --- | --- |

ii)

ktoré umožňuje finančnému subjektu prejsť k inému externému poskytovateľovi IKT služieb alebo začať využívať vlastné riešenia v závislosti od zložitosti poskytovanej služby.

Odchylne od písmena e) sa externý poskytovateľ IKT služieb a finančný subjekt, ktorý je mikropodnikom, môžu dohodnúť, že práva finančného subjektu na prístup, inšpekciu a audit možno delegovať na nezávislú tretiu stranu, ktorú určí externý poskytovateľ IKT služieb, a že finančný subjekt môže kedykoľvek od tretej strany požadovať informácie a uistenie o výkonnosti externého poskytovateľa IKT služieb.

4.   Pri rokovaniach o zmluvných dojednaniach finančné subjekty a externí poskytovatelia IKT služieb zvážia použitie štandardných zmluvných doložiek vypracovaných verejnými orgánmi pre konkrétne služby.

5.   Európske orgány dohľadu prostredníctvom spoločného výboru vypracujú návrh regulačných technických predpisov s cieľom bližšie špecifikovať prvky uvedené v odseku 2 písm. a), ktoré musí finančný subjekt určiť a posúdiť pri využívaní subdodávateľov v prípade IKT služieb podporujúcich kritické alebo dôležité funkcie.

Pri vypracúvaní uvedeného návrhu regulačných technických predpisov by Európske orgány dohľadu mali zohľadniť veľkosť a celkový rizikový profil finančného subjektu, ako aj povahu, rozsah a zložitosť jeho služieb, činností a operácií.

Európske orgány dohľadu predložia uvedený návrh regulačných technických predpisov Komisii do 17. júla 2024.

Na Komisiu sa deleguje právomoc doplniť toto nariadenie prijatím regulačných technických predpisov uvedených v prvom pododseku v súlade s článkami 10 až 14 nariadení (EÚ) č. 1093/2010, (EÚ) č. 1094/2010 a (EÚ) č. 1095/2010.

Oddiel II

Rámec dozoru nad kritickými externými poskytovateľmi IKT služieb

Článok 31

Určenie kritických externých poskytovateľov IKT služieb

1.   Európske orgány dohľadu prostredníctvom spoločného výboru a na základe odporúčania fóra pre dozor zriadeného podľa článku 32 ods. 1:

| a) | určia externých poskytovateľov IKT služieb, ktorí sú pre finančné subjekty kritickí, a to na základe posúdenia, ktoré zohľadňuje kritériá uvedené v odseku 2; |
| --- | --- |

a)

určia externých poskytovateľov IKT služieb, ktorí sú pre finančné subjekty kritickí, a to na základe posúdenia, ktoré zohľadňuje kritériá uvedené v odseku 2;

| b) | vymenujú za hlavný orgán dozoru pre každého kritického externého poskytovateľa IKT služieb európsky orgán dohľadu, ktorý je v súlade s nariadením (EÚ) č. 1093/2010 (EÚ), (EÚ) č. 1094/2010 alebo (EÚ) č. 1095/2010 zodpovedný za finančné subjekty, ktoré majú spolu najväčší podiel celkových aktív na hodnote celkových aktív všetkých finančných subjektov využívajúcich služby príslušného kritického externého poskytovateľa IKT služieb, ako to dokazuje suma individuálnych súvah uvedených finančných subjektov. |
| --- | --- |

b)

vymenujú za hlavný orgán dozoru pre každého kritického externého poskytovateľa IKT služieb európsky orgán dohľadu, ktorý je v súlade s nariadením (EÚ) č. 1093/2010 (EÚ), (EÚ) č. 1094/2010 alebo (EÚ) č. 1095/2010 zodpovedný za finančné subjekty, ktoré majú spolu najväčší podiel celkových aktív na hodnote celkových aktív všetkých finančných subjektov využívajúcich služby príslušného kritického externého poskytovateľa IKT služieb, ako to dokazuje suma individuálnych súvah uvedených finančných subjektov.

2.   Určenie uvedené v odseku 1 písm. a) vychádza v súvislosti s IKT službami poskytovanými externým poskytovateľom IKT služieb zo všetkých týchto kritérií:

| a) | systémový vplyv na stabilitu, kontinuitu alebo kvalitu poskytovania finančných služieb, ak by príslušný externý poskytovateľ IKT služieb čelil rozsiahlemu prevádzkovému zlyhaniu v poskytovaní svojich služieb, so zohľadnením počtu finančných subjektov a celkovej hodnoty aktív finančných subjektov, ktorým príslušný externý poskytovateľ IKT služieb poskytuje služby; |
| --- | --- |

a)

systémový vplyv na stabilitu, kontinuitu alebo kvalitu poskytovania finančných služieb, ak by príslušný externý poskytovateľ IKT služieb čelil rozsiahlemu prevádzkovému zlyhaniu v poskytovaní svojich služieb, so zohľadnením počtu finančných subjektov a celkovej hodnoty aktív finančných subjektov, ktorým príslušný externý poskytovateľ IKT služieb poskytuje služby;

| b) | systémový charakter alebo význam finančných subjektov, ktoré závisia od príslušného externého poskytovateľa IKT služieb, posudzovaný v súlade s týmito parametrami:






  i) | počet globálne systémovo významných inštitúcií (ďalej len „G-SII“) alebo inak systémovo významných inštitúcií (ďalej len „O-SII“), ktoré závisia od príslušného externého poskytovateľa IKT služieb; |
| --- | --- | --- |

b)

systémový charakter alebo význam finančných subjektov, ktoré závisia od príslušného externého poskytovateľa IKT služieb, posudzovaný v súlade s týmito parametrami:

i)

počet globálne systémovo významných inštitúcií (ďalej len „G-SII“) alebo inak systémovo významných inštitúcií (ďalej len „O-SII“), ktoré závisia od príslušného externého poskytovateľa IKT služieb;

| ii) | vzájomná závislosť medzi G-SII alebo O-SII uvedenými v bode i) a inými finančnými subjektmi vrátane situácií, keď G-SII alebo O-SII poskytujú služby finančnej infraštruktúry iným finančným subjektom; |
| --- | --- |

ii)

vzájomná závislosť medzi G-SII alebo O-SII uvedenými v bode i) a inými finančnými subjektmi vrátane situácií, keď G-SII alebo O-SII poskytujú služby finančnej infraštruktúry iným finančným subjektom;

| c) | závislosť finančných subjektov od služieb, ktoré poskytuje príslušný externý poskytovateľ IKT služieb v súvislosti s kritickými alebo dôležitými funkciami finančných subjektov, ktoré v konečnom dôsledku zahŕňajú toho istého externého poskytovateľa IKT služieb, a to bez ohľadu na to, či finančné subjekty závisia od uvedených služieb priamo alebo nepriamo prostredníctvom subdodávateľských dojednaní; |
| --- | --- |

c)

závislosť finančných subjektov od služieb, ktoré poskytuje príslušný externý poskytovateľ IKT služieb v súvislosti s kritickými alebo dôležitými funkciami finančných subjektov, ktoré v konečnom dôsledku zahŕňajú toho istého externého poskytovateľa IKT služieb, a to bez ohľadu na to, či finančné subjekty závisia od uvedených služieb priamo alebo nepriamo prostredníctvom subdodávateľských dojednaní;

| d) | stupeň nahraditeľnosti externého poskytovateľa IKT služieb pri zohľadnení týchto parametrov:






  i) | neexistencia skutočných, hoci len čiastočných, alternatív z dôvodu obmedzeného počtu externých poskytovateľov IKT služieb na konkrétnom trhu, alebo trhový podiel príslušného externého poskytovateľa IKT služieb, alebo súvisiaca technická zložitosť či prepracovanosť, a to aj vo vzťahu k akejkoľvek proprietárnej technológii, alebo osobitosti organizácie alebo činnosti daného externého poskytovateľa IKT služieb; |
| --- | --- | --- |

d)

stupeň nahraditeľnosti externého poskytovateľa IKT služieb pri zohľadnení týchto parametrov:

i)

neexistencia skutočných, hoci len čiastočných, alternatív z dôvodu obmedzeného počtu externých poskytovateľov IKT služieb na konkrétnom trhu, alebo trhový podiel príslušného externého poskytovateľa IKT služieb, alebo súvisiaca technická zložitosť či prepracovanosť, a to aj vo vzťahu k akejkoľvek proprietárnej technológii, alebo osobitosti organizácie alebo činnosti daného externého poskytovateľa IKT služieb;

| ii) | ťažkosti v súvislosti s čiastočným alebo úplným presunom príslušných údajov a pracovného zaťaženia z príslušného externého poskytovateľa IKT služieb na iného externého poskytovateľa IKT služieb, a to buď z dôvodu značných finančných nákladov, času alebo iných zdrojov, ktoré môže takýto presun predstavovať, alebo z dôvodu zvýšeného IKT rizika alebo iných prevádzkových rizík, ktorým môže byť finančný subjekt vystavený pri takomto presune. |
| --- | --- |

ii)

ťažkosti v súvislosti s čiastočným alebo úplným presunom príslušných údajov a pracovného zaťaženia z príslušného externého poskytovateľa IKT služieb na iného externého poskytovateľa IKT služieb, a to buď z dôvodu značných finančných nákladov, času alebo iných zdrojov, ktoré môže takýto presun predstavovať, alebo z dôvodu zvýšeného IKT rizika alebo iných prevádzkových rizík, ktorým môže byť finančný subjekt vystavený pri takomto presune.

3.   Ak externý poskytovateľ IKT služieb patrí do skupiny, kritériá uvedené v odseku 2 sa zohľadňujú vo vzťahu k IKT službám, ktoré poskytuje skupina ako celok.

4.   Kritickí externí poskytovatelia IKT služieb, ktorí sú súčasťou skupiny, určia jednu právnickú osobu ako koordinačné miesto na zabezpečenie primeraného zastúpenia a komunikácie s hlavným orgánom dozoru.

5.   Hlavný orgán dozoru oznámi externému poskytovateľovi IKT služieb výsledok posúdenia vedúceho k určeniu uvedenému v odseku 1 písm. a). Do šiestich týždňov od dátumu oznámenia môže externý poskytovateľ IKT služieb predložiť hlavnému orgánu dozoru odôvodnené vyhlásenie so všetkými relevantnými informáciami na účely posúdenia. Hlavný orgán dozoru zváži odôvodnené vyhlásenie a môže požiadať o predloženie dodatočných informácií do 30 kalendárnych dní od prijatia takéhoto vyhlásenia.

Po určení externého poskytovateľa IKT služieb za kritického európske orgány dohľadu prostredníctvom spoločného výboru oznámia externému poskytovateľovi IKT služieb takéto určenie a dátum, od ktorého bude skutočne podliehať činnostiam dozoru. Uvedený počiatočný dátum nesmie byť neskôr ako jeden mesiac po oznámení. Externý poskytovateľ IKT služieb oznámi finančným subjektom, ktorým poskytuje služby, že bol určený ako kritický.

6.   Komisia je splnomocnená prijať delegovaný akt v súlade s článkom 57 na doplnenie tohto nariadenia bližšou špecifikáciou kritérií uvedených v odseku 2 tohto článku do 17. júla 2024.

7.   Určenie uvedené v odseku 1 písm. a) sa nepoužije dovtedy, kým Komisia neprijme delegovaný akt v súlade s odsekom 6.

8.   Určenie uvedené v odseku 1 písm. a) sa nevzťahuje na:

| i) | finančné subjekty poskytujúce IKT služby iným finančným subjektom; |
| --- | --- |

i)

finančné subjekty poskytujúce IKT služby iným finančným subjektom;

| ii) | externých poskytovateľov IKT služieb, ktorí podliehajú rámcom dozoru zriadeným na účely podpory úloh uvedených v článku 127 ods. 2 Zmluvy o fungovaní Európskej únie; |
| --- | --- |

ii)

externých poskytovateľov IKT služieb, ktorí podliehajú rámcom dozoru zriadeným na účely podpory úloh uvedených v článku 127 ods. 2 Zmluvy o fungovaní Európskej únie;

| iii) | vnútroskupinových poskytovateľov IKT služieb; |
| --- | --- |

iii)

vnútroskupinových poskytovateľov IKT služieb;

| iv) | externých poskytovateľov IKT služieb, ktorí poskytujú IKT služby výhradne v jednom členskom štáte finančným subjektom, ktoré pôsobia len v danom členskom štáte. |
| --- | --- |

iv)

externých poskytovateľov IKT služieb, ktorí poskytujú IKT služby výhradne v jednom členskom štáte finančným subjektom, ktoré pôsobia len v danom členskom štáte.

9.   Európske orgány dohľadu prostredníctvom spoločného výboru vypracujú, uverejnia a každoročne aktualizujú zoznam kritických externých poskytovateľov IKT služieb na úrovni Únie.

10.   Na účely odseku 1 písm. a) príslušné orgány každoročne a súhrnne zasielajú správy uvedené v článku 28 ods. 3 treťom pododseku fóru pre dozor zriadenému podľa článku 32. Fórum pre dozor posudzuje externé závislosti finančných subjektov v oblasti IKT na základe informácií získaných od príslušných orgánov.

11.   Externí poskytovatelia IKT služieb, ktorí nie sú zahrnutí v zozname uvedenom v odseku 9, môžu požiadať, aby boli určení ako kritickí v súlade s odsekom 1 písm. a).

Na účely prvého pododseku externý poskytovateľ IKT služieb predloží odôvodnenú žiadosť orgánom EBA, ESMA alebo EIOPA, ktoré prostredníctvom spoločného výboru rozhodnú o tom, či určiť tohto externého poskytovateľa IKT služieb ako kritického v súlade s odsekom 1 písm. a).

Rozhodnutie uvedené v druhom pododseku sa prijme a oznámi externému poskytovateľovi IKT služieb do šiestich mesiacov od prijatia žiadosti.

12.   Finančné subjekty využívajú služby externého poskytovateľa IKT služieb usadeného v tretej krajine, ktorý bol určený ako kritický v súlade s odsekom 1 písm. a), len ak tento poskytovateľ založil dcérsky podnik v Únii do 12 mesiacov od určenia.

13.   Kritický externý poskytovateľ IKT služieb uvedený v odseku 12 oznámi hlavnému orgánu dozoru všetky zmeny v štruktúre riadenia dcérskeho podniku usadeného v Únii.

Článok 32

Štruktúra rámca dozoru

1.   Spoločný výbor v súlade s článkom 57 ods. 1 nariadení (EÚ) č. 1093/2010, (EÚ) č. 1094/2010 a (EÚ) č. 1095/2010 zriadi fórum pre dozor ako podvýbor na účely podpory práce spoločného výboru a hlavného orgánu dozoru uvedeného v článku 31 ods. 1 písm. b) v oblasti externého IKT rizika vo všetkých finančných sektoroch. Fórum pre dozor pripravuje návrhy spoločných pozícií a návrhy spoločných aktov spoločného výboru v tejto oblasti.

Fórum pre dozor pravidelne rokuje o relevantnom vývoji v oblasti IKT rizika a zraniteľných miest a podporuje konzistentný prístup pri monitorovaní externého IKT rizika na úrovni Únie.

2.   Fórum pre dozor vykonáva každoročne kolektívne posudzovanie výsledkov a zistení činností dozoru vykonávaných v prípade všetkých kritických externých poskytovateľov IKT služieb a podporuje koordinačné opatrenia s cieľom zvyšovať digitálnu prevádzkovú odolnosť finančných subjektov, podporovať najlepšie postupy týkajúce sa riešenia rizika koncentrácie IKT a skúmať zmierňujúce faktory v prípade medzisektorových presunov rizika.

3.   Fórum pre dozor predkladá komplexné referenčné hodnoty týkajúce sa kritických externých poskytovateľov IKT služieb, ktoré má spoločný výbor prijať ako spoločné pozície Európskych orgánov dohľadu v súlade s článkom 56 ods. 1 nariadení (EÚ) č. 1093/2010, (EÚ) č. 1094/2010 a (EÚ) č. 1095/2010.

4.   Fórum pre dohľad má toto zloženie:

| a) | predsedovia Európskych orgánov dohľadu; |
| --- | --- |

a)

predsedovia Európskych orgánov dohľadu;

| b) | jeden zástupca na vysokej úrovni zo súčasných zamestnancov relevantného príslušného orgánu uvedeného v článku 46 z každého členského štátu; |
| --- | --- |

b)

jeden zástupca na vysokej úrovni zo súčasných zamestnancov relevantného príslušného orgánu uvedeného v článku 46 z každého členského štátu;

| c) | výkonní riaditelia každého európskeho orgánu dohľadu a jeden zástupca Komisie, výboru ESRB, ECB a agentúry ENISA ako pozorovatelia; |
| --- | --- |

c)

výkonní riaditelia každého európskeho orgánu dohľadu a jeden zástupca Komisie, výboru ESRB, ECB a agentúry ENISA ako pozorovatelia;

| d) | v náležitých prípadoch jeden dodatočný zástupca príslušného orgánu uvedeného v článku 46 z každého členského štátu ako pozorovateľ; |
| --- | --- |

d)

v náležitých prípadoch jeden dodatočný zástupca príslušného orgánu uvedeného v článku 46 z každého členského štátu ako pozorovateľ;

| e) | v náležitých prípadoch jeden zástupca príslušných orgánov určených alebo zriadených v súlade so smernicou (EÚ) 2022/2555 zodpovedných za dohľad nad kľúčovým alebo dôležitým subjektom, na ktorý sa vzťahuje uvedená smernica, ktorý bol určený ako kritický externý poskytovateľ IKT služieb, ako pozorovateľ. |
| --- | --- |

e)

v náležitých prípadoch jeden zástupca príslušných orgánov určených alebo zriadených v súlade so smernicou (EÚ) 2022/2555 zodpovedných za dohľad nad kľúčovým alebo dôležitým subjektom, na ktorý sa vzťahuje uvedená smernica, ktorý bol určený ako kritický externý poskytovateľ IKT služieb, ako pozorovateľ.

Fórum pre dozor môže v náležitých prípadoch požiadať o radu nezávislých expertov vymenovaných v súlade s odsekom 6.

5.   Každý členský štát určí relevantný príslušný orgán, ktorého zamestnanec bude zástupcom na vysokej úrovni uvedeným v odseku 4 prvom pododseku písm. b), a informuje o tom hlavný orgán dozoru.

Európske orgány dohľadu uverejnia na svojom webovom sídle zoznam zástupcov na vysokej úrovni zo súčasných zamestnancov príslušného orgánu určených členskými štátmi.

6.   Nezávislých expertov uvedených v odseku 4 druhom pododseku vymenúva fórum pre dozor zo skupiny expertov vybraných na základe verejného a transparentného postupu podávania žiadostí.

Nezávislí experti sú vymenovaní na základe svojich odborných znalostí v oblasti finančnej stability, digitálnej prevádzkovej odolnosti a otázok bezpečnosti IKT. Konajú nezávisle a objektívne a výhradne v záujme Únie ako celku a nepožadujú ani neprijímajú pokyny od inštitúcií alebo orgánov Únie, od žiadnej vlády členského štátu ani od akýchkoľvek iných verejných alebo súkromných subjektov.

7.   V súlade s článkom 16 nariadení (EÚ) č. 1093/2010, (EÚ) č. 1094/2010 a (EÚ) č. 1095/2010 európske orgány dohľadu do 17. júla 2024 vydajú na účely tohto oddielu usmernenia o spolupráci medzi európskymi orgánmi dohľadu a príslušnými orgánmi týkajúce sa podrobných postupov a podmienok rozdelenia a vykonávania úloh medzi príslušnými orgánmi a európskymi orgánmi dohľadu a podrobností o výmene informácií, ktoré príslušné orgány potrebujú na zabezpečenie dodržiavania odporúčaní podľa článku 35 ods. 1 písm. d) určených kritickým externým poskytovateľom IKT služieb.

8.   Požiadavkami stanovenými v tomto oddiele nie je dotknuté uplatňovanie smernice (EÚ) 2022/2555 ani iných pravidiel Únie o dozore, ktoré sa vzťahujú na poskytovateľov služieb cloud computingu.

9.   Európske orgány dohľadu prostredníctvom spoločného výboru a na základe prípravných prác, ktoré vykonáva fórum pre dozor, každoročne predkladajú Európskemu parlamentu, Rade a Komisii správu o uplatňovaní tohto oddielu.

Článok 33

Úlohy hlavného orgánu dozoru

1.   Hlavný orgán dozoru vymenovaný v súlade s článkom 31 ods. 1 písm. b) vykonáva dozor nad pridelenými kritickými externými poskytovateľmi IKT služieb a na účely všetkých záležitostí týkajúcich sa dozoru je hlavným kontaktným miestom pre týchto kritických externých poskytovateľov IKT služieb.

2.   Na účely odseku 1 hlavný orgán dozoru posudzuje, či každý kritický externý poskytovateľ IKT služieb zaviedol komplexné, riadne a účinné pravidlá, postupy, mechanizmy a opatrenia na riadenie IKT rizika, ktoré kritický externý poskytovateľ IKT služieb môže predstavovať pre finančné subjekty.

Posúdenie uvedené v prvom pododseku sa zameriava najmä na IKT služby, ktoré poskytuje kritický externý poskytovateľ IKT služieb, podporujúce kritické alebo dôležité funkcie finančných subjektov. Ak je to potrebné na riešenie všetkých relevantných rizík, uvedené posúdenie sa vzťahuje aj na IKT služby podporujúce funkcie, ktoré nie sú kritické alebo dôležité.

3.   Posúdenie uvedené v odseku 2 zahŕňa:

| a) | požiadavky na IKT s cieľom zaistiť najmä bezpečnosť, dostupnosť, kontinuitu, škálovateľnosť a kvalitu služieb, ktoré kritický externý poskytovateľ IKT služieb poskytuje finančným subjektom, ako aj schopnosť neustále zachovávať vysokú úroveň dostupnosti, pravosti, integrity alebo dôvernosti údajov; |
| --- | --- |

a)

požiadavky na IKT s cieľom zaistiť najmä bezpečnosť, dostupnosť, kontinuitu, škálovateľnosť a kvalitu služieb, ktoré kritický externý poskytovateľ IKT služieb poskytuje finančným subjektom, ako aj schopnosť neustále zachovávať vysokú úroveň dostupnosti, pravosti, integrity alebo dôvernosti údajov;

| b) | fyzickú bezpečnosť prispievajúcu k zaisteniu bezpečnosti IKT vrátane bezpečnosti priestorov, zariadení a dátových centier; |
| --- | --- |

b)

fyzickú bezpečnosť prispievajúcu k zaisteniu bezpečnosti IKT vrátane bezpečnosti priestorov, zariadení a dátových centier;

| c) | procesy riadenia rizika vrátane politík riadenia IKT rizika, politík kontinuity činností v oblasti IKT a plánov reakcie a obnovy v oblasti IKT; |
| --- | --- |

c)

procesy riadenia rizika vrátane politík riadenia IKT rizika, politík kontinuity činností v oblasti IKT a plánov reakcie a obnovy v oblasti IKT;

| d) | mechanizmy správy a riadenia vrátane organizačnej štruktúry s jasnými, transparentnými a konzistentnými líniami zodpovednosti a pravidlami zodpovednosti umožňujúcimi účinné riadenie IKT rizika; |
| --- | --- |

d)

mechanizmy správy a riadenia vrátane organizačnej štruktúry s jasnými, transparentnými a konzistentnými líniami zodpovednosti a pravidlami zodpovednosti umožňujúcimi účinné riadenie IKT rizika;

| e) | identifikáciu, monitorovanie a okamžité nahlasovanie významných incidentov súvisiacich s IKT finančným subjektom, riadenie a riešenie týchto incidentov, najmä kybernetických útokov; |
| --- | --- |

e)

identifikáciu, monitorovanie a okamžité nahlasovanie významných incidentov súvisiacich s IKT finančným subjektom, riadenie a riešenie týchto incidentov, najmä kybernetických útokov;

| f) | mechanizmy prenosnosti údajov, prenosnosti a interoperability aplikácií, ktoré zabezpečujú účinný výkon práv na ukončenie zmluvy finančnými subjektmi; |
| --- | --- |

f)

mechanizmy prenosnosti údajov, prenosnosti a interoperability aplikácií, ktoré zabezpečujú účinný výkon práv na ukončenie zmluvy finančnými subjektmi;

| g) | testovanie IKT systémov, infraštruktúry a kontrol; |
| --- | --- |

g)

testovanie IKT systémov, infraštruktúry a kontrol;

| h) | audity IKT; |
| --- | --- |

h)

audity IKT;

| i) | používanie príslušných vnútroštátnych a medzinárodných noriem uplatniteľných na poskytovanie IKT služieb kritického externého poskytovateľa IKT služieb finančným subjektom. |
| --- | --- |

i)

používanie príslušných vnútroštátnych a medzinárodných noriem uplatniteľných na poskytovanie IKT služieb kritického externého poskytovateľa IKT služieb finančným subjektom.

4.   Na základe posúdenia uvedeného v odseku 2 a v koordinácii so spoločnou sieťou dozoru uvedenou v článku 34 ods. 1 hlavný orgán dozoru prijme jasný, podrobný a odôvodnený individuálny plán dozoru opisujúci ročné ciele dozoru a hlavné opatrenia dozoru plánované pre každého kritického externého poskytovateľa IKT služieb. Uvedený plán sa každoročne oznamuje kritickému externému poskytovateľovi IKT služieb.

Pred prijatím plánu dozoru hlavný orgán dozoru oznámi návrh plánu dozoru kritickému externému poskytovateľovi IKT služieb.

Po doručení návrhu plánu dozoru môže kritický externý poskytovateľ IKT služieb do 15 kalendárnych dní predložiť odôvodnené vyhlásenie, v ktorom preukáže očakávaný vplyv na zákazníkov, ktorí sú subjektmi, ktoré nepatria do rozsahu pôsobnosti tohto nariadenia, a v náležitých prípadoch vypracuje riešenia na zmiernenie rizík.

5.   Keď sa ročné plány dozoru uvedené v odseku 4 prijmú a oznámia kritickým externým poskytovateľom IKT služieb, príslušné orgány môžu prijať opatrenia týkajúce sa takýchto kritických externých poskytovateľov IKT služieb len po dohode s hlavným orgánom dozoru.

Článok 34

Operatívna koordinácia medzi hlavnými orgánmi dozoru

1.   S cieľom zabezpečiť jednotný prístup k činnostiam dozoru a s cieľom umožniť koordinované stratégie všeobecného dozoru a súdržné operatívne prístupy a pracovné metodiky tri hlavné orgány dozoru vymenované v súlade s článkom 31 ods. 1 písm. b) zriadia spoločnú sieť dozoru na vzájomnú koordináciu v prípravných fázach a koordináciu vykonávania činností dozoru nad ich príslušnými kritickými externými poskytovateľmi IKT služieb, nad ktorými vykonávajú dozor, ako aj koordináciu počas akéhokoľvek postupu, ktorý môže byť potrebný podľa článku 42.

2.   Na účely odseku 1 hlavné orgány dozoru vypracujú spoločný protokol o dozore, v ktorom sa stanovia podrobné postupy, ktoré sa majú dodržiavať pri vykonávaní každodennej koordinácie a na zabezpečenie rýchlych výmen a reakcií. Protokol sa pravidelne reviduje s cieľom zohľadniť operatívne potreby, najmä vývoj praktických opatrení dozoru.

3.   Hlavné orgány dozoru môžu ad hoc vyzvať ECB a agentúru ENISA, aby poskytli technické poradenstvo, vymieňali si praktické skúsenosti alebo sa zapojili do konkrétnych koordinačných zasadnutí spoločnej siete dozoru.

Článok 35

Právomoci hlavného orgánu dozoru

1.   Hlavný orgán dozoru má na účely plnenia povinností stanovených v tomto oddiele tieto právomoci, pokiaľ ide o kritických externých poskytovateľov IKT služieb:

| a) | požadovať všetky relevantné informácie a dokumentáciu v súlade s článkom 37; |
| --- | --- |

a)

požadovať všetky relevantné informácie a dokumentáciu v súlade s článkom 37;

| b) | vykonávať všeobecné vyšetrovania a inšpekcie v súlade s článkami 38 a 39; |
| --- | --- |

b)

vykonávať všeobecné vyšetrovania a inšpekcie v súlade s článkami 38 a 39;

| c) | žiadať o správy po ukončení činností dozoru, v ktorých sa bližšie špecifikujú opatrenia, ktoré prijali alebo nápravné opatrenia, ktoré vykonali kritickí externí poskytovatelia IKT služieb v súvislosti s odporúčaniami uvedenými v písmene d) tohto odseku; |
| --- | --- |

c)

žiadať o správy po ukončení činností dozoru, v ktorých sa bližšie špecifikujú opatrenia, ktoré prijali alebo nápravné opatrenia, ktoré vykonali kritickí externí poskytovatelia IKT služieb v súvislosti s odporúčaniami uvedenými v písmene d) tohto odseku;

| d) | vydávať odporúčania týkajúce sa oblastí uvedených v článku 33 ods. 3, najmä pokiaľ ide o:






  i) | používanie osobitných požiadaviek alebo postupov v oblasti bezpečnosti a kvality IKT, najmä v súvislosti so zavádzaním opráv, aktualizácií, šifrovania a iných bezpečnostných opatrení, ktoré hlavný orgán dozoru považuje za dôležité na zaistenie IKT bezpečnosti služieb poskytovaných finančným subjektom; |
| --- | --- | --- |

d)

vydávať odporúčania týkajúce sa oblastí uvedených v článku 33 ods. 3, najmä pokiaľ ide o:

i)

používanie osobitných požiadaviek alebo postupov v oblasti bezpečnosti a kvality IKT, najmä v súvislosti so zavádzaním opráv, aktualizácií, šifrovania a iných bezpečnostných opatrení, ktoré hlavný orgán dozoru považuje za dôležité na zaistenie IKT bezpečnosti služieb poskytovaných finančným subjektom;

| ii) | uplatňovanie podmienok vrátane ich technického vykonávania, na základe ktorých kritickí externí poskytovatelia IKT služieb poskytujú IKT služby finančným subjektom, ktoré hlavný orgán dozoru považuje za dôležité na zabránenie vzniku jednotlivých miest zlyhania, ich rozšírenie, alebo na minimalizovanie možného systémového vplyvu v celom finančnom sektore Únie v prípade rizika koncentrácie IKT; |
| --- | --- |

ii)

uplatňovanie podmienok vrátane ich technického vykonávania, na základe ktorých kritickí externí poskytovatelia IKT služieb poskytujú IKT služby finančným subjektom, ktoré hlavný orgán dozoru považuje za dôležité na zabránenie vzniku jednotlivých miest zlyhania, ich rozšírenie, alebo na minimalizovanie možného systémového vplyvu v celom finančnom sektore Únie v prípade rizika koncentrácie IKT;

| iii) | akékoľvek plánované subdodávky, pri ktorých sa hlavný orgán dozoru domnieva, že ďalšie subdodávky vrátane subdodávateľských dojednaní, ktoré kritickí externí poskytovatelia IKT služieb plánujú uzavrieť s externými poskytovateľmi IKT služieb alebo so subdodávateľmi IKT usadenými v tretej krajine, môžu vyvolať riziká pre poskytovanie služieb, ktoré vykonáva finančný subjekt, alebo riziká pre finančnú stabilitu, a to na základe preskúmania informácií zhromaždených v súlade s článkami 37 a 38; |
| --- | --- |

iii)

akékoľvek plánované subdodávky, pri ktorých sa hlavný orgán dozoru domnieva, že ďalšie subdodávky vrátane subdodávateľských dojednaní, ktoré kritickí externí poskytovatelia IKT služieb plánujú uzavrieť s externými poskytovateľmi IKT služieb alebo so subdodávateľmi IKT usadenými v tretej krajine, môžu vyvolať riziká pre poskytovanie služieb, ktoré vykonáva finančný subjekt, alebo riziká pre finančnú stabilitu, a to na základe preskúmania informácií zhromaždených v súlade s článkami 37 a 38;

| iv) | zdržanie sa uzatvorenia ďalších subdodávateľských dohôd, ak sú splnené tieto kumulatívne podmienky:






  — | plánovaný subdodávateľ je externým poskytovateľom IKT služieb alebo subdodávateľom IKT usadeným v tretej krajine, |
| --- | --- | --- |

iv)

zdržanie sa uzatvorenia ďalších subdodávateľských dohôd, ak sú splnené tieto kumulatívne podmienky:

—

plánovaný subdodávateľ je externým poskytovateľom IKT služieb alebo subdodávateľom IKT usadeným v tretej krajine,

| — | subdodávky sa týkajú kritických alebo dôležitých funkcií finančného subjektu a |
| --- | --- |

—

subdodávky sa týkajú kritických alebo dôležitých funkcií finančného subjektu a

| — | hlavný orgán dozoru sa domnieva, že využívanie takýchto subdodávok predstavuje jasné a vážne riziko pre finančnú stabilitu Únie alebo pre finančné subjekty vrátane schopnosti finančných subjektov dodržiavať požiadavky dohľadu. |
| --- | --- |

—

hlavný orgán dozoru sa domnieva, že využívanie takýchto subdodávok predstavuje jasné a vážne riziko pre finančnú stabilitu Únie alebo pre finančné subjekty vrátane schopnosti finančných subjektov dodržiavať požiadavky dohľadu.

Na účely bodu iv) tohto písmena externí poskytovatelia IKT služieb s použitím vzoru uvedeného v článku 41 ods. 1 písm. b) zasielajú informácie týkajúce sa subdodávok hlavnému orgánu dozoru.

2.   Hlavný orgán dozoru pri výkone právomocí uvedených v tomto článku:

| a) | zabezpečuje pravidelnú koordináciu v rámci spoločnej siete dozoru, a v náležitých prípadoch sa najmä usiluje o uplatnenie konzistentných prístupov, pokiaľ ide o dozor nad kritickými externými poskytovateľmi IKT služieb; |
| --- | --- |

a)

zabezpečuje pravidelnú koordináciu v rámci spoločnej siete dozoru, a v náležitých prípadoch sa najmä usiluje o uplatnenie konzistentných prístupov, pokiaľ ide o dozor nad kritickými externými poskytovateľmi IKT služieb;

| b) | náležite zohľadňuje rámec stanovený smernicou (EÚ) 2022/2555 a v prípade potreby konzultuje s relevantnými príslušnými orgánmi určenými alebo zriadenými v súlade s uvedenou smernicou s cieľom zabrániť duplicite technických a organizačných opatrení, ktoré by sa mohli uplatňovať na kritických externých poskytovateľov IKT služieb podľa uvedenej smernice; |
| --- | --- |

b)

náležite zohľadňuje rámec stanovený smernicou (EÚ) 2022/2555 a v prípade potreby konzultuje s relevantnými príslušnými orgánmi určenými alebo zriadenými v súlade s uvedenou smernicou s cieľom zabrániť duplicite technických a organizačných opatrení, ktoré by sa mohli uplatňovať na kritických externých poskytovateľov IKT služieb podľa uvedenej smernice;

| c) | usiluje sa v čo najväčšej možnej miere minimalizovať riziko narušenia služieb, ktoré poskytujú kritickí externí poskytovatelia IKT služieb zákazníkom, ktorí sú subjektmi, ktoré nepatria do rozsahu pôsobnosti tohto nariadenia. |
| --- | --- |

c)

usiluje sa v čo najväčšej možnej miere minimalizovať riziko narušenia služieb, ktoré poskytujú kritickí externí poskytovatelia IKT služieb zákazníkom, ktorí sú subjektmi, ktoré nepatria do rozsahu pôsobnosti tohto nariadenia.

3.   Hlavný orgán dozoru konzultuje fórum pre dozor pred vykonávaním právomocí uvedených v odseku 1.

Pred adresovaním odporúčaní v súlade s odsekom 1 písm. d) hlavný orgán dozoru poskytne externému poskytovateľovi IKT služieb príležitosť predložiť do 30 kalendárnych dní relevantné informácie preukazujúce očakávaný vplyv na zákazníkov, ktorí sú subjektmi, ktoré nepatria do rozsahu pôsobnosti tohto nariadenia, a v náležitých prípadoch vypracuje riešenia na zmiernenie rizík.

4.   Hlavný orgán dozoru informuje spoločnú sieť dozoru o výsledku výkonu právomocí uvedených v odseku 1 písm. a) a b). Hlavný orgán dozoru bez zbytočného odkladu postúpi správy uvedené v odseku 1 písm. c) spoločnej sieti dozoru a príslušným orgánom finančných subjektov využívajúcich IKT služby daného kritického externého poskytovateľa IKT služieb.

5.   Kritickí externí poskytovatelia IKT služieb spolupracujú v dobrej viere s hlavným orgánom dozoru a pomáhajú mu pri plnení jeho úloh.

6.   Hlavný orgán dozoru v prípade úplného alebo čiastočného nedodržiavania opatrení, ktorých prijatie sa vyžaduje na základe výkonu právomocí podľa odseku 1 písm. a), b a c), a po uplynutí lehoty najmenej 30 kalendárnych dní odo dňa, keď bolo kritickému externému poskytovateľovi IKT služieb doručené oznámenie o príslušných opatreniach, prijme rozhodnutie, ktorým sa ukladá pravidelná platba penále s cieľom prinútiť kritického externého poskytovateľa IKT služieb, aby uvedené opatrenia dodržiaval.

7.   Pravidelná platba penále uvedená v odseku 6 sa ukladá za každý deň až do dosiahnutia súladu a nie dlhšie ako šesť mesiacov po oznámení rozhodnutia o uložení pravidelnej platby penále kritickému externému poskytovateľovi IKT služieb.

8.   Výška pravidelnej platby penále vypočítaná od dátumu stanoveného v rozhodnutí, ktorým sa ukladá pravidelná platba penále, predstavuje najviac 1 % priemerného denného celosvetového obratu kritického externého poskytovateľa IKT služieb v predchádzajúcom finančnom roku. Hlavný orgán dozoru pri určovaní výšky penále zohľadní tieto kritériá týkajúce sa nedodržania opatrení uvedených v odseku 6:

| a) | závažnosť a trvanie nedodržiavania opatrení; |
| --- | --- |

a)

závažnosť a trvanie nedodržiavania opatrení;

| b) | či k nedodržiavaniu opatrení došlo úmyselne alebo z nedbanlivosti; |
| --- | --- |

b)

či k nedodržiavaniu opatrení došlo úmyselne alebo z nedbanlivosti;

| c) | úroveň spolupráce externého poskytovateľa IKT služieb s hlavným orgánom dozoru. |
| --- | --- |

c)

úroveň spolupráce externého poskytovateľa IKT služieb s hlavným orgánom dozoru.

Na účely prvého pododseku sa hlavný orgán dozoru v záujme zabezpečenia jednotného prístupu zapája do konzultácií v rámci spoločnej siete dozoru.

9.   Platba penále je administratívnej povahy a je vymáhateľná. Vymáhanie sa riadi platnými predpismi občianskeho práva procesného členského štátu, na území ktorého sa inšpekcie a prístup uskutočňujú. Súdy dotknutého členského štátu majú právomoc rozhodovať o sťažnostiach týkajúcich sa protiprávneho výkonu vymáhania. Platby penále sa odvádzajú do všeobecného rozpočtu Európskej únie.

10.   Hlavný orgán dozoru zverejňuje verejnosti všetky pravidelné platby penále, ktoré boli uložené, pokiaľ ich zverejnenie vážne neohrozuje finančné trhy alebo nespôsobuje neprimeranú škodu zúčastneným stranám.

11.   Pred uložením pravidelnej platby penále podľa odseku 6 hlavný orgán dozoru poskytne zástupcom kritického externého poskytovateľa IKT služieb, voči ktorému sa vedie konanie, príležitosť vyjadriť sa k zisteniam a pri svojich rozhodnutiach vychádza len zo zistení, ku ktorým mal kritický externý poskytovateľ IKT služieb, voči ktorému sa vedie konanie, možnosť vyjadriť sa.

Právo na obhajobu osôb, voči ktorým sa vedie konanie, sa počas konania plne rešpektuje. Kritický externý poskytovateľ IKT služieb, voči ktorému sa vedie konanie, má právo na prístup k spisu s výhradou oprávnených záujmov iných osôb na ochranu ich obchodného tajomstva. Právo na prístup k spisu sa nevzťahuje na dôverné informácie alebo interné prípravné dokumenty hlavného orgánu dozoru.

Článok 36

Výkon právomocí hlavného orgánu dozoru mimo Únie

1.   Ak ciele dozoru nemožno dosiahnuť prostredníctvom interakcie s dcérskym podnikom založeným na účely článku 31 ods. 12 alebo vykonávaním činností dozoru v priestoroch nachádzajúcich sa v Únii, hlavný orgán dozoru môže vykonávať právomoci uvedené v nasledujúcich ustanoveniach, v akýchkoľvek priestoroch nachádzajúcich sa v tretej krajine, ktoré vlastní alebo akýmkoľvek spôsobom používa na účely poskytovania služieb finančným subjektom Únie kritický externý poskytovateľ IKT služieb v súvislosti so svojimi obchodnými operáciami, funkciami alebo službami vrátane akýchkoľvek administratívnych, obchodných alebo prevádzkových úradov, priestorov, pozemkov, budov alebo iných nehnuteľností:

| a) | v článku 35 ods. 1 písm. a) a |
| --- | --- |

a)

v článku 35 ods. 1 písm. a) a

| b) | v článku 35 ods. 1 písm. b) v súlade s článkom 38 ods. 2 písm. a), b) a d), a v článku 39 ods. 1 a článku 39 ods. 2 písm. a). |
| --- | --- |

b)

v článku 35 ods. 1 písm. b) v súlade s článkom 38 ods. 2 písm. a), b) a d), a v článku 39 ods. 1 a článku 39 ods. 2 písm. a).

Právomoci uvedené v prvom pododseku sa môžu vykonávať za predpokladu, že sú splnené všetky tieto podmienky:

| i) | hlavný orgán dozoru považuje vykonanie inšpekcie v tretej krajine za potrebné, aby mohol v plnej miere a účinne vykonávať svoje povinnosti podľa tohto nariadenia; |
| --- | --- |

i)

hlavný orgán dozoru považuje vykonanie inšpekcie v tretej krajine za potrebné, aby mohol v plnej miere a účinne vykonávať svoje povinnosti podľa tohto nariadenia;

| ii) | inšpekcia v tretej krajine priamo súvisí s poskytovaním IKT služieb finančným subjektom v Únii; |
| --- | --- |

ii)

inšpekcia v tretej krajine priamo súvisí s poskytovaním IKT služieb finančným subjektom v Únii;

| iii) | dotknutý kritický externý poskytovateľ IKT služieb súhlasí s vykonaním inšpekcie v tretej krajine a |
| --- | --- |

iii)

dotknutý kritický externý poskytovateľ IKT služieb súhlasí s vykonaním inšpekcie v tretej krajine a

| iv) | relevantný orgán dotknutej tretej krajiny bol oficiálne informovaný hlavným orgánom dozoru a nevzniesol voči nemu žiadne námietky. |
| --- | --- |

iv)

relevantný orgán dotknutej tretej krajiny bol oficiálne informovaný hlavným orgánom dozoru a nevzniesol voči nemu žiadne námietky.

2.   Bez toho, aby boli dotknuté príslušné právomoci inštitúcií Únie a členských štátov, na účely odseku 1 EBA, ESMA alebo EIOPA uzatvoria dohody o administratívnej spolupráci s príslušným orgánom tretej krajiny s cieľom umožniť plynulé vykonávanie inšpekcií v dotknutej tretej krajine hlavným orgánom dozoru a jeho tímom určeným na jeho misiu v danej tretej krajine. Uvedenými dohodami o spolupráci sa pre Úniu a jej členské štáty nevytvárajú právne záväzky ani sa členským štátom a ich príslušným orgánom nebráni uzatvárať dvojstranné alebo viacstranné dohody s týmito tretími krajinami a ich príslušnými orgánmi.

V uvedených dohodách o spolupráci sa stanovia aspoň tieto prvky:

| a) | postupy koordinácie činností dozoru vykonávaných podľa tohto nariadenia a akékoľvek analogické monitorovanie externého IKT rizika vo finančnom sektore, ktoré vykonáva relevantný orgán dotknutej tretej krajiny, vrátane podrobností o postúpení súhlasu tohto orgánu s cieľom umožniť hlavnému orgánu dozoru a jeho určenému tímu vykonávať všeobecné vyšetrovania a inšpekcie na mieste, ako sa uvádza v odseku 1 prvom pododseku, na území, ktoré patrí do jej jurisdikcie; |
| --- | --- |

a)

postupy koordinácie činností dozoru vykonávaných podľa tohto nariadenia a akékoľvek analogické monitorovanie externého IKT rizika vo finančnom sektore, ktoré vykonáva relevantný orgán dotknutej tretej krajiny, vrátane podrobností o postúpení súhlasu tohto orgánu s cieľom umožniť hlavnému orgánu dozoru a jeho určenému tímu vykonávať všeobecné vyšetrovania a inšpekcie na mieste, ako sa uvádza v odseku 1 prvom pododseku, na území, ktoré patrí do jej jurisdikcie;

| b) | mechanizmus zasielania všetkých relevantných informácií medzi orgánmi EBA, ESMA alebo EIOPA a relevantným orgánom dotknutej tretej krajiny, najmä v súvislosti s informáciami, o ktoré môže požiadať hlavný orgán dozoru podľa článku 37; |
| --- | --- |

b)

mechanizmus zasielania všetkých relevantných informácií medzi orgánmi EBA, ESMA alebo EIOPA a relevantným orgánom dotknutej tretej krajiny, najmä v súvislosti s informáciami, o ktoré môže požiadať hlavný orgán dozoru podľa článku 37;

| c) | mechanizmy, na základe ktorých relevantný orgán dotknutej tretej krajiny bezodkladne oznámi orgánom EBA, ESMA alebo EIOPA prípady, keď sa predpokladá, že externý poskytovateľ IKT služieb usadený v tretej krajine a určený za kritického v súlade s článkom 31 ods. 1 písm. a) porušil požiadavky, ktoré je podľa príslušného práva dotknutej tretej krajiny povinný dodržiavať pri poskytovaní služieb finančným inštitúciám v danej tretej krajine, ako aj uplatnené nápravné opatrenia a sankcie; |
| --- | --- |

c)

mechanizmy, na základe ktorých relevantný orgán dotknutej tretej krajiny bezodkladne oznámi orgánom EBA, ESMA alebo EIOPA prípady, keď sa predpokladá, že externý poskytovateľ IKT služieb usadený v tretej krajine a určený za kritického v súlade s článkom 31 ods. 1 písm. a) porušil požiadavky, ktoré je podľa príslušného práva dotknutej tretej krajiny povinný dodržiavať pri poskytovaní služieb finančným inštitúciám v danej tretej krajine, ako aj uplatnené nápravné opatrenia a sankcie;

| d) | pravidelné zasielanie aktuálnych informácií o vývoji v oblasti regulácie alebo dohľadu, pokiaľ ide o monitorovanie externého IKT rizika finančných inštitúcií v dotknutej tretej krajine; |
| --- | --- |

d)

pravidelné zasielanie aktuálnych informácií o vývoji v oblasti regulácie alebo dohľadu, pokiaľ ide o monitorovanie externého IKT rizika finančných inštitúcií v dotknutej tretej krajine;

| e) | podrobnosti, ktoré v prípade potreby umožnia účasť jedného zástupcu relevantného orgánu tretej krajiny na inšpekciách vykonávaných hlavným orgánom dozoru a určeným tímom. |
| --- | --- |

e)

podrobnosti, ktoré v prípade potreby umožnia účasť jedného zástupcu relevantného orgánu tretej krajiny na inšpekciách vykonávaných hlavným orgánom dozoru a určeným tímom.

3.   Ak hlavný orgán dozoru nie je schopný vykonávať činnosti dozoru mimo Únie uvedené v odsekoch 1 a 2, hlavný orgán dozoru:

| a) | vykonáva svoje právomoci podľa článku 35 na základe všetkých skutočností a dokumentov, ktoré má k dispozícii; |
| --- | --- |

a)

vykonáva svoje právomoci podľa článku 35 na základe všetkých skutočností a dokumentov, ktoré má k dispozícii;

| b) | zdokumentuje a vysvetlí všetky dôsledky svojej neschopnosti vykonávať plánované činnosti dozoru, ako sa uvádza v tomto článku. |
| --- | --- |

b)

zdokumentuje a vysvetlí všetky dôsledky svojej neschopnosti vykonávať plánované činnosti dozoru, ako sa uvádza v tomto článku.

Potenciálne dôsledky uvedené v písmene b) tohto odseku sa zohľadnia v odporúčaniach hlavného orgánu dozoru vydaných podľa článku 35 ods. 1 písm. d).

Článok 37

Žiadosť o informácie

1.   Hlavný orgán dozoru môže jednoduchou žiadosťou alebo rozhodnutím požadovať od kritických externých poskytovateľov IKT služieb, aby poskytli všetky informácie, ktoré hlavný orgán dozoru potrebuje na vykonávanie svojich povinností podľa tohto nariadenia, vrátane všetkých príslušných obchodných alebo prevádzkových dokumentov, zmlúv, politík, dokumentácie, audítorských správ o bezpečnosti IKT, správ o incidentoch súvisiacich s IKT, ako aj akýchkoľvek informácií týkajúcich sa strán, prostredníctvom ktorých na základe outsourcingu kritický externý poskytovateľ IKT služieb zabezpečuje prevádzkové funkcie alebo činnosti.

2.   Pri zasielaní jednoduchej žiadosti o informácie podľa odseku 1 hlavný orgán dozoru:

| a) | uvedie odkaz na tento článok ako právny základ žiadosti; |
| --- | --- |

a)

uvedie odkaz na tento článok ako právny základ žiadosti;

| b) | uvedie dôvod žiadosti; |
| --- | --- |

b)

uvedie dôvod žiadosti;

| c) | uvedie, ktoré informácie žiada; |
| --- | --- |

c)

uvedie, ktoré informácie žiada;

| d) | stanoví lehotu na poskytnutie informácií; |
| --- | --- |

d)

stanoví lehotu na poskytnutie informácií;

| e) | informuje zástupcu kritického externého poskytovateľa IKT služieb, od ktorého požaduje informácie, že nie je povinný tieto informácie poskytnúť, ale ak na žiadosť dobrovoľne odpovie, poskytnuté informácie nesmú byť nesprávne alebo zavádzajúce. |
| --- | --- |

e)

informuje zástupcu kritického externého poskytovateľa IKT služieb, od ktorého požaduje informácie, že nie je povinný tieto informácie poskytnúť, ale ak na žiadosť dobrovoľne odpovie, poskytnuté informácie nesmú byť nesprávne alebo zavádzajúce.

3.   Pri žiadosti o poskytnutie informácií podľa odseku 1 na základe rozhodnutia hlavný orgán dozoru:

| a) | uvedie odkaz na tento článok ako právny základ žiadosti; |
| --- | --- |

a)

uvedie odkaz na tento článok ako právny základ žiadosti;

| b) | uvedie dôvod žiadosti; |
| --- | --- |

b)

uvedie dôvod žiadosti;

| c) | uvedie, ktoré informácie žiada; |
| --- | --- |

c)

uvedie, ktoré informácie žiada;

| d) | stanoví lehotu na poskytnutie informácií; |
| --- | --- |

d)

stanoví lehotu na poskytnutie informácií;

| e) | upozorní na pravidelné platby penále stanovené v článku 35 ods. 6 za poskytnutie neúplných požadovaných informácií alebo keď tieto informácie nie sú poskytnuté v lehote uvedenej v písmene d) tohto odseku; |
| --- | --- |

e)

upozorní na pravidelné platby penále stanovené v článku 35 ods. 6 za poskytnutie neúplných požadovaných informácií alebo keď tieto informácie nie sú poskytnuté v lehote uvedenej v písmene d) tohto odseku;

| f) | upozorní na právo odvolať sa voči rozhodnutiu na odvolaciu radu európskeho orgánu dohľadu a na právo žiadať o preskúmanie rozhodnutia Súdnym dvorom Európskej únie (ďalej len „Súdny dvor“) v súlade s článkami 60 a 61 nariadení (EÚ) č. 1093/2010, (EÚ) č. 1094/2010 a (EÚ) č. 1095/2010. |
| --- | --- |

f)

upozorní na právo odvolať sa voči rozhodnutiu na odvolaciu radu európskeho orgánu dohľadu a na právo žiadať o preskúmanie rozhodnutia Súdnym dvorom Európskej únie (ďalej len „Súdny dvor“) v súlade s článkami 60 a 61 nariadení (EÚ) č. 1093/2010, (EÚ) č. 1094/2010 a (EÚ) č. 1095/2010.

4.   Zástupcovia kritického externého poskytovateľa IKT služieb poskytujú požadované informácie. Riadne splnomocnení právnici môžu poskytovať informácie v mene svojich klientov. Za poskytnutie neúplných, nesprávnych alebo zavádzajúcich informácií ostávajú plne zodpovední kritickí externí poskytovatelia IKT služieb.

5.   Hlavný orgán dozoru bezodkladne zašle kópiu rozhodnutia o poskytnutí informácií príslušným orgánom finančných subjektov využívajúcich služby relevantných kritických externých poskytovateľov IKT služieb a spoločnej sieti dozoru.

Článok 38

Všeobecné vyšetrovania

1.   Ak je to potrebné, hlavný orgán dozoru, ktorému pomáha spoločný prieskumný tím uvedený v článku 40 ods. 1, môže na účely plnenia svojich povinností podľa tohto nariadenia vykonávať vyšetrovania kritických externých poskytovateľov IKT služieb.

2.   Hlavný orgán dozoru je oprávnený:

| a) | preskúmavať záznamy, údaje, postupy a akékoľvek iné materiály vzťahujúce sa na plnenie ich úloh bez ohľadu na médium, na ktorom sú uložené; |
| --- | --- |

a)

preskúmavať záznamy, údaje, postupy a akékoľvek iné materiály vzťahujúce sa na plnenie ich úloh bez ohľadu na médium, na ktorom sú uložené;

| b) | vyhotovovať alebo získavať overené kópie alebo výpisy z týchto záznamov, údajov, zdokumentovaných postupov a akýchkoľvek iných materiálov; |
| --- | --- |

b)

vyhotovovať alebo získavať overené kópie alebo výpisy z týchto záznamov, údajov, zdokumentovaných postupov a akýchkoľvek iných materiálov;

| c) | predvolávať zástupcov kritického externého poskytovateľa IKT služieb, aby podali ústne alebo písomné vysvetlenie k skutočnostiam alebo dokumentom týkajúcim sa predmetu a dôvodu vyšetrovania, a zaznamenávať odpovede; |
| --- | --- |

c)

predvolávať zástupcov kritického externého poskytovateľa IKT služieb, aby podali ústne alebo písomné vysvetlenie k skutočnostiam alebo dokumentom týkajúcim sa predmetu a dôvodu vyšetrovania, a zaznamenávať odpovede;

| d) | vypočuť akúkoľvek inú fyzickú alebo právnickú osobu, ktorá s týmto vypočutím súhlasí, s cieľom získať informácie týkajúce sa predmetu vyšetrovania; |
| --- | --- |

d)

vypočuť akúkoľvek inú fyzickú alebo právnickú osobu, ktorá s týmto vypočutím súhlasí, s cieľom získať informácie týkajúce sa predmetu vyšetrovania;

| e) | žiadať záznamy telefonickej a dátovej prevádzky. |
| --- | --- |

e)

žiadať záznamy telefonickej a dátovej prevádzky.

3.   Úradníci a iné osoby poverené hlavným orgánom dozoru na účely vyšetrovania uvedeného v odseku 1 vykonávajú svoje právomoci na základe písomného poverenia, v ktorom je uvedený predmet a účel vyšetrovania.

V uvedenom poverení sa takisto upozorní na pravidelné platby penále stanovené v článku 35 ods. 6, ak poskytnuté požadované záznamy, údaje, zdokumentované postupy alebo akékoľvek iné materiály, alebo odpovede na otázky položené zástupcom externého poskytovateľa IKT služieb nie sú poskytnuté alebo sú neúplné.

4.   Zástupcovia kritických externých poskytovateľov IKT služieb sú povinní podrobiť sa vyšetrovaniu na základe rozhodnutia hlavného orgánu dozoru. V rozhodnutí sa uvádza predmet a dôvod vyšetrovania, pravidelné platby penále stanovené v článku 35 ods. 6, opravné prostriedky dostupné na základe nariadení (EÚ) č. 1093/2010, (EÚ) č. 1094/2010 a (EÚ) č. 1095/2010, ako aj právo požiadať o preskúmanie rozhodnutia Súdnym dvorom.

5.   Hlavný orgán dozoru informuje v primeranom čase pred začatím vyšetrovania príslušné orgány finančných subjektov využívajúcich IKT služby kritického externého poskytovateľa IKT služieb o plánovanom vyšetrovaní a o totožnosti poverených osôb.

Hlavný orgán dozoru oznámi spoločnej sieti dozoru všetky informácie zaslané podľa prvého pododseku.

Článok 39

Inšpekcie

1.   Na účely vykonávania svojich povinnosti podľa tohto nariadenia môže hlavný orgán dozoru za pomoci spoločných prieskumných tímov uvedených v článku 40 ods. 1 vykonávať všetky potrebné inšpekcie na mieste, pokiaľ ide o akékoľvek obchodné priestory, pozemky alebo majetok externých poskytovateľov IKT služieb, ako sú napríklad ústredia, prevádzkové strediská, vedľajšie priestory, a vstupovať do týchto priestorov, na pozemky alebo do majetku, ako aj vykonávať všetky potrebné inšpekcie na diaľku.

Na účely vykonávania právomocí uvedených v prvom pododseku vedie hlavný orgán dozoru konzultácie so spoločnou sieťou dozoru.

2.   Úradníci a ostatné osoby oprávnené hlavným orgánom dozoru vykonať inšpekciu na mieste majú právomoc:

| a) | vstupovať do všetkých takýchto obchodných priestorov, na pozemky alebo do majetku, a |
| --- | --- |

a)

vstupovať do všetkých takýchto obchodných priestorov, na pozemky alebo do majetku, a

| b) | zapečatiť všetky takéto obchodné priestory, účtovné knihy alebo záznamy na obdobie inšpekcie a v rozsahu potrebnom na jej vykonanie. |
| --- | --- |

b)

zapečatiť všetky takéto obchodné priestory, účtovné knihy alebo záznamy na obdobie inšpekcie a v rozsahu potrebnom na jej vykonanie.

Úradníci a ostatné osoby oprávnené hlavným orgánom dozoru vykonávajú svoje právomoci na základe písomného poverenia, v ktorom sa uvádza predmet a účel inšpekcie a pravidelné platby penále stanovené v článku 35 ods. 6, ak sa zástupcovia dotknutých kritických externých poskytovateľov IKT služieb nepodrobia inšpekcii.

3.   Hlavný orgán dozoru informuje v primeranom čase pred začatím inšpekcie príslušné orgány finančných subjektov využívajúcich tohto externého poskytovateľa IKT služieb.

4.   Inšpekcie sa vzťahujú na celú škálu relevantných IKT systémov, sietí, zariadení, informácií a údajov, ktoré sa používajú na poskytovanie IKT služieb finančným subjektom alebo k nemu prispievajú.

5.   Pred každou plánovanou inšpekciou na mieste hlavný orgán dozoru primerane informuje kritických externých poskytovateľov IKT služieb s výnimkou prípadu, keď takéto informovanie nie je možné z dôvodu núdzovej alebo krízovej situácie, alebo ak by to viedlo k situácii, keď by inšpekcia alebo audit už neboli účinné.

6.   Kritický externý poskytovateľ IKT služieb sa podrobí inšpekciám na mieste nariadeným na základe rozhodnutia hlavného orgánu dozoru. V rozhodnutí sa uvádza predmet a účel inšpekcie, stanoví sa v ňom dátum, kedy inšpekcia začne, a upozorní sa na pravidelné platby penále stanovené v článku 35 ods. 6, opravné prostriedky dostupné na základe nariadení (EÚ) č. 1093/2010, (EÚ) č. 1094/2010 a (EÚ) č. 1095/2010, ako aj na právo požiadať o preskúmanie rozhodnutia Súdnym dvorom.

7.   Ak úradníci a iné osoby poverené hlavným orgánom dozoru zistia, že kritický externý poskytovateľ IKT služieb sa bráni inšpekcii nariadenej podľa tohto článku, hlavný orgán dozoru informuje kritického externého poskytovateľa IKT služieb o dôsledkoch takéhoto správania vrátane možnosti, aby príslušné orgány relevantných finančných subjektov vyžadovali od finančných subjektov, aby ukončili zmluvné dojednania uzavreté s týmto kritickým externým poskytovateľom IKT služieb.

Článok 40

Priebežný dozor

1.   Pri vykonávaní činností dozoru, najmä všeobecných vyšetrovaní alebo inšpekcií, pomáha hlavnému orgánu dozoru spoločný prieskumný tím zriadený pre každého kritického externého poskytovateľa IKT služieb.

2.   Spoločný prieskumný tím uvedený v odseku 1 sa skladá zo zamestnancov:

| a) | európskych orgánov dohľadu; |
| --- | --- |

a)

európskych orgánov dohľadu;

| b) | relevantných príslušných orgánov vykonávajúcich dohľad nad finančnými subjektmi, ktorým kritický externý poskytovateľ IKT služieb poskytuje IKT služby; |
| --- | --- |

b)

relevantných príslušných orgánov vykonávajúcich dohľad nad finančnými subjektmi, ktorým kritický externý poskytovateľ IKT služieb poskytuje IKT služby;

| c) | príslušného vnútroštátneho orgánu uvedeného v článku 32 ods. 4 písm. e), a to na dobrovoľnom základe; |
| --- | --- |

c)

príslušného vnútroštátneho orgánu uvedeného v článku 32 ods. 4 písm. e), a to na dobrovoľnom základe;

| d) | jedného príslušného vnútroštátneho orgánu z členského štátu, v ktorom je usadený kritický externý poskytovateľ IKT služieb, a to na dobrovoľnom základe. |
| --- | --- |

d)

jedného príslušného vnútroštátneho orgánu z členského štátu, v ktorom je usadený kritický externý poskytovateľ IKT služieb, a to na dobrovoľnom základe.

Členovia spoločného prieskumného tímu musia mať odborné znalosti v oblasti IKT záležitostí a prevádzkového rizika. Prácu spoločného prieskumného tímu koordinuje určený zamestnanec hlavného orgánu dozoru (ďalej len „koordinátor hlavného orgánu dozoru“).

3.   Hlavný orgán dozoru po konzultácii s fórom pre dozor prijme do troch mesiacov od ukončenia vyšetrovania alebo inšpekcie odporúčania, ktoré sa majú adresovať kritickému externému poskytovateľovi IKT služieb v súlade s právomocami uvedenými v článku 35.

4.   Odporúčania uvedené v odseku 3 sa okamžite oznámia kritickému externému poskytovateľovi IKT služieb a príslušným orgánom finančných subjektov, ktorým tento kritický externý poskytovateľ IKT služieb poskytuje IKT služby.

Hlavný orgán dozoru môže na účely plnenia činností dozoru zohľadniť akékoľvek príslušné certifikácie tretej strany a správy o internom alebo externom audite IKT tretej strany, ktoré sprístupnil kritický externý poskytovateľ IKT služieb.

Článok 41

Harmonizácia podmienok umožňujúcich vykonávanie činností dozoru

1.   Európsky orgán dohľadu vypracujú prostredníctvom spoločného výboru návrh regulačných technických predpisov s cieľom upresniť:

| a) | informácie, ktoré má poskytnúť externý poskytovateľ IKT služieb v žiadosti o dobrovoľnú požiadavku, aby bol určený ako kritický podľa článku 31 ods. 11; |
| --- | --- |

a)

informácie, ktoré má poskytnúť externý poskytovateľ IKT služieb v žiadosti o dobrovoľnú požiadavku, aby bol určený ako kritický podľa článku 31 ods. 11;

| b) | obsah, štruktúru a formát informácií, ktoré sa majú predložiť, zverejniť alebo oznámiť externým poskytovateľom IKT služieb podľa článku 35 ods. 1 vrátane vzoru na poskytovanie informácií o subdodávateľských dojednaniach; |
| --- | --- |

b)

obsah, štruktúru a formát informácií, ktoré sa majú predložiť, zverejniť alebo oznámiť externým poskytovateľom IKT služieb podľa článku 35 ods. 1 vrátane vzoru na poskytovanie informácií o subdodávateľských dojednaniach;

| c) | kritériá na určenie zloženia spoločného prieskumného tímu, ktorými sa zabezpečí vyvážená účasť zamestnancov európskych orgánov dohľadu a relevantných príslušných orgánov, ich určenie, úlohy a pracovné podmienky; |
| --- | --- |

c)

kritériá na určenie zloženia spoločného prieskumného tímu, ktorými sa zabezpečí vyvážená účasť zamestnancov európskych orgánov dohľadu a relevantných príslušných orgánov, ich určenie, úlohy a pracovné podmienky;

| d) | podrobnosti o tom, ako príslušné orgány posudzujú opatrenia prijaté kritickými externými poskytovateľmi IKT služieb na základe odporúčaní hlavného orgánu dozoru podľa článku 42 ods. 3. |
| --- | --- |

d)

podrobnosti o tom, ako príslušné orgány posudzujú opatrenia prijaté kritickými externými poskytovateľmi IKT služieb na základe odporúčaní hlavného orgánu dozoru podľa článku 42 ods. 3.

2.   Európske orgány dohľadu predložia uvedený návrh regulačných technických predpisov Komisii do 17. júla 2024.

Na Komisiu sa deleguje právomoc doplniť toto nariadenie prijatím regulačných technických predpisov uvedených v odseku 1 v súlade postupmi stanovenými v článkoch 10 až 14 nariadení (EÚ) č. 1093/2010, (EÚ) č. 1094/2010 a (EÚ) č. 1095/2010.

Článok 42

Následné opatrenia príslušných orgánov

1.   Do 60 kalendárnych dní od prijatia odporúčaní vydaných hlavným orgánom dozoru podľa článku 35 ods. 1 písm. d) kritickí externí poskytovatelia IKT služieb oznámia hlavnému orgánu dozoru, že majú v úmysle postupovať podľa týchto odporúčaní, alebo poskytnú odôvodnené vysvetlenie, ak podľa týchto odporúčaní postupovať nebudú. Hlavný orgán dozoru okamžite postúpi tieto informácie príslušným orgánom dotknutých finančných subjektov.

2.   Hlavný orgán dozoru zverejní verejnosti, ak kritický externý poskytovateľ IKT služieb neinformuje hlavný orgán dozoru v súlade s odsekom 1 alebo ak sa vysvetlenie, ktoré poskytol kritický externý poskytovateľ IKT služieb, nepovažuje za dostatočné. V uverejnených informáciách sa uvedie totožnosť kritického externého poskytovateľa IKT služieb, ako aj informácie o druhu a povahe nesúladu. Takéto informácie sa obmedzujú na to, čo je relevantné a primerané na účely zabezpečenia informovanosti verejnosti, s výnimkou situácie, keď by takéto uverejnenie spôsobilo neprimeranú škodu zúčastneným stranám alebo by mohlo vážne ohroziť riadne fungovanie a integritu finančných trhov alebo stabilitu celého finančného systému Únie alebo jeho časti.

Hlavný orgán dozoru informuje externého poskytovateľa IKT služieb o tomto zverejnení.

3.   Príslušné orgány informujú relevantné finančné subjekty o rizikách identifikovaných v odporúčaniach adresovaných kritickým externým poskytovateľom IKT služieb v súlade s článkom 35 ods. 1 písm. d).

Pri riadení externého IKT rizika finančné subjekty zohľadňujú riziká uvedené v prvom pododseku.

4.   Ak sa príslušný orgán domnieva, že finančný subjekt v rámci svojho riadenia externého IKT rizika nezohľadňuje alebo dostatočne nerieši špecifické riziká identifikované v odporúčaniach, oznámi finančnému subjektu možnosť prijatia rozhodnutia podľa odseku 6 do 60 kalendárnych dní od prijatia takého oznámenia, ak neexistujú primerané zmluvné dojednania zamerané na riešenie takýchto rizík.

5.   Po doručení správ uvedených v článku 35 ods. 1 písm. c) a pred prijatím rozhodnutia ako sa uvádza v odseku 6 tohto článku môžu príslušné orgány dobrovoľne konzultovať s príslušnými orgánmi určenými alebo zriadenými v súlade so smernicou (EÚ) 2022/2555, ktoré sú zodpovedné za dohľad nad kľúčovým alebo dôležitým subjektom, na ktorý sa vzťahuje uvedená smernica, ktorý bol určený ako kritický externý poskytovateľ IKT služieb.

6.   Príslušné orgány môžu ako krajné opatrenie, v nadväznosti na oznámenie a prípadne po konzultácii, ako sa stanovuje v odsekoch 4 a 5 tohto článku, v súlade s článkom 50 prijať rozhodnutie, ktorým sa od finančných subjektov požaduje, aby čiastočne alebo úplne dočasne pozastavili používanie alebo zavádzanie služby, ktorú poskytuje kritický externý poskytovateľ IKT služieb, a to dovtedy, pokiaľ sa nevyriešia riziká identifikované v odporúčaniach, ktoré boli adresované kritickým externým poskytovateľom IKT služieb. Príslušné orgány môžu v prípade potreby od finančných subjektov požadovať, aby čiastočne alebo úplne ukončili príslušné zmluvné dojednania uzavreté s kritickými externými poskytovateľmi IKT služieb.

7.   Ak kritický externý poskytovateľ IKT služieb odmietne súhlasiť s odporúčaniami na základe odlišného prístupu od prístupu odporúčaného hlavným orgánom dozoru a takýto odlišný prístup môže mať nepriaznivý vplyv na veľký počet finančných subjektov alebo významnú časť finančného sektora a individuálne varovania vydané príslušnými orgánmi neviedli ku konzistentným prístupom zmierňujúcim potenciálne riziko pre finančnú stabilitu, hlavný orgán dozoru môže po konzultácii s fórom pre dozor vydať nezáväzné a neverejné stanoviská pre príslušné orgány s cieľom podporiť konzistentné a konvergentné následné opatrenia dohľadu, podľa toho, ako je to vhodné.

8.   Na základe doručenia správ uvedených v článku 35 ods. 1 písm. c) príslušné orgány pri prijímaní rozhodnutí uvedených v odseku 6 tohto článku zohľadňujú druh a rozsah rizika, ktoré kritický externý poskytovateľ IKT služieb nerieši, ako aj závažnosť nedodržiavania odporúčaní, a to so zreteľom na tieto kritériá:

| a) | závažnosť a trvanie nedodržiavania odporúčaní; |
| --- | --- |

a)

závažnosť a trvanie nedodržiavania odporúčaní;

| b) | či sa nedodržiavaním odporúčaní odhalili závažné nedostatky v postupoch, systémoch riadenia, riadení rizík a vnútorných kontrolách kritického externého poskytovateľa IKT služieb; |
| --- | --- |

b)

či sa nedodržiavaním odporúčaní odhalili závažné nedostatky v postupoch, systémoch riadenia, riadení rizík a vnútorných kontrolách kritického externého poskytovateľa IKT služieb;

| c) | či sa uľahčilo alebo umožnilo spáchanie finančného trestného činu alebo či takýto trestný čin možno inak pripísať nedodržiavaniu odporúčaní; |
| --- | --- |

c)

či sa uľahčilo alebo umožnilo spáchanie finančného trestného činu alebo či takýto trestný čin možno inak pripísať nedodržiavaniu odporúčaní;

| d) | či k nedodržiavaniu odporúčaní došlo úmyselne alebo z nedbanlivosti; |
| --- | --- |

d)

či k nedodržiavaniu odporúčaní došlo úmyselne alebo z nedbanlivosti;

| e) | či pozastavenie alebo ukončenie zmluvných dojednaní predstavuje riziko pre kontinuitu obchodných operácií finančného subjektu bez ohľadu na úsilie finančného subjektu zabrániť narušeniu poskytovania jeho služieb; |
| --- | --- |

e)

či pozastavenie alebo ukončenie zmluvných dojednaní predstavuje riziko pre kontinuitu obchodných operácií finančného subjektu bez ohľadu na úsilie finančného subjektu zabrániť narušeniu poskytovania jeho služieb;

| f) | v náležitých prípadoch stanovisko príslušných orgánov určených alebo zriadených v súlade so smernicou (EÚ) 2022/2555 zodpovedných za dohľad nad kľúčovým alebo dôležitým subjektom, na ktorý sa vzťahuje uvedená smernica, ktorý bol určený ako kritický externý poskytovateľ IKT služieb, požadované na dobrovoľnom základe v súlade s odsekom 5 tohto článku. |
| --- | --- |

f)

v náležitých prípadoch stanovisko príslušných orgánov určených alebo zriadených v súlade so smernicou (EÚ) 2022/2555 zodpovedných za dohľad nad kľúčovým alebo dôležitým subjektom, na ktorý sa vzťahuje uvedená smernica, ktorý bol určený ako kritický externý poskytovateľ IKT služieb, požadované na dobrovoľnom základe v súlade s odsekom 5 tohto článku.

Príslušné orgány poskytnú finančným subjektom lehotu potrebnú na to, aby mohli upraviť zmluvné dojednania s kritickými externými poskytovateľmi IKT služieb s cieľom zabrániť škodlivým účinkom na ich digitálnu prevádzkovú odolnosť a umožniť im zaviesť stratégie ukončenia angažovanosti a plány transformácie ako sa uvádza v článku 28.

9.   Rozhodnutie uvedené v odseku 6 tohto článku sa oznámi členom fóra pre dozor uvedeným v článku 32 ods. 4 písm. a), b) a c) a spoločnej sieti dozoru.

Kritickí externí poskytovatelia IKT služieb, ktorých sa týkajú rozhodnutia stanovené v odseku 6, plne spolupracujú s dotknutými finančnými subjektmi, najmä v kontexte procesu pozastavenia alebo ukončenia ich zmluvných dojednaní.

10.   Príslušné orgány pravidelne informujú hlavné orgány dozoru o prístupoch a opatreniach prijatých v rámci ich úloh dohľadu vo vzťahu k finančným subjektom, ako aj o zmluvných dojednaniach uzavretých finančnými subjektmi, ak kritickí externí poskytovatelia IKT služieb čiastočne alebo úplne nesúhlasili s im adresovanými odporúčaniami hlavného orgánu dozoru.

11.   Hlavný orgán dozoru môže na požiadanie poskytnúť ďalšie objasnenia odporúčaní vydaných s cieľom usmerniť príslušné orgány v súvislosti s následnými opatreniami.

Článok 43

Poplatky za dozor

1.   Hlavný orgán dozoru účtuje v súlade s delegovaným aktom uvedeným v odseku 2 tohto článku kritickým externým poskytovateľom IKT služieb poplatky, ktoré v plnej miere pokrývajú nevyhnutné výdavky hlavného orgánu dozoru v súvislosti s vykonávaním úloh dozoru podľa tohto nariadenia, vrátane úhrady všetkých nákladov, ktoré môžu vzniknúť v dôsledku práce vykonanej spoločným prieskumným tímom uvedeným v článku 40, ako aj nákladov na poradenstvo poskytnuté nezávislými expertmi, ako sa uvádza v článku 32 ods. 4 druhom pododseku, v súvislosti so záležitosťami, ktoré patria do pôsobnosti priamych činností dozoru.

Výška poplatku účtovaného kritickému externému poskytovateľovi IKT služieb pokrýva všetky náklady vyplývajúce z vykonávania povinností stanovených v tomto oddiele a je úmerná jeho obratu.

2.   Komisia je splnomocnená prijať do 17. júla 2024 delegovaný akt v súlade s článkom 57 s cieľom doplniť toto nariadenie určením výšky poplatkov a spôsobu ich úhrady.

Článok 44

Medzinárodná spolupráca

1.   Bez toho, aby bol dotknutý článok 36, orgány EBA, ESMA a EIOPA môžu v súlade s článkom 33 nariadení (EÚ) č. 1093/2010, (EÚ) č. 1095/2010 a (EÚ) č. 1094/2010 uzatvárať administratívne dojednania s regulačnými orgánmi a orgánmi dohľadu tretích krajín s cieľom posilniť medzinárodnú spoluprácu v oblasti externého IKT rizika v rôznych finančných sektoroch, a to najmä vypracovaním najlepších postupov na preskúmanie postupov a kontrol riadenia IKT rizika, zmierňujúcich opatrení a reakcií na incidenty.

2.   Európske orgány dohľadu predkladajú prostredníctvom spoločného výboru každých päť rokov Európskemu parlamentu, Rade a Komisii spoločnú dôvernú správu, v ktorej zhrnú zistenia príslušných diskusií s orgánmi tretích krajín uvedenými v odseku 1, pričom sa zamerajú na vývoj externého IKT rizika a dôsledky pre finančnú stabilitu, integritu trhu, ochranu investorov a fungovanie vnútorného trhu.

KAPITOLA VI

Dojednania o výmene informácií

Článok 45

Dojednania o výmene informácií týkajúce sa informácií o kybernetických hrozbách a spravodajských informácií

1.   Finančné subjekty si môžu medzi sebou vymieňať informácie a spravodajské informácie o kybernetických hrozbách vrátane ukazovateľov ohrozenia, taktík, techník a postupov, kybernetických bezpečnostných varovaní a konfiguračných nástrojov v takom rozsahu, aby sa takáto výmena informácií a spravodajských informácií:

| a) | zameriavala na posilňovanie digitálnej prevádzkovej odolnosti finančných subjektov, najmä zvyšovaním informovanosti o kybernetických hrozbách, obmedzovaním alebo zabránením schopnosti šírenia kybernetických hrozieb, podporou spôsobilostí obrany, techník odhaľovania hrozieb, stratégií zmierňovania alebo fáz reakcie a obnovy; |
| --- | --- |

a)

zameriavala na posilňovanie digitálnej prevádzkovej odolnosti finančných subjektov, najmä zvyšovaním informovanosti o kybernetických hrozbách, obmedzovaním alebo zabránením schopnosti šírenia kybernetických hrozieb, podporou spôsobilostí obrany, techník odhaľovania hrozieb, stratégií zmierňovania alebo fáz reakcie a obnovy;

| b) | uskutočňovala v rámci dôveryhodných skupín finančných subjektov; |
| --- | --- |

b)

uskutočňovala v rámci dôveryhodných skupín finančných subjektov;

| c) | vykonávala prostredníctvom dojednaní o výmene informácií, ktoré chránia potenciálne citlivú povahu vymieňaných informácií a ktoré sa riadia pravidlami správania pri plnom rešpektovaní obchodného tajomstva, ochrany osobných údajov v súlade s nariadením (EÚ) 2016/679 a usmernení pre politiku hospodárskej súťaže. |
| --- | --- |

c)

vykonávala prostredníctvom dojednaní o výmene informácií, ktoré chránia potenciálne citlivú povahu vymieňaných informácií a ktoré sa riadia pravidlami správania pri plnom rešpektovaní obchodného tajomstva, ochrany osobných údajov v súlade s nariadením (EÚ) 2016/679 a usmernení pre politiku hospodárskej súťaže.

2.   Na účely odseku 1 písm. c) sa v dojednaniach o výmene informácií vymedzia podmienky účasti a podľa vhodnosti sa v nich stanovia podrobnosti o zapojení verejných orgánov a rozsah, v ktorom sa tieto orgány môžu pridružiť k dojednaniam o výmene informácií, o zapojení externých poskytovateľov IKT služieb a o prevádzkových prvkoch vrátane využívania špecializovaných platforiem IT.

3.   Finančné subjekty oznámia príslušným orgánom svoju účasť na dojednaniach o výmene informácií uvedených v odseku 1 po potvrdení svojho členstva alebo prípadne ukončenie svojho členstva, keď nadobudne účinnosť.

KAPITOLA VII

Príslušné orgány

Článok 46

Príslušné orgány

Bez toho, aby boli dotknuté ustanovenia týkajúce sa rámca dozoru pre kritických externých poskytovateľov IKT služieb uvedené v kapitole V oddiele II tohto nariadenia, súlad s týmto nariadením zabezpečujú tieto príslušné orgány v súlade s právomocami udelenými príslušnými právnymi aktmi:

| a) | v prípade úverových inštitúcií a inštitúcií vyňatých podľa smernice 2013/36/EÚ príslušný orgán určený v súlade s článkom 4 uvedenej smernice a v prípade úverových inštitúcií klasifikovaných ako významné v súlade s článkom 6 ods. 4 nariadenia (EÚ) č. 1024/2013 ECB v súlade s právomocami a úlohami udelenými uvedeným nariadením; |
| --- | --- |

a)

v prípade úverových inštitúcií a inštitúcií vyňatých podľa smernice 2013/36/EÚ príslušný orgán určený v súlade s článkom 4 uvedenej smernice a v prípade úverových inštitúcií klasifikovaných ako významné v súlade s článkom 6 ods. 4 nariadenia (EÚ) č. 1024/2013 ECB v súlade s právomocami a úlohami udelenými uvedeným nariadením;

| b) | v prípade platobných inštitúcií vrátane platobných inštitúcií vyňatých podľa smernice (EÚ) 2015/2366, inštitúcií elektronického peňažníctva vrátane tých, ktoré sú vyňaté podľa smernice 2009/110/ES, a poskytovateľov služieb informovania o účte uvedených v článku 33 ods. 1 smernice (EÚ) 2015/2366 príslušný orgán určený v súlade s článkom 22 smernice (EÚ) 2015/2366; |
| --- | --- |

b)

v prípade platobných inštitúcií vrátane platobných inštitúcií vyňatých podľa smernice (EÚ) 2015/2366, inštitúcií elektronického peňažníctva vrátane tých, ktoré sú vyňaté podľa smernice 2009/110/ES, a poskytovateľov služieb informovania o účte uvedených v článku 33 ods. 1 smernice (EÚ) 2015/2366 príslušný orgán určený v súlade s článkom 22 smernice (EÚ) 2015/2366;

| c) | v prípade investičných spoločností príslušný orgán určený v súlade s článkom 4 smernice Európskeho parlamentu a Rady (EÚ) 2019/2034 (38); |
| --- | --- |

c)

v prípade investičných spoločností príslušný orgán určený v súlade s článkom 4 smernice Európskeho parlamentu a Rady (EÚ) 2019/2034 (38);

38

| d) | v prípade poskytovateľov služieb kryptoaktív, ktorým bolo udelené povolenie podľa nariadenia o trhoch s kryptoaktívami, a emitentov tokenov krytých aktívami príslušný orgán určený v súlade s príslušným ustanovením uvedeného nariadenia; |
| --- | --- |

d)

v prípade poskytovateľov služieb kryptoaktív, ktorým bolo udelené povolenie podľa nariadenia o trhoch s kryptoaktívami, a emitentov tokenov krytých aktívami príslušný orgán určený v súlade s príslušným ustanovením uvedeného nariadenia;

| e) | v prípade centrálnych depozitárov cenných papierov príslušný orgán určený v súlade s článkom 11 nariadenia (EÚ) č. 909/2014; |
| --- | --- |

e)

v prípade centrálnych depozitárov cenných papierov príslušný orgán určený v súlade s článkom 11 nariadenia (EÚ) č. 909/2014;

| f) | v prípade centrálnych protistrán príslušný orgán určený v súlade s článkom 22 nariadenia (EÚ) č. 648/2012; |
| --- | --- |

f)

v prípade centrálnych protistrán príslušný orgán určený v súlade s článkom 22 nariadenia (EÚ) č. 648/2012;

| g) | v prípade obchodných miest a poskytovateľov služieb vykazovania údajov príslušný orgán určený v súlade s článkom 67 smernice 2014/65/EÚ a príslušný orgán vymedzený v článku 2 ods. 1 bode 18 nariadenia (EÚ) č. 600/2014; |
| --- | --- |

g)

v prípade obchodných miest a poskytovateľov služieb vykazovania údajov príslušný orgán určený v súlade s článkom 67 smernice 2014/65/EÚ a príslušný orgán vymedzený v článku 2 ods. 1 bode 18 nariadenia (EÚ) č. 600/2014;

| h) | v prípade archívov obchodných údajov príslušný orgán určený v súlade s článkom 22 nariadenia (EÚ) č. 648/2012; |
| --- | --- |

h)

v prípade archívov obchodných údajov príslušný orgán určený v súlade s článkom 22 nariadenia (EÚ) č. 648/2012;

| i) | v prípade správcov alternatívnych investičných fondov príslušný orgán určený v súlade s článkom 44 smernice 2011/61/EÚ; |
| --- | --- |

i)

v prípade správcov alternatívnych investičných fondov príslušný orgán určený v súlade s článkom 44 smernice 2011/61/EÚ;

| j) | v prípade správcovských spoločností príslušný orgán určený v súlade s článkom 97 smernice 2009/65/ES; |
| --- | --- |

j)

v prípade správcovských spoločností príslušný orgán určený v súlade s článkom 97 smernice 2009/65/ES;

| k) | v prípade poisťovní a zaisťovní príslušný orgán určený v súlade s článkom 30 smernice 2009/138/ES; |
| --- | --- |

k)

v prípade poisťovní a zaisťovní príslušný orgán určený v súlade s článkom 30 smernice 2009/138/ES;

| l) | v prípade sprostredkovateľov poistenia, sprostredkovateľov zaistenia a sprostredkovateľov doplnkového poistenia príslušný orgán určený v súlade s článkom 12 smernice (EÚ) 2016/97; |
| --- | --- |

l)

v prípade sprostredkovateľov poistenia, sprostredkovateľov zaistenia a sprostredkovateľov doplnkového poistenia príslušný orgán určený v súlade s článkom 12 smernice (EÚ) 2016/97;

| m) | v prípade inštitúcií zamestnaneckého dôchodkového zabezpečenia príslušný orgán určený v súlade s článkom 47 smernice (EÚ) 2016/2341; |
| --- | --- |

m)

v prípade inštitúcií zamestnaneckého dôchodkového zabezpečenia príslušný orgán určený v súlade s článkom 47 smernice (EÚ) 2016/2341;

| n) | v prípade ratingových agentúr príslušný orgán určený v súlade s článkom 21 nariadenia (ES) č. 1060/2009; |
| --- | --- |

n)

v prípade ratingových agentúr príslušný orgán určený v súlade s článkom 21 nariadenia (ES) č. 1060/2009;

| o) | v prípade správcov kritických referenčných hodnôt príslušný orgán určený v súlade s článkami 40 a 41 nariadenia (EÚ) 2016/1011; |
| --- | --- |

o)

v prípade správcov kritických referenčných hodnôt príslušný orgán určený v súlade s článkami 40 a 41 nariadenia (EÚ) 2016/1011;

| p) | v prípade poskytovateľov služieb hromadného financovania príslušný orgán určený v súlade s článkom 29 nariadenia (EÚ) 2020/1503; |
| --- | --- |

p)

v prípade poskytovateľov služieb hromadného financovania príslušný orgán určený v súlade s článkom 29 nariadenia (EÚ) 2020/1503;

| q) | v prípade archívov sekuritizačných údajov príslušný orgán určený v súlade s článkom 10 a článkom 14 ods. 1 nariadenia (EÚ) 2017/2402. |
| --- | --- |

q)

v prípade archívov sekuritizačných údajov príslušný orgán určený v súlade s článkom 10 a článkom 14 ods. 1 nariadenia (EÚ) 2017/2402.

Článok 47

Spolupráca so štruktúrami a orgánmi zriadenými smernicou (EÚ) 2022/2555

1.   S cieľom podporiť spoluprácu a umožniť výmenu informácií v oblasti dohľadu medzi príslušnými orgánmi určenými podľa tohto nariadenia a skupinou pre spoluprácu zriadenou článkom 14 smernice (EÚ) 2022/2555 sa môžu európske orgány dohľadu a príslušné orgány zúčastňovať na činnostiach skupiny pre spoluprácu v prípade záležitostí, ktoré sa týkajú ich činností súvisiacich s finančnými subjektmi. Európske orgány dohľadu a príslušné orgány môžu požiadať, aby boli prizvané zúčastniť sa na činnostiach skupiny pre spoluprácu v prípade záležitostí, ktoré sa týkajú kľúčových alebo dôležitých subjektov, na ktoré sa vzťahuje uvedená smernica (EÚ) 2022/2555, ktoré boli zároveň určené ako kritickí externí poskytovatelia IKT služieb podľa článku 31 tohto nariadenia.

2.   Ak je to vhodné, príslušné orgány môžu konzultovať a zdieľať informácie s jednotnými kontaktnými miestami a jednotkami CSIRT určenými alebo zriadenými v súlade so smernicou (EÚ) 2022/2555.

3.   Ak je to vhodné, príslušné orgány môžu požiadať o akékoľvek relevantné technické poradenstvo a pomoc zo strany príslušných orgánov určených alebo stanovených v súlade so smernicou (EÚ) 2022/2555 a stanoviť dojednania v oblasti spolupráce s cieľom umožniť zriadenie účinných a rýchlo reagujúcich koordinačných mechanizmov.

4.   V dojednaniach uvedených v odseku 3 tohto článku sa môžu okrem iného upresniť postupy koordinácie činností dohľadu a dozoru vo vzťahu ku kľúčovým alebo dôležitým subjektom, na ktoré sa vzťahuje smernica (EÚ) 2022/2555, ktoré boli určené ako kritickí externí poskytovatelia IKT služieb podľa článku 31 tohto nariadenia, vrátane vedenia vyšetrovaní a inšpekcií na mieste v súlade s vnútroštátnym právom, ako aj mechanizmov výmeny informácií medzi príslušnými orgánmi podľa tohto nariadenia a príslušnými orgánmi určenými alebo zriadenými v súlade s uvedenou smernicou, čo zahŕňa prístup k informáciám požadovaným príslušnými orgánmi určenými alebo zriadenými v súlade s uvedenou smernicou.

Článok 48

Spolupráca medzi orgánmi

1.   Príslušné orgány úzko spolupracujú vzájomne a v náležitých prípadoch s hlavným orgánom dozoru.

2.   Príslušné orgány a hlavný orgán dozoru si včas navzájom vymieňajú všetky relevantné informácie týkajúce sa kritických externých poskytovateľov IKT služieb, ktoré sú pre nich potrebné na plnenie ich príslušných povinností podľa tohto nariadenia, najmä v súvislosti so zistenými rizikami, prístupmi a opatreniami prijatými v rámci úloh hlavného orgánu dozoru v oblasti dozoru.

Článok 49

Finančné medzisektorové cvičenia, komunikácia a spolupráca

1.   Európske orgány dohľadu môžu prostredníctvom spoločného výboru a v spolupráci s príslušnými orgánmi, vnútroštátnymi orgánmi pre riešenie krízových situácií uvedenými v článku 3 smernice 2014/59/EÚ, ECB, Jednotnou radou pre riešenie krízových situácií, pokiaľ ide o informácie týkajúce sa subjektov, ktoré patria do rozsahu pôsobnosti nariadenia (EÚ) č. 806/2014, výborom ESRB a agentúrou ENISA, podľa toho, ktorý z týchto subjektov je relevantný, vytvoriť mechanizmy, ktoré umožnia výmenu účinných postupov vo finančných sektoroch s cieľom zlepšiť situačnú informovanosť a identifikovať spoločné kybernetické zraniteľné miesta a riziká naprieč sektormi.

Môžu vypracovať cvičenia týkajúce sa krízového riadenia a aj krízových udalostí zahŕňajúce scenáre kybernetického útoku, aby sa vyvinuli komunikačné kanály a postupne umožnila účinná koordinovaná reakcia na úrovni Únie v prípade závažného cezhraničného incidentu súvisiaceho s IKT alebo súvisiacej hrozby majúcej systémový vplyv na finančný sektor Únie ako celok.

Týmito cvičeniami sa náležite môžu takisto testovať závislosti finančného sektora od ostatných hospodárskych odvetví.

2.   Príslušné orgány, európske orgány dohľadu a ECB navzájom úzko spolupracujú a vymieňajú si informácie na plnenie svojich povinností podľa článkov 47 až 54. Úzko koordinujú dohľad, ktorý vykonávajú, s cieľom identifikovať a odstrániť porušenia tohto nariadenia, rozvíjať a podporovať najlepšie postupy, uľahčovať spoluprácu, posilňovať jednotnosť výkladu a v prípade akýchkoľvek sporov vykonávať posúdenia na základe viacerých jurisdikcií.

Článok 50

Administratívne sankcie a nápravné opatrenia

1.   Príslušné orgány musia mať všetky potrebné právomoci v oblasti dohľadu, vyšetrovania a ukladania sankcií na zabezpečenie uplatňovania tohto nariadenia.

2.   Právomoci uvedené v odseku 1 zahŕňajú aspoň tieto právomoci:

| a) | mať prístup ku každému dokumentu alebo údaju v akejkoľvek forme, ktorý príslušný orgán považuje za relevantný pre plnenie svojich povinností, a dostať alebo si vyhotoviť jeho kópiu; |
| --- | --- |

a)

mať prístup ku každému dokumentu alebo údaju v akejkoľvek forme, ktorý príslušný orgán považuje za relevantný pre plnenie svojich povinností, a dostať alebo si vyhotoviť jeho kópiu;

| b) | vykonávať inšpekcie na mieste alebo vyšetrovania, ktoré zahŕňajú, ale neobmedzujú sa na:






  i) | predvolanie zástupcov finančných subjektov, aby podali ústne alebo písomné vysvetlenie k skutočnostiam alebo dokumentom týkajúcim sa predmetu a účelu vyšetrovania, a zaznamenávanie odpovedí; |
| --- | --- | --- |

b)

vykonávať inšpekcie na mieste alebo vyšetrovania, ktoré zahŕňajú, ale neobmedzujú sa na:

i)

predvolanie zástupcov finančných subjektov, aby podali ústne alebo písomné vysvetlenie k skutočnostiam alebo dokumentom týkajúcim sa predmetu a účelu vyšetrovania, a zaznamenávanie odpovedí;

| ii) | vypočutie akejkoľvek inej fyzickej alebo právnickej osoby, ktorá s týmto vypočutím súhlasí, s cieľom získať informácie týkajúce sa predmetu vyšetrovania; |
| --- | --- |

ii)

vypočutie akejkoľvek inej fyzickej alebo právnickej osoby, ktorá s týmto vypočutím súhlasí, s cieľom získať informácie týkajúce sa predmetu vyšetrovania;

| c) | požadovať nápravné a opravné opatrenia v prípade porušení požiadaviek tohto nariadenia. |
| --- | --- |

c)

požadovať nápravné a opravné opatrenia v prípade porušení požiadaviek tohto nariadenia.

3.   Bez toho, aby bolo dotknuté právo členských štátov ukladať trestnoprávne sankcie v súlade s článkom 52, členské štáty stanovia pravidlá, ktorými sa zavádzajú primerané administratívne sankcie a nápravné opatrenia za porušenia tohto nariadenia, a zabezpečia ich účinné vykonávanie.

Tieto sankcie a opatrenia musia byť účinné, primerané a odrádzajúce.

4.   Členské štáty udelia príslušným orgánom právomoc uplatňovať aspoň tieto administratívne sankcie alebo nápravné opatrenia za porušenia tohto nariadenia:

| a) | vydať príkaz, ktorým sa od fyzickej alebo právnickej osoby požaduje, aby ukončila konanie, ktoré je porušením tohto nariadenia, a zdržala sa opakovania tohto konania; |
| --- | --- |

a)

vydať príkaz, ktorým sa od fyzickej alebo právnickej osoby požaduje, aby ukončila konanie, ktoré je porušením tohto nariadenia, a zdržala sa opakovania tohto konania;

| b) | požadovať dočasné alebo trvalé ukončenie uplatňovania akéhokoľvek postupu alebo správania, ktoré sú podľa príslušného orgánu v rozpore s ustanoveniami tohto nariadenia, a zabrániť opakovanému uplatneniu takéhoto postupu alebo správania; |
| --- | --- |

b)

požadovať dočasné alebo trvalé ukončenie uplatňovania akéhokoľvek postupu alebo správania, ktoré sú podľa príslušného orgánu v rozpore s ustanoveniami tohto nariadenia, a zabrániť opakovanému uplatneniu takéhoto postupu alebo správania;

| c) | prijať akýkoľvek druh opatrenia vrátane opatrenia peňažnej povahy s cieľom zabezpečiť, aby finančné subjekty naďalej dodržiavali právne požiadavky; |
| --- | --- |

c)

prijať akýkoľvek druh opatrenia vrátane opatrenia peňažnej povahy s cieľom zabezpečiť, aby finančné subjekty naďalej dodržiavali právne požiadavky;

| d) | požadovať, ak to povoľuje vnútroštátne právo, existujúce záznamy o prenose údajov, ktoré má telekomunikačný operátor, ak existuje dôvodné podozrenie porušenia tohto nariadenia a ak takéto záznamy môžu byť relevantné pri vyšetrovaní porušení tohto nariadenia, a |
| --- | --- |

d)

požadovať, ak to povoľuje vnútroštátne právo, existujúce záznamy o prenose údajov, ktoré má telekomunikačný operátor, ak existuje dôvodné podozrenie porušenia tohto nariadenia a ak takéto záznamy môžu byť relevantné pri vyšetrovaní porušení tohto nariadenia, a

| e) | vydávať verejné oznámenia vrátane verejných vyhlásení, v ktorých sa uvádza totožnosť fyzickej alebo právnickej osoby a povaha porušenia. |
| --- | --- |

e)

vydávať verejné oznámenia vrátane verejných vyhlásení, v ktorých sa uvádza totožnosť fyzickej alebo právnickej osoby a povaha porušenia.

5.   Ak sa odsek 2 písm. c) a odsek 4 vzťahujú na právnické osoby, členské štáty udelia príslušným orgánom právomoc uplatňovať administratívne sankcie a nápravné opatrenia, s výhradou podmienok stanovených vo vnútroštátnom práve, voči členom riadiaceho orgánu a voči ďalším osobám, ktoré sú podľa vnútroštátneho práva zodpovedné za porušenie.

6.   Členské štáty zabezpečia, aby každé rozhodnutie o uložení administratívnych sankcií alebo nápravných opatrení stanovených v odseku 2 písm. c) bolo riadne odôvodnené a podliehalo právu odvolať sa.

Článok 51

Výkon právomoci ukladať administratívne sankcie a nápravné opatrenia

1.   Príslušné orgány vykonávajú právomoc ukladať administratívne sankcie a nápravné opatrenia uvedené v článku 50 v súlade so svojimi vnútroštátnymi právnymi rámcami, ak je to vhodné, týmto spôsobom:

| a) | priamo; |
| --- | --- |

a)

priamo;

| b) | v spolupráci s inými orgánmi; |
| --- | --- |

b)

v spolupráci s inými orgánmi;

| c) | v rámci svojej zodpovednosti delegovaním na iné orgány alebo |
| --- | --- |

c)

v rámci svojej zodpovednosti delegovaním na iné orgány alebo

| d) | podaním žiadosti na príslušné súdne orgány. |
| --- | --- |

d)

podaním žiadosti na príslušné súdne orgány.

2.   Pri určovaní druhu a úrovne administratívnej sankcie alebo nápravného opatrenia, ktoré sa majú uložiť podľa článku 50, príslušné orgány zohľadňujú rozsah, v ktorom je porušenie úmyselné alebo vyplýva z nedbanlivosti, a všetky iné relevantné okolnosti, a to aj, ak je to relevantné:

| a) | významnosť, závažnosť a trvanie porušenia; |
| --- | --- |

a)

významnosť, závažnosť a trvanie porušenia;

| b) | mieru zodpovednosti fyzickej alebo právnickej osoby, ktorá je zodpovedná za porušenie; |
| --- | --- |

b)

mieru zodpovednosti fyzickej alebo právnickej osoby, ktorá je zodpovedná za porušenie;

| c) | finančnú silu zodpovednej fyzickej alebo právnickej osoby; |
| --- | --- |

c)

finančnú silu zodpovednej fyzickej alebo právnickej osoby;

| d) | rozsah ziskov, ktoré zodpovedná fyzická alebo právnická osoba dosiahla, alebo strát, ktorým zabránila, pokiaľ ich možno určiť; |
| --- | --- |

d)

rozsah ziskov, ktoré zodpovedná fyzická alebo právnická osoba dosiahla, alebo strát, ktorým zabránila, pokiaľ ich možno určiť;

| e) | straty tretích strán spôsobené porušením, pokiaľ ich možno určiť; |
| --- | --- |

e)

straty tretích strán spôsobené porušením, pokiaľ ich možno určiť;

| f) | úroveň spolupráce zodpovednej fyzickej alebo právnickej osoby s príslušným orgánom bez toho, aby tým bola dotknutá potreba zabezpečiť vrátenie ziskov, ktoré táto fyzická alebo právnická osoba dosiahla, alebo strát, ktorým zabránila; |
| --- | --- |

f)

úroveň spolupráce zodpovednej fyzickej alebo právnickej osoby s príslušným orgánom bez toho, aby tým bola dotknutá potreba zabezpečiť vrátenie ziskov, ktoré táto fyzická alebo právnická osoba dosiahla, alebo strát, ktorým zabránila;

| g) | predchádzajúce porušenia, ktorých sa dopustila zodpovedná fyzická alebo právnická osoba. |
| --- | --- |

g)

predchádzajúce porušenia, ktorých sa dopustila zodpovedná fyzická alebo právnická osoba.

Článok 52

Trestné sankcie

1.   Členské štáty sa môžu rozhodnúť, že nestanovia pravidlá týkajúce sa administratívnych sankcií alebo nápravných opatrení za porušenia, na ktoré sa podľa ich vnútroštátneho práva vzťahujú trestnoprávne sankcie.

2.   Ak sa členské štáty rozhodli, že stanovia trestnoprávne sankcie za porušenia tohto nariadenia, zabezpečia zavedenie primeraných opatrení, aby príslušné orgány mali všetky právomoci potrebné na spoluprácu so súdnymi orgánmi, orgánmi prokuratúry alebo trestnoprávnymi orgánmi v rámci ich jurisdikcie na získanie konkrétnych informácií týkajúcich sa vyšetrovaní trestných činov alebo konaní začatých v prípade porušení tohto nariadenia a na poskytovanie rovnakých informácií ostatným príslušným orgánom, ako aj orgánom EBA, ESMA alebo EIOPA, aby si splnili povinnosť spolupracovať na účely tohto nariadenia.

Článok 53

Oznamovacie povinnosti

Členské štáty oznámia Komisii a orgánom ESMA, EBA a EIOPA zákony, iné právne predpisy a správne opatrenia na vykonávanie tejto kapitoly vrátane všetkých relevantných ustanovení trestného práva do 17. januára 2025. Členské štáty oznámia Komisii a orgánom ESMA, EBA a EIOPA bez zbytočného odkladu akékoľvek ďalšie súvisiace zmeny.

Článok 54

Uverejnenie administratívnych sankcií

1.   Príslušné orgány uverejnia na svojich oficiálnych webových sídlach bez zbytočného odkladu každé rozhodnutie o uložení administratívnej sankcie, proti ktorému nie je možné podať odvolanie po tom, ako bol adresát sankcie informovaný o tomto rozhodnutí.

2.   Uverejnenie uvedené v odseku 1 musí obsahovať informácie o druhu a povahe porušenia, o totožnosti zodpovedných osôb a o uložených sankciách.

3.   Ak sa príslušný orgán po individuálnom posúdení domnieva, že zverejnenie totožnosti v prípade právnických osôb alebo totožnosti a osobných údajov v prípade fyzických osôb by bolo neprimerané, vrátane rizika súvisiaceho s ochranou osobných údajov, ohrozilo by stabilitu finančných trhov alebo prebiehajúce vyšetrovanie trestného činu, alebo by spôsobilo dotknutej osobe neprimeranú škodu, pokiaľ túto možno určiť, prijme v súvislosti s rozhodnutím o uložení administratívnej sankcie jedno z týchto riešení:

| a) | odloží jeho uverejnenie dovtedy, kým prestanú existovať všetky dôvody na neuverejnenie; |
| --- | --- |

a)

odloží jeho uverejnenie dovtedy, kým prestanú existovať všetky dôvody na neuverejnenie;

| b) | uverejní ho anonymne v súlade s vnútroštátnym právom alebo |
| --- | --- |

b)

uverejní ho anonymne v súlade s vnútroštátnym právom alebo

| c) | upustí od jeho uverejnenia, ak sa možnosti uvedené v písmenách a) a b) považujú buď za nedostatočné na to, aby zaručili, že neexistuje nebezpečenstvo pre stabilitu finančných trhov, alebo ak by takéto uverejnenie nebolo primerané z hľadiska princípu zhovievavosti uloženej sankcie. |
| --- | --- |

c)

upustí od jeho uverejnenia, ak sa možnosti uvedené v písmenách a) a b) považujú buď za nedostatočné na to, aby zaručili, že neexistuje nebezpečenstvo pre stabilitu finančných trhov, alebo ak by takéto uverejnenie nebolo primerané z hľadiska princípu zhovievavosti uloženej sankcie.

4.   V prípade rozhodnutia uverejniť administratívnu sankciu alebo iné opatrenie anonymne podľa odseku 3 písm. b) možno uverejnenie príslušných informácií odložiť.

5.   Ak príslušný orgán uverejní rozhodnutie o uložení administratívnej sankcie, voči ktorému sa podalo odvolanie na príslušné súdne orgány, príslušné orgány okamžite uvedú na svojom oficiálnom webovom sídle túto informáciu a neskôr akékoľvek následné informácie o výsledku takéhoto odvolania. Takisto sa uverejní každé súdne rozhodnutie o zrušení rozhodnutia o uložení administratívnej sankcie.

6.   Príslušné orgány zabezpečia, aby akékoľvek informácie uverejnené v súlade s odsekmi 1 až 4 zostali na ich oficiálnych webových sídlach len kým je to potrebné na uplatnenie tohto článku. Toto obdobie nesmie presiahnuť päť rokov po uverejnení.

Článok 55

Služobné tajomstvo

1.   Na všetky dôverné informácie prijaté, vymieňané alebo prenášané podľa tohto nariadenia sa vzťahujú podmienky služobného tajomstva stanovené v odseku 2.

2.   Povinnosť zachovávania služobného tajomstva sa vzťahuje na všetky osoby, ktoré pracujú alebo pracovali pre príslušné orgány podľa tohto nariadenia, alebo pre akýkoľvek orgán alebo trhový podnik alebo fyzickú alebo právnickú osobu, na ktoré tieto príslušné orgány delegovali právomoci, vrátane ich zmluvných audítorov a expertov.

3.   Informácie, na ktoré sa vzťahuje služobné tajomstvo, vrátane výmeny informácií medzi príslušnými orgánmi podľa tohto nariadenia a príslušnými orgánmi určenými alebo zriadenými v súlade so smernicou (EÚ) 2022/2555, sa nesmú poskytnúť žiadnej inej osobe ani orgánu s výnimkou poskytnutia na základe ustanovení práva Únie alebo vnútroštátneho práva.

4.   Všetky informácie vymieňané medzi príslušnými orgánmi podľa tohto nariadenia, ktoré sa týkajú obchodných alebo prevádzkových podmienok a iných ekonomických či personálnych záležitostí, sa považujú za dôverné a vzťahujú sa na ne požiadavky na služobné tajomstvo s výnimkou prípadov, keď príslušný orgán v čase oznámenia uvedie, že takéto informácie môžu byť zverejnené, alebo ak je takéto zverejnenie potrebné pre súdne konanie.

Článok 56

Ochrana údajov

1.   Európske orgány dohľadu a príslušné orgány môžu spracúvať osobné údaje len vtedy, ak je to potrebné na účely plnenia ich príslušných povinností a úloh podľa tohto nariadenia, najmä pokiaľ ide o vyšetrovanie, inšpekciu, žiadosť o informácie, komunikáciu, uverejňovanie, hodnotenie, overovanie, posudzovanie a vypracúvanie plánov dozoru. Osobné údaje sa spracúvajú v súlade s nariadením (EÚ) 2016/679 alebo nariadením (EÚ) 2018/1725, podľa toho, ktoré je uplatniteľné.

2.   Pokiaľ nie je v iných odvetvových aktoch stanovené inak, osobné údaje uvedené v odseku 1 sa uchovávajú až do vykonania príslušných povinností v oblasti dohľadu a v každom prípade najviac 15 rokov, s výnimkou prebiehajúceho súdneho konania, ktoré si vyžaduje ďalšie uchovávanie takýchto údajov.

KAPITOLA VIII

Delegované akty

Článok 57

Vykonávanie delegovania právomoci

1.   Komisii sa udeľuje právomoc prijímať delegované akty za podmienok stanovených v tomto článku.

2.   Právomoc prijímať delegované akty uvedené v článku 31 ods. 6 a článku 43 ods. 2 sa Komisii udeľuje na obdobie piatich rokov od 17. januára 2024. Komisia vypracuje správu týkajúcu sa delegovania právomoci najneskôr deväť mesiacov pred uplynutím tohto päťročného obdobia. Delegovanie právomoci sa automaticky predlžuje o rovnako dlhé obdobia, pokiaľ Európsky parlament alebo Rada nevznesú voči takémuto predĺženiu námietku najneskôr tri mesiace pred koncom každého obdobia.

3.   Delegovanie právomoci uvedené v článku 31 ods. 6 a článku 43 ods. 2 môže Európsky parlament alebo Rada kedykoľvek odvolať. Rozhodnutím o odvolaní sa ukončuje delegovanie právomoci, ktoré sa v ňom uvádza. Rozhodnutie nadobúda účinnosť dňom nasledujúcim po jeho uverejnení v Úradnom vestníku Európskej únie alebo k neskoršiemu dátumu, ktorý je v ňom určený. Nie je ním dotknutá platnosť delegovaných aktov, ktoré už nadobudli účinnosť.

4.   Komisia pred prijatím delegovaného aktu konzultuje s expertmi určenými jednotlivými členskými štátmi v súlade so zásadami stanovenými v Medziinštitucionálnej dohode z 13. apríla 2016 o lepšej tvorbe práva.

5.   Komisia oznamuje delegovaný akt hneď po jeho prijatí súčasne Európskemu parlamentu a Rade.

6.   Delegovaný akt prijatý podľa článku 31 ods. 6 a článku 43 ods. 2 nadobudne účinnosť, len ak Európsky parlament alebo Rada voči nemu nevzniesli námietku v lehote troch mesiacov odo dňa oznámenia uvedeného aktu Európskemu parlamentu a Rade, alebo ak pred uplynutím uvedenej lehoty Európsky parlament a Rada informovali Komisiu o svojom rozhodnutí nevzniesť námietku. Na podnet Európskeho parlamentu alebo Rady sa táto lehota predĺži o tri mesiace.

KAPITOLA IX

Prechodné a záverečné ustanovenia

Oddiel I

Článok 58

Doložka o preskúmaní

1.   Do 17. januára 2028 Komisia po konzultáciách s európskymi orgánmi dohľadu a výborom ESRB, podľa toho, ktorý z týchto subjektov je relevantný, vykoná preskúmanie a predloží Európskemu parlamentu a Rade správu, ku ktorej v náležitých prípadoch pripojí legislatívny návrh. Preskúmanie zahŕňa aspoň:

| a) | kritéria na určenie kritických externých poskytovateľov IKT služieb podľa článku 31 ods. 2; |
| --- | --- |

a)

kritéria na určenie kritických externých poskytovateľov IKT služieb podľa článku 31 ods. 2;

| b) | dobrovoľný charakter oznamovania významných kybernetických hrozieb uvedených v článku 19; |
| --- | --- |

b)

dobrovoľný charakter oznamovania významných kybernetických hrozieb uvedených v článku 19;

| c) | režim uvedený v článku 31 ods. 12 a právomoci hlavného orgánu dozoru stanovené v článku 35 ods. 1 písm. d) bode iv) prvej zarážke s cieľom posúdiť účinnosť týchto ustanovení, pokiaľ ide o zabezpečenie účinného dozoru nad kritickými externými poskytovateľmi IKT služieb usadenými v tretej krajine, a potrebu založiť dcérsku spoločnosť v Únii.
  Na účely prvého pododseku tohto písmena preskúmanie zahŕňa analýzu režimu uvedeného v článku 31 ods. 12 vrátane podmienok prístupu finančných subjektov Únie k takýmto službám z tretích krajín a dostupnosti služieb na trhu Únie a zohľadňuje ďalší vývoj na trhoch so službami, na ktoré sa vzťahuje toto nariadenie, praktické skúsenosti finančných subjektov a orgánov dohľadu nad finančnými subjektmi, pokiaľ ide o uplatňovanie tohto režimu a dohľad nad ním, a akýkoľvek relevantný vývoj v oblasti regulácie a dohľadu, ku ktorému dochádza na medzinárodnej úrovni. |
| --- | --- |

c)

režim uvedený v článku 31 ods. 12 a právomoci hlavného orgánu dozoru stanovené v článku 35 ods. 1 písm. d) bode iv) prvej zarážke s cieľom posúdiť účinnosť týchto ustanovení, pokiaľ ide o zabezpečenie účinného dozoru nad kritickými externými poskytovateľmi IKT služieb usadenými v tretej krajine, a potrebu založiť dcérsku spoločnosť v Únii.

Na účely prvého pododseku tohto písmena preskúmanie zahŕňa analýzu režimu uvedeného v článku 31 ods. 12 vrátane podmienok prístupu finančných subjektov Únie k takýmto službám z tretích krajín a dostupnosti služieb na trhu Únie a zohľadňuje ďalší vývoj na trhoch so službami, na ktoré sa vzťahuje toto nariadenie, praktické skúsenosti finančných subjektov a orgánov dohľadu nad finančnými subjektmi, pokiaľ ide o uplatňovanie tohto režimu a dohľad nad ním, a akýkoľvek relevantný vývoj v oblasti regulácie a dohľadu, ku ktorému dochádza na medzinárodnej úrovni.

| d) | vhodnosť zahrnutia finančných subjektov, ktoré využívajú automatizované predajné systémy, uvedených v článku 2 ods. 3 písm. e) do rozsahu pôsobnosti tohto nariadenia vzhľadom na budúci vývoj na trhu s používaním takýchto systémov; |
| --- | --- |

d)

vhodnosť zahrnutia finančných subjektov, ktoré využívajú automatizované predajné systémy, uvedených v článku 2 ods. 3 písm. e) do rozsahu pôsobnosti tohto nariadenia vzhľadom na budúci vývoj na trhu s používaním takýchto systémov;

| e) | fungovanie a účinnosť spoločnej siete dozoru pri podpore konzistentnosti dozoru a efektívnosti výmeny informácií v rámci dozoru. |
| --- | --- |

e)

fungovanie a účinnosť spoločnej siete dozoru pri podpore konzistentnosti dozoru a efektívnosti výmeny informácií v rámci dozoru.

2.   V kontexte preskúmania smernice (EÚ) 2015/2366 Komisia posúdi potrebu zvýšenej kybernetickej odolnosti platobných systémov a činností spracovania platieb a vhodnosť rozšírenia rozsahu pôsobnosti tohto nariadenia na prevádzkovateľov platobných systémov a subjekty zapojené do činností spracovania platieb. Na základe tohto posúdenia Komisia v rámci preskúmania smernice (EÚ) 2015/2366 predloží Európskemu parlamentu a Rade správu najneskôr do 17. júla 2023.

Na základe uvedenej správy a po konzultácii s európskymi orgánmi dohľadu, ECB a ESRB môže Komisia v náležitých prípadoch a ako súčasť legislatívneho návrhu, ktorý môže prijať podľa článku 108 druhého odseku smernice (EÚ) 2015/2366, predložiť návrh na zabezpečenie toho, aby všetci prevádzkovatelia platobných systémov a subjekty zapojené do činností spracovania platieb podliehali primeranému dozoru, pričom sa zohľadní existujúci dohľad centrálnej banky.

3.   Do 17. januára 2026 Komisia po konzultácii s európskymi orgánmi dohľadu a Výborom európskych orgánov pre dohľad nad výkonom auditu vykoná preskúmanie a predloží správu Európskemu parlamentu a Rade, ku ktorej v náležitých prípadoch pripojí legislatívny návrh, týkajúcu sa vhodnosti posilnených požiadaviek pre štatutárnych audítorov a audítorské spoločnosti, pokiaľ ide o digitálnu prevádzkovú odolnosť, prostredníctvom zahrnutia štatutárnych audítorov a audítorských spoločností do rozsahu pôsobnosti tohto nariadenia alebo prostredníctvom zmien smernice Európskeho parlamentu a Rady 2006/43/ES (39).

Oddiel II

Zmeny

Článok 59

Zmeny nariadenia (ES) č. 1060/2009

Nariadenie (ES) č. 1060/2009 sa mení takto:

| 1. | V prílohe I oddiele A odseku 4 sa prvý pododsek nahrádza takto:

  „Ratingová agentúra má správne administratívne a účtovné postupy, mechanizmy vnútornej kontroly, účinné postupy hodnotenia rizika a účinné kontrolné a ochranné mechanizmy riadenia systémov IKT v súlade s nariadením Európskeho parlamentu a Rady (EÚ) 2022/2554 (*1).

  (*1)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554 zo 14. decembra 2022 o digitálnej prevádzkovej odolnosti finančného sektora a o zmene nariadení (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014, (EÚ) č. 909/2014 a (EÚ) 2016/1011 (Ú. v. EÚ L 333, 27.12.2022, s. 1).“
  " |
| --- | --- |

1.

V prílohe I oddiele A odseku 4 sa prvý pododsek nahrádza takto:

„Ratingová agentúra má správne administratívne a účtovné postupy, mechanizmy vnútornej kontroly, účinné postupy hodnotenia rizika a účinné kontrolné a ochranné mechanizmy riadenia systémov IKT v súlade s nariadením Európskeho parlamentu a Rady (EÚ) 2022/2554 (*1).

*1

(*1)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554 zo 14. decembra 2022 o digitálnej prevádzkovej odolnosti finančného sektora a o zmene nariadení (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014, (EÚ) č. 909/2014 a (EÚ) 2016/1011 (Ú. v. EÚ L 333, 27.12.2022, s. 1).“
  "

*1

| 2. | V prílohe III sa bod 12 nahrádza takto:






  „12. | Ratingová agentúra porušuje článok 6 ods. 2 v spojení s prílohou I oddielom A bodom 4 tým, že nemá správne administratívne alebo účtovné postupy, mechanizmy vnútornej kontroly, účinné postupy hodnotenia rizika alebo účinné kontrolné alebo ochranné mechanizmy riadenia systémov IKT v súlade s nariadením (EÚ) 2022/2554, alebo tým, že nevykonáva alebo nezachováva rozhodovacie postupy alebo organizačné štruktúry, ako sa vyžaduje v uvedenom bode.
  “ |
| --- | --- | --- |

2.

V prílohe III sa bod 12 nahrádza takto:

„12.

Ratingová agentúra porušuje článok 6 ods. 2 v spojení s prílohou I oddielom A bodom 4 tým, že nemá správne administratívne alebo účtovné postupy, mechanizmy vnútornej kontroly, účinné postupy hodnotenia rizika alebo účinné kontrolné alebo ochranné mechanizmy riadenia systémov IKT v súlade s nariadením (EÚ) 2022/2554, alebo tým, že nevykonáva alebo nezachováva rozhodovacie postupy alebo organizačné štruktúry, ako sa vyžaduje v uvedenom bode.
  “

“

Článok 60

Zmeny nariadenia (EÚ) č. 648/2012

Nariadenie (EÚ) č. 648/2012 sa mení takto:

| 1. | Článok 26 sa mení takto:






  a) | Odsek 3 sa nahrádza takto:

  „3.   Centrálna protistrana udržiava a riadi organizačnú štruktúru, ktorá zaisťuje kontinuitu a riadne fungovanie pri výkone jej služieb a činností. Využíva vhodné a primerané systémy, zdroje a postupy vrátane systémov IKT riadených v súlade s nariadením Európskeho parlamentu a Rady (EÚ) 2022/2554 (*2).


  (*2)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554 zo 14. decembra 2022 o digitálnej prevádzkovej odolnosti finančného sektora a o zmene nariadení (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014, (EÚ) č. 909/2014 a (EÚ) 2016/1011 (Ú. v. EÚ L 333, 27.12.2022, s. 1).
  “

  " |
| --- | --- | --- |

1.

Článok 26 sa mení takto:

a)

Odsek 3 sa nahrádza takto:

„3.   Centrálna protistrana udržiava a riadi organizačnú štruktúru, ktorá zaisťuje kontinuitu a riadne fungovanie pri výkone jej služieb a činností. Využíva vhodné a primerané systémy, zdroje a postupy vrátane systémov IKT riadených v súlade s nariadením Európskeho parlamentu a Rady (EÚ) 2022/2554 (*2).

(*2)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554 zo 14. decembra 2022 o digitálnej prevádzkovej odolnosti finančného sektora a o zmene nariadení (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014, (EÚ) č. 909/2014 a (EÚ) 2016/1011 (Ú. v. EÚ L 333, 27.12.2022, s. 1).
  “

  "

*2

“

| b) | Odsek 6 sa vypúšťa. |
| --- | --- |

b)

Odsek 6 sa vypúšťa.

| 2. | Článok 34 sa mení takto:






  a) | Odsek 1 sa nahrádza takto:

  „1.   Centrálna protistrana zavedie, vykonáva a udržiava primeranú politiku zabezpečovania kontinuity podnikateľskej činnosti a plán obnovy po havárii, ktorý zahŕňa politiku kontinuity podnikateľskej činnosti v oblasti IKT a plány reakcie a obnovy v oblasti IKT, ktoré sú zavedené a vykonávané v súlade s nariadením (EÚ) 2022/2554, s cieľom zaistiť zachovanie svojich funkcií, včasnú obnovu činnosti a plnenie povinností centrálnej protistrany.
  “ |
| --- | --- | --- |

2.

Článok 34 sa mení takto:

a)

Odsek 1 sa nahrádza takto:

„1.   Centrálna protistrana zavedie, vykonáva a udržiava primeranú politiku zabezpečovania kontinuity podnikateľskej činnosti a plán obnovy po havárii, ktorý zahŕňa politiku kontinuity podnikateľskej činnosti v oblasti IKT a plány reakcie a obnovy v oblasti IKT, ktoré sú zavedené a vykonávané v súlade s nariadením (EÚ) 2022/2554, s cieľom zaistiť zachovanie svojich funkcií, včasnú obnovu činnosti a plnenie povinností centrálnej protistrany.
  “

| b) | V odseku 3 sa prvý pododsek nahrádza takto:

  „3.   S cieľom zabezpečiť konzistentné uplatňovanie tohto článku ESMA po konzultácii s členmi ESCB vypracuje návrh regulačných technických noriem, v ktorých sa s výnimkou politiky kontinuity podnikateľskej činnosti v oblasti IKT a plánu obnovy po havárii v oblasti IKT stanoví minimálny obsah politiky kontinuity podnikateľskej činnosti a plánu obnovy po havárii a požiadavky na ne.“ |
| --- | --- |

b)

V odseku 3 sa prvý pododsek nahrádza takto:

„3.   S cieľom zabezpečiť konzistentné uplatňovanie tohto článku ESMA po konzultácii s členmi ESCB vypracuje návrh regulačných technických noriem, v ktorých sa s výnimkou politiky kontinuity podnikateľskej činnosti v oblasti IKT a plánu obnovy po havárii v oblasti IKT stanoví minimálny obsah politiky kontinuity podnikateľskej činnosti a plánu obnovy po havárii a požiadavky na ne.“

| 3. | V článku 56 ods. 3 sa prvý pododsek nahrádza takto:

  „3.   S cieľom zaistiť konzistentné uplatňovanie tohto článku vypracuje ESMA návrh regulačných technických predpisov, v ktorých sa stanovia podrobnosti, okrem požiadaviek týkajúcich sa riadenia IKT rizika, žiadosti o registráciu uvedenej v odseku 1.
  “ |
| --- | --- |

3.

V článku 56 ods. 3 sa prvý pododsek nahrádza takto:

„3.   S cieľom zaistiť konzistentné uplatňovanie tohto článku vypracuje ESMA návrh regulačných technických predpisov, v ktorých sa stanovia podrobnosti, okrem požiadaviek týkajúcich sa riadenia IKT rizika, žiadosti o registráciu uvedenej v odseku 1.
  “

| 4. | V článku 79 sa odseky 1 a 2 nahrádzajú takto:

  „1.   Archív obchodných údajov určí zdroje prevádzkového rizika a minimalizuje ich prostredníctvom vývoja vhodných systémov, kontrolných mechanizmov a postupov vrátane systémov IKT riadených v súlade s nariadením (EÚ) 2022/2554.


  2.   Archív obchodných údajov zavedie, vykonáva a udržiava zodpovedajúcu politiku kontinuity podnikateľskej činnosti a plán obnovy po havárii vrátane politiky kontinuity podnikateľskej činnosti v oblasti IKT a plánov reakcie a obnovy v oblasti IKT zavedených v súlade s nariadením (EÚ) 2022/2554 s cieľom zaistiť zachovanie svojich funkcií, včasnú obnovu činnosti a plnenie povinností archívu obchodných údajov.
  “ |
| --- | --- |

4.

V článku 79 sa odseky 1 a 2 nahrádzajú takto:

„1.   Archív obchodných údajov určí zdroje prevádzkového rizika a minimalizuje ich prostredníctvom vývoja vhodných systémov, kontrolných mechanizmov a postupov vrátane systémov IKT riadených v súlade s nariadením (EÚ) 2022/2554.

2.   Archív obchodných údajov zavedie, vykonáva a udržiava zodpovedajúcu politiku kontinuity podnikateľskej činnosti a plán obnovy po havárii vrátane politiky kontinuity podnikateľskej činnosti v oblasti IKT a plánov reakcie a obnovy v oblasti IKT zavedených v súlade s nariadením (EÚ) 2022/2554 s cieľom zaistiť zachovanie svojich funkcií, včasnú obnovu činnosti a plnenie povinností archívu obchodných údajov.
  “

| 5. | V článku 80 sa vypúšťa odsek 1. |
| --- | --- |

5.

V článku 80 sa vypúšťa odsek 1.

| 6. | V prílohe I sa oddiel II sa mení takto:






  a) | Písmená a) a b) sa nahrádzajú takto:






  „a) | archív obchodných údajov porušuje článok 79 ods. 1 tým, že neurčí zdroje prevádzkového rizika alebo ich neminimalizuje prostredníctvom vývoja vhodných systémov, kontrolných mechanizmov a postupov vrátane systémov IKT riadených v súlade s nariadením (EÚ) 2022/2554; |
| --- | --- | --- | --- |

6.

V prílohe I sa oddiel II sa mení takto:

a)

Písmená a) a b) sa nahrádzajú takto:

„a)

archív obchodných údajov porušuje článok 79 ods. 1 tým, že neurčí zdroje prevádzkového rizika alebo ich neminimalizuje prostredníctvom vývoja vhodných systémov, kontrolných mechanizmov a postupov vrátane systémov IKT riadených v súlade s nariadením (EÚ) 2022/2554;

| b) | archív obchodných údajov porušuje článok 79 ods. 2 tým, že nezavedie, nevykonáva alebo neudržiava zodpovedajúcu politiku zabezpečenia kontinuity podnikateľskej činnosti a plán obnovy po havárii zavedené v súlade s nariadením (EÚ) 2022/2554, s cieľom zaistiť zachovanie svojich funkcií, včasnej obnovy činnosti a plnenia povinností archívu obchodných údajov;“. |
| --- | --- |

b)

archív obchodných údajov porušuje článok 79 ods. 2 tým, že nezavedie, nevykonáva alebo neudržiava zodpovedajúcu politiku zabezpečenia kontinuity podnikateľskej činnosti a plán obnovy po havárii zavedené v súlade s nariadením (EÚ) 2022/2554, s cieľom zaistiť zachovanie svojich funkcií, včasnej obnovy činnosti a plnenia povinností archívu obchodných údajov;“.

| b) | Písmeno c) sa vypúšťa. |
| --- | --- |

b)

Písmeno c) sa vypúšťa.

| 7. | Príloha III sa mení takto:






  a) | Oddiel II sa mení takto:






  i) | písmeno c) sa nahrádza takto:






  „c) | centrálna protistrana Tier 2 porušuje článok 26 ods. 3 tým, že neudržiava alebo neprevádzkuje organizačnú štruktúru, ktorá zabezpečuje kontinuitu a riadne fungovanie pri vykonávaní jej služieb a činností, alebo tým, že nepoužíva vhodné a primerané systémy, zdroje alebo postupy vrátane systémov IKT riadených v súlade s nariadením (EÚ) 2022/2554;“ |
| --- | --- | --- | --- | --- |

7.

Príloha III sa mení takto:

a)

Oddiel II sa mení takto:

i)

písmeno c) sa nahrádza takto:

„c)

centrálna protistrana Tier 2 porušuje článok 26 ods. 3 tým, že neudržiava alebo neprevádzkuje organizačnú štruktúru, ktorá zabezpečuje kontinuitu a riadne fungovanie pri vykonávaní jej služieb a činností, alebo tým, že nepoužíva vhodné a primerané systémy, zdroje alebo postupy vrátane systémov IKT riadených v súlade s nariadením (EÚ) 2022/2554;“

| ii) | písmeno f) sa vypúšťa. |
| --- | --- |

ii)

písmeno f) sa vypúšťa.

| b) | V oddiele III sa písmeno a) nahrádza takto:






  „a) | centrálna protistrana Tier 2 porušuje článok 34 ods. 1 tým, že nezavedie, nevykonáva alebo neudržiava primeranú politiku zabezpečovania kontinuity podnikateľskej činnosti a plán reakcie a obnovy stanovené v súlade s nariadením (EÚ) 2022/2554 s cieľom zaistiť zachovanie svojich funkcií, včasnú obnovu činnosti a plnenie povinností centrálnej protistrany, ktorý umožňuje minimálne obnovu všetkých transakcií v čase výpadku, aby centrálna protistrana mohla pokračovať v činnosti s istotou a dokončiť vyrovnanie k plánovanému dátumu;“. |
| --- | --- | --- |

b)

V oddiele III sa písmeno a) nahrádza takto:

„a)

centrálna protistrana Tier 2 porušuje článok 34 ods. 1 tým, že nezavedie, nevykonáva alebo neudržiava primeranú politiku zabezpečovania kontinuity podnikateľskej činnosti a plán reakcie a obnovy stanovené v súlade s nariadením (EÚ) 2022/2554 s cieľom zaistiť zachovanie svojich funkcií, včasnú obnovu činnosti a plnenie povinností centrálnej protistrany, ktorý umožňuje minimálne obnovu všetkých transakcií v čase výpadku, aby centrálna protistrana mohla pokračovať v činnosti s istotou a dokončiť vyrovnanie k plánovanému dátumu;“.

Článok 61

Zmeny nariadenia (EÚ) č. 909/2014

Článok 45 nariadenia (EÚ) č. 909/2014 sa mení takto:

| 1. | Odsek 1 sa nahrádza takto:

  „1.   Centrálny depozitár určí zdroje prevádzkového rizika, vnútorné aj vonkajšie, a minimalizuje ich vplyv aj prostredníctvom zavedenia vhodných nástrojov, postupov a politík IKT stanovených a riadených v súlade s nariadením Európskeho parlamentu a Rady (EÚ) 2022/2554 (*3), ako aj prostredníctvom akýchkoľvek iných príslušných vhodných nástrojov, kontrol a postupov pre iné druhy prevádzkového rizika, a to aj pre všetky systémy vyrovnania transakcií s cennými papiermi, ktoré prevádzkuje.


  (*3)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554 zo 14. decembra 2022 o digitálnej prevádzkovej odolnosti finančného sektora a o zmene nariadení (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014, (EÚ) č. 909/2014 a (EÚ) 2016/1011(Ú. v. EÚ L 333, 27.12.2022, s. 1).“
  " |
| --- | --- |

1.

Odsek 1 sa nahrádza takto:

„1.   Centrálny depozitár určí zdroje prevádzkového rizika, vnútorné aj vonkajšie, a minimalizuje ich vplyv aj prostredníctvom zavedenia vhodných nástrojov, postupov a politík IKT stanovených a riadených v súlade s nariadením Európskeho parlamentu a Rady (EÚ) 2022/2554 (*3), ako aj prostredníctvom akýchkoľvek iných príslušných vhodných nástrojov, kontrol a postupov pre iné druhy prevádzkového rizika, a to aj pre všetky systémy vyrovnania transakcií s cennými papiermi, ktoré prevádzkuje.

(*3)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554 zo 14. decembra 2022 o digitálnej prevádzkovej odolnosti finančného sektora a o zmene nariadení (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014, (EÚ) č. 909/2014 a (EÚ) 2016/1011(Ú. v. EÚ L 333, 27.12.2022, s. 1).“
  "

*3

| 2. | Odsek 2 sa vypúšťa. |
| --- | --- |

2.

Odsek 2 sa vypúšťa.

| 3. | Odseky 3 a 4 sa nahrádzajú takto:

  „3.   Centrálny depozitár pre služby, ktoré poskytuje, ako aj pre každý systém vyrovnania transakcií s cennými papiermi, ktorý prevádzkuje, zavedie, uplatňuje a zachováva primeranú politiku kontinuity činností a plán obnovy po katastrofe vrátane politiky kontinuity činností v oblasti IKT a plánov reakcie a obnovy v oblasti IKT v súlade s nariadením (EÚ) 2022/2554, a to s cieľom zabezpečiť poskytovanie svojich služieb, včasnú obnovu prevádzky a plnenie záväzkov centrálnym depozitárom v prípade udalostí, ktoré predstavujú významné riziko prerušenia prevádzky.


  4.   Plán uvedený v odseku 3 umožňuje obnovu všetkých transakcií a pozícií účastníkov v okamihu prerušenia s cieľom umožniť účastníkom centrálneho depozitára pokračovať v činnosti s istotou a dokončiť vyrovnanie k určenému dátumu, a to aj prostredníctvom zabezpečenia toho, aby kritické IT systémy mohli obnoviť prevádzku od okamihu prerušenia, ako sa stanovuje v článku 12 ods. 5 a 7 nariadenia (EÚ) 2022/2554.“ |
| --- | --- |

3.

Odseky 3 a 4 sa nahrádzajú takto:

„3.   Centrálny depozitár pre služby, ktoré poskytuje, ako aj pre každý systém vyrovnania transakcií s cennými papiermi, ktorý prevádzkuje, zavedie, uplatňuje a zachováva primeranú politiku kontinuity činností a plán obnovy po katastrofe vrátane politiky kontinuity činností v oblasti IKT a plánov reakcie a obnovy v oblasti IKT v súlade s nariadením (EÚ) 2022/2554, a to s cieľom zabezpečiť poskytovanie svojich služieb, včasnú obnovu prevádzky a plnenie záväzkov centrálnym depozitárom v prípade udalostí, ktoré predstavujú významné riziko prerušenia prevádzky.

4.   Plán uvedený v odseku 3 umožňuje obnovu všetkých transakcií a pozícií účastníkov v okamihu prerušenia s cieľom umožniť účastníkom centrálneho depozitára pokračovať v činnosti s istotou a dokončiť vyrovnanie k určenému dátumu, a to aj prostredníctvom zabezpečenia toho, aby kritické IT systémy mohli obnoviť prevádzku od okamihu prerušenia, ako sa stanovuje v článku 12 ods. 5 a 7 nariadenia (EÚ) 2022/2554.“

| 4. | Odsek 6 sa nahrádza takto:

  „6.   Centrálny depozitár zisťuje, monitoruje a riadi riziká, ktoré by pre jeho prevádzku mohli predstavovať kľúčoví účastníci systémov vyrovnania transakcií s cennými papiermi, ktoré centrálny depozitár prevádzkuje, ako aj poskytovatelia služieb, sieťové odvetvia a iné centrálne depozitáre alebo iné trhové infraštruktúry. Na požiadanie informuje príslušné a relevantné orgány o všetkých takýchto zistených rizikách. Príslušný orgán a relevantné orgány bezodkladne informuje aj o všetkých prevádzkových incidentoch vyplývajúcich z iných rizík, než je IKT riziko.“ |
| --- | --- |

4.

Odsek 6 sa nahrádza takto:

„6.   Centrálny depozitár zisťuje, monitoruje a riadi riziká, ktoré by pre jeho prevádzku mohli predstavovať kľúčoví účastníci systémov vyrovnania transakcií s cennými papiermi, ktoré centrálny depozitár prevádzkuje, ako aj poskytovatelia služieb, sieťové odvetvia a iné centrálne depozitáre alebo iné trhové infraštruktúry. Na požiadanie informuje príslušné a relevantné orgány o všetkých takýchto zistených rizikách. Príslušný orgán a relevantné orgány bezodkladne informuje aj o všetkých prevádzkových incidentoch vyplývajúcich z iných rizík, než je IKT riziko.“

| 5. | V odseku 7 sa prvý pododsek nahrádza takto:

  „7.   ESMA vypracuje v úzkej spolupráci s členmi ESCB návrh regulačných technických predpisov s cieľom vymedziť prevádzkové riziká uvedené v odsekoch 1 a 6, ktoré sú iné než IKT riziko, ako aj metódy na testovanie, odstránenie alebo minimalizáciu týchto rizík vrátane politík kontinuity činností a plánov obnovy po katastrofe uvedených v odsekoch 3 a 4 a spôsobov ich posudzovania.“ |
| --- | --- |

5.

V odseku 7 sa prvý pododsek nahrádza takto:

„7.   ESMA vypracuje v úzkej spolupráci s členmi ESCB návrh regulačných technických predpisov s cieľom vymedziť prevádzkové riziká uvedené v odsekoch 1 a 6, ktoré sú iné než IKT riziko, ako aj metódy na testovanie, odstránenie alebo minimalizáciu týchto rizík vrátane politík kontinuity činností a plánov obnovy po katastrofe uvedených v odsekoch 3 a 4 a spôsobov ich posudzovania.“

Článok 62

Zmeny nariadenia (EÚ) č. 600/2014

Nariadenie (EÚ) č. 600/2014 sa mení takto:

| 1. | Článok 27g sa mení takto:






  a) | Odsek 4 sa nahrádza takto:






  „4. | APA spĺňa požiadavky týkajúce sa bezpečnosti sietí a informačných systémov stanovené v nariadení Európskeho parlamentu a Rady (EÚ) 2022/2554 (*4). |
| --- | --- | --- | --- |

1.

Článok 27g sa mení takto:

a)

Odsek 4 sa nahrádza takto:

„4.

APA spĺňa požiadavky týkajúce sa bezpečnosti sietí a informačných systémov stanovené v nariadení Európskeho parlamentu a Rady (EÚ) 2022/2554 (*4).

*4

(*4)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554 zo 14. decembra 2022 o digitálnej prevádzkovej odolnosti finančného sektora a o zmene nariadení (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014, (EÚ) č. 909/2014 a (EÚ) 2016/1011(Ú. v. EÚ L 333, 27.12.2022, s. 1).“
  "

*4

| b) | V odseku 8 sa písmeno c) nahrádza takto:






  „c) | konkrétne organizačné požiadavky uvedené v odsekoch 3 a 5.“ |
| --- | --- | --- |

b)

V odseku 8 sa písmeno c) nahrádza takto:

„c)

konkrétne organizačné požiadavky uvedené v odsekoch 3 a 5.“

| 2. | Článok 27 h sa mení takto:






  a) | Odsek 5 sa nahrádza takto:

  „5.   CTP spĺňa požiadavky týkajúce sa bezpečnosti sietí a informačných systémov stanovené v nariadení (EÚ) 2022/2554.“ |
| --- | --- | --- |

2.

Článok 27 h sa mení takto:

a)

Odsek 5 sa nahrádza takto:

„5.   CTP spĺňa požiadavky týkajúce sa bezpečnosti sietí a informačných systémov stanovené v nariadení (EÚ) 2022/2554.“

| b) | V odseku 8 sa písmeno e) nahrádza takto:






  „e) | konkrétne organizačné požiadavky uvedené v odseku 4.“ |
| --- | --- | --- |

b)

V odseku 8 sa písmeno e) nahrádza takto:

„e)

konkrétne organizačné požiadavky uvedené v odseku 4.“

| 3. | Článok 27i sa mení takto:






  a) | Odsek 3 sa nahrádza takto:

  „3.   ARM spĺňa požiadavky týkajúce sa bezpečnosti sietí a informačných systémov stanovené v nariadení (EÚ) 2022/2554.“ |
| --- | --- | --- |

3.

Článok 27i sa mení takto:

a)

Odsek 3 sa nahrádza takto:

„3.   ARM spĺňa požiadavky týkajúce sa bezpečnosti sietí a informačných systémov stanovené v nariadení (EÚ) 2022/2554.“

| b) | V odseku 5 sa písmeno b) nahrádza takto:






  „b) | konkrétne organizačné požiadavky uvedené v odsekoch 2 a 4.“ |
| --- | --- | --- |

b)

V odseku 5 sa písmeno b) nahrádza takto:

„b)

konkrétne organizačné požiadavky uvedené v odsekoch 2 a 4.“

Článok 63

Zmeny nariadenia (EÚ) 2016/1011

V článku 6 nariadenia (EÚ) 2016/1011 sa dopĺňa tento odsek:

| „6. | Pokiaľ ide o kritické referenčné hodnoty, správca má zavedené správne administratívne a účtovné postupy, mechanizmy vnútornej kontroly, účinné postupy hodnotenia rizika a účinné kontrolné a ochranné mechanizmy riadenia systémov IKT v súlade s nariadením Európskeho parlamentu a Rady (EÚ) 2022/2554 (*5). |
| --- | --- |

„6.

Pokiaľ ide o kritické referenčné hodnoty, správca má zavedené správne administratívne a účtovné postupy, mechanizmy vnútornej kontroly, účinné postupy hodnotenia rizika a účinné kontrolné a ochranné mechanizmy riadenia systémov IKT v súlade s nariadením Európskeho parlamentu a Rady (EÚ) 2022/2554 (*5).

*5

Článok 64

Nadobudnutie účinnosti a uplatňovanie

Toto nariadenie nadobúda účinnosť dvadsiatym dňom nasledujúcim po jeho uverejnení v Úradnom vestníku Európskej únie.

Úradnom vestníku Európskej únie

Uplatňuje sa od 17. januára 2025.

Toto nariadenie je záväzné v celom rozsahu a priamo uplatniteľné vo všetkých členských štátoch.

V Štrasburgu 14. decembra 2022

Za Európsky parlament

predsedníčka

R. METSOLA

Za Radu

predseda

M. BEK

---

(1)  
  Ú. v. EÚ C 343, 26.8.2021, s. 1.

1

(2)  
  Ú. v. EÚ C 155, 30.4.2021, s. 38.

2

(3)  Pozícia Európskeho parlamentu z 10. novembra 2022 (zatiaľ neuverejnená v úradnom vestníku) a rozhodnutie Rady z 28. novembra 2022.

3

(4)  Nariadenie Európskeho parlamentu a Rady (EÚ) č. 1093/2010 z 24. novembra 2010, ktorým sa zriaďuje Európsky orgán dohľadu (Európsky orgán pre bankovníctvo) a ktorým sa mení a dopĺňa rozhodnutie č. 716/2009/ES a zrušuje rozhodnutie Komisie 2009/78/ES (Ú. v. EÚ L 331, 15.12.2010, s. 12).

4

(5)  Nariadenie Európskeho parlamentu a Rady (EÚ) č. 1094/2010 z 24. novembra 2010, ktorým sa zriaďuje Európsky orgán dohľadu (Európsky orgán pre poisťovníctvo a dôchodkové poistenie zamestnancov), a ktorým sa mení a dopĺňa rozhodnutie č. 716/2009/ES a zrušuje rozhodnutie Komisie 2009/79/ES (Ú. v. EÚ L 331, 15.12.2010, s. 48).

5

(6)  Nariadenie Európskeho parlamentu a Rady (EÚ) č. 1095/2010 z 24. novembra 2010, ktorým sa zriaďuje Európsky orgán dohľadu (Európsky orgán pre cenné papiere a trhy) a ktorým sa mení a dopĺňa rozhodnutie č. 716/2009/ES a zrušuje rozhodnutie Komisie 2009/77/ES (Ú. v. EÚ L 331, 15.12.2010, s. 84).

6

(7)  Smernica Európskeho parlamentu a Rady (EÚ) 2016/1148 zo 6. júla 2016 o opatreniach na zabezpečenie vysokej spoločnej úrovne bezpečnosti sietí a informačných systémov v Únii (Ú. v. EÚ L 194, 19.7.2016, s. 1).

7

(8)  Smernica Európskeho parlamentu a Rady (EÚ) 2022/2555 zo 14. decembra 2022 o opatreniach na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v Únii, o zmene nariadenia (EÚ) č. 910/2014 a smernice (EÚ) 2018/1972 a o zrušení smernice (EÚ) 2016/1148 (smernica NIS 2) (pozri stranu 80 tohto úradného vestníka).

8

(9)  Smernica Európskeho parlamentu a Rady (EÚ) 2022/2557+ zo 14. decembra 2022 164 o odolnosti kritických subjektov a o zrušení smernice Rady 2008/114/ES (pozri stranu ... tohto úradného vestníka).

9

(10)  Smernica Európskeho parlamentu a Rady (EÚ) 2016/2341 zo 14. decembra 2016 o činnostiach inštitúcií zamestnaneckého dôchodkového zabezpečenia (IZDZ) a o dohľade nad nimi (Ú. v. EÚ L 354, 23.12.2016, s. 37).

10

(11)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2019/881 zo 17. apríla 2019 o agentúre ENISA (Agentúra Európskej únie pre kybernetickú bezpečnosť) a o certifikácii kybernetickej bezpečnosti informačných a komunikačných technológií a o zrušení nariadenia (EÚ) č. 526/2013 (akt o kybernetickej bezpečnosti) (Ú. v. EÚ L 151, 7.6.2019, s. 15).

11

(12)  Smernica Európskeho parlamentu a Rady (EÚ) 2015/2366 z 25. novembra 2015 o platobných službách na vnútornom trhu, ktorou sa menia smernice 2002/65/ES, 2009/110/ES a 2013/36/EÚ a nariadenie (EÚ) č. 1093/2010, a ktorou sa zrušuje smernica 2007/64/ES (Ú. v. EÚ L 337, 23.12.2015, s. 35).

12

(13)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 4.5.2016, s. 1).

13

(14)  Smernica Európskeho parlamentu a Rady 2009/110/ES zo 16. septembra 2009 o začatí a vykonávaní činností a dohľade nad obozretným podnikaním inštitúcií elektronického peňažníctva, ktorou sa menia a dopĺňajú smernice 2005/60/ES a 2006/48/ES a zrušuje smernica 2000/46/ES (Ú. v. EÚ L 267, 10.10.2009, s. 7).

14

(15)  Smernica Európskeho parlamentu a Rady 2013/36/EÚ z 26. júna 2013 o prístupe k činnosti úverových inštitúcií a prudenciálnom dohľade nad úverovými inštitúciami, o zmene smernice 2002/87/ES a o zrušení smerníc 2006/48/ES a 2006/49/ES (Ú. v. EÚ L 176, 27.6.2013, s. 338).

15

(16)  Smernica Európskeho parlamentu a Rady 2011/61/EÚ z 8. júna 2011 o správcoch alternatívnych investičných fondov a o zmene a doplnení smerníc 2003/41/ES a 2009/65/ES a nariadení (ES) č. 1060/2009 a (EÚ) č. 1095/2010 (Ú. v. EÚ L 174, 1.7.2011, s. 1).

16

(17)  Smernica Európskeho parlamentu a Rady 2009/138/ES z 25. novembra 2009 o začatí a vykonávaní poistenia a zaistenia (Solventnosť II) (Ú. v. EÚ L 335, 17.12.2009, s. 1).

17

(18)  Smernica Európskeho parlamentu a Rady 2014/65/EÚ z 15. mája 2014 o trhoch s finančnými nástrojmi, ktorou sa mení smernica 2002/92/ES a smernica 2011/61/EÚ (Ú. v. EÚ L 173, 12.6.2014, s. 349).

18

(19)  Nariadenie Rady (EÚ) č. 1024/2013 z 15. októbra 2013, ktorým sa Európska centrálna banka poveruje osobitnými úlohami, pokiaľ ide o politiky týkajúce sa prudenciálneho dohľadu nad úverovými inštitúciami (Ú. v. EÚ L 287, 29.10.2013, s. 63).

19

(20)  Smernica Európskeho parlamentu a Rady 2014/59/EÚ z 15. mája 2014, ktorou sa stanovuje rámec pre ozdravenie a riešenie krízových situácií úverových inštitúcií a investičných spoločností a ktorou sa mení smernica Rady 82/891/EHS a smernice Európskeho parlamentu a Rady 2001/24/ES, 2002/47/ES, 2004/25/ES, 2005/56/ES, 2007/36/ES, 2011/35/EÚ, 2012/30/EÚ a 2013/36/EÚ a nariadenia Európskeho parlamentu a Rady (EÚ) č. 1093/2010 a (EÚ) č. 648/2012 (Ú. v. EÚ L 173, 12.6.2014, s. 190).

20

(21)  Smernica Európskeho parlamentu a Rady 2013/34/EÚ z 26. júna 2013 o ročných účtovných závierkach, konsolidovaných účtovných závierkach a súvisiacich správach určitých druhov podnikov, ktorou sa mení smernica Európskeho parlamentu a Rady 2006/43/ES a zrušujú smernice Rady 78/660/EHS a 83/349/EHS (Ú. v. EÚ L 182, 29.6.2013, s. 19).

21

(22)  
  Ú. v. EÚ L 123, 12.5.2016, s. 1.

22

(23)  Nariadenie Európskeho parlamentu a Rady (ES) č. 1060/2009 zo 16. septembra 2009 o ratingových agentúrach (Ú. v. EÚ L 302, 17.11.2009, s. 1).

23

(24)  Nariadenie Európskeho parlamentu a Rady (EÚ) č. 648/2012 zo 4. júla 2012 o mimoburzových derivátoch, centrálnych protistranách a archívoch obchodných údajov (Ú. v. EÚ L 201, 27.7.2012, s. 1).

24

(25)  Nariadenie Európskeho parlamentu a Rady (EÚ) č. 600/2014 z 15. mája 2014 o trhoch s finančnými nástrojmi, ktorým sa mení nariadenie (EÚ) č. 648/2012 (Ú. v. EÚ L 173, 12.6.2014, s. 84).

25

(26)  Nariadenie Európskeho parlamentu a Rady (EÚ) č. 909/2014 z 23. júla 2014 o zlepšení vyrovnania transakcií s cennými papiermi v Európskej únii, centrálnych depozitároch cenných papierov a o zmene smerníc 98/26/ES a 2014/65/EÚ a nariadenia (EÚ) č. 236/2012 (Ú. v. EÚ L 257, 28.8.2014, s. 1).

26

(27)  Smernica Európskeho parlamentu a Rady (EÚ) 2022/2556+ zo 14. decembra 2022, ktorou sa menia smernice 2009/65/ES, 2009/138/ES, 2011/61/EÚ, 2013/36/EÚ, 2014/59/EÚ, 2014/65/EÚ, (EÚ) 2015/2366 a (EÚ) 2016/2341, pokiaľ ide o digitálnu prevádzkovú odolnosť finančného sektora (pozri stranu 153 tohto úradného vestníka).

27

(28)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/1011 z 8. júna 2016 o indexoch používaných ako referenčné hodnoty vo finančných nástrojoch a finančných zmluvách alebo na meranie výkonnosti investičných fondov, ktorým sa menia smernice 2008/48/ES a 2014/17/EÚ a nariadenie (EÚ) č. 596/2014 (Ú. v. EÚ L 171, 29.6.2016, s. 1).

28

(29)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2018/1725 z 23. októbra 2018 o ochrane fyzických osôb pri spracúvaní osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie a o voľnom pohybe takýchto údajov, ktorým sa zrušuje nariadenie (ES) č. 45/2001 a rozhodnutie č. 1247/2002/ES (Ú. v. EÚ L 295, 21.11.2018, s. 39).

29

(30)  
  Ú. v. EÚ C 229, 15.6.2021, s. 16.

30

(31)  Smernica Európskeho parlamentu a Rady 2009/65/ES z 13. júla 2009 o koordinácii zákonov, iných právnych predpisov a správnych opatrení týkajúcich sa podnikov kolektívneho investovania do prevoditeľných cenných papierov (PKIPCP) (Ú. v. EÚ L 302, 17.11.2009, s. 32).

31

(32)  Nariadenie Európskeho parlamentu a Rady (EÚ) č. 575/2013 z 26. júna 2013 o prudenciálnych požiadavkách na úverové inštitúcie a o zmene nariadenia (EÚ) č. 648/2012 (Ú. v. EÚ L 176, 27.6.2013, s. 1).

32

(33)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2019/2033 z 27. novembra 2019 o prudenciálnych požiadavkách na investičné spoločnosti a o zmene nariadení (EÚ) č. 1093/2010, (EÚ) č. 575/2013, (EÚ) č. 600/2014 a (EÚ) č. 806/2014 (Ú. v. EÚ L 314, 5.12.2019, s. 1).

33

(34)  Smernica Európskeho parlamentu a Rady (EÚ) 2016/97 z 20. januára 2016 o distribúcii poistenia (Ú. v. EÚ L 26, 2.2.2016, s. 19).

34

(35)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2020/1503 zo 7. októbra 2020 o európskych poskytovateľoch služieb hromadného financovania pre podnikanie a o zmene nariadenia (EÚ) 2017/1129 a smernice (EÚ) 2019/1937 (Ú. v. EÚ L 347, 20.10.2020, s. 1).

35

(36)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2017/2402 z 12. decembra 2017, ktorým sa stanovuje všeobecný rámec pre sekuritizáciu a vytvára sa osobitný rámec pre jednoduchú, transparentnú a štandardizovanú sekuritizáciu, a ktorým sa menia smernice 2009/65/ES, 2009/138/ES a 2011/61/EÚ a nariadenia (ES) č. 1060/2009 a (EÚ) č. 648/2012 (Ú. v. EÚ L 347, 28.12.2017, s. 35).

36

(37)  Nariadenie Európskeho parlamentu a Rady (EÚ) č. 806/2014 z 15. júla 2014, ktorým sa stanovujú jednotné pravidlá a jednotný postup riešenia krízových situácií úverových inštitúcií a určitých investičných spoločností v rámci jednotného mechanizmu riešenia krízových situácií a jednotného fondu na riešenie krízových situácií a ktorým sa mení nariadenie (EÚ) č. 1093/2010 (Ú. v. EÚ L 225, 30.7.2014, s. 1).

37

(38)  Smernica Európskeho parlamentu a Rady (EÚ) 2019/2034 z 27. novembra 2019 o prudenciálnom dohľade nad investičnými spoločnosťami a o zmene smerníc 2002/87/ES, 2009/65/ES, 2011/61/EÚ, 2013/36/EÚ, 2014/59/EÚ a 2014/65/EÚ (Ú. v. EÚ L 314, 5.12.2019, s. 64).

38

(39)  Smernica Európskeho parlamentu a Rady 2006/43/ES zo 17. mája 2006 o štatutárnom audite ročných účtovných závierok a konsolidovaných účtovných závierok, ktorou sa menia a dopĺňajú smernice Rady 78/660/EHS a 83/349/EHS a ktorou sa zrušuje smernica Rady 84/253/EHS (Ú. v. EÚ L 157, 9.6.2006, s. 87).

39

---

SMERNICE

| 27.12.2022 | SK | Úradný vestník Európskej únie | L 333/80 |
| --- | --- | --- | --- |

27.12.2022

SK

Úradný vestník Európskej únie

L 333/80

---

SMERNICA EURÓPSKEHO PARLAMENTU A RADY (EÚ) 2022/2555

zo 14. decembra 2022

o opatreniach na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v Únii, ktorou sa mení nariadenie (EÚ) č. 910/2014 a smernica (EÚ) 2018/1972 a zrušuje smernica (EÚ) 2016/1148 (smernica NIS 2)

(Text s významom pre EHP)

EURÓPSKY PARLAMENT A RADA EURÓPSKEJ ÚNIE,

so zreteľom na Zmluvu o fungovaní Európskej únie, a najmä na jej článok 114,

so zreteľom na návrh Európskej komisie,

po postúpení návrhu legislatívneho aktu národným parlamentom,

so zreteľom na stanovisko Európskej centrálnej banky (1),

so zreteľom na stanovisko Európskeho hospodárskeho a sociálneho výboru (2),

po porade s Výborom regiónov,

konajúc v súlade s riadnym legislatívnym postupom (3),

keďže:

| (1) | Cieľom smernice Európskeho parlamentu a Rady (EÚ) 2016/1148 (4) bolo budovať kapacity v oblasti kybernetickej bezpečnosti v celej Únii, zmierňovať hrozby pre siete a informačné systémy používané na poskytovanie základných služieb v kľúčových odvetviach a zabezpečiť kontinuitu takýchto služieb pri riešení incidentov, a tým prispievať k bezpečnosti Únie a účinnému fungovaniu jej hospodárstva a spoločnosti. |
| --- | --- |

(1)

Cieľom smernice Európskeho parlamentu a Rady (EÚ) 2016/1148 (4) bolo budovať kapacity v oblasti kybernetickej bezpečnosti v celej Únii, zmierňovať hrozby pre siete a informačné systémy používané na poskytovanie základných služieb v kľúčových odvetviach a zabezpečiť kontinuitu takýchto služieb pri riešení incidentov, a tým prispievať k bezpečnosti Únie a účinnému fungovaniu jej hospodárstva a spoločnosti.

| (2) | Od nadobudnutia účinnosti smernice (EÚ) 2016/1148 sa dosiahol významný pokrok pri zvyšovaní úrovne kybernetickej odolnosti Únie. Preskúmanie uvedenej smernice ukázalo, že slúžila ako katalyzátor inštitucionálneho a regulačného prístupu ku kybernetickej bezpečnosti v Únii a pripravila pôdu pre dôležitú zmenu v zmýšľaní. Uvedenou smernicou sa zabezpečilo dokončenie vnútroštátnych rámcov v oblasti bezpečnosti sietí a informačných systémov stanovením národných stratégií v oblasti bezpečnosti sietí a informačných systémov a stanovením vnútroštátnych kapacít a vykonávaním regulačných opatrení vzťahujúcich sa na kľúčové infraštruktúry a subjekty identifikované v každom členskom štáte. Smernica (EÚ) 2016/1148 prispela aj k spolupráci na úrovni Únie zriadením skupiny pre spoluprácu a siete národných jednotiek pre riešenie počítačových bezpečnostných incidentov. Bez ohľadu na tieto úspechy sa pri preskúmaní smernice (EÚ) 2016/1148 odhalili prirodzené nedostatky, ktoré jej bránia účinne riešiť súčasné a vznikajúce výzvy v oblasti kybernetickej bezpečnosti. |
| --- | --- |

(2)

Od nadobudnutia účinnosti smernice (EÚ) 2016/1148 sa dosiahol významný pokrok pri zvyšovaní úrovne kybernetickej odolnosti Únie. Preskúmanie uvedenej smernice ukázalo, že slúžila ako katalyzátor inštitucionálneho a regulačného prístupu ku kybernetickej bezpečnosti v Únii a pripravila pôdu pre dôležitú zmenu v zmýšľaní. Uvedenou smernicou sa zabezpečilo dokončenie vnútroštátnych rámcov v oblasti bezpečnosti sietí a informačných systémov stanovením národných stratégií v oblasti bezpečnosti sietí a informačných systémov a stanovením vnútroštátnych kapacít a vykonávaním regulačných opatrení vzťahujúcich sa na kľúčové infraštruktúry a subjekty identifikované v každom členskom štáte. Smernica (EÚ) 2016/1148 prispela aj k spolupráci na úrovni Únie zriadením skupiny pre spoluprácu a siete národných jednotiek pre riešenie počítačových bezpečnostných incidentov. Bez ohľadu na tieto úspechy sa pri preskúmaní smernice (EÚ) 2016/1148 odhalili prirodzené nedostatky, ktoré jej bránia účinne riešiť súčasné a vznikajúce výzvy v oblasti kybernetickej bezpečnosti.

| (3) | Siete a informačné systémy sa spolu s rýchlou digitálnou transformáciou a prepojenosťou spoločnosti, a to aj pri cezhraničných výmenách, stali bežnou súčasťou každodenného života. Uvedený vývoj viedol k nárastu kybernetických hrozieb a prináša nové výzvy, ktoré si vyžadujú prispôsobené, koordinované a inovatívne reakcie vo všetkých členských štátoch. Počet, rozsah, sofistikovanosť, frekvencia a vplyv incidentov sa zvyšujú a pre fungovanie sietí a informačných systémov predstavujú veľkú hrozbu. Vo výsledku môžu incidenty zabraňovať realizácii ekonomických aktivít na vnútornom trhu, spôsobovať finančné straty, narúšať dôveru používateľov a spôsobovať značné škody spoločnosti a hospodárstvu Únie. Pripravenosť a účinnosť v oblasti kybernetickej bezpečnosti sú preto teraz pre riadne fungovanie vnútorného trhu dôležitejšie ako kedykoľvek predtým. Kybernetická bezpečnosť je navyše kľúčovým faktorom, ktorý mnohým kritickým odvetviam umožňuje úspešne zvládnuť digitálnu transformáciu a plne využívať hospodárske, sociálne a udržateľné prínosy digitalizácie. |
| --- | --- |

(3)

Siete a informačné systémy sa spolu s rýchlou digitálnou transformáciou a prepojenosťou spoločnosti, a to aj pri cezhraničných výmenách, stali bežnou súčasťou každodenného života. Uvedený vývoj viedol k nárastu kybernetických hrozieb a prináša nové výzvy, ktoré si vyžadujú prispôsobené, koordinované a inovatívne reakcie vo všetkých členských štátoch. Počet, rozsah, sofistikovanosť, frekvencia a vplyv incidentov sa zvyšujú a pre fungovanie sietí a informačných systémov predstavujú veľkú hrozbu. Vo výsledku môžu incidenty zabraňovať realizácii ekonomických aktivít na vnútornom trhu, spôsobovať finančné straty, narúšať dôveru používateľov a spôsobovať značné škody spoločnosti a hospodárstvu Únie. Pripravenosť a účinnosť v oblasti kybernetickej bezpečnosti sú preto teraz pre riadne fungovanie vnútorného trhu dôležitejšie ako kedykoľvek predtým. Kybernetická bezpečnosť je navyše kľúčovým faktorom, ktorý mnohým kritickým odvetviam umožňuje úspešne zvládnuť digitálnu transformáciu a plne využívať hospodárske, sociálne a udržateľné prínosy digitalizácie.

| (4) | Právnym základom smernice (EÚ) 2016/1148 bol článok 114 Zmluvy o fungovaní Európskej únie (ďalej len „ZFEÚ“), ktorého cieľom je vytvorenie a fungovanie vnútorného trhu posilnením opatrení na aproximáciu vnútroštátnych pravidiel. Požiadavky na kybernetickú bezpečnosť uložené subjektom poskytujúcim služby alebo vykonávajúcim činnosti, ktoré sú ekonomicky významné, sa v jednotlivých členských štátoch značne líšia, pokiaľ ide o typ požiadaviek, ich úroveň podrobnosti a metódu dohľadu. Uvedené rozdiely spôsobujú dodatočné náklady a subjektom, ktoré ponúkajú tovar alebo služby cezhranične, spôsobujú ťažkosti. Požiadavky jedného členského štátu, ktoré sa líšia od požiadaviek iného členského štátu alebo sú s nimi dokonca v rozpore, môžu takéto cezhraničné činnosti podstatne ovplyvniť. Okrem toho môžu mať nedostatočne navrhnuté alebo vykonávané požiadavky na kybernetickú bezpečnosť v jednom členskom štáte vplyv na úroveň kybernetickej bezpečnosti v iných členských štátoch, najmä vzhľadom na intenzitu cezhraničných výmen. Preskúmanie smernice (EÚ) 2016/1148 ukázalo, že v jej vykonávaní členskými štátmi existujú veľké rozdiely, a to aj pokiaľ ide o jej rozsah pôsobnosti, ktorého určenie bolo do veľmi veľkej miery ponechané na voľnom uvážení členských štátov. Smernica (EÚ) 2016/1148 poskytla členským štátom veľmi široký priestor na voľné konanie, aj pokiaľ ide o vykonávanie povinností týkajúcich sa bezpečnosti a oznamovania incidentov, ktoré sú v nej stanovené. Uvedené povinnosti boli preto na úrovni členských štátov vykonávané značne odlišne. Podobné rozdiely existujú vo vykonávaní ustanovení smernice (EÚ) 2016/1148 týkajúcich sa dohľadu a presadzovania. |
| --- | --- |

(4)

Právnym základom smernice (EÚ) 2016/1148 bol článok 114 Zmluvy o fungovaní Európskej únie (ďalej len „ZFEÚ“), ktorého cieľom je vytvorenie a fungovanie vnútorného trhu posilnením opatrení na aproximáciu vnútroštátnych pravidiel. Požiadavky na kybernetickú bezpečnosť uložené subjektom poskytujúcim služby alebo vykonávajúcim činnosti, ktoré sú ekonomicky významné, sa v jednotlivých členských štátoch značne líšia, pokiaľ ide o typ požiadaviek, ich úroveň podrobnosti a metódu dohľadu. Uvedené rozdiely spôsobujú dodatočné náklady a subjektom, ktoré ponúkajú tovar alebo služby cezhranične, spôsobujú ťažkosti. Požiadavky jedného členského štátu, ktoré sa líšia od požiadaviek iného členského štátu alebo sú s nimi dokonca v rozpore, môžu takéto cezhraničné činnosti podstatne ovplyvniť. Okrem toho môžu mať nedostatočne navrhnuté alebo vykonávané požiadavky na kybernetickú bezpečnosť v jednom členskom štáte vplyv na úroveň kybernetickej bezpečnosti v iných členských štátoch, najmä vzhľadom na intenzitu cezhraničných výmen. Preskúmanie smernice (EÚ) 2016/1148 ukázalo, že v jej vykonávaní členskými štátmi existujú veľké rozdiely, a to aj pokiaľ ide o jej rozsah pôsobnosti, ktorého určenie bolo do veľmi veľkej miery ponechané na voľnom uvážení členských štátov. Smernica (EÚ) 2016/1148 poskytla členským štátom veľmi široký priestor na voľné konanie, aj pokiaľ ide o vykonávanie povinností týkajúcich sa bezpečnosti a oznamovania incidentov, ktoré sú v nej stanovené. Uvedené povinnosti boli preto na úrovni členských štátov vykonávané značne odlišne. Podobné rozdiely existujú vo vykonávaní ustanovení smernice (EÚ) 2016/1148 týkajúcich sa dohľadu a presadzovania.

| (5) | Všetky tieto rozdiely spôsobujú fragmentáciu vnútorného trhu a môžu mať škodlivý vplyv na jeho fungovanie, a to najmä pokiaľ ide o cezhraničné poskytovanie služieb a úroveň kybernetickej odolnosti, v dôsledku uplatňovania rôznych opatrení. Uvedené rozdiely by v konečnom dôsledku mohli viesť k väčšej zraniteľnosti niektorých členských štátov voči kybernetickým hrozbám s možnými účinkami presahovania v celej Únii. Cieľom tejto smernice je odstrániť takéto veľké rozdiely medzi členskými štátmi, a to najmä stanovením minimálnych pravidiel týkajúcich sa fungovania koordinovaného regulačného rámca, stanovením mechanizmov účinnej spolupráce medzi zodpovednými orgánmi v každom členskom štáte, aktualizáciou zoznamu odvetví a činností podliehajúcich povinnostiam v oblasti kybernetickej bezpečnosti a poskytnutím účinných nápravných opatrení a opatrení presadzovania práva, ktoré sú kľúčové pre účinné presadzovanie týchto povinností. Smernica (EÚ) 2016/1148 by sa preto mala zrušiť a nahradiť touto smernicou. |
| --- | --- |

(5)

Všetky tieto rozdiely spôsobujú fragmentáciu vnútorného trhu a môžu mať škodlivý vplyv na jeho fungovanie, a to najmä pokiaľ ide o cezhraničné poskytovanie služieb a úroveň kybernetickej odolnosti, v dôsledku uplatňovania rôznych opatrení. Uvedené rozdiely by v konečnom dôsledku mohli viesť k väčšej zraniteľnosti niektorých členských štátov voči kybernetickým hrozbám s možnými účinkami presahovania v celej Únii. Cieľom tejto smernice je odstrániť takéto veľké rozdiely medzi členskými štátmi, a to najmä stanovením minimálnych pravidiel týkajúcich sa fungovania koordinovaného regulačného rámca, stanovením mechanizmov účinnej spolupráce medzi zodpovednými orgánmi v každom členskom štáte, aktualizáciou zoznamu odvetví a činností podliehajúcich povinnostiam v oblasti kybernetickej bezpečnosti a poskytnutím účinných nápravných opatrení a opatrení presadzovania práva, ktoré sú kľúčové pre účinné presadzovanie týchto povinností. Smernica (EÚ) 2016/1148 by sa preto mala zrušiť a nahradiť touto smernicou.

| (6) | Zrušením smernice (EÚ) 2016/1148 by sa rozsah uplatňovania podľa odvetví mal rozšíriť na väčšiu časť hospodárstva, aby boli komplexne pokryté odvetvia a služby, ktoré majú zásadný význam pre kľúčové spoločenské a hospodárske činnosti v rámci vnútorného trhu. Cieľom tejto smernice je najmä odstránenie nedostatkov v rozlišovaní medzi prevádzkovateľmi základných služieb a poskytovateľmi digitálnych služieb, ktoré sa ukázalo ako zastarané, pretože neodráža význam odvetví alebo služieb pre spoločenské a hospodárske činnosti na vnútornom trhu. |
| --- | --- |

(6)

Zrušením smernice (EÚ) 2016/1148 by sa rozsah uplatňovania podľa odvetví mal rozšíriť na väčšiu časť hospodárstva, aby boli komplexne pokryté odvetvia a služby, ktoré majú zásadný význam pre kľúčové spoločenské a hospodárske činnosti v rámci vnútorného trhu. Cieľom tejto smernice je najmä odstránenie nedostatkov v rozlišovaní medzi prevádzkovateľmi základných služieb a poskytovateľmi digitálnych služieb, ktoré sa ukázalo ako zastarané, pretože neodráža význam odvetví alebo služieb pre spoločenské a hospodárske činnosti na vnútornom trhu.

| (7) | Podľa smernice (EÚ) 2016/1148 boli členské štáty zodpovedné za identifikáciu subjektov, ktoré spĺňali kritériá na zaradenie medzi prevádzkovateľov základných služieb. S cieľom odstrániť veľké rozdiely medzi členskými štátmi v tejto súvislosti a zabezpečiť právnu istotu, pokiaľ ide o opatrenia na riadenie kybernetických rizík a oznamovacie povinnosti pre všetky príslušné subjekty, by sa malo stanoviť jednotné kritérium, ktorým sa určia subjekty, ktoré patria do rozsahu pôsobnosti tejto smernice. Uvedené kritérium by malo spočívať v uplatňovaní pravidla obmedzenia veľkosti, podľa ktorého všetky subjekty, ktoré sa považujú za stredné podniky podľa článku 2 prílohy k odporúčaniu Komisie 2003/361/ES (5), alebo ktoré prekračujú limity pre stredné podniky uvedené v odseku 1 uvedeného článku a pôsobia v rámci odvetví a poskytujú druhy služieb alebo vykonávajú činnosti, na ktoré sa vzťahuje táto smernica, patria do rozsahu jej pôsobnosti. Členské štáty by tiež mali stanoviť, že určité malé podniky a mikropodniky vymedzené v článku 2 ods. 2 a 3 uvedenej prílohy, ktoré spĺňajú osobitné kritériá, ktoré naznačujú kľúčovú úlohu pre spoločnosť, hospodárstvo alebo pre určité odvetvia alebo druhy služieb, patria do rozsahu pôsobnosti tejto smernice. |
| --- | --- |

(7)

Podľa smernice (EÚ) 2016/1148 boli členské štáty zodpovedné za identifikáciu subjektov, ktoré spĺňali kritériá na zaradenie medzi prevádzkovateľov základných služieb. S cieľom odstrániť veľké rozdiely medzi členskými štátmi v tejto súvislosti a zabezpečiť právnu istotu, pokiaľ ide o opatrenia na riadenie kybernetických rizík a oznamovacie povinnosti pre všetky príslušné subjekty, by sa malo stanoviť jednotné kritérium, ktorým sa určia subjekty, ktoré patria do rozsahu pôsobnosti tejto smernice. Uvedené kritérium by malo spočívať v uplatňovaní pravidla obmedzenia veľkosti, podľa ktorého všetky subjekty, ktoré sa považujú za stredné podniky podľa článku 2 prílohy k odporúčaniu Komisie 2003/361/ES (5), alebo ktoré prekračujú limity pre stredné podniky uvedené v odseku 1 uvedeného článku a pôsobia v rámci odvetví a poskytujú druhy služieb alebo vykonávajú činnosti, na ktoré sa vzťahuje táto smernica, patria do rozsahu jej pôsobnosti. Členské štáty by tiež mali stanoviť, že určité malé podniky a mikropodniky vymedzené v článku 2 ods. 2 a 3 uvedenej prílohy, ktoré spĺňajú osobitné kritériá, ktoré naznačujú kľúčovú úlohu pre spoločnosť, hospodárstvo alebo pre určité odvetvia alebo druhy služieb, patria do rozsahu pôsobnosti tejto smernice.

| (8) | Vylúčenie subjektov verejnej správy z rozsahu pôsobnosti tejto smernice by sa malo vzťahovať na subjekty, ktorých činnosti sa prevažne vykonávajú v oblastiach národnej bezpečnosti, verejnej bezpečnosti, obrany alebo presadzovania práva vrátane prevencie, vyšetrovania, odhaľovania a stíhania trestných činov. Subjekty verejnej správy, ktorých činnosti s uvedenými oblasťami súvisia len okrajovo, by však nemali byť vylúčené z rozsahu pôsobnosti tejto smernice. Na účely tejto smernice sa subjekty s regulačnými právomocami nepovažujú za subjekty vykonávajúce činnosti v oblasti presadzovania práva, a preto nie sú z uvedeného dôvodu vylúčené z rozsahu pôsobnosti tejto smernice. Subjekty verejnej správy, ktoré sú zriadené spoločne s treťou krajinou v súlade s medzinárodnou dohodou, sú vylúčené z rozsahu pôsobnosti tejto smernice. Táto smernica sa nevzťahuje na diplomatické a konzulárne misie členských štátov v tretích krajinách ani na ich siete a informačné systémy, pokiaľ sa takéto systémy nachádzajú v priestoroch misie alebo sú prevádzkované pre používateľov v tretej krajine. |
| --- | --- |

(8)

Vylúčenie subjektov verejnej správy z rozsahu pôsobnosti tejto smernice by sa malo vzťahovať na subjekty, ktorých činnosti sa prevažne vykonávajú v oblastiach národnej bezpečnosti, verejnej bezpečnosti, obrany alebo presadzovania práva vrátane prevencie, vyšetrovania, odhaľovania a stíhania trestných činov. Subjekty verejnej správy, ktorých činnosti s uvedenými oblasťami súvisia len okrajovo, by však nemali byť vylúčené z rozsahu pôsobnosti tejto smernice. Na účely tejto smernice sa subjekty s regulačnými právomocami nepovažujú za subjekty vykonávajúce činnosti v oblasti presadzovania práva, a preto nie sú z uvedeného dôvodu vylúčené z rozsahu pôsobnosti tejto smernice. Subjekty verejnej správy, ktoré sú zriadené spoločne s treťou krajinou v súlade s medzinárodnou dohodou, sú vylúčené z rozsahu pôsobnosti tejto smernice. Táto smernica sa nevzťahuje na diplomatické a konzulárne misie členských štátov v tretích krajinách ani na ich siete a informačné systémy, pokiaľ sa takéto systémy nachádzajú v priestoroch misie alebo sú prevádzkované pre používateľov v tretej krajine.

| (9) | Členské štáty by mali mať možnosť prijať potrebné opatrenia s cieľom zaručiť ochranu základných záujmov národnej bezpečnosti, chrániť verejný poriadok a verejnú bezpečnosť a umožniť prevenciu, vyšetrovanie, odhaľovanie a stíhanie trestných činov. Na tento účel by členské štáty mali mať možnosť vyňať konkrétne subjekty, ktoré vykonávajú činnosti v oblastiach národnej bezpečnosti, verejnej bezpečnosti, obrany alebo presadzovania práva vrátane prevencie, vyšetrovania, odhaľovania a stíhania trestných činov z určitých povinností stanovených v tejto smernici v súvislosti s uvedenými činnosťami. Ak subjekt poskytuje služby výlučne subjektu verejnej správy, ktorý je vylúčený z rozsahu pôsobnosti tejto smernice, členské štáty by mali mať možnosť vyňať daný subjekt z určitých povinností stanovených v tejto smernici v súvislosti s uvedenými službami. Okrem toho by žiaden členský štát nemal byť povinný poskytovať informácie, ktorých sprístupnenie by odporovalo základným záujmom jeho národnej bezpečnosti, verejnej bezpečnosti alebo obrany. V uvedenom kontexte by sa malo prihliadať na pravidlá Únie alebo členských štátov na ochranu utajovaných skutočností, dohody o zachovaní mlčanlivosti a neformálne dohody o zachovaní mlčanlivosti, ako napríklad semaforový protokol. Semaforový protokol sa má chápať ako prostriedok na poskytovanie informácií o akýchkoľvek obmedzeniach, pokiaľ ide o ďalšie šírenie informácií. Používa sa takmer vo všetkých jednotkách pre riešenie počítačových bezpečnostných incidentov (ďalej len „jednotky CSIRT“) a v niektorých centrách pre analýzu a výmenu informácií. |
| --- | --- |

(9)

Členské štáty by mali mať možnosť prijať potrebné opatrenia s cieľom zaručiť ochranu základných záujmov národnej bezpečnosti, chrániť verejný poriadok a verejnú bezpečnosť a umožniť prevenciu, vyšetrovanie, odhaľovanie a stíhanie trestných činov. Na tento účel by členské štáty mali mať možnosť vyňať konkrétne subjekty, ktoré vykonávajú činnosti v oblastiach národnej bezpečnosti, verejnej bezpečnosti, obrany alebo presadzovania práva vrátane prevencie, vyšetrovania, odhaľovania a stíhania trestných činov z určitých povinností stanovených v tejto smernici v súvislosti s uvedenými činnosťami. Ak subjekt poskytuje služby výlučne subjektu verejnej správy, ktorý je vylúčený z rozsahu pôsobnosti tejto smernice, členské štáty by mali mať možnosť vyňať daný subjekt z určitých povinností stanovených v tejto smernici v súvislosti s uvedenými službami. Okrem toho by žiaden členský štát nemal byť povinný poskytovať informácie, ktorých sprístupnenie by odporovalo základným záujmom jeho národnej bezpečnosti, verejnej bezpečnosti alebo obrany. V uvedenom kontexte by sa malo prihliadať na pravidlá Únie alebo členských štátov na ochranu utajovaných skutočností, dohody o zachovaní mlčanlivosti a neformálne dohody o zachovaní mlčanlivosti, ako napríklad semaforový protokol. Semaforový protokol sa má chápať ako prostriedok na poskytovanie informácií o akýchkoľvek obmedzeniach, pokiaľ ide o ďalšie šírenie informácií. Používa sa takmer vo všetkých jednotkách pre riešenie počítačových bezpečnostných incidentov (ďalej len „jednotky CSIRT“) a v niektorých centrách pre analýzu a výmenu informácií.

| (10) | Hoci sa táto smernica vzťahuje na subjekty vykonávajúce činnosti v oblasti výroby elektrickej energie v jadrových elektrárňach, niektoré z uvedených činností môžu súvisieť s národnou bezpečnosťou. V takom prípade by členský štát mal mať v súlade so zmluvami možnosť uplatniť svoju zodpovednosť za ochranu národnej bezpečnosti v súvislosti s týmito činnosťami vrátane činností v rámci jadrového hodnotového reťazca. |
| --- | --- |

(10)

Hoci sa táto smernica vzťahuje na subjekty vykonávajúce činnosti v oblasti výroby elektrickej energie v jadrových elektrárňach, niektoré z uvedených činností môžu súvisieť s národnou bezpečnosťou. V takom prípade by členský štát mal mať v súlade so zmluvami možnosť uplatniť svoju zodpovednosť za ochranu národnej bezpečnosti v súvislosti s týmito činnosťami vrátane činností v rámci jadrového hodnotového reťazca.

| (11) | Niektoré subjekty vykonávajú činnosti v oblastiach národnej bezpečnosti, verejnej bezpečnosti, obrany alebo presadzovania práva vrátane prevencie, vyšetrovania, odhaľovania a stíhania trestných činov a zároveň poskytujú dôveryhodné služby. Poskytovatelia dôveryhodných služieb, ktorí patria do rozsahu pôsobnosti nariadenia Európskeho parlamentu a Rady (EÚ) č. 910/2014 (6), by mali patriť do rozsahu pôsobnosti tejto smernice s cieľom zabezpečiť rovnakú úroveň bezpečnostných požiadaviek a dohľadu, aká bola predtým stanovená v uvedenom nariadení, pokiaľ ide o poskytovateľov dôveryhodných služieb. V súlade s vyňatím určitých osobitných služieb z nariadenia (EÚ) č. 910/2014 by sa táto smernica nemala vzťahovať na poskytovanie dôveryhodných služieb, ktoré sa používajú výhradne v uzavretých systémoch na základe vnútroštátneho práva alebo dohôd medzi vymedzenou skupinou účastníkov. |
| --- | --- |

(11)

Niektoré subjekty vykonávajú činnosti v oblastiach národnej bezpečnosti, verejnej bezpečnosti, obrany alebo presadzovania práva vrátane prevencie, vyšetrovania, odhaľovania a stíhania trestných činov a zároveň poskytujú dôveryhodné služby. Poskytovatelia dôveryhodných služieb, ktorí patria do rozsahu pôsobnosti nariadenia Európskeho parlamentu a Rady (EÚ) č. 910/2014 (6), by mali patriť do rozsahu pôsobnosti tejto smernice s cieľom zabezpečiť rovnakú úroveň bezpečnostných požiadaviek a dohľadu, aká bola predtým stanovená v uvedenom nariadení, pokiaľ ide o poskytovateľov dôveryhodných služieb. V súlade s vyňatím určitých osobitných služieb z nariadenia (EÚ) č. 910/2014 by sa táto smernica nemala vzťahovať na poskytovanie dôveryhodných služieb, ktoré sa používajú výhradne v uzavretých systémoch na základe vnútroštátneho práva alebo dohôd medzi vymedzenou skupinou účastníkov.

| (12) | Poskytovatelia poštových služieb v zmysle smernice Európskeho parlamentu a Rady 97/67/ES (7) vrátane poskytovateľov kuriérskych služieb by mali podliehať tejto smernici, ak zabezpečujú aspoň jeden z krokov v reťazci poštového doručovania, a to najmä vyberanie, triedenie, prepravu alebo distribúciu poštových zásielok vrátane služieb zberu, pričom treba zohľadniť stupeň ich závislosti od sietí a informačných systémov. Dopravné služby, ktoré sa nevykonávajú v spojení s jedným z týchto krokov, by mali byť vyňaté z rozsahu poštových služieb. |
| --- | --- |

(12)

Poskytovatelia poštových služieb v zmysle smernice Európskeho parlamentu a Rady 97/67/ES (7) vrátane poskytovateľov kuriérskych služieb by mali podliehať tejto smernici, ak zabezpečujú aspoň jeden z krokov v reťazci poštového doručovania, a to najmä vyberanie, triedenie, prepravu alebo distribúciu poštových zásielok vrátane služieb zberu, pričom treba zohľadniť stupeň ich závislosti od sietí a informačných systémov. Dopravné služby, ktoré sa nevykonávajú v spojení s jedným z týchto krokov, by mali byť vyňaté z rozsahu poštových služieb.

| (13) | Vzhľadom na zintenzívnenie a zvýšenú sofistikovanosť kybernetických hrozieb by sa členské štáty mali usilovať zabezpečiť, aby subjekty vylúčené z rozsahu pôsobnosti tejto smernice dosiahli vysokú úroveň kybernetickej bezpečnosti, a mali by podporovať vykonávanie rovnocenných opatrení na riadenie kybernetických rizík, ktoré odrážajú citlivú povahu týchto subjektov. |
| --- | --- |

(13)

Vzhľadom na zintenzívnenie a zvýšenú sofistikovanosť kybernetických hrozieb by sa členské štáty mali usilovať zabezpečiť, aby subjekty vylúčené z rozsahu pôsobnosti tejto smernice dosiahli vysokú úroveň kybernetickej bezpečnosti, a mali by podporovať vykonávanie rovnocenných opatrení na riadenie kybernetických rizík, ktoré odrážajú citlivú povahu týchto subjektov.

| (14) | Na každé spracúvanie osobných údajov podľa tejto smernice sa vzťahuje právo Únie v oblasti ochrany údajov a právo Únie v oblasti ochrany súkromia. Touto smernicou konkrétne nie je dotknuté nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 (8) ani smernica Európskeho parlamentu a Rady 2002/58/ES (9). Touto smernicou by preto nemali byť dotknuté okrem iného úlohy a právomoci orgánov príslušných na monitorovanie dodržiavania platného práva Únie v oblasti ochrany údajov a práva Únie v oblasti ochrany súkromia. |
| --- | --- |

(14)

Na každé spracúvanie osobných údajov podľa tejto smernice sa vzťahuje právo Únie v oblasti ochrany údajov a právo Únie v oblasti ochrany súkromia. Touto smernicou konkrétne nie je dotknuté nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 (8) ani smernica Európskeho parlamentu a Rady 2002/58/ES (9). Touto smernicou by preto nemali byť dotknuté okrem iného úlohy a právomoci orgánov príslušných na monitorovanie dodržiavania platného práva Únie v oblasti ochrany údajov a práva Únie v oblasti ochrany súkromia.

| (15) | Subjekty, ktoré patria do rozsahu pôsobnosti tejto smernice na účely dodržiavania opatrení na riadenie kybernetických rizík a oznamovacích povinností, by sa mali rozdeliť do dvoch kategórií, na kľúčové subjekty a dôležité subjekty, a to na základe rozsahu, v akom sú kritické, pokiaľ ide o ich odvetvie alebo druh služieb, ktoré poskytujú, ako aj ich veľkosti. V tejto súvislosti by sa v relevantných prípadoch mali náležite zohľadniť aj všetky príslušné odvetvové posúdenia rizík alebo usmernenia zo strany príslušných orgánov. Malo by sa rozlišovať medzi režimom dohľadu a režimom presadzovania práva pre tieto dve kategórie subjektov, aby sa zabezpečila spravodlivá rovnováha medzi požiadavkami a povinnosťami založenými na riziku na jednej strane a administratívnou záťažou vyplývajúcou z dohľadu nad dodržiavaním predpisov na strane druhej. |
| --- | --- |

(15)

Subjekty, ktoré patria do rozsahu pôsobnosti tejto smernice na účely dodržiavania opatrení na riadenie kybernetických rizík a oznamovacích povinností, by sa mali rozdeliť do dvoch kategórií, na kľúčové subjekty a dôležité subjekty, a to na základe rozsahu, v akom sú kritické, pokiaľ ide o ich odvetvie alebo druh služieb, ktoré poskytujú, ako aj ich veľkosti. V tejto súvislosti by sa v relevantných prípadoch mali náležite zohľadniť aj všetky príslušné odvetvové posúdenia rizík alebo usmernenia zo strany príslušných orgánov. Malo by sa rozlišovať medzi režimom dohľadu a režimom presadzovania práva pre tieto dve kategórie subjektov, aby sa zabezpečila spravodlivá rovnováha medzi požiadavkami a povinnosťami založenými na riziku na jednej strane a administratívnou záťažou vyplývajúcou z dohľadu nad dodržiavaním predpisov na strane druhej.

| (16) | S cieľom zabrániť tomu, aby sa subjekty, ktoré majú partnerské podniky, alebo ktoré sú prepojenými podnikmi, považovali za kľúčové alebo dôležité subjekty v prípadoch, kde by to bolo neprimerané, môžu členské štáty pri uplatňovaní článku 6 ods. 2 prílohy k odporúčaniu 2003/361/ES zohľadniť mieru nezávislosti subjektu vo vzťahu k jeho partnerským alebo prepojeným podnikom. Členské štáty môžu zohľadniť najmä skutočnosť, že subjekt je nezávislý od svojich partnerských alebo prepojených podnikov, pokiaľ ide o siete a informačné systémy, ktoré daný subjekt používa pri poskytovaní svojich služieb, a pokiaľ ide o služby, ktoré daný subjekt poskytuje. Na tomto základe môžu členské štáty podľa potreby považovať takýto subjekt za subjekt, ktorý nemožno kvalifikovať ako stredný podnik podľa článku 2 prílohy k odporúčaniu 2003/361/ES, alebo za subjekt, ktorý neprekračuje limity pre stredný podnik stanovené v odseku 1 uvedeného článku, ak by sa po zohľadnení stupňa nezávislosti tohto subjektu tento subjekt nepovažoval za subjekt, ktorý možno kvalifikovať ako stredný podnik alebo ktorý prekračuje uvedené limity v prípade, že by sa zohľadnili len jeho vlastné údaje. Týmto nie sú dotknuté povinnosti, ktoré táto smernica ukladá partnerským a prepojeným podnikom, ktoré patria do rozsahu jej pôsobnosti. |
| --- | --- |

(16)

S cieľom zabrániť tomu, aby sa subjekty, ktoré majú partnerské podniky, alebo ktoré sú prepojenými podnikmi, považovali za kľúčové alebo dôležité subjekty v prípadoch, kde by to bolo neprimerané, môžu členské štáty pri uplatňovaní článku 6 ods. 2 prílohy k odporúčaniu 2003/361/ES zohľadniť mieru nezávislosti subjektu vo vzťahu k jeho partnerským alebo prepojeným podnikom. Členské štáty môžu zohľadniť najmä skutočnosť, že subjekt je nezávislý od svojich partnerských alebo prepojených podnikov, pokiaľ ide o siete a informačné systémy, ktoré daný subjekt používa pri poskytovaní svojich služieb, a pokiaľ ide o služby, ktoré daný subjekt poskytuje. Na tomto základe môžu členské štáty podľa potreby považovať takýto subjekt za subjekt, ktorý nemožno kvalifikovať ako stredný podnik podľa článku 2 prílohy k odporúčaniu 2003/361/ES, alebo za subjekt, ktorý neprekračuje limity pre stredný podnik stanovené v odseku 1 uvedeného článku, ak by sa po zohľadnení stupňa nezávislosti tohto subjektu tento subjekt nepovažoval za subjekt, ktorý možno kvalifikovať ako stredný podnik alebo ktorý prekračuje uvedené limity v prípade, že by sa zohľadnili len jeho vlastné údaje. Týmto nie sú dotknuté povinnosti, ktoré táto smernica ukladá partnerským a prepojeným podnikom, ktoré patria do rozsahu jej pôsobnosti.

| (17) | Členské štáty by mali mať možnosť rozhodnúť, že subjekty, ktoré boli pred nadobudnutím účinnosti tejto smernice identifikované ako prevádzkovatelia základných služieb v súlade so smernicou (EÚ) 2016/1148, sa majú považovať za kľúčové subjekty. |
| --- | --- |

(17)

Členské štáty by mali mať možnosť rozhodnúť, že subjekty, ktoré boli pred nadobudnutím účinnosti tejto smernice identifikované ako prevádzkovatelia základných služieb v súlade so smernicou (EÚ) 2016/1148, sa majú považovať za kľúčové subjekty.

| (18) | S cieľom zabezpečiť jasný prehľad o subjektoch, ktoré patria do rozsahu pôsobnosti tejto smernice, by členské štáty mali zostaviť zoznam kľúčových a dôležitých subjektov ako aj subjektov poskytujúcich služby registrácie názvov domén. Na tento účel by členské štáty mali od subjektov vyžadovať, aby príslušným orgánom predložili aspoň tieto informácie, t. j. názov, adresu a aktuálne kontaktné údaje vrátane e-mailových adries, rozsahov IP adries a telefónnych čísel subjektu, a podľa potreby príslušné odvetvie a pododvetvie uvedené v prílohách, ako aj prípadne zoznam členských štátov, v ktorých poskytujú služby patriace do rozsahu pôsobnosti tejto smernice. Na tento účel by Komisia s pomocou Agentúry Európskej únie pre kybernetickú bezpečnosť (ďalej len „ENISA“) mala bez zbytočného odkladu poskytnúť usmernenia a vzory týkajúce sa povinnosti predkladať informácie. S cieľom uľahčiť zostavenie a aktualizáciu zoznamu kľúčových a dôležitých subjektov, ako aj subjektov poskytujúcich služby registrácie názvov domén, by členské štáty mali mať možnosť zaviesť vnútroštátne mechanizmy, pomocou ktorých by sa subjekty mohli zaregistrovať samé. Ak existujú registre na vnútroštátnej úrovni, členské štáty môžu rozhodnúť o vhodných mechanizmoch, ktoré umožnia identifikáciu subjektov, ktoré patria do rozsahu pôsobnosti tejto smernice. |
| --- | --- |

(18)

S cieľom zabezpečiť jasný prehľad o subjektoch, ktoré patria do rozsahu pôsobnosti tejto smernice, by členské štáty mali zostaviť zoznam kľúčových a dôležitých subjektov ako aj subjektov poskytujúcich služby registrácie názvov domén. Na tento účel by členské štáty mali od subjektov vyžadovať, aby príslušným orgánom predložili aspoň tieto informácie, t. j. názov, adresu a aktuálne kontaktné údaje vrátane e-mailových adries, rozsahov IP adries a telefónnych čísel subjektu, a podľa potreby príslušné odvetvie a pododvetvie uvedené v prílohách, ako aj prípadne zoznam členských štátov, v ktorých poskytujú služby patriace do rozsahu pôsobnosti tejto smernice. Na tento účel by Komisia s pomocou Agentúry Európskej únie pre kybernetickú bezpečnosť (ďalej len „ENISA“) mala bez zbytočného odkladu poskytnúť usmernenia a vzory týkajúce sa povinnosti predkladať informácie. S cieľom uľahčiť zostavenie a aktualizáciu zoznamu kľúčových a dôležitých subjektov, ako aj subjektov poskytujúcich služby registrácie názvov domén, by členské štáty mali mať možnosť zaviesť vnútroštátne mechanizmy, pomocou ktorých by sa subjekty mohli zaregistrovať samé. Ak existujú registre na vnútroštátnej úrovni, členské štáty môžu rozhodnúť o vhodných mechanizmoch, ktoré umožnia identifikáciu subjektov, ktoré patria do rozsahu pôsobnosti tejto smernice.

| (19) | Členské štáty by mali byť zodpovedné za to, aby Komisii predložili aspoň počet kľúčových a dôležitých subjektov za každé odvetvie a pododvetvie uvedené v prílohách, ako aj relevantné informácie o počte identifikovaných subjektov a o ustanovení tejto smernice, na základe ktorého boli identifikované, a o druhu služieb, ktoré poskytujú. Členské štáty sa vyzývajú, aby si s Komisiou vymieňali informácie o kľúčových a dôležitých subjektoch a v prípade rozsiahleho kybernetického incidentu relevantné informácie, napríklad názov dotknutého subjektu. |
| --- | --- |

(19)

Členské štáty by mali byť zodpovedné za to, aby Komisii predložili aspoň počet kľúčových a dôležitých subjektov za každé odvetvie a pododvetvie uvedené v prílohách, ako aj relevantné informácie o počte identifikovaných subjektov a o ustanovení tejto smernice, na základe ktorého boli identifikované, a o druhu služieb, ktoré poskytujú. Členské štáty sa vyzývajú, aby si s Komisiou vymieňali informácie o kľúčových a dôležitých subjektoch a v prípade rozsiahleho kybernetického incidentu relevantné informácie, napríklad názov dotknutého subjektu.

| (20) | Komisia by mala v spolupráci so skupinou pre spoluprácu a po porade s relevantnými zainteresovanými stranami poskytnúť usmernenia o vykonávaní kritérií uplatniteľných na mikropodniky a malé podniky na účely posúdenia, či patria do rozsahu pôsobnosti tejto smernice. Komisia by takisto mala zabezpečiť, aby sa mikropodnikom a malým podnikom, ktoré patria do rozsahu pôsobnosti tejto smernice, poskytli primerané usmernenia. Komisia by v tejto súvislosti mala s pomocou členských štátov poskytovať informácie mikropodnikom a malým podnikom. |
| --- | --- |

(20)

Komisia by mala v spolupráci so skupinou pre spoluprácu a po porade s relevantnými zainteresovanými stranami poskytnúť usmernenia o vykonávaní kritérií uplatniteľných na mikropodniky a malé podniky na účely posúdenia, či patria do rozsahu pôsobnosti tejto smernice. Komisia by takisto mala zabezpečiť, aby sa mikropodnikom a malým podnikom, ktoré patria do rozsahu pôsobnosti tejto smernice, poskytli primerané usmernenia. Komisia by v tejto súvislosti mala s pomocou členských štátov poskytovať informácie mikropodnikom a malým podnikom.

| (21) | Komisia by mohla poskytovať usmernenia na podporu členských štátov pri vykonávaní ustanovení tejto smernice týkajúcich sa rozsahu jej pôsobnosti a hodnotení primeranosti opatrení, ktoré sa majú prijať podľa tejto smernice, najmä pokiaľ ide o subjekty s komplexnými obchodnými modelmi alebo prevádzkovým prostredím, keď subjekt môže súčasne spĺňať kritériá pre kľúčové aj dôležité subjekty alebo môže súčasne vykonávať činnosti, z ktorých niektoré patria do rozsahu pôsobnosti tejto smernice a niektoré sú z neho vyňaté. |
| --- | --- |

(21)

Komisia by mohla poskytovať usmernenia na podporu členských štátov pri vykonávaní ustanovení tejto smernice týkajúcich sa rozsahu jej pôsobnosti a hodnotení primeranosti opatrení, ktoré sa majú prijať podľa tejto smernice, najmä pokiaľ ide o subjekty s komplexnými obchodnými modelmi alebo prevádzkovým prostredím, keď subjekt môže súčasne spĺňať kritériá pre kľúčové aj dôležité subjekty alebo môže súčasne vykonávať činnosti, z ktorých niektoré patria do rozsahu pôsobnosti tejto smernice a niektoré sú z neho vyňaté.

| (22) | V tejto smernici sa stanovuje základ pre opatrenia na riadenie kybernetických rizík a oznamovacie povinnosti v odvetviach, ktoré patria do jej rozsahu pôsobnosti. Aby sa zabránilo fragmentácii ustanovení o kybernetickej bezpečnosti v rámci právnych aktov Únie, Komisia by v prípade, ak sa v záujme zabezpečenia vysokej úrovne kybernetickej bezpečnosti v celej Únii považujú za potrebné ďalšie odvetvové právne akty Únie, ktoré sa týkajú opatrení na riadenie kybernetických rizík a oznamovacích povinností, mala posúdiť, či by sa takéto ďalšie ustanovenia mohli stanoviť vo vykonávacom akte prijatom podľa tejto smernice. V prípade, ak by takýto vykonávací akt nebol na tento účel vhodný, k zabezpečeniu vysokej úrovne kybernetickej bezpečnosti v celej Únii by mohli prispieť odvetvové právne akty Únie, pričom by sa v nich plne zohľadnili špecifiká a zložitosti dotknutých odvetví. Preto sa touto smernicou nebráni prijatiu ďalších odvetvových právnych aktov Únie, ktoré sa zaoberajú opatreniami na riadenie kybernetických rizík a oznamovacími povinnosťami a ktoré riadne zohľadňujú potrebu komplexného a súdržného rámca pre kybernetickú bezpečnosť. Touto smernicou nie sú dotknuté existujúce vykonávacie právomoci, ktoré boli Komisii udelené vo viacerých odvetviach vrátane dopravy a energetiky. |
| --- | --- |

(22)

V tejto smernici sa stanovuje základ pre opatrenia na riadenie kybernetických rizík a oznamovacie povinnosti v odvetviach, ktoré patria do jej rozsahu pôsobnosti. Aby sa zabránilo fragmentácii ustanovení o kybernetickej bezpečnosti v rámci právnych aktov Únie, Komisia by v prípade, ak sa v záujme zabezpečenia vysokej úrovne kybernetickej bezpečnosti v celej Únii považujú za potrebné ďalšie odvetvové právne akty Únie, ktoré sa týkajú opatrení na riadenie kybernetických rizík a oznamovacích povinností, mala posúdiť, či by sa takéto ďalšie ustanovenia mohli stanoviť vo vykonávacom akte prijatom podľa tejto smernice. V prípade, ak by takýto vykonávací akt nebol na tento účel vhodný, k zabezpečeniu vysokej úrovne kybernetickej bezpečnosti v celej Únii by mohli prispieť odvetvové právne akty Únie, pričom by sa v nich plne zohľadnili špecifiká a zložitosti dotknutých odvetví. Preto sa touto smernicou nebráni prijatiu ďalších odvetvových právnych aktov Únie, ktoré sa zaoberajú opatreniami na riadenie kybernetických rizík a oznamovacími povinnosťami a ktoré riadne zohľadňujú potrebu komplexného a súdržného rámca pre kybernetickú bezpečnosť. Touto smernicou nie sú dotknuté existujúce vykonávacie právomoci, ktoré boli Komisii udelené vo viacerých odvetviach vrátane dopravy a energetiky.

| (23) | Ak odvetvový právny akt Únie obsahuje ustanovenia vyžadujúce, aby kľúčové alebo dôležité subjekty prijali opatrenia na riadenie kybernetických rizík, alebo aby oznamovali významné incidenty, a ak majú tieto požiadavky aspoň rovnocenný účinok ako povinnosti stanovené v tejto smernici, uvedené ustanovenia vrátane ustanovení o dohľade a presadzovaní práva by sa mali vzťahovať na takéto subjekty. Ak sa odvetvový právny akt Únie nevzťahuje na všetky subjekty v konkrétnom odvetví, ktoré patria do rozsahu pôsobnosti tejto smernice, na subjekty, na ktoré sa uvedený akt nevzťahuje, by sa mali naďalej vzťahovať príslušné ustanovenia tejto smernice. |
| --- | --- |

(23)

Ak odvetvový právny akt Únie obsahuje ustanovenia vyžadujúce, aby kľúčové alebo dôležité subjekty prijali opatrenia na riadenie kybernetických rizík, alebo aby oznamovali významné incidenty, a ak majú tieto požiadavky aspoň rovnocenný účinok ako povinnosti stanovené v tejto smernici, uvedené ustanovenia vrátane ustanovení o dohľade a presadzovaní práva by sa mali vzťahovať na takéto subjekty. Ak sa odvetvový právny akt Únie nevzťahuje na všetky subjekty v konkrétnom odvetví, ktoré patria do rozsahu pôsobnosti tejto smernice, na subjekty, na ktoré sa uvedený akt nevzťahuje, by sa mali naďalej vzťahovať príslušné ustanovenia tejto smernice.

| (24) | Ak sa v ustanoveniach odvetvového právneho aktu Únie vyžaduje, aby kľúčové alebo dôležité subjekty dodržiavali oznamovacie povinnosti, ktoré majú aspoň rovnocenný účinok ako oznamovacie povinnosti stanovené v tejto smernici, mala by sa zabezpečiť konzistentnosť a účinnosť vybavovania oznámení o incidentoch. Na tento účel by ustanovenia odvetvového právneho aktu Únie týkajúce sa oznamovania incidentov mali poskytovať jednotkám CSIRT, príslušným orgánom alebo jednotným kontaktným miestam pre kybernetickú bezpečnosť (ďalej len „jednotné kontaktné miesta“) podľa tejto smernice okamžitý prístup k oznámeniam o incidentoch predkladaným v súlade s odvetvovým právnym aktom Únie. Takýto okamžitý prístup možno zabezpečiť najmä vtedy, ak sa oznámenia o incidentoch bez zbytočného odkladu postupujú jednotke CSIRT, príslušnému orgánu alebo jednotnému kontaktnému miestu podľa tejto smernice. V prípade potreby by členské štáty mali zaviesť mechanizmus automatického a priameho oznamovania, ktorý zabezpečí systematickú a okamžitú výmenu informácií s jednotkami CSIRT, príslušnými orgánmi alebo jednotným kontaktným miestom, pokiaľ ide o vybavovanie takýchto oznámení o incidentoch. Na účely zjednodušenia oznamovania a uplatňovania mechanizmu automatického a priameho oznamovania by členské štáty mohli v súlade s odvetvovým právnym aktom Únie používať jednotné kontaktné miesto. |
| --- | --- |

(24)

Ak sa v ustanoveniach odvetvového právneho aktu Únie vyžaduje, aby kľúčové alebo dôležité subjekty dodržiavali oznamovacie povinnosti, ktoré majú aspoň rovnocenný účinok ako oznamovacie povinnosti stanovené v tejto smernici, mala by sa zabezpečiť konzistentnosť a účinnosť vybavovania oznámení o incidentoch. Na tento účel by ustanovenia odvetvového právneho aktu Únie týkajúce sa oznamovania incidentov mali poskytovať jednotkám CSIRT, príslušným orgánom alebo jednotným kontaktným miestam pre kybernetickú bezpečnosť (ďalej len „jednotné kontaktné miesta“) podľa tejto smernice okamžitý prístup k oznámeniam o incidentoch predkladaným v súlade s odvetvovým právnym aktom Únie. Takýto okamžitý prístup možno zabezpečiť najmä vtedy, ak sa oznámenia o incidentoch bez zbytočného odkladu postupujú jednotke CSIRT, príslušnému orgánu alebo jednotnému kontaktnému miestu podľa tejto smernice. V prípade potreby by členské štáty mali zaviesť mechanizmus automatického a priameho oznamovania, ktorý zabezpečí systematickú a okamžitú výmenu informácií s jednotkami CSIRT, príslušnými orgánmi alebo jednotným kontaktným miestom, pokiaľ ide o vybavovanie takýchto oznámení o incidentoch. Na účely zjednodušenia oznamovania a uplatňovania mechanizmu automatického a priameho oznamovania by členské štáty mohli v súlade s odvetvovým právnym aktom Únie používať jednotné kontaktné miesto.

| (25) | V odvetvových právnych aktoch Únie, v ktorých sa stanovujú opatrenia na riadenie kybernetických rizík alebo oznamovacie povinnosti, ktoré majú aspoň rovnocenný účinok ako tie, ktoré sú stanovené v tejto smernici, by sa mohlo stanoviť, že príslušné orgány podľa takýchto aktov vykonávajú svoje právomoci v oblasti dohľadu a presadzovania práva vo vzťahu k takýmto opatreniam alebo povinnostiam s pomocou príslušných orgánov podľa tejto smernice. Dotknuté príslušné orgány by na daný účel mohli uzatvárať dohody o spolupráci. V takýchto dohodách o spolupráci by sa okrem iného mohli špecifikovať postupy týkajúce sa koordinácie činností dohľadu vrátane postupov vyšetrovaní a inšpekcií na mieste v súlade s vnútroštátnym právom a mechanizmus výmeny relevantných informácií o dohľade a presadzovaní práva medzi príslušnými orgánmi vrátane prístupu ku kybernetickým informáciám, ktoré si vyžiadali príslušné orgány podľa tejto smernice. |
| --- | --- |

(25)

V odvetvových právnych aktoch Únie, v ktorých sa stanovujú opatrenia na riadenie kybernetických rizík alebo oznamovacie povinnosti, ktoré majú aspoň rovnocenný účinok ako tie, ktoré sú stanovené v tejto smernici, by sa mohlo stanoviť, že príslušné orgány podľa takýchto aktov vykonávajú svoje právomoci v oblasti dohľadu a presadzovania práva vo vzťahu k takýmto opatreniam alebo povinnostiam s pomocou príslušných orgánov podľa tejto smernice. Dotknuté príslušné orgány by na daný účel mohli uzatvárať dohody o spolupráci. V takýchto dohodách o spolupráci by sa okrem iného mohli špecifikovať postupy týkajúce sa koordinácie činností dohľadu vrátane postupov vyšetrovaní a inšpekcií na mieste v súlade s vnútroštátnym právom a mechanizmus výmeny relevantných informácií o dohľade a presadzovaní práva medzi príslušnými orgánmi vrátane prístupu ku kybernetickým informáciám, ktoré si vyžiadali príslušné orgány podľa tejto smernice.

| (26) | Ak sa v odvetvových právnych aktoch Únie vyžadujú alebo poskytujú stimuly pre subjekty, aby oznamovali významné kybernetické hrozby, členské štáty by mali podporovať aj výmenu informácií o významných kybernetických hrozbách s jednotkami CSIRT, príslušnými orgánmi alebo jednotnými kontaktnými miestami podľa tejto smernice, aby sa zabezpečila zvýšená úroveň informovanosti uvedených orgánov o prostredí kybernetických hrozieb a umožnilo sa im účinne a včas reagovať, ak by sa významné kybernetické hrozby naplnili. |
| --- | --- |

(26)

Ak sa v odvetvových právnych aktoch Únie vyžadujú alebo poskytujú stimuly pre subjekty, aby oznamovali významné kybernetické hrozby, členské štáty by mali podporovať aj výmenu informácií o významných kybernetických hrozbách s jednotkami CSIRT, príslušnými orgánmi alebo jednotnými kontaktnými miestami podľa tejto smernice, aby sa zabezpečila zvýšená úroveň informovanosti uvedených orgánov o prostredí kybernetických hrozieb a umožnilo sa im účinne a včas reagovať, ak by sa významné kybernetické hrozby naplnili.

| (27) | Budúce odvetvové právne akty Únie by mali náležite zohľadňovať vymedzenia pojmov a rámec dohľadu a presadzovania práva, ako sú stanovené v tejto smernici. |
| --- | --- |

(27)

Budúce odvetvové právne akty Únie by mali náležite zohľadňovať vymedzenia pojmov a rámec dohľadu a presadzovania práva, ako sú stanovené v tejto smernici.

| (28) | Nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554 (10) by sa v súvislosti s touto smernicou malo považovať za odvetvový právny akt Únie, pokiaľ ide o finančné subjekty. Namiesto ustanovení tejto smernice by sa mali uplatňovať ustanovenia nariadenia (EÚ) 2022/2554 týkajúce sa riadenia rizík v oblasti informačných a komunikačných technológií (ďalej len „IKT“), riadenia incidentov súvisiacich s IKT, a najmä oznamovania závažných incidentov súvisiacich s IKT, ako aj testovania digitálnej prevádzkovej odolnosti, mechanizmov výmeny informácií a rizík týkajúcich sa IKT zabezpečovaných tretími stranami. Členské štáty by preto nemali uplatňovať ustanovenia tejto smernice týkajúce sa riadenia kybernetických rizík a oznamovacích povinností a dohľadu a presadzovania práva na finančné subjekty, na ktoré sa vzťahuje nariadenie (EÚ) 2022/2554. Zároveň je dôležité zachovať pevné vzťahy a výmenu informácií s finančným odvetvím podľa tejto smernice. Na tento účel nariadenie (EÚ) 2022/2554 umožňuje európskym orgánom dohľadu (ESA) a príslušným orgánom podľa uvedeného nariadenia zúčastňovať sa na činnostiach skupiny pre spoluprácu a vymieňať si informácie a spolupracovať s jednotnými kontaktnými miestami, ako aj s jednotkami CSIRT a príslušnými orgánmi podľa tejto smernice. Príslušné orgány podľa nariadenia (EÚ) 2022/2554 by mali tiež zasielať podrobné údaje o závažných incidentoch súvisiacich s IKT a v prípade potreby o významných kybernetických hrozbách jednotkám CSIRT, príslušným orgánom alebo jednotným kontaktným miestam podľa tejto smernice. To je možné dosiahnuť poskytnutím okamžitého prístupu k oznámeniam o incidentoch a ich postúpením buď priamo alebo prostredníctvom jednotného kontaktného miesta. Členské štáty by okrem toho mali naďalej začleňovať finančné odvetvie do svojich stratégií kybernetickej bezpečnosti a jednotky CSIRT môžu zahrnúť finančné odvetvie do svojich činností. |
| --- | --- |

(28)

Nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554 (10) by sa v súvislosti s touto smernicou malo považovať za odvetvový právny akt Únie, pokiaľ ide o finančné subjekty. Namiesto ustanovení tejto smernice by sa mali uplatňovať ustanovenia nariadenia (EÚ) 2022/2554 týkajúce sa riadenia rizík v oblasti informačných a komunikačných technológií (ďalej len „IKT“), riadenia incidentov súvisiacich s IKT, a najmä oznamovania závažných incidentov súvisiacich s IKT, ako aj testovania digitálnej prevádzkovej odolnosti, mechanizmov výmeny informácií a rizík týkajúcich sa IKT zabezpečovaných tretími stranami. Členské štáty by preto nemali uplatňovať ustanovenia tejto smernice týkajúce sa riadenia kybernetických rizík a oznamovacích povinností a dohľadu a presadzovania práva na finančné subjekty, na ktoré sa vzťahuje nariadenie (EÚ) 2022/2554. Zároveň je dôležité zachovať pevné vzťahy a výmenu informácií s finančným odvetvím podľa tejto smernice. Na tento účel nariadenie (EÚ) 2022/2554 umožňuje európskym orgánom dohľadu (ESA) a príslušným orgánom podľa uvedeného nariadenia zúčastňovať sa na činnostiach skupiny pre spoluprácu a vymieňať si informácie a spolupracovať s jednotnými kontaktnými miestami, ako aj s jednotkami CSIRT a príslušnými orgánmi podľa tejto smernice. Príslušné orgány podľa nariadenia (EÚ) 2022/2554 by mali tiež zasielať podrobné údaje o závažných incidentoch súvisiacich s IKT a v prípade potreby o významných kybernetických hrozbách jednotkám CSIRT, príslušným orgánom alebo jednotným kontaktným miestam podľa tejto smernice. To je možné dosiahnuť poskytnutím okamžitého prístupu k oznámeniam o incidentoch a ich postúpením buď priamo alebo prostredníctvom jednotného kontaktného miesta. Členské štáty by okrem toho mali naďalej začleňovať finančné odvetvie do svojich stratégií kybernetickej bezpečnosti a jednotky CSIRT môžu zahrnúť finančné odvetvie do svojich činností.

| (29) | Aby sa zabránilo medzerám alebo duplicite, pokiaľ ide o povinnosti v oblasti kybernetickej bezpečnosti uložené subjektom v odvetví letectva, vnútroštátne orgány podľa nariadení Európskeho parlamentu a Rady (ES) č. 300/2008 (11) a (EÚ) 2018/1139 (12) a príslušné orgány podľa tejto smernice by mali spolupracovať v súvislosti s vykonávaním opatrení na riadenie kybernetických rizík a dohľadom nad dodržiavaním týchto opatrení na vnútroštátnej úrovni. Súlad subjektu s bezpečnostnými požiadavkami stanovenými v nariadeniach (ES) č. 300/2008 a (EÚ) 2018/1139 a v príslušných delegovaných a vykonávacích aktoch prijatých podľa uvedených nariadení by príslušné orgány mohli považovať za súlad so zodpovedajúcimi požiadavkami stanovenými v tejto smernici. |
| --- | --- |

(29)

Aby sa zabránilo medzerám alebo duplicite, pokiaľ ide o povinnosti v oblasti kybernetickej bezpečnosti uložené subjektom v odvetví letectva, vnútroštátne orgány podľa nariadení Európskeho parlamentu a Rady (ES) č. 300/2008 (11) a (EÚ) 2018/1139 (12) a príslušné orgány podľa tejto smernice by mali spolupracovať v súvislosti s vykonávaním opatrení na riadenie kybernetických rizík a dohľadom nad dodržiavaním týchto opatrení na vnútroštátnej úrovni. Súlad subjektu s bezpečnostnými požiadavkami stanovenými v nariadeniach (ES) č. 300/2008 a (EÚ) 2018/1139 a v príslušných delegovaných a vykonávacích aktoch prijatých podľa uvedených nariadení by príslušné orgány mohli považovať za súlad so zodpovedajúcimi požiadavkami stanovenými v tejto smernici.

| (30) | Vzhľadom na prepojenia medzi kybernetickou bezpečnosťou a fyzickou bezpečnosťou subjektov by sa mal zabezpečiť jednotný prístup medzi smernicou Európskeho parlamentu a Rady (EÚ) 2022/2557 (13) a touto smernicou. Na dosiahnutie tohto cieľa by sa subjekty identifikované ako kritické subjekty podľa smernice (EÚ) 2022/2557 mali považovať za kľúčové subjekty podľa tejto smernice. Každý členský štát by navyše mal zabezpečiť, aby sa v jeho národnej stratégii kybernetickej bezpečnosti stanovil politický rámec pre posilnenú koordináciu v rámci daného členského štátu medzi jeho príslušnými orgánmi podľa tejto smernice a jeho príslušnými orgánmi podľa smernice (EÚ) 2022/2557 v kontexte výmeny informácií o rizikách, kybernetických hrozbách a incidentoch, ako aj o nekybernetických rizikách, hrozbách a incidentoch a v kontexte plnenia úloh v oblasti dohľadu. Príslušné orgány podľa tejto smernice a príslušné orgány podľa smernice (EÚ) 2022/2557 by mali spolupracovať a vymieňať si informácie bez zbytočného odkladu, najmä pokiaľ ide o identifikáciu kritických subjektov, riziká, kybernetické hrozby a incidenty, ako aj nekybernetické riziká, hrozby a incidenty, ktoré ovplyvňujú kritické subjekty, vrátane kybernetických a fyzických opatrení prijatých kritickými subjektmi, ako aj výsledkov činností dohľadu vykonávaných v súvislosti s takýmito subjektmi.
  Okrem toho, s cieľom zefektívniť činnosti dohľadu medzi príslušnými orgánmi podľa tejto smernice a príslušnými orgánmi podľa smernice (EÚ) 2022/2557 a s cieľom minimalizovať administratívnu záťaž dotknutých subjektov, by sa uvedené príslušné orgány mali usilovať zharmonizovať vzorové formuláre na oznamovanie incidentov a postupy dohľadu. V prípade potreby by príslušné orgány podľa smernice (EÚ) 2022/2557 mali mať možnosť požiadať príslušné orgány podľa tejto smernice, aby vykonávali svoje právomoci v oblasti dohľadu a presadzovania práva vo vzťahu k subjektu, ktorý je identifikovaný ako kritický subjekt podľa smernice (EÚ) 2022/2557. Na tento účel by príslušné orgány podľa tejto smernice a príslušné orgány podľa smernice (EÚ) 2022/2557 mali, podľa možnosti v reálnom čase, spolupracovať a vymieňať si informácie. |
| --- | --- |

(30)

Vzhľadom na prepojenia medzi kybernetickou bezpečnosťou a fyzickou bezpečnosťou subjektov by sa mal zabezpečiť jednotný prístup medzi smernicou Európskeho parlamentu a Rady (EÚ) 2022/2557 (13) a touto smernicou. Na dosiahnutie tohto cieľa by sa subjekty identifikované ako kritické subjekty podľa smernice (EÚ) 2022/2557 mali považovať za kľúčové subjekty podľa tejto smernice. Každý členský štát by navyše mal zabezpečiť, aby sa v jeho národnej stratégii kybernetickej bezpečnosti stanovil politický rámec pre posilnenú koordináciu v rámci daného členského štátu medzi jeho príslušnými orgánmi podľa tejto smernice a jeho príslušnými orgánmi podľa smernice (EÚ) 2022/2557 v kontexte výmeny informácií o rizikách, kybernetických hrozbách a incidentoch, ako aj o nekybernetických rizikách, hrozbách a incidentoch a v kontexte plnenia úloh v oblasti dohľadu. Príslušné orgány podľa tejto smernice a príslušné orgány podľa smernice (EÚ) 2022/2557 by mali spolupracovať a vymieňať si informácie bez zbytočného odkladu, najmä pokiaľ ide o identifikáciu kritických subjektov, riziká, kybernetické hrozby a incidenty, ako aj nekybernetické riziká, hrozby a incidenty, ktoré ovplyvňujú kritické subjekty, vrátane kybernetických a fyzických opatrení prijatých kritickými subjektmi, ako aj výsledkov činností dohľadu vykonávaných v súvislosti s takýmito subjektmi.

Okrem toho, s cieľom zefektívniť činnosti dohľadu medzi príslušnými orgánmi podľa tejto smernice a príslušnými orgánmi podľa smernice (EÚ) 2022/2557 a s cieľom minimalizovať administratívnu záťaž dotknutých subjektov, by sa uvedené príslušné orgány mali usilovať zharmonizovať vzorové formuláre na oznamovanie incidentov a postupy dohľadu. V prípade potreby by príslušné orgány podľa smernice (EÚ) 2022/2557 mali mať možnosť požiadať príslušné orgány podľa tejto smernice, aby vykonávali svoje právomoci v oblasti dohľadu a presadzovania práva vo vzťahu k subjektu, ktorý je identifikovaný ako kritický subjekt podľa smernice (EÚ) 2022/2557. Na tento účel by príslušné orgány podľa tejto smernice a príslušné orgány podľa smernice (EÚ) 2022/2557 mali, podľa možnosti v reálnom čase, spolupracovať a vymieňať si informácie.

| (31) | Subjekty patriace do odvetvia digitálnej infraštruktúry sú v podstate založené na sieťach a informačných systémoch, a preto by sa povinnosti, ktoré týmto subjektom podľa tejto smernice, mali komplexným spôsobom zaoberať fyzickou bezpečnosťou takýchto systémov ako súčasťou ich opatrení na riadenie kybernetických rizík a oznamovacích povinností. Keďže sa na uvedené záležitosti vzťahuje táto smernica, povinnosti stanovené v kapitolách III, IV a VI smernice (EÚ) 2022/2557 sa na takéto subjekty nevzťahujú. |
| --- | --- |

(31)

Subjekty patriace do odvetvia digitálnej infraštruktúry sú v podstate založené na sieťach a informačných systémoch, a preto by sa povinnosti, ktoré týmto subjektom podľa tejto smernice, mali komplexným spôsobom zaoberať fyzickou bezpečnosťou takýchto systémov ako súčasťou ich opatrení na riadenie kybernetických rizík a oznamovacích povinností. Keďže sa na uvedené záležitosti vzťahuje táto smernica, povinnosti stanovené v kapitolách III, IV a VI smernice (EÚ) 2022/2557 sa na takéto subjekty nevzťahujú.

| (32) | Podpora a ochrana spoľahlivého, odolného a bezpečného systému názvov domén (ďalej len „DNS“ - domain name system) sú kľúčovým faktorom zachovania integrity internetu a sú nevyhnutné pre jeho nepretržité a stabilné fungovanie, od ktorého závisí digitálne hospodárstvo a spoločnosť. Táto smernica by sa preto mala vzťahovať na správcov názvov domén najvyššej úrovne (ďalej len „TLD“ - top-level-domain) a poskytovateľov služieb DNS, ktorí sa majú chápať ako subjekty poskytujúce verejne dostupné služby rekurzívneho rozlišovania názvov domén pre koncových používateľov internetu alebo služby autoritatívneho rozlišovania názvov domén pre použitie tretími stranami. Táto smernica by sa nemala vzťahovať na koreňové názvové servery. |
| --- | --- |

(32)

Podpora a ochrana spoľahlivého, odolného a bezpečného systému názvov domén (ďalej len „DNS“ - domain name system) sú kľúčovým faktorom zachovania integrity internetu a sú nevyhnutné pre jeho nepretržité a stabilné fungovanie, od ktorého závisí digitálne hospodárstvo a spoločnosť. Táto smernica by sa preto mala vzťahovať na správcov názvov domén najvyššej úrovne (ďalej len „TLD“ - top-level-domain) a poskytovateľov služieb DNS, ktorí sa majú chápať ako subjekty poskytujúce verejne dostupné služby rekurzívneho rozlišovania názvov domén pre koncových používateľov internetu alebo služby autoritatívneho rozlišovania názvov domén pre použitie tretími stranami. Táto smernica by sa nemala vzťahovať na koreňové názvové servery.

| (33) | Služby cloud computingu by mali zahŕňať digitálne služby, ktoré umožňujú správu na požiadanie a vzdialený širokopásmový prístup ku škálovateľnému a pružnému súboru zdieľateľných počítačových zdrojov, a to aj ak sa tieto zdroje nachádzajú na viacerých miestach. Počítačové zdroje zahŕňajú zdroje, ako sú siete, servery alebo iná infraštruktúra, operačné systémy, softvér, úložiská, aplikácie a služby. Modely služieb cloud computingu zahŕňajú okrem iného infraštruktúru ako službu (IaaS), platformu ako službu (PaaS), softvér ako službu (SaaS) a sieť ako službu (NaaS). Modely zavádzania cloud computingu by mali zahŕňať súkromný, komunitný, verejný a hybridný cloud. Modely služieb a nasadenia cloud computingu majú rovnaký význam ako podmienky poskytovania služieb a modely nasadenia vymedzené v norme ISO/IEC 17788:2014. Schopnosť používateľa cloud computingu jednostranne si zabezpečovať počítačové kapacity, ako je serverový čas alebo sieťové úložisko, bez ľudskej interakcie zo strany poskytovateľa služieb cloud computingu by sa mohla opísať ako správa na požiadanie.
  Pojem „širokopásmový vzdialený prístup“ sa používa na opis toho, že cloudové kapacity sú poskytované cez sieť a prístupné prostredníctvom mechanizmov na podporu využívania heterogénnych tenkých alebo hrubých klientskych platforiem vrátane mobilných telefónov, tabletov, laptopov a pracovných staníc. Pojem „škálovateľné“ odkazuje na počítačové zdroje, ktoré pružne prideľuje poskytovateľ cloudových služieb bez ohľadu na zemepisnú polohu zdrojov s cieľom zvládať výkyvy v dopyte. Pojem „pružný súbor“ sa používa na označenie počítačových zdrojov, ktoré sa poskytujú a uvoľňujú na základe dopytu s cieľom rýchlo zvýšiť a znížiť dostupné zdroje v závislosti od záťaže. Pojem „zdieľateľný“ sa používa na označenie počítačových zdrojov, ktoré sa poskytujú viacerým používateľom, ktorí zdieľajú spoločný prístup k službe, ale spracúvanie sa vykonáva oddelene pre každého používateľa, hoci sa služba poskytuje z toho istého elektronického zariadenia. Pojem „distribuovaný“ sa používa na opis počítačových zdrojov, ktoré sa nachádzajú v rôznych sieťových počítačoch alebo zariadeniach a ktoré navzájom komunikujú a koordinujú sa prenosom správ. |
| --- | --- |

(33)

Služby cloud computingu by mali zahŕňať digitálne služby, ktoré umožňujú správu na požiadanie a vzdialený širokopásmový prístup ku škálovateľnému a pružnému súboru zdieľateľných počítačových zdrojov, a to aj ak sa tieto zdroje nachádzajú na viacerých miestach. Počítačové zdroje zahŕňajú zdroje, ako sú siete, servery alebo iná infraštruktúra, operačné systémy, softvér, úložiská, aplikácie a služby. Modely služieb cloud computingu zahŕňajú okrem iného infraštruktúru ako službu (IaaS), platformu ako službu (PaaS), softvér ako službu (SaaS) a sieť ako službu (NaaS). Modely zavádzania cloud computingu by mali zahŕňať súkromný, komunitný, verejný a hybridný cloud. Modely služieb a nasadenia cloud computingu majú rovnaký význam ako podmienky poskytovania služieb a modely nasadenia vymedzené v norme ISO/IEC 17788:2014. Schopnosť používateľa cloud computingu jednostranne si zabezpečovať počítačové kapacity, ako je serverový čas alebo sieťové úložisko, bez ľudskej interakcie zo strany poskytovateľa služieb cloud computingu by sa mohla opísať ako správa na požiadanie.

Pojem „širokopásmový vzdialený prístup“ sa používa na opis toho, že cloudové kapacity sú poskytované cez sieť a prístupné prostredníctvom mechanizmov na podporu využívania heterogénnych tenkých alebo hrubých klientskych platforiem vrátane mobilných telefónov, tabletov, laptopov a pracovných staníc. Pojem „škálovateľné“ odkazuje na počítačové zdroje, ktoré pružne prideľuje poskytovateľ cloudových služieb bez ohľadu na zemepisnú polohu zdrojov s cieľom zvládať výkyvy v dopyte. Pojem „pružný súbor“ sa používa na označenie počítačových zdrojov, ktoré sa poskytujú a uvoľňujú na základe dopytu s cieľom rýchlo zvýšiť a znížiť dostupné zdroje v závislosti od záťaže. Pojem „zdieľateľný“ sa používa na označenie počítačových zdrojov, ktoré sa poskytujú viacerým používateľom, ktorí zdieľajú spoločný prístup k službe, ale spracúvanie sa vykonáva oddelene pre každého používateľa, hoci sa služba poskytuje z toho istého elektronického zariadenia. Pojem „distribuovaný“ sa používa na opis počítačových zdrojov, ktoré sa nachádzajú v rôznych sieťových počítačoch alebo zariadeniach a ktoré navzájom komunikujú a koordinujú sa prenosom správ.

| (34) | Vzhľadom na vznik inovatívnych technológií a nových obchodných modelov sa očakáva, že sa na vnútornom trhu objavia nové modely služieb a nasadenia cloud computingu v reakcii na vyvíjajúce sa potreby zákazníkov. V tejto súvislosti sa služby cloud computingu môžu poskytovať vo vysoko distribuovanej forme, ešte bližšie k miestu, kde sa údaje generujú alebo zhromažďujú, čím sa prechádza od tradičného modelu k vysoko distribuovanému modelu (edge computing). |
| --- | --- |

(34)

Vzhľadom na vznik inovatívnych technológií a nových obchodných modelov sa očakáva, že sa na vnútornom trhu objavia nové modely služieb a nasadenia cloud computingu v reakcii na vyvíjajúce sa potreby zákazníkov. V tejto súvislosti sa služby cloud computingu môžu poskytovať vo vysoko distribuovanej forme, ešte bližšie k miestu, kde sa údaje generujú alebo zhromažďujú, čím sa prechádza od tradičného modelu k vysoko distribuovanému modelu (edge computing).

| (35) | Služby ponúkané poskytovateľmi služieb dátového centra sa nemusia vždy poskytovať vo forme služby cloud computingu. Dátové centrá preto nemusia vždy tvoriť súčasť infraštruktúry cloud computingu. S cieľom riadiť všetky riziká spojené s bezpečnosťou sietí a informačných systémov by sa táto smernica preto mala vzťahovať na poskytovateľov služieb dátového centra, ktoré nie sú službami cloud computingu. Na účely tejto smernice by sa pojem „služba dátového centra“ mal vzťahovať na poskytovanie služby, ktorá zahŕňa štruktúry alebo skupiny štruktúr určené na centralizované umiestnenie, vzájomné prepojenie a prevádzku informačných technológií (IT) a sieťového vybavenia poskytujúcich služby ukladania, spracovania a prepravy dát spolu so všetkými zariadeniami a infraštruktúrami na distribúciu elektrickej energie a environmentálnu kontrolu. Pojem „služba dátového centra“ by sa nemal vzťahovať na interné podnikové dátové centrá vlastnené a prevádzkované na vlastné účely príslušného subjektu. |
| --- | --- |

(35)

Služby ponúkané poskytovateľmi služieb dátového centra sa nemusia vždy poskytovať vo forme služby cloud computingu. Dátové centrá preto nemusia vždy tvoriť súčasť infraštruktúry cloud computingu. S cieľom riadiť všetky riziká spojené s bezpečnosťou sietí a informačných systémov by sa táto smernica preto mala vzťahovať na poskytovateľov služieb dátového centra, ktoré nie sú službami cloud computingu. Na účely tejto smernice by sa pojem „služba dátového centra“ mal vzťahovať na poskytovanie služby, ktorá zahŕňa štruktúry alebo skupiny štruktúr určené na centralizované umiestnenie, vzájomné prepojenie a prevádzku informačných technológií (IT) a sieťového vybavenia poskytujúcich služby ukladania, spracovania a prepravy dát spolu so všetkými zariadeniami a infraštruktúrami na distribúciu elektrickej energie a environmentálnu kontrolu. Pojem „služba dátového centra“ by sa nemal vzťahovať na interné podnikové dátové centrá vlastnené a prevádzkované na vlastné účely príslušného subjektu.

| (36) | Výskumné činnosti zohrávajú kľúčovú úlohu pri vývoji nových produktov a procesov. Mnohé z uvedených činností vykonávajú subjekty, ktoré poskytujú, šíria alebo využívajú výsledky svojho výskumu na komerčné účely. Tieto subjekty preto môžu byť dôležitými aktérmi v hodnotových reťazcoch, vďaka čomu sa bezpečnosť ich sietí a informačných systémov stáva neoddeliteľnou súčasťou celkovej kybernetickej bezpečnosti vnútorného trhu. Výskumné organizácie by sa mali chápať tak, že zahŕňajú subjekty, ktoré zameriavajú podstatnú časť svojich činností na vykonávanie aplikovaného výskumu alebo experimentálneho vývoja v zmysle príručky vydanej Organizáciou pre hospodársku spoluprácu a rozvoj pod názvom Frascati Manual 2015: Guidelines for Collecting and Reporting Data on Research and Experimental Development (Usmernenia pre zber a vykazovanie údajov o výskume a experimentálnom vývoji), a to s cieľom využiť ich výsledky na komerčné účely, ako je výroba alebo vývoj výrobku či procesu, poskytovanie služby, alebo ich uvádzanie na trh. |
| --- | --- |

(36)

Výskumné činnosti zohrávajú kľúčovú úlohu pri vývoji nových produktov a procesov. Mnohé z uvedených činností vykonávajú subjekty, ktoré poskytujú, šíria alebo využívajú výsledky svojho výskumu na komerčné účely. Tieto subjekty preto môžu byť dôležitými aktérmi v hodnotových reťazcoch, vďaka čomu sa bezpečnosť ich sietí a informačných systémov stáva neoddeliteľnou súčasťou celkovej kybernetickej bezpečnosti vnútorného trhu. Výskumné organizácie by sa mali chápať tak, že zahŕňajú subjekty, ktoré zameriavajú podstatnú časť svojich činností na vykonávanie aplikovaného výskumu alebo experimentálneho vývoja v zmysle príručky vydanej Organizáciou pre hospodársku spoluprácu a rozvoj pod názvom Frascati Manual 2015: Guidelines for Collecting and Reporting Data on Research and Experimental Development (Usmernenia pre zber a vykazovanie údajov o výskume a experimentálnom vývoji), a to s cieľom využiť ich výsledky na komerčné účely, ako je výroba alebo vývoj výrobku či procesu, poskytovanie služby, alebo ich uvádzanie na trh.

| (37) | Rastúca previazanosť je výsledkom čoraz väčšej cezhraničnej a previazanej siete poskytovania služieb s využitím kľúčových infraštruktúr v celej Únii v odvetviach ako sú energetika, doprava, digitálna infraštruktúra, pitná voda a odpadová voda, zdravie, určité aspekty verejnej správy, ako aj kozmický priestor, pokiaľ ide o poskytovanie určitých služieb závislých od pozemných infraštruktúr, ktoré vlastnia, spravujú a prevádzkujú členské štáty alebo súkromné strany, a preto sa nevzťahuje na infraštruktúry vlastnené, spravované alebo prevádzkované Úniou alebo v jej mene ako súčasť jej vesmírneho programu. Táto previazanosť znamená, že akékoľvek narušenie, dokonca aj také, ktoré sa pôvodne obmedzovalo na jeden subjekt alebo jedno odvetvie, môže mať širšie kaskádovité účinky, čo môže viesť k ďalekosiahlym a dlhotrvajúcim negatívnym vplyvom na poskytovanie služieb na celom vnútornom trhu. Intenzívnejšie kybernetické útoky počas pandémie ochorenia COVID-19 ukázali zraniteľnosť čoraz previazanejších spoločností voči rizikám s nízkou pravdepodobnosťou. |
| --- | --- |

(37)

Rastúca previazanosť je výsledkom čoraz väčšej cezhraničnej a previazanej siete poskytovania služieb s využitím kľúčových infraštruktúr v celej Únii v odvetviach ako sú energetika, doprava, digitálna infraštruktúra, pitná voda a odpadová voda, zdravie, určité aspekty verejnej správy, ako aj kozmický priestor, pokiaľ ide o poskytovanie určitých služieb závislých od pozemných infraštruktúr, ktoré vlastnia, spravujú a prevádzkujú členské štáty alebo súkromné strany, a preto sa nevzťahuje na infraštruktúry vlastnené, spravované alebo prevádzkované Úniou alebo v jej mene ako súčasť jej vesmírneho programu. Táto previazanosť znamená, že akékoľvek narušenie, dokonca aj také, ktoré sa pôvodne obmedzovalo na jeden subjekt alebo jedno odvetvie, môže mať širšie kaskádovité účinky, čo môže viesť k ďalekosiahlym a dlhotrvajúcim negatívnym vplyvom na poskytovanie služieb na celom vnútornom trhu. Intenzívnejšie kybernetické útoky počas pandémie ochorenia COVID-19 ukázali zraniteľnosť čoraz previazanejších spoločností voči rizikám s nízkou pravdepodobnosťou.

| (38) | Vzhľadom na rozdiely vo vnútroštátnych štruktúrach riadenia a s cieľom zachovať už existujúce odvetvové dohody alebo orgány dohľadu a regulačné orgány Únie by členské štáty mali mať možnosť určiť alebo zriadiť jeden alebo viaceré príslušné orgány zodpovedné za kybernetickú bezpečnosť a úlohy dohľadu podľa tejto smernice. |
| --- | --- |

(38)

Vzhľadom na rozdiely vo vnútroštátnych štruktúrach riadenia a s cieľom zachovať už existujúce odvetvové dohody alebo orgány dohľadu a regulačné orgány Únie by členské štáty mali mať možnosť určiť alebo zriadiť jeden alebo viaceré príslušné orgány zodpovedné za kybernetickú bezpečnosť a úlohy dohľadu podľa tejto smernice.

| (39) | V záujme uľahčenia cezhraničnej spolupráce a komunikácie orgánov a s cieľom umožniť účinné vykonávanie tejto smernice je potrebné, aby každý členský štát určil jednotné kontaktné miesto zodpovedné za koordináciu záležitostí týkajúcich sa bezpečnosti sietí a informačných systémov a cezhraničnú spoluprácu na úrovni Únie. |
| --- | --- |

(39)

V záujme uľahčenia cezhraničnej spolupráce a komunikácie orgánov a s cieľom umožniť účinné vykonávanie tejto smernice je potrebné, aby každý členský štát určil jednotné kontaktné miesto zodpovedné za koordináciu záležitostí týkajúcich sa bezpečnosti sietí a informačných systémov a cezhraničnú spoluprácu na úrovni Únie.

| (40) | Jednotné kontaktné miesta by mali zabezpečiť účinnú cezhraničnú spoluprácu s relevantnými orgánmi iných členských štátov a v prípade potreby s Komisiou a agentúrou ENISA. Jednotné kontaktné miesta by preto na žiadosť jednotky CSIRT alebo príslušného orgánu mali byť poverené zasielaním oznámení o významných incidentoch s cezhraničným dosahom jednotným kontaktným miestam iných postihnutých členských štátov. Na vnútroštátnej úrovni by jednotné kontaktné miesta mali umožňovať bezproblémovú medziodvetvovú spoluprácu s inými príslušnými orgánmi. Jednotné kontaktné miesta by mohli byť aj adresátmi relevantných informácií o incidentoch týkajúcich sa finančných subjektov od príslušných orgánov podľa nariadenia (EÚ) 2022/2554, ktoré by mali byť podľa potreby schopné postúpiť jednotkám CSIRT alebo príslušným orgánom podľa tejto smernice. |
| --- | --- |

(40)

Jednotné kontaktné miesta by mali zabezpečiť účinnú cezhraničnú spoluprácu s relevantnými orgánmi iných členských štátov a v prípade potreby s Komisiou a agentúrou ENISA. Jednotné kontaktné miesta by preto na žiadosť jednotky CSIRT alebo príslušného orgánu mali byť poverené zasielaním oznámení o významných incidentoch s cezhraničným dosahom jednotným kontaktným miestam iných postihnutých členských štátov. Na vnútroštátnej úrovni by jednotné kontaktné miesta mali umožňovať bezproblémovú medziodvetvovú spoluprácu s inými príslušnými orgánmi. Jednotné kontaktné miesta by mohli byť aj adresátmi relevantných informácií o incidentoch týkajúcich sa finančných subjektov od príslušných orgánov podľa nariadenia (EÚ) 2022/2554, ktoré by mali byť podľa potreby schopné postúpiť jednotkám CSIRT alebo príslušným orgánom podľa tejto smernice.

| (41) | Členské štáty by mali mať primerané vybavenie, pokiaľ ide o technické a organizačné spôsobilosti, aby mohli predchádzať incidentom a rizikám, odhaľovať ich, reagovať na ne a zmierňovať ich vplyv. Členské štáty by preto mali zriadiť alebo určiť jednu alebo viacero jednotiek CSIRT podľa tejto smernice a zabezpečiť, aby mali primerané zdroje a technické kapacity. Jednotky CSIRT by mali spĺňať požiadavky stanovené v tejto smernici s cieľom zaručiť účinné a zlučiteľné kapacity na riešenie incidentov a rizík a zabezpečiť účinnú spoluprácu na úrovni Únie. Členské štáty by mali mať možnosť určiť existujúce tímy reakcie na núdzové počítačové situácie (CERT) za jednotky CSIRT. S cieľom posilniť dôverný vzťah medzi subjektmi a jednotkami CSIRT v prípadoch, keď je jednotka CSIRT súčasťou príslušného orgánu, by členské štáty mali mať možnosť zvážiť funkčné oddelenie operačných úloh poskytovaných jednotkami CSIRT, najmä pokiaľ ide o výmenu informácií a pomoc poskytovanú subjektom, od činností dohľadu príslušných orgánov. |
| --- | --- |

(41)

Členské štáty by mali mať primerané vybavenie, pokiaľ ide o technické a organizačné spôsobilosti, aby mohli predchádzať incidentom a rizikám, odhaľovať ich, reagovať na ne a zmierňovať ich vplyv. Členské štáty by preto mali zriadiť alebo určiť jednu alebo viacero jednotiek CSIRT podľa tejto smernice a zabezpečiť, aby mali primerané zdroje a technické kapacity. Jednotky CSIRT by mali spĺňať požiadavky stanovené v tejto smernici s cieľom zaručiť účinné a zlučiteľné kapacity na riešenie incidentov a rizík a zabezpečiť účinnú spoluprácu na úrovni Únie. Členské štáty by mali mať možnosť určiť existujúce tímy reakcie na núdzové počítačové situácie (CERT) za jednotky CSIRT. S cieľom posilniť dôverný vzťah medzi subjektmi a jednotkami CSIRT v prípadoch, keď je jednotka CSIRT súčasťou príslušného orgánu, by členské štáty mali mať možnosť zvážiť funkčné oddelenie operačných úloh poskytovaných jednotkami CSIRT, najmä pokiaľ ide o výmenu informácií a pomoc poskytovanú subjektom, od činností dohľadu príslušných orgánov.

| (42) | Jednotky CSIRT sú poverené riešením incidentov. To zahŕňa spracovanie veľkých objemov niekedy citlivých údajov. Členské štáty by mali zabezpečiť, aby jednotky CSIRT mali infraštruktúru na výmenu a spracovanie informácií, ako aj dobre vybavený personál, ktorý zabezpečí dôvernosť a dôveryhodnosť ich operácií. Jednotky CSIRT by v tejto súvislosti mohli prijať aj kódexy správania. |
| --- | --- |

(42)

Jednotky CSIRT sú poverené riešením incidentov. To zahŕňa spracovanie veľkých objemov niekedy citlivých údajov. Členské štáty by mali zabezpečiť, aby jednotky CSIRT mali infraštruktúru na výmenu a spracovanie informácií, ako aj dobre vybavený personál, ktorý zabezpečí dôvernosť a dôveryhodnosť ich operácií. Jednotky CSIRT by v tejto súvislosti mohli prijať aj kódexy správania.

| (43) | Pokiaľ ide o osobné údaje, jednotky CSIRT by mali mať možnosť vykonávať v súlade s nariadením Európskeho parlamentu a Rady (EÚ) 2016/679 na žiadosť kľúčového alebo dôležitého subjektu proaktívnu kontrolu sietí a informačných systémov používaných na poskytovanie služieb subjektu. Členské štáty by sa mali podľa potreby zamerať na zabezpečenie rovnakej úrovne technických kapacít pre všetky odvetvové jednotky CSIRT. Členské štáty by pri zriaďovaní svojich jednotiek CSIRT mali mať možnosť požiadať o pomoc agentúru ENISA. |
| --- | --- |

(43)

Pokiaľ ide o osobné údaje, jednotky CSIRT by mali mať možnosť vykonávať v súlade s nariadením Európskeho parlamentu a Rady (EÚ) 2016/679 na žiadosť kľúčového alebo dôležitého subjektu proaktívnu kontrolu sietí a informačných systémov používaných na poskytovanie služieb subjektu. Členské štáty by sa mali podľa potreby zamerať na zabezpečenie rovnakej úrovne technických kapacít pre všetky odvetvové jednotky CSIRT. Členské štáty by pri zriaďovaní svojich jednotiek CSIRT mali mať možnosť požiadať o pomoc agentúru ENISA.

| (44) | Jednotky CSIRT by mali byť na žiadosť kľúčového alebo dôležitého subjektu schopné monitorovať aktíva subjektu orientované na internet v jeho priestoroch aj mimo nich s cieľom identifikovať, pochopiť a riadiť celkové organizačné riziká subjektu, pokiaľ ide o novoobjavené ohrozenia dodávateľského reťazca alebo kritické zraniteľnosti. Subjekt by sa mal nabádať, aby jednotke CSIRT oznámil, či prevádzkuje privilegované riadiace rozhranie, keďže by to mohlo ovplyvniť rýchlosť vykonávania zmierňujúcich opatrení. |
| --- | --- |

(44)

Jednotky CSIRT by mali byť na žiadosť kľúčového alebo dôležitého subjektu schopné monitorovať aktíva subjektu orientované na internet v jeho priestoroch aj mimo nich s cieľom identifikovať, pochopiť a riadiť celkové organizačné riziká subjektu, pokiaľ ide o novoobjavené ohrozenia dodávateľského reťazca alebo kritické zraniteľnosti. Subjekt by sa mal nabádať, aby jednotke CSIRT oznámil, či prevádzkuje privilegované riadiace rozhranie, keďže by to mohlo ovplyvniť rýchlosť vykonávania zmierňujúcich opatrení.

| (45) | Vzhľadom na význam medzinárodnej spolupráce v oblasti kybernetickej bezpečnosti by sa malo jednotkám CSIRT umožniť, aby sa okrem siete jednotiek CSIRT zriadenej podľa tejto smernice mohli stať súčasťou sietí medzinárodnej spolupráce. Jednotky CSIRT a príslušné orgány by preto na účely vykonávania svojich úloh mali mať možnosť vymieňať si informácie vrátane osobných údajov s národnými jednotkami reakcie na počítačové bezpečnostné incidenty alebo príslušnými orgánmi tretích krajín za predpokladu, že sú splnené podmienky podľa práva Únie v oblasti ochrany údajov pre prenosy osobných údajov do tretích krajín, okrem iného podmienky podľa článku 49 nariadenia (EÚ) 2016/679. |
| --- | --- |

(45)

Vzhľadom na význam medzinárodnej spolupráce v oblasti kybernetickej bezpečnosti by sa malo jednotkám CSIRT umožniť, aby sa okrem siete jednotiek CSIRT zriadenej podľa tejto smernice mohli stať súčasťou sietí medzinárodnej spolupráce. Jednotky CSIRT a príslušné orgány by preto na účely vykonávania svojich úloh mali mať možnosť vymieňať si informácie vrátane osobných údajov s národnými jednotkami reakcie na počítačové bezpečnostné incidenty alebo príslušnými orgánmi tretích krajín za predpokladu, že sú splnené podmienky podľa práva Únie v oblasti ochrany údajov pre prenosy osobných údajov do tretích krajín, okrem iného podmienky podľa článku 49 nariadenia (EÚ) 2016/679.

| (46) | Je nevyhnutné zabezpečiť primerané zdroje na splnenie cieľov tejto smernice a umožniť príslušným orgánom a jednotkám CSIRT vykonávať úlohy stanovené v tejto smernici. Členské štáty môžu na vnútroštátnej úrovni zaviesť mechanizmus financovania na pokrytie potrebných výdavkov v súvislosti s plnením úloh verejných subjektov zodpovedných za kybernetickú bezpečnosť v členskom štáte podľa tejto smernice. Takýto mechanizmus by mal byť v súlade s právom Únie a mal by byť primeraný a nediskriminačný a mal by zohľadňovať rôzne prístupy k poskytovaniu bezpečných služieb. |
| --- | --- |

(46)

Je nevyhnutné zabezpečiť primerané zdroje na splnenie cieľov tejto smernice a umožniť príslušným orgánom a jednotkám CSIRT vykonávať úlohy stanovené v tejto smernici. Členské štáty môžu na vnútroštátnej úrovni zaviesť mechanizmus financovania na pokrytie potrebných výdavkov v súvislosti s plnením úloh verejných subjektov zodpovedných za kybernetickú bezpečnosť v členskom štáte podľa tejto smernice. Takýto mechanizmus by mal byť v súlade s právom Únie a mal by byť primeraný a nediskriminačný a mal by zohľadňovať rôzne prístupy k poskytovaniu bezpečných služieb.

| (47) | Sieť jednotiek CSIRT by mala naďalej prispievať k posilňovaniu dôvery a podporovať rýchlu a účinnú operačnú spoluprácu medzi členskými štátmi. S cieľom posilniť operačnú spoluprácu na úrovni Únie by sieť jednotiek CSIRT mala zvážiť prizývanie orgánov a agentúr Únie zapojených do politiky v oblasti kybernetickej bezpečnosti, ako je Europol, k účasti na svojej práci. |
| --- | --- |

(47)

Sieť jednotiek CSIRT by mala naďalej prispievať k posilňovaniu dôvery a podporovať rýchlu a účinnú operačnú spoluprácu medzi členskými štátmi. S cieľom posilniť operačnú spoluprácu na úrovni Únie by sieť jednotiek CSIRT mala zvážiť prizývanie orgánov a agentúr Únie zapojených do politiky v oblasti kybernetickej bezpečnosti, ako je Europol, k účasti na svojej práci.

| (48) | Na účely dosiahnutia a udržania vysokej úrovne kybernetickej bezpečnosti by národné stratégie kybernetickej bezpečnosti požadované podľa tejto smernice mali pozostávať zo súdržných rámcov stanovujúcich strategické ciele a priority v oblasti kybernetickej bezpečnosti a systém riadenia na ich dosiahnutie. Uvedené stratégie sa môžu skladať z jedného alebo viacerých legislatívnych alebo nelegislatívnych nástrojov. |
| --- | --- |

(48)

Na účely dosiahnutia a udržania vysokej úrovne kybernetickej bezpečnosti by národné stratégie kybernetickej bezpečnosti požadované podľa tejto smernice mali pozostávať zo súdržných rámcov stanovujúcich strategické ciele a priority v oblasti kybernetickej bezpečnosti a systém riadenia na ich dosiahnutie. Uvedené stratégie sa môžu skladať z jedného alebo viacerých legislatívnych alebo nelegislatívnych nástrojov.

| (49) | Politiky kybernetickej hygieny poskytujú základy pre ochranu infraštruktúry sietí a informačných systémov, bezpečnosť hardvéru, softvéru a online aplikácií a ochranu obchodných údajov alebo údajov o koncových používateľoch, na ktoré sa subjekty spoliehajú. Politiky kybernetickej hygieny zahŕňajúce spoločný základný súbor postupov vrátane aktualizácií softvéru a hardvéru, zmeny hesiel, riadenia nových inštalácií, obmedzenia prístupových účtov na úrovni správcu a zálohovania údajov umožňujú proaktívny rámec pripravenosti a celkovej bezpečnosti a ochrany v prípade incidentov alebo kybernetických hrozieb. Agentúra ENISA by mala monitorovať a analyzovať politiky členských štátov v oblasti kybernetickej hygieny. |
| --- | --- |

(49)

Politiky kybernetickej hygieny poskytujú základy pre ochranu infraštruktúry sietí a informačných systémov, bezpečnosť hardvéru, softvéru a online aplikácií a ochranu obchodných údajov alebo údajov o koncových používateľoch, na ktoré sa subjekty spoliehajú. Politiky kybernetickej hygieny zahŕňajúce spoločný základný súbor postupov vrátane aktualizácií softvéru a hardvéru, zmeny hesiel, riadenia nových inštalácií, obmedzenia prístupových účtov na úrovni správcu a zálohovania údajov umožňujú proaktívny rámec pripravenosti a celkovej bezpečnosti a ochrany v prípade incidentov alebo kybernetických hrozieb. Agentúra ENISA by mala monitorovať a analyzovať politiky členských štátov v oblasti kybernetickej hygieny.

| (50) | Informovanosť o kybernetickej bezpečnosti a kybernetická hygiena sú nevyhnutné na zvýšenie úrovne kybernetickej bezpečnosti v Únii, najmä vzhľadom na rastúci počet pripojených zariadení, ktoré sa čoraz viac využívajú pri kybernetických útokoch. Malo by sa vyvinúť úsilie na zvýšenie celkovej informovanosti o rizikách súvisiacich s takýmito zariadeniami, zatiaľ čo posúdenia na úrovni Únie by mohli pomôcť zabezpečiť spoločné chápanie takýchto rizík na vnútornom trhu. |
| --- | --- |

(50)

Informovanosť o kybernetickej bezpečnosti a kybernetická hygiena sú nevyhnutné na zvýšenie úrovne kybernetickej bezpečnosti v Únii, najmä vzhľadom na rastúci počet pripojených zariadení, ktoré sa čoraz viac využívajú pri kybernetických útokoch. Malo by sa vyvinúť úsilie na zvýšenie celkovej informovanosti o rizikách súvisiacich s takýmito zariadeniami, zatiaľ čo posúdenia na úrovni Únie by mohli pomôcť zabezpečiť spoločné chápanie takýchto rizík na vnútornom trhu.

| (51) | Členské štáty by mali podporovať využívanie každej inovatívnej technológie vrátane umelej inteligencie, ktorej používanie by mohlo zlepšiť odhaľovanie a prevenciu kybernetických útokov, čo by umožnilo účinnejšie presmerovanie zdrojov na kybernetické útoky. Členské štáty by preto mali vo svojich národných stratégiách kybernetickej bezpečnosti podporovať činnosti v oblasti výskumu a vývoja s cieľom uľahčiť používanie takýchto technológií, najmä tých, ktoré sa týkajú automatizovaných alebo poloautomatizovaných nástrojov v oblasti kybernetickej bezpečnosti, a v prípade potreby spoločné využívanie údajov potrebných na odbornú prípravu používateľov takejto technológie a na jej zlepšenie. Používanie akejkoľvek inovatívnej technológie vrátane umelej inteligencie by malo byť v súlade s právom Únie v oblasti ochrany údajov vrátane zásad ochrany údajov, ktorými sú presnosť údajov, minimalizácia údajov, spravodlivosť a transparentnosť a bezpečnosť údajov, napríklad využitím najmodernejšieho šifrovania. Mali by sa v plnej miere využiť požiadavky na špecificky navrhnutú a štandardnú ochranu údajov stanovené v nariadení (EÚ) 2016/679. |
| --- | --- |

(51)

Členské štáty by mali podporovať využívanie každej inovatívnej technológie vrátane umelej inteligencie, ktorej používanie by mohlo zlepšiť odhaľovanie a prevenciu kybernetických útokov, čo by umožnilo účinnejšie presmerovanie zdrojov na kybernetické útoky. Členské štáty by preto mali vo svojich národných stratégiách kybernetickej bezpečnosti podporovať činnosti v oblasti výskumu a vývoja s cieľom uľahčiť používanie takýchto technológií, najmä tých, ktoré sa týkajú automatizovaných alebo poloautomatizovaných nástrojov v oblasti kybernetickej bezpečnosti, a v prípade potreby spoločné využívanie údajov potrebných na odbornú prípravu používateľov takejto technológie a na jej zlepšenie. Používanie akejkoľvek inovatívnej technológie vrátane umelej inteligencie by malo byť v súlade s právom Únie v oblasti ochrany údajov vrátane zásad ochrany údajov, ktorými sú presnosť údajov, minimalizácia údajov, spravodlivosť a transparentnosť a bezpečnosť údajov, napríklad využitím najmodernejšieho šifrovania. Mali by sa v plnej miere využiť požiadavky na špecificky navrhnutú a štandardnú ochranu údajov stanovené v nariadení (EÚ) 2016/679.

| (52) | Nástroje a aplikácie kybernetickej bezpečnosti s otvoreným zdrojovým kódom môžu prispieť k vyššej miere otvorenosti a môžu mať pozitívny vplyv na efektívnosť priemyselných inovácií. Otvorené normy uľahčujú interoperabilitu medzi bezpečnostnými nástrojmi, čo je prínosom pre bezpečnosť zainteresovaných strán z oblasti priemyslu. Nástroje a aplikácie kybernetickej bezpečnosti s otvoreným zdrojovým kódom môžu mobilizovať širšiu komunitu vývojárov a umožniť diverzifikáciu dodávateľov. Otvorený zdrojový kód môže viesť k transparentnejšiemu procesu overovania nástrojov súvisiacich s kybernetickou bezpečnosťou a ku komunitnému procesu objavovania zraniteľností. Členské štáty by preto mali mať možnosť podporovať používanie softvéru s otvoreným zdrojovým kódom a otvorených noriem uplatňovaním politík týkajúcich sa využívania otvorených údajov a otvoreného zdrojového kódu ako súčasti bezpečnosti prostredníctvom transparentnosti. Politiky podporujúce zavedenie a udržateľné využívanie nástrojov kybernetickej bezpečnosti s otvoreným zdrojovým kódom majú osobitný význam pre malé a stredné podniky, ktoré čelia značným nákladom na vykonávanie, ktoré by sa mohli minimalizovať znížením potreby špecifických aplikácií alebo nástrojov. |
| --- | --- |

(52)

Nástroje a aplikácie kybernetickej bezpečnosti s otvoreným zdrojovým kódom môžu prispieť k vyššej miere otvorenosti a môžu mať pozitívny vplyv na efektívnosť priemyselných inovácií. Otvorené normy uľahčujú interoperabilitu medzi bezpečnostnými nástrojmi, čo je prínosom pre bezpečnosť zainteresovaných strán z oblasti priemyslu. Nástroje a aplikácie kybernetickej bezpečnosti s otvoreným zdrojovým kódom môžu mobilizovať širšiu komunitu vývojárov a umožniť diverzifikáciu dodávateľov. Otvorený zdrojový kód môže viesť k transparentnejšiemu procesu overovania nástrojov súvisiacich s kybernetickou bezpečnosťou a ku komunitnému procesu objavovania zraniteľností. Členské štáty by preto mali mať možnosť podporovať používanie softvéru s otvoreným zdrojovým kódom a otvorených noriem uplatňovaním politík týkajúcich sa využívania otvorených údajov a otvoreného zdrojového kódu ako súčasti bezpečnosti prostredníctvom transparentnosti. Politiky podporujúce zavedenie a udržateľné využívanie nástrojov kybernetickej bezpečnosti s otvoreným zdrojovým kódom majú osobitný význam pre malé a stredné podniky, ktoré čelia značným nákladom na vykonávanie, ktoré by sa mohli minimalizovať znížením potreby špecifických aplikácií alebo nástrojov.

| (53) | Verejnoprospešné služby sú čoraz viac napojené na digitálne siete v mestách s cieľom zlepšiť siete mestskej dopravy, modernizovať zariadenia na zásobovanie vodou a zneškodňovanie odpadu a zvýšiť efektívnosť osvetlenia a vykurovania budov. Uvedené digitalizované verejnoprospešné služby sú zraniteľné voči kybernetickým útokom a v prípade úspešného kybernetického útoku predstavujú riziko poškodenia občanov vo veľkom rozsahu z dôvodu ich vzájomnej prepojenosti. Členské štáty by mali v rámci svojej národnej stratégie kybernetickej bezpečnosti vypracovať politiku, ktorá sa bude zaoberať rozvojom takýchto prepojených alebo inteligentných miest a ich potenciálnym vplyvom na spoločnosť. |
| --- | --- |

(53)

Verejnoprospešné služby sú čoraz viac napojené na digitálne siete v mestách s cieľom zlepšiť siete mestskej dopravy, modernizovať zariadenia na zásobovanie vodou a zneškodňovanie odpadu a zvýšiť efektívnosť osvetlenia a vykurovania budov. Uvedené digitalizované verejnoprospešné služby sú zraniteľné voči kybernetickým útokom a v prípade úspešného kybernetického útoku predstavujú riziko poškodenia občanov vo veľkom rozsahu z dôvodu ich vzájomnej prepojenosti. Členské štáty by mali v rámci svojej národnej stratégie kybernetickej bezpečnosti vypracovať politiku, ktorá sa bude zaoberať rozvojom takýchto prepojených alebo inteligentných miest a ich potenciálnym vplyvom na spoločnosť.

| (54) | V posledných rokoch Únia čelila exponenciálnemu nárastu ransomvérových útokov, pri ktorých malvér šifruje údaje a systémy a požaduje platbu výkupného za odblokovanie. Nárast frekvencie a závažnosti ransomvérových útokov môže byť spôsobený viacerými faktormi, ako sú rôzne modely útokov, kriminálne obchodné modely súvisiace s „ransomvérom ako službou“ a kryptomenami, požiadavky na výkupné a nárast útokov na dodávateľské reťazce. Členské štáty by mali v rámci svojich národných stratégií kybernetickej bezpečnosti vypracovať politiku, ktorá bude riešiť nárast ransomvérových útokov. |
| --- | --- |

(54)

V posledných rokoch Únia čelila exponenciálnemu nárastu ransomvérových útokov, pri ktorých malvér šifruje údaje a systémy a požaduje platbu výkupného za odblokovanie. Nárast frekvencie a závažnosti ransomvérových útokov môže byť spôsobený viacerými faktormi, ako sú rôzne modely útokov, kriminálne obchodné modely súvisiace s „ransomvérom ako službou“ a kryptomenami, požiadavky na výkupné a nárast útokov na dodávateľské reťazce. Členské štáty by mali v rámci svojich národných stratégií kybernetickej bezpečnosti vypracovať politiku, ktorá bude riešiť nárast ransomvérových útokov.

| (55) | Verejno-súkromné partnerstvá v oblasti kybernetickej bezpečnosti môžu poskytnúť vhodný rámec pre výmenu znalostí, výmenu najlepších postupov a vytvorenie spoločnej úrovne porozumenia medzi zainteresovanými stranami. Členské štáty by mali presadzovať politiky na podporu vytvárania verejno-súkromných partnerstiev zameraných špecificky na kybernetickú bezpečnosť. Pokiaľ ide o verejno-súkromné partnerstvá, uvedené politiky by mali spresniť okrem iného ich pôsobnosť a zapojené zainteresované strany, model riadenia, dostupné možnosti financovania a interakciu medzi zúčastnenými zainteresovanými stranami. Verejno-súkromné partnerstvá môžu využívať odborné znalosti subjektov súkromného sektora na pomoc príslušným orgánom pri rozvoji špičkových služieb a procesov vrátane výmeny informácií, včasného varovania, cvičení zameraných na kybernetické hrozby a incidenty, krízového riadenia a plánovania odolnosti. |
| --- | --- |

(55)

Verejno-súkromné partnerstvá v oblasti kybernetickej bezpečnosti môžu poskytnúť vhodný rámec pre výmenu znalostí, výmenu najlepších postupov a vytvorenie spoločnej úrovne porozumenia medzi zainteresovanými stranami. Členské štáty by mali presadzovať politiky na podporu vytvárania verejno-súkromných partnerstiev zameraných špecificky na kybernetickú bezpečnosť. Pokiaľ ide o verejno-súkromné partnerstvá, uvedené politiky by mali spresniť okrem iného ich pôsobnosť a zapojené zainteresované strany, model riadenia, dostupné možnosti financovania a interakciu medzi zúčastnenými zainteresovanými stranami. Verejno-súkromné partnerstvá môžu využívať odborné znalosti subjektov súkromného sektora na pomoc príslušným orgánom pri rozvoji špičkových služieb a procesov vrátane výmeny informácií, včasného varovania, cvičení zameraných na kybernetické hrozby a incidenty, krízového riadenia a plánovania odolnosti.

| (56) | Členské štáty by sa mali vo svojich národných stratégiách kybernetickej bezpečnosti zaoberať osobitnými potrebami, ktoré majú v oblasti kybernetickej bezpečnosti malé a stredné podniky. Malé a stredné podniky predstavujú v celej Únii veľký percentuálny podiel priemyselného a obchodného trhu a často majú ťažkosti s prispôsobením sa novým obchodným postupom v prepojenejšom svete a digitálnemu prostrediu, v ktorom zamestnanci pracujú z domu a obchodné činnosti sa čoraz častejšie vykonávajú online. Niektoré malé a stredné podniky čelia osobitným výzvam v oblasti kybernetickej bezpečnosti, ako je nízke kybernetické povedomie, nedostatočná bezpečnosť vzdialených IT, vysoké náklady na riešenia v oblasti kybernetickej bezpečnosti a zvýšená úroveň hrozieb, ako je napríklad ransomvér, v súvislosti s ktorými by mali dostať usmernenia a podporu. Malé a stredné podniky sa čoraz viac stávajú terčom útokov na dodávateľské reťazce z dôvodu ich menej prísnych opatrení na riadenie kybernetických rizík a zvládanie útokov a skutočnosti, že majú obmedzené bezpečnostné zdroje. Takéto útoky na dodávateľské reťazce majú vplyv nielen na malé a stredné podniky a ich izolovanú činnosť, ale môžu mať aj kaskádový účinok na väčšie útoky na subjekty, ktorým poskytli dodávky. Členské štáty by mali prostredníctvom svojich národných stratégií kybernetickej bezpečnosti pomáhať malým a stredným podnikom pri riešení výziev, ktorým čelia vo svojich dodávateľských reťazcoch. Členské štáty by mali mať kontaktné miesto pre malé a stredné podniky na národnej alebo regionálnej úrovni, ktoré buď poskytuje usmernenia a pomoc malým a stredným podnikom, alebo ich nasmeruje na príslušné orgány, ktoré im poskytnú usmernenia a pomoc, pokiaľ ide o otázky súvisiace s kybernetickou bezpečnosťou. Členské štáty sa tiež nabádajú, aby mikropodnikom a malým podnikom, ktoré nemajú takéto kapacity, ponúkali služby, ako je konfigurácia a protokolovanie webových stránok. |
| --- | --- |

(56)

Členské štáty by sa mali vo svojich národných stratégiách kybernetickej bezpečnosti zaoberať osobitnými potrebami, ktoré majú v oblasti kybernetickej bezpečnosti malé a stredné podniky. Malé a stredné podniky predstavujú v celej Únii veľký percentuálny podiel priemyselného a obchodného trhu a často majú ťažkosti s prispôsobením sa novým obchodným postupom v prepojenejšom svete a digitálnemu prostrediu, v ktorom zamestnanci pracujú z domu a obchodné činnosti sa čoraz častejšie vykonávajú online. Niektoré malé a stredné podniky čelia osobitným výzvam v oblasti kybernetickej bezpečnosti, ako je nízke kybernetické povedomie, nedostatočná bezpečnosť vzdialených IT, vysoké náklady na riešenia v oblasti kybernetickej bezpečnosti a zvýšená úroveň hrozieb, ako je napríklad ransomvér, v súvislosti s ktorými by mali dostať usmernenia a podporu. Malé a stredné podniky sa čoraz viac stávajú terčom útokov na dodávateľské reťazce z dôvodu ich menej prísnych opatrení na riadenie kybernetických rizík a zvládanie útokov a skutočnosti, že majú obmedzené bezpečnostné zdroje. Takéto útoky na dodávateľské reťazce majú vplyv nielen na malé a stredné podniky a ich izolovanú činnosť, ale môžu mať aj kaskádový účinok na väčšie útoky na subjekty, ktorým poskytli dodávky. Členské štáty by mali prostredníctvom svojich národných stratégií kybernetickej bezpečnosti pomáhať malým a stredným podnikom pri riešení výziev, ktorým čelia vo svojich dodávateľských reťazcoch. Členské štáty by mali mať kontaktné miesto pre malé a stredné podniky na národnej alebo regionálnej úrovni, ktoré buď poskytuje usmernenia a pomoc malým a stredným podnikom, alebo ich nasmeruje na príslušné orgány, ktoré im poskytnú usmernenia a pomoc, pokiaľ ide o otázky súvisiace s kybernetickou bezpečnosťou. Členské štáty sa tiež nabádajú, aby mikropodnikom a malým podnikom, ktoré nemajú takéto kapacity, ponúkali služby, ako je konfigurácia a protokolovanie webových stránok.

| (57) | Členské štáty by mali v rámci svojich národných stratégií kybernetickej bezpečnosti prijať politiky na podporu aktívnej kybernetickej ochrany ako súčasti širšej obrannej stratégie. Aktívna kybernetická ochrana je aktívna prevencia, odhaľovanie, monitorovanie, analýza a zmierňovanie narušení bezpečnosti siete v spojení s využitím spôsobilostí nasadených v zasiahnutej sieti a mimo nej, a nie reaktívne reagovanie. Mohla by zahŕňať poskytovanie bezplatných služieb alebo nástrojov určitým subjektom zo strany členských štátov, a to vrátane samoobslužných kontrol, detekčných nástrojov a služieb odstraňovania. Schopnosť rýchlo a automaticky si vymieňať a pochopiť informácie a analýzy týkajúce sa hrozieb, varovaní pred kybernetickou činnosťou a opatrení reakcie je zásadne dôležitá pre umožnenie jednotného úsilia o úspešnú prevenciu, odhaľovanie, riešenie a blokovanie útokov proti sieťam a informačným systémom. Aktívna kybernetická ochrana je založená na obrannej stratégii, ktorá vylučuje ofenzívne opatrenia. |
| --- | --- |

(57)

Členské štáty by mali v rámci svojich národných stratégií kybernetickej bezpečnosti prijať politiky na podporu aktívnej kybernetickej ochrany ako súčasti širšej obrannej stratégie. Aktívna kybernetická ochrana je aktívna prevencia, odhaľovanie, monitorovanie, analýza a zmierňovanie narušení bezpečnosti siete v spojení s využitím spôsobilostí nasadených v zasiahnutej sieti a mimo nej, a nie reaktívne reagovanie. Mohla by zahŕňať poskytovanie bezplatných služieb alebo nástrojov určitým subjektom zo strany členských štátov, a to vrátane samoobslužných kontrol, detekčných nástrojov a služieb odstraňovania. Schopnosť rýchlo a automaticky si vymieňať a pochopiť informácie a analýzy týkajúce sa hrozieb, varovaní pred kybernetickou činnosťou a opatrení reakcie je zásadne dôležitá pre umožnenie jednotného úsilia o úspešnú prevenciu, odhaľovanie, riešenie a blokovanie útokov proti sieťam a informačným systémom. Aktívna kybernetická ochrana je založená na obrannej stratégii, ktorá vylučuje ofenzívne opatrenia.

| (58) | Keďže využívanie zraniteľností v sieťach a informačných systémoch môže spôsobiť značné narušenie a škody, rýchla identifikácia a náprava takýchto zraniteľností je dôležitým faktorom pri znižovaní rizika. Subjekty, ktoré vyvíjajú alebo spravujú siete a informačné systémy, by preto mali zaviesť vhodné postupy na riešenie zistených zraniteľností. Keďže zraniteľnosti často odhaľujú a zverejňujú tretie strany, výrobca alebo poskytovateľ produktov IKT alebo služieb IKT by mal zaviesť aj potrebné postupy na prijímanie informácií o zraniteľnosti od tretích strán. V tejto súvislosti sa v medzinárodných normách ISO/IEC 30111 a ISO/IEC 29147 poskytujú usmernenia na riešenie zraniteľností a na poskytovanie informácií o zraniteľnostiach. Na umožnenie dobrovoľného rámca pre zverejňovanie zraniteľností je obzvlášť dôležité posilnenie koordinácie medzi oznamujúcimi fyzickými a právnickými osobami a výrobcami alebo poskytovateľmi produktov IKT alebo služieb IKT. Koordinované zverejňovanie zraniteľností stanovuje štruktúrovaný proces, v rámci ktorého sa zraniteľnosti hlásia výrobcovi alebo poskytovateľovi potenciálne zraniteľných produktov IKT alebo služieb IKT takým spôsobom, ktorý mu umožňuje diagnostikovať a odstrániť zraniteľnosť pred tým, ako sa podrobné informácie o zraniteľnosti poskytnú tretím stranám alebo verejnosti. Koordinované zverejňovanie zraniteľností by malo zahŕňať aj koordináciu medzi oznamujúcou fyzickou alebo právnickou osobou a výrobcom alebo poskytovateľom potenciálne zraniteľných produktov IKT alebo služieb IKT, pokiaľ ide o načasovanie nápravy a zverejnenie zraniteľností. |
| --- | --- |

(58)

Keďže využívanie zraniteľností v sieťach a informačných systémoch môže spôsobiť značné narušenie a škody, rýchla identifikácia a náprava takýchto zraniteľností je dôležitým faktorom pri znižovaní rizika. Subjekty, ktoré vyvíjajú alebo spravujú siete a informačné systémy, by preto mali zaviesť vhodné postupy na riešenie zistených zraniteľností. Keďže zraniteľnosti často odhaľujú a zverejňujú tretie strany, výrobca alebo poskytovateľ produktov IKT alebo služieb IKT by mal zaviesť aj potrebné postupy na prijímanie informácií o zraniteľnosti od tretích strán. V tejto súvislosti sa v medzinárodných normách ISO/IEC 30111 a ISO/IEC 29147 poskytujú usmernenia na riešenie zraniteľností a na poskytovanie informácií o zraniteľnostiach. Na umožnenie dobrovoľného rámca pre zverejňovanie zraniteľností je obzvlášť dôležité posilnenie koordinácie medzi oznamujúcimi fyzickými a právnickými osobami a výrobcami alebo poskytovateľmi produktov IKT alebo služieb IKT. Koordinované zverejňovanie zraniteľností stanovuje štruktúrovaný proces, v rámci ktorého sa zraniteľnosti hlásia výrobcovi alebo poskytovateľovi potenciálne zraniteľných produktov IKT alebo služieb IKT takým spôsobom, ktorý mu umožňuje diagnostikovať a odstrániť zraniteľnosť pred tým, ako sa podrobné informácie o zraniteľnosti poskytnú tretím stranám alebo verejnosti. Koordinované zverejňovanie zraniteľností by malo zahŕňať aj koordináciu medzi oznamujúcou fyzickou alebo právnickou osobou a výrobcom alebo poskytovateľom potenciálne zraniteľných produktov IKT alebo služieb IKT, pokiaľ ide o načasovanie nápravy a zverejnenie zraniteľností.

| (59) | Komisia, agentúra ENISA a členské štáty by mali naďalej podporovať zosúlaďovanie s medzinárodnými normami a existujúcimi najlepšími odvetvovými postupmi v oblasti riadenia kybernetických rizík, napríklad v oblastiach posudzovania bezpečnosti dodávateľského reťazca, výmeny informácií a poskytovania informácií o zraniteľnostiach. |
| --- | --- |

(59)

Komisia, agentúra ENISA a členské štáty by mali naďalej podporovať zosúlaďovanie s medzinárodnými normami a existujúcimi najlepšími odvetvovými postupmi v oblasti riadenia kybernetických rizík, napríklad v oblastiach posudzovania bezpečnosti dodávateľského reťazca, výmeny informácií a poskytovania informácií o zraniteľnostiach.

| (60) | Členské štáty v spolupráci s agentúrou ENISA by mali prijať opatrenia na uľahčenie koordinovaného zverejňovania zraniteľností zavedením príslušnej vnútroštátnej politiky. V rámci svojej vnútroštátnej politiky by sa členské štáty mali snažiť v súlade s vnútroštátnym právom v čo najväčšej miere riešiť výzvy, ktorým čelia výskumníci zaoberajúci sa zraniteľnosťami, vrátane ich možného vystavenia sa trestnej zodpovednosti. Vzhľadom na to, že fyzické a právnické osoby, ktoré skúmajú zraniteľnosti, by v niektorých členských štátoch mohli byť vystavené trestnej a občianskoprávnej zodpovednosti, členské štáty sa nabádajú, aby prijali usmernenia týkajúce sa nestíhania výskumníkov v oblasti bezpečnosti informácií a udelenia výnimky z občianskoprávnej zodpovednosti za ich činnosti. |
| --- | --- |

(60)

Členské štáty v spolupráci s agentúrou ENISA by mali prijať opatrenia na uľahčenie koordinovaného zverejňovania zraniteľností zavedením príslušnej vnútroštátnej politiky. V rámci svojej vnútroštátnej politiky by sa členské štáty mali snažiť v súlade s vnútroštátnym právom v čo najväčšej miere riešiť výzvy, ktorým čelia výskumníci zaoberajúci sa zraniteľnosťami, vrátane ich možného vystavenia sa trestnej zodpovednosti. Vzhľadom na to, že fyzické a právnické osoby, ktoré skúmajú zraniteľnosti, by v niektorých členských štátoch mohli byť vystavené trestnej a občianskoprávnej zodpovednosti, členské štáty sa nabádajú, aby prijali usmernenia týkajúce sa nestíhania výskumníkov v oblasti bezpečnosti informácií a udelenia výnimky z občianskoprávnej zodpovednosti za ich činnosti.

| (61) | Členské štáty by mali určiť jednu zo svojich jednotiek CSIRT ako koordinátora, ktorý by v prípade potreby pôsobil ako dôveryhodný sprostredkovateľ medzi oznamujúcimi fyzickými alebo právnickými osobami a výrobcami alebo poskytovateľmi produktov IKT alebo služieb IKT, v prípade ktorých je pravdepodobné, že budú dotknuté danou zraniteľnosťou. Úlohy jednotky CSIRT určenej za koordinátora by mali zahŕňať identifikáciu a kontaktovanie dotknutých subjektov, pomoc fyzickým alebo právnickým osobám oznamujúcim zraniteľnosť, rokovania o harmonograme zverejňovania a riadenie zraniteľností, ktoré majú vplyv na viaceré subjekty (viacstranné koordinované zverejňovanie zraniteľností). Ak by oznámená zraniteľnosť mohla mať významný vplyv na subjekty vo viac ako jednom členskom štáte, jednotky CSIRT určené za koordinátorov by mali podľa potreby spolupracovať v rámci siete jednotiek CSIRT. |
| --- | --- |

(61)

Členské štáty by mali určiť jednu zo svojich jednotiek CSIRT ako koordinátora, ktorý by v prípade potreby pôsobil ako dôveryhodný sprostredkovateľ medzi oznamujúcimi fyzickými alebo právnickými osobami a výrobcami alebo poskytovateľmi produktov IKT alebo služieb IKT, v prípade ktorých je pravdepodobné, že budú dotknuté danou zraniteľnosťou. Úlohy jednotky CSIRT určenej za koordinátora by mali zahŕňať identifikáciu a kontaktovanie dotknutých subjektov, pomoc fyzickým alebo právnickým osobám oznamujúcim zraniteľnosť, rokovania o harmonograme zverejňovania a riadenie zraniteľností, ktoré majú vplyv na viaceré subjekty (viacstranné koordinované zverejňovanie zraniteľností). Ak by oznámená zraniteľnosť mohla mať významný vplyv na subjekty vo viac ako jednom členskom štáte, jednotky CSIRT určené za koordinátorov by mali podľa potreby spolupracovať v rámci siete jednotiek CSIRT.

| (62) | Prístup k správnym a včasným informáciám o zraniteľnostiach ovplyvňujúcich produkty IKT a služby IKT prispieva k lepšiemu riadeniu kybernetických rizík. Zdroje verejne dostupných informácií o zraniteľnostiach sú dôležitým nástrojom pre subjekty a používateľov ich služieb, ale aj pre príslušné orgány a jednotky CSIRT. Z tohto dôvodu by agentúra ENISA mala zriadiť európsku databázu zraniteľností, v ktorej by subjekty, bez ohľadu nato, či patria do rozsahu pôsobnosti tejto smernice, a ich dodávatelia sietí a informačných systémov, ako aj príslušné orgány a jednotky CSIRT, mohli dobrovoľne zverejňovať a registrovať verejne známe zraniteľnosti s cieľom umožniť používateľom prijať vhodné zmierňujúce opatrenia. Cieľom uvedenej databázy je riešiť jedinečné výzvy, ktoré riziká predstavujú pre subjekty v Únii. Agentúra ENISA by okrem toho mala zaviesť vhodný postup, pokiaľ ide o proces zverejňovania, s cieľom poskytnúť subjektom čas na prijatie opatrení na zmiernenie ich zraniteľností a zaviesť najmodernejšie opatrenia na riadenie kybernetických rizík, ako aj strojovo čitateľné súbory údajov a zodpovedajúce rozhrania. S cieľom podporiť kultúru zverejňovania zraniteľností by zverejnenie nemalo spôsobiť žiadnu ujmu oznamujúcej fyzickej alebo právnickej osobe. |
| --- | --- |

(62)

Prístup k správnym a včasným informáciám o zraniteľnostiach ovplyvňujúcich produkty IKT a služby IKT prispieva k lepšiemu riadeniu kybernetických rizík. Zdroje verejne dostupných informácií o zraniteľnostiach sú dôležitým nástrojom pre subjekty a používateľov ich služieb, ale aj pre príslušné orgány a jednotky CSIRT. Z tohto dôvodu by agentúra ENISA mala zriadiť európsku databázu zraniteľností, v ktorej by subjekty, bez ohľadu nato, či patria do rozsahu pôsobnosti tejto smernice, a ich dodávatelia sietí a informačných systémov, ako aj príslušné orgány a jednotky CSIRT, mohli dobrovoľne zverejňovať a registrovať verejne známe zraniteľnosti s cieľom umožniť používateľom prijať vhodné zmierňujúce opatrenia. Cieľom uvedenej databázy je riešiť jedinečné výzvy, ktoré riziká predstavujú pre subjekty v Únii. Agentúra ENISA by okrem toho mala zaviesť vhodný postup, pokiaľ ide o proces zverejňovania, s cieľom poskytnúť subjektom čas na prijatie opatrení na zmiernenie ich zraniteľností a zaviesť najmodernejšie opatrenia na riadenie kybernetických rizík, ako aj strojovo čitateľné súbory údajov a zodpovedajúce rozhrania. S cieľom podporiť kultúru zverejňovania zraniteľností by zverejnenie nemalo spôsobiť žiadnu ujmu oznamujúcej fyzickej alebo právnickej osobe.

| (63) | Hoci podobné registre alebo databázy zraniteľností existujú, ich hostiteľmi a správcami sú subjekty, ktoré nie sú usadené v Únii. Európska databáza zraniteľností vedená agentúrou ENISA by zabezpečila lepšiu transparentnosť, pokiaľ ide o proces zverejňovania pred tým, ako je daná zraniteľnosť verejne oznámená, ako aj odolnosť v prípade narušenia alebo prerušenia poskytovania podobných služieb. S cieľom v čo najväčšej miere zabrániť duplicite úsilia a usilovať sa o komplementárnosť by agentúra ENISA mala preskúmať možnosť uzatvorenia dohôd o štruktúrovanej spolupráci s podobnými registrami alebo databázami, ktoré patria do právomoci tretích krajín. Agentúra ENISA by mala preskúmať najmä možnosť úzkej spolupráce s prevádzkovateľmi systému spoločných zraniteľností a expozícií (CVE). |
| --- | --- |

(63)

Hoci podobné registre alebo databázy zraniteľností existujú, ich hostiteľmi a správcami sú subjekty, ktoré nie sú usadené v Únii. Európska databáza zraniteľností vedená agentúrou ENISA by zabezpečila lepšiu transparentnosť, pokiaľ ide o proces zverejňovania pred tým, ako je daná zraniteľnosť verejne oznámená, ako aj odolnosť v prípade narušenia alebo prerušenia poskytovania podobných služieb. S cieľom v čo najväčšej miere zabrániť duplicite úsilia a usilovať sa o komplementárnosť by agentúra ENISA mala preskúmať možnosť uzatvorenia dohôd o štruktúrovanej spolupráci s podobnými registrami alebo databázami, ktoré patria do právomoci tretích krajín. Agentúra ENISA by mala preskúmať najmä možnosť úzkej spolupráce s prevádzkovateľmi systému spoločných zraniteľností a expozícií (CVE).

| (64) | Skupina pre spoluprácu by mala podporovať a uľahčovať strategickú spoluprácu a výmenu informácií a tiež posilňovať dôveru medzi členskými štátmi. Skupina pre spoluprácu by mala každé dva roky stanoviť pracovný program. Pracovný program by mal zahŕňať opatrenia, ktoré má skupina pre spoluprácu vykonať na plnenie svojich cieľov a úloh. Časový rámec na stanovenie prvého pracovného programu podľa tejto smernice by sa mal zosúladiť s časovým rámcom posledného pracovného programu stanoveného podľa smernice (EÚ) 2016/1148 s cieľom zabrániť možným narušeniam práce skupiny pre spoluprácu. |
| --- | --- |

(64)

Skupina pre spoluprácu by mala podporovať a uľahčovať strategickú spoluprácu a výmenu informácií a tiež posilňovať dôveru medzi členskými štátmi. Skupina pre spoluprácu by mala každé dva roky stanoviť pracovný program. Pracovný program by mal zahŕňať opatrenia, ktoré má skupina pre spoluprácu vykonať na plnenie svojich cieľov a úloh. Časový rámec na stanovenie prvého pracovného programu podľa tejto smernice by sa mal zosúladiť s časovým rámcom posledného pracovného programu stanoveného podľa smernice (EÚ) 2016/1148 s cieľom zabrániť možným narušeniam práce skupiny pre spoluprácu.

| (65) | Pri vypracúvaní usmerňujúcich dokumentov by skupina pre spoluprácu mala dôsledne zmapovať vnútroštátne riešenia a skúsenosti, posúdiť vplyv výstupov skupiny pre spoluprácu na vnútroštátne prístupy, diskutovať o výzvach pri vykonávaní a formulovať konkrétne odporúčania, najmä pokiaľ ide o uľahčenie zosúladenia pri transpozícii tejto smernice medzi členskými štátmi, ktoré sa má dosiahnuť lepším vykonávaním existujúcich pravidiel. Skupina pre spoluprácu by mohla zmapovať aj vnútroštátne riešenia s cieľom podporiť kompatibilitu riešení v oblasti kybernetickej bezpečnosti uplatňovaných v každom konkrétnom odvetví v celej Únii. Týka sa to najmä odvetví, ktoré majú medzinárodný alebo cezhraničný charakter. |
| --- | --- |

(65)

Pri vypracúvaní usmerňujúcich dokumentov by skupina pre spoluprácu mala dôsledne zmapovať vnútroštátne riešenia a skúsenosti, posúdiť vplyv výstupov skupiny pre spoluprácu na vnútroštátne prístupy, diskutovať o výzvach pri vykonávaní a formulovať konkrétne odporúčania, najmä pokiaľ ide o uľahčenie zosúladenia pri transpozícii tejto smernice medzi členskými štátmi, ktoré sa má dosiahnuť lepším vykonávaním existujúcich pravidiel. Skupina pre spoluprácu by mohla zmapovať aj vnútroštátne riešenia s cieľom podporiť kompatibilitu riešení v oblasti kybernetickej bezpečnosti uplatňovaných v každom konkrétnom odvetví v celej Únii. Týka sa to najmä odvetví, ktoré majú medzinárodný alebo cezhraničný charakter.

| (66) | Skupina pre spoluprácu by mala zostať flexibilným fórom a mala by byť schopná reagovať na meniace sa a nové politické priority a výzvy a zároveň zohľadňovať dostupnosť zdrojov. Mohla by organizovať pravidelné spoločné stretnutia s príslušnými súkromnými zainteresovanými stranami z celej Únie s cieľom prediskutovať činnosti skupiny pre spoluprácu a zhromažďovať údaje a informácie o nových politických výzvach. Skupina pre spoluprácu by okrem toho mala pravidelne posudzovať súčasný stav kybernetických hrozieb alebo incidentov, ako je ransomvér. S cieľom posilniť spoluprácu na úrovni Únie by skupina pre spoluprácu mala zvážiť prizývanie relevantných inštitúcií, orgánov, úradov a agentúr Únie zapojených do politiky v oblasti kybernetickej bezpečnosti, ako je Európsky parlament, Europol, Európsky výbor pre ochranu údajov, Agentúra Európskej únie pre bezpečnosť letectva zriadená nariadením (EÚ) 2018/1139 a Agentúra Európskej únie pre vesmírny program zriadená nariadením Európskeho parlamentu a Rady (EÚ) 2021/696 (14), k účasti na svojej práci. |
| --- | --- |

(66)

Skupina pre spoluprácu by mala zostať flexibilným fórom a mala by byť schopná reagovať na meniace sa a nové politické priority a výzvy a zároveň zohľadňovať dostupnosť zdrojov. Mohla by organizovať pravidelné spoločné stretnutia s príslušnými súkromnými zainteresovanými stranami z celej Únie s cieľom prediskutovať činnosti skupiny pre spoluprácu a zhromažďovať údaje a informácie o nových politických výzvach. Skupina pre spoluprácu by okrem toho mala pravidelne posudzovať súčasný stav kybernetických hrozieb alebo incidentov, ako je ransomvér. S cieľom posilniť spoluprácu na úrovni Únie by skupina pre spoluprácu mala zvážiť prizývanie relevantných inštitúcií, orgánov, úradov a agentúr Únie zapojených do politiky v oblasti kybernetickej bezpečnosti, ako je Európsky parlament, Europol, Európsky výbor pre ochranu údajov, Agentúra Európskej únie pre bezpečnosť letectva zriadená nariadením (EÚ) 2018/1139 a Agentúra Európskej únie pre vesmírny program zriadená nariadením Európskeho parlamentu a Rady (EÚ) 2021/696 (14), k účasti na svojej práci.

| (67) | Príslušné orgány a jednotky CSIRT by mali mať možnosť zúčastňovať sa na výmenných programoch pre úradníkov z iných členských štátov na základe osobitného rámca a podľa potreby pod podmienkou požadovanej bezpečnostnej previerky úradníkov zúčastňujúcich sa na takýchto výmenných programoch, a to s cieľom zlepšovať spoluprácu a posilniť dôveru medzi členskými štátmi. Príslušné orgány by mali prijať potrebné opatrenia, ktoré úradníkom z iných členských štátov umožnia zohrávať účinnú úlohu v činnostiach hostiteľského príslušného orgánu alebo hostiteľskej jednotky CSIRT. |
| --- | --- |

(67)

Príslušné orgány a jednotky CSIRT by mali mať možnosť zúčastňovať sa na výmenných programoch pre úradníkov z iných členských štátov na základe osobitného rámca a podľa potreby pod podmienkou požadovanej bezpečnostnej previerky úradníkov zúčastňujúcich sa na takýchto výmenných programoch, a to s cieľom zlepšovať spoluprácu a posilniť dôveru medzi členskými štátmi. Príslušné orgány by mali prijať potrebné opatrenia, ktoré úradníkom z iných členských štátov umožnia zohrávať účinnú úlohu v činnostiach hostiteľského príslušného orgánu alebo hostiteľskej jednotky CSIRT.

| (68) | Členské štáty by mali prispieť k vytvoreniu rámca EÚ pre reakciu na kybernetické krízy, ako sa stanovuje v odporúčaní Komisie (EÚ) 2017/1584 (15), prostredníctvom existujúcich sietí spolupráce, najmä Európskej siete styčných organizácií pre kybernetické krízy (ďalej len „EU-CyCLONe“), siete jednotiek CSIRT a skupiny pre spoluprácu. Sieť EU-CyCLONe a sieť jednotiek CSIRT by mali spolupracovať na základe procesných opatrení, v ktorých sa spresňujú podrobnosti danej spolupráce, pričom by sa mali vyhnúť akejkoľvek duplicite úloh. V rokovacom poriadku siete EU-CyCLONe by sa mali ďalej spresniť mechanizmy fungovania danej siete vrátane úloh siete, prostriedkov spolupráce, interakcií s inými relevantnými aktérmi a vzorových formulárov na výmenu informácií, ako aj komunikačných prostriedkov. Pokiaľ ide o krízové riadenie na úrovni Únie, príslušné strany by sa mali opierať o integrované dojednania EÚ o politickej reakcii na krízu podľa vykonávacieho rozhodnutia Rady (EÚ) 2018/1993 (16) (dojednania IPCR). Komisia by mala na uvedený účel využiť ARGUS – medziodvetvový krízový koordinačný proces na vysokej úrovni. Ak má kríza výrazný externý rozmer alebo sa týka spoločnej bezpečnostnej a obrannej politiky, mal by sa aktivovať mechanizmus reakcie Európskej služby pre vonkajšiu činnosť na krízy. |
| --- | --- |

(68)

Členské štáty by mali prispieť k vytvoreniu rámca EÚ pre reakciu na kybernetické krízy, ako sa stanovuje v odporúčaní Komisie (EÚ) 2017/1584 (15), prostredníctvom existujúcich sietí spolupráce, najmä Európskej siete styčných organizácií pre kybernetické krízy (ďalej len „EU-CyCLONe“), siete jednotiek CSIRT a skupiny pre spoluprácu. Sieť EU-CyCLONe a sieť jednotiek CSIRT by mali spolupracovať na základe procesných opatrení, v ktorých sa spresňujú podrobnosti danej spolupráce, pričom by sa mali vyhnúť akejkoľvek duplicite úloh. V rokovacom poriadku siete EU-CyCLONe by sa mali ďalej spresniť mechanizmy fungovania danej siete vrátane úloh siete, prostriedkov spolupráce, interakcií s inými relevantnými aktérmi a vzorových formulárov na výmenu informácií, ako aj komunikačných prostriedkov. Pokiaľ ide o krízové riadenie na úrovni Únie, príslušné strany by sa mali opierať o integrované dojednania EÚ o politickej reakcii na krízu podľa vykonávacieho rozhodnutia Rady (EÚ) 2018/1993 (16) (dojednania IPCR). Komisia by mala na uvedený účel využiť ARGUS – medziodvetvový krízový koordinačný proces na vysokej úrovni. Ak má kríza výrazný externý rozmer alebo sa týka spoločnej bezpečnostnej a obrannej politiky, mal by sa aktivovať mechanizmus reakcie Európskej služby pre vonkajšiu činnosť na krízy.

| (69) | V súlade s prílohou k odporúčaniu (EÚ) 2017/1584 by rozsiahly kybernetický incident mal znamenať incident, ktorý spôsobí narušenie na úrovni presahujúcej schopnosť členského štátu naň reagovať alebo ktorý má významný vplyv aspoň na dva členské štáty. Rozsiahle kybernetické incidenty sa v závislosti od svojej príčiny a dosahu môžu vystupňovať a naplno prepuknúť v krízu, ktorá neumožňuje riadne fungovanie vnútorného trhu alebo predstavuje vážne riziká pre verejnú bezpečnosť a ochranu subjektov alebo občanov v niekoľkých členských štátoch alebo v Únii ako celku. Vzhľadom na široký rozsah a vo väčšine prípadov cezhraničný charakter takýchto incidentov by členské štáty a príslušné inštitúcie, orgány, úrady a agentúry Únie mali spolupracovať na technickej, prevádzkovej a politickej úrovni s cieľom riadne koordinovať reakciu v celej Únii. |
| --- | --- |

(69)

V súlade s prílohou k odporúčaniu (EÚ) 2017/1584 by rozsiahly kybernetický incident mal znamenať incident, ktorý spôsobí narušenie na úrovni presahujúcej schopnosť členského štátu naň reagovať alebo ktorý má významný vplyv aspoň na dva členské štáty. Rozsiahle kybernetické incidenty sa v závislosti od svojej príčiny a dosahu môžu vystupňovať a naplno prepuknúť v krízu, ktorá neumožňuje riadne fungovanie vnútorného trhu alebo predstavuje vážne riziká pre verejnú bezpečnosť a ochranu subjektov alebo občanov v niekoľkých členských štátoch alebo v Únii ako celku. Vzhľadom na široký rozsah a vo väčšine prípadov cezhraničný charakter takýchto incidentov by členské štáty a príslušné inštitúcie, orgány, úrady a agentúry Únie mali spolupracovať na technickej, prevádzkovej a politickej úrovni s cieľom riadne koordinovať reakciu v celej Únii.

| (70) | Rozsiahle kybernetické incidenty a krízy na úrovni Únie si z dôvodu vysokého stupňa previazanosti odvetví a členských štátov vyžadujú koordinované opatrenia na zabezpečenie rýchlej a účinnej reakcie. Dostupnosť kyberneticky odolných sietí a informačných systémov a dostupnosť, dôvernosť a integrita údajov sú nevyhnutné pre bezpečnosť Únie a ochranu jej občanov, podnikov a inštitúcií pred incidentmi a kybernetickými hrozbami, ako aj pre posilnenie dôvery jednotlivcov a organizácií v schopnosť Únie podporovať a chrániť globálny, otvorený, slobodný, stabilný a bezpečný kybernetický priestor založený na ľudských právach, základných slobodách, demokracii a právnom štáte. |
| --- | --- |

(70)

Rozsiahle kybernetické incidenty a krízy na úrovni Únie si z dôvodu vysokého stupňa previazanosti odvetví a členských štátov vyžadujú koordinované opatrenia na zabezpečenie rýchlej a účinnej reakcie. Dostupnosť kyberneticky odolných sietí a informačných systémov a dostupnosť, dôvernosť a integrita údajov sú nevyhnutné pre bezpečnosť Únie a ochranu jej občanov, podnikov a inštitúcií pred incidentmi a kybernetickými hrozbami, ako aj pre posilnenie dôvery jednotlivcov a organizácií v schopnosť Únie podporovať a chrániť globálny, otvorený, slobodný, stabilný a bezpečný kybernetický priestor založený na ľudských právach, základných slobodách, demokracii a právnom štáte.

| (71) | Sieť EU-CyCLONe by mala fungovať ako sprostredkovateľ medzi technickou a politickou úrovňou počas rozsiahlych kybernetických incidentov a kríz a mala by posilniť spoluprácu na operačnej úrovni a podporovať rozhodovanie na politickej úrovni. V spolupráci s Komisiou a so zreteľom na právomoci Komisie v oblasti krízového riadenia by sieť EU-CyCLONe mala vychádzať zo zistení siete jednotiek CSIRT a využívať svoje vlastné kapacity na vypracovanie analýzy vplyvu rozsiahlych kybernetických incidentov a kríz. |
| --- | --- |

(71)

Sieť EU-CyCLONe by mala fungovať ako sprostredkovateľ medzi technickou a politickou úrovňou počas rozsiahlych kybernetických incidentov a kríz a mala by posilniť spoluprácu na operačnej úrovni a podporovať rozhodovanie na politickej úrovni. V spolupráci s Komisiou a so zreteľom na právomoci Komisie v oblasti krízového riadenia by sieť EU-CyCLONe mala vychádzať zo zistení siete jednotiek CSIRT a využívať svoje vlastné kapacity na vypracovanie analýzy vplyvu rozsiahlych kybernetických incidentov a kríz.

| (72) | Kybernetické útoky majú cezhraničnú povahu a významný incident môže narušiť a poškodiť kritické informačné infraštruktúry, od ktorých závisí hladké fungovanie vnútorného trhu. Odporúčanie (EÚ) 2017/1584 sa zaoberá úlohami všetkých príslušných aktérov. Komisia je okrem toho v rámci mechanizmu Únie v oblasti civilnej ochrany zriadeného rozhodnutím Európskeho parlamentu a Rady č. 1313/2013/EÚ (17) zodpovedná za všeobecné opatrenia v oblasti pripravenosti vrátane riadenia Koordinačného centra pre reakcie na núdzové situácie a spoločného systému komunikácie a poskytovania informácií v prípade núdzových situácií, udržiavania a ďalšieho rozvoja situačnej informovanosti a analytických kapacít a vytvárania a riadenia schopnosti mobilizovať a vysielať tímy odborníkov v prípade žiadosti o pomoc z členského štátu alebo tretej krajiny. Komisia je zodpovedná aj za poskytovanie analytických správ týkajúcich sa dojednaní IPCR podľa vykonávacieho rozhodnutia (EÚ) 2018/1993, a to aj v súvislosti so situačnou informovanosťou a pripravenosťou v oblasti kybernetickej bezpečnosti, ako aj za situačnú informovanosť a reakciu na krízy v oblastiach poľnohospodárstva, nepriaznivých poveternostných podmienok, mapovania a predpovedania konfliktov, systémov včasného varovania pred prírodnými katastrofami, núdzových zdravotných situácií, dohľadu nad infekčnými chorobami, zdravia rastlín, chemických incidentov, bezpečnosti potravín a krmív, zdravia zvierat, migrácie, colníctva, jadrových a rádiologických núdzových situácií, a energetiky. |
| --- | --- |

(72)

Kybernetické útoky majú cezhraničnú povahu a významný incident môže narušiť a poškodiť kritické informačné infraštruktúry, od ktorých závisí hladké fungovanie vnútorného trhu. Odporúčanie (EÚ) 2017/1584 sa zaoberá úlohami všetkých príslušných aktérov. Komisia je okrem toho v rámci mechanizmu Únie v oblasti civilnej ochrany zriadeného rozhodnutím Európskeho parlamentu a Rady č. 1313/2013/EÚ (17) zodpovedná za všeobecné opatrenia v oblasti pripravenosti vrátane riadenia Koordinačného centra pre reakcie na núdzové situácie a spoločného systému komunikácie a poskytovania informácií v prípade núdzových situácií, udržiavania a ďalšieho rozvoja situačnej informovanosti a analytických kapacít a vytvárania a riadenia schopnosti mobilizovať a vysielať tímy odborníkov v prípade žiadosti o pomoc z členského štátu alebo tretej krajiny. Komisia je zodpovedná aj za poskytovanie analytických správ týkajúcich sa dojednaní IPCR podľa vykonávacieho rozhodnutia (EÚ) 2018/1993, a to aj v súvislosti so situačnou informovanosťou a pripravenosťou v oblasti kybernetickej bezpečnosti, ako aj za situačnú informovanosť a reakciu na krízy v oblastiach poľnohospodárstva, nepriaznivých poveternostných podmienok, mapovania a predpovedania konfliktov, systémov včasného varovania pred prírodnými katastrofami, núdzových zdravotných situácií, dohľadu nad infekčnými chorobami, zdravia rastlín, chemických incidentov, bezpečnosti potravín a krmív, zdravia zvierat, migrácie, colníctva, jadrových a rádiologických núdzových situácií, a energetiky.

| (73) | Únia môže v prípade potreby v súlade s článkom 218 ZFEÚ uzatvárať medzinárodné dohody s tretími krajinami alebo medzinárodnými organizáciami, ktorými môže povoľovať a organizovať ich účasť na určitých činnostiach skupiny pre spoluprácu, siete jednotiek CSIRT a siete EU-CyCLONe. Takýmito dohodami by sa mali zabezpečiť záujmy Únie a primeraná ochrana údajov. Nemalo by sa tým vylučovať právo členských štátov spolupracovať s tretími krajinami v oblasti riadenia zraniteľností a riadenia kybernetických rizík, uľahčenia oznamovania a všeobecnej výmeny informácií v súlade s právom Únie. |
| --- | --- |

(73)

Únia môže v prípade potreby v súlade s článkom 218 ZFEÚ uzatvárať medzinárodné dohody s tretími krajinami alebo medzinárodnými organizáciami, ktorými môže povoľovať a organizovať ich účasť na určitých činnostiach skupiny pre spoluprácu, siete jednotiek CSIRT a siete EU-CyCLONe. Takýmito dohodami by sa mali zabezpečiť záujmy Únie a primeraná ochrana údajov. Nemalo by sa tým vylučovať právo členských štátov spolupracovať s tretími krajinami v oblasti riadenia zraniteľností a riadenia kybernetických rizík, uľahčenia oznamovania a všeobecnej výmeny informácií v súlade s právom Únie.

| (74) | S cieľom uľahčiť účinné vykonávanie tejto smernice, okrem iného pokiaľ ide o riadenie zraniteľností, opatrenia na riadenie kybernetických rizík, oznamovacie povinnosti a dohody o výmene informácií o kybernetickej bezpečnosti, môžu členské štáty spolupracovať s tretími krajinami a vykonávať činnosti, ktoré sa považujú za vhodné na daný účel, vrátane výmeny informácií o kybernetických hrozbách, incidentoch, zraniteľnostiach, nástrojoch a metódach, taktikách, technikách a postupoch, pripravenosti a cvičení v oblasti zvládania kybernetických kríz, odbornej prípravy, budovania dôvery a dohôd o štruktúrovanej výmene informácií. |
| --- | --- |

(74)

S cieľom uľahčiť účinné vykonávanie tejto smernice, okrem iného pokiaľ ide o riadenie zraniteľností, opatrenia na riadenie kybernetických rizík, oznamovacie povinnosti a dohody o výmene informácií o kybernetickej bezpečnosti, môžu členské štáty spolupracovať s tretími krajinami a vykonávať činnosti, ktoré sa považujú za vhodné na daný účel, vrátane výmeny informácií o kybernetických hrozbách, incidentoch, zraniteľnostiach, nástrojoch a metódach, taktikách, technikách a postupoch, pripravenosti a cvičení v oblasti zvládania kybernetických kríz, odbornej prípravy, budovania dôvery a dohôd o štruktúrovanej výmene informácií.

| (75) | Mali by sa zaviesť vzájomné hodnotenia s cieľom pomáhať učiť sa zo spoločných skúseností, posilňovať vzájomnú dôveru a dosahovať vysokú spoločnú úroveň kybernetickej bezpečnosti. Partnerské preskúmania môžu viesť k cenným poznatkom a odporúčaniam, ktoré posilnia celkové spôsobilosti kybernetickej bezpečnosti, čím sa vytvorí ďalšia funkčná cesta na výmenu najlepších postupov medzi členskými štátmi a prispeje k zvýšeniu úrovne vyspelosti členských štátov v oblasti kybernetickej bezpečnosti. V partnerských preskúmaniach by sa mali zohľadniť výsledky podobných mechanizmov, ako je systém partnerského preskúmania siete jednotiek CSIRT, a mali by prinášať pridanú hodnotu a vyhýbať sa duplicite. Zavedením partnerských preskúmaní by nemalo byť dotknuté právo Únie alebo vnútroštátne právo v oblasti ochrany dôverných alebo utajovaných skutočností. |
| --- | --- |

(75)

Mali by sa zaviesť vzájomné hodnotenia s cieľom pomáhať učiť sa zo spoločných skúseností, posilňovať vzájomnú dôveru a dosahovať vysokú spoločnú úroveň kybernetickej bezpečnosti. Partnerské preskúmania môžu viesť k cenným poznatkom a odporúčaniam, ktoré posilnia celkové spôsobilosti kybernetickej bezpečnosti, čím sa vytvorí ďalšia funkčná cesta na výmenu najlepších postupov medzi členskými štátmi a prispeje k zvýšeniu úrovne vyspelosti členských štátov v oblasti kybernetickej bezpečnosti. V partnerských preskúmaniach by sa mali zohľadniť výsledky podobných mechanizmov, ako je systém partnerského preskúmania siete jednotiek CSIRT, a mali by prinášať pridanú hodnotu a vyhýbať sa duplicite. Zavedením partnerských preskúmaní by nemalo byť dotknuté právo Únie alebo vnútroštátne právo v oblasti ochrany dôverných alebo utajovaných skutočností.

| (76) | Skupina pre spoluprácu by mala pre členské štáty zaviesť metodiku sebahodnotenia so zámerom pokryť faktory, ako je úroveň implementácie opatrení na riadenie kybernetických rizík a oznamovacích povinností, úroveň spôsobilostí a efektívnosť výkonu úloh príslušných orgánov, operačných spôsobilostí jednotiek CSIRT, úroveň implementácie vzájomnej pomoci, úrovne implementácie dohôd o výmene informácií o kybernetickej bezpečnosti alebo špecifických otázok cezhraničnej alebo medziodvetvovej povahy. Členským štátom by sa malo odporúčať, aby pravidelne vykonávali sebahodnotenia a aby výsledky svojho sebahodnotenia prezentovali a prediskutovali v rámci skupiny pre spoluprácu. |
| --- | --- |

(76)

Skupina pre spoluprácu by mala pre členské štáty zaviesť metodiku sebahodnotenia so zámerom pokryť faktory, ako je úroveň implementácie opatrení na riadenie kybernetických rizík a oznamovacích povinností, úroveň spôsobilostí a efektívnosť výkonu úloh príslušných orgánov, operačných spôsobilostí jednotiek CSIRT, úroveň implementácie vzájomnej pomoci, úrovne implementácie dohôd o výmene informácií o kybernetickej bezpečnosti alebo špecifických otázok cezhraničnej alebo medziodvetvovej povahy. Členským štátom by sa malo odporúčať, aby pravidelne vykonávali sebahodnotenia a aby výsledky svojho sebahodnotenia prezentovali a prediskutovali v rámci skupiny pre spoluprácu.

| (77) | Zodpovednosť za zaisťovanie bezpečnosti sietí a informačných systémov nesú vo veľkej miere kľúčové a dôležité subjekty. Mala by sa podporovať a rozvíjať kultúra riadenia rizika vrátane posudzovania rizika a vykonávania takých opatrení na riadenie kybernetických rizík, ktoré sú primerané existujúcim rizikám. |
| --- | --- |

(77)

Zodpovednosť za zaisťovanie bezpečnosti sietí a informačných systémov nesú vo veľkej miere kľúčové a dôležité subjekty. Mala by sa podporovať a rozvíjať kultúra riadenia rizika vrátane posudzovania rizika a vykonávania takých opatrení na riadenie kybernetických rizík, ktoré sú primerané existujúcim rizikám.

| (78) | Opatrenia na riadenie kybernetických rizík by mali zohľadňovať stupeň závislosti kľúčového alebo dôležitého subjektu od sietí a informačných systémov a mali by zahŕňať opatrenia na identifikáciu rizika incidentov, opatrenia na predchádzanie incidentom, ich odhaľovanie, reakciu na ne a zotavenie sa z nich, ako aj opatrenia na zmiernenie ich vplyvu. Bezpečnosť sietí a informačných systémov by mala zahŕňať bezpečnosť uchovávaných, prenášaných a spracúvaných údajov. Opatrenia na riadenie kybernetických rizík by mali zabezpečovať systémovú analýzu, pri ktorej sa zohľadní ľudský faktor, s cieľom získať úplný obraz o bezpečnosti siete a informačného systému. |
| --- | --- |

(78)

Opatrenia na riadenie kybernetických rizík by mali zohľadňovať stupeň závislosti kľúčového alebo dôležitého subjektu od sietí a informačných systémov a mali by zahŕňať opatrenia na identifikáciu rizika incidentov, opatrenia na predchádzanie incidentom, ich odhaľovanie, reakciu na ne a zotavenie sa z nich, ako aj opatrenia na zmiernenie ich vplyvu. Bezpečnosť sietí a informačných systémov by mala zahŕňať bezpečnosť uchovávaných, prenášaných a spracúvaných údajov. Opatrenia na riadenie kybernetických rizík by mali zabezpečovať systémovú analýzu, pri ktorej sa zohľadní ľudský faktor, s cieľom získať úplný obraz o bezpečnosti siete a informačného systému.

| (79) | Keďže ohrozenie bezpečnosti sietí a informačných systémov môže mať rôzny pôvod, v opatreniach na riadenie kybernetických rizík by sa mal uplatňovať prístup všetkých nebezpečenstiev, ktorého cieľom je ochrana sietí a informačných systémov a fyzické prostredie uvedených systémov pred udalosťami, ako je krádež, požiar, povodeň, výpadok telekomunikácie alebo elektrickej energie, alebo pred neoprávneným fyzickým prístupom, poškodením alebo zásahom v súvislosti s informáciami kľúčového alebo dôležitého subjektu a jeho zariadeniami na spracovanie informácií, čo by mohlo ohroziť dostupnosť, pravosť, integritu alebo dôvernosť uchovávaných, prenášaných alebo spracúvaných údajov alebo služieb poskytovaných alebo prístupných prostredníctvom sietí a informačných systémov. Opatrenia na riadenie kybernetických rizík by sa preto mali zaoberať aj fyzickou a environmentálnou bezpečnosťou sietí a informačných systémov tým, že budú zahŕňať opatrenia na ochranu takýchto systémov pred systémovými zlyhaniami, ľudskými chybami, zlomyseľným konaním alebo prírodnými javmi v súlade s európskymi a medzinárodnými normami, ako sú normy uvedené v sérii ISO/IEC 27000. V tejto súvislosti by sa kľúčové a dôležité subjekty mali v rámci svojich opatrení na riadenie kybernetických rizík zaoberať aj bezpečnosťou ľudských zdrojov a mali by mať zavedené vhodné postupy kontroly prístupu. Uvedené opatrenia by mali byť v súlade so smernicou (EÚ) 2022/2557. |
| --- | --- |

(79)

Keďže ohrozenie bezpečnosti sietí a informačných systémov môže mať rôzny pôvod, v opatreniach na riadenie kybernetických rizík by sa mal uplatňovať prístup všetkých nebezpečenstiev, ktorého cieľom je ochrana sietí a informačných systémov a fyzické prostredie uvedených systémov pred udalosťami, ako je krádež, požiar, povodeň, výpadok telekomunikácie alebo elektrickej energie, alebo pred neoprávneným fyzickým prístupom, poškodením alebo zásahom v súvislosti s informáciami kľúčového alebo dôležitého subjektu a jeho zariadeniami na spracovanie informácií, čo by mohlo ohroziť dostupnosť, pravosť, integritu alebo dôvernosť uchovávaných, prenášaných alebo spracúvaných údajov alebo služieb poskytovaných alebo prístupných prostredníctvom sietí a informačných systémov. Opatrenia na riadenie kybernetických rizík by sa preto mali zaoberať aj fyzickou a environmentálnou bezpečnosťou sietí a informačných systémov tým, že budú zahŕňať opatrenia na ochranu takýchto systémov pred systémovými zlyhaniami, ľudskými chybami, zlomyseľným konaním alebo prírodnými javmi v súlade s európskymi a medzinárodnými normami, ako sú normy uvedené v sérii ISO/IEC 27000. V tejto súvislosti by sa kľúčové a dôležité subjekty mali v rámci svojich opatrení na riadenie kybernetických rizík zaoberať aj bezpečnosťou ľudských zdrojov a mali by mať zavedené vhodné postupy kontroly prístupu. Uvedené opatrenia by mali byť v súlade so smernicou (EÚ) 2022/2557.

| (80) | Na účely preukázania súladu s opatreniami na riadenie kybernetických rizík a v prípade neexistencie vhodných európskych systémov certifikácie kybernetickej bezpečnosti prijatých v súlade s nariadením Európskeho parlamentu a Rady (EÚ) 2019/881 (18) by členské štáty mali konzultáciou so skupinou pre spoluprácu a európskou skupinou pre certifikáciu kybernetickej bezpečnosti podporovať používanie príslušných európskych a medzinárodných noriem kľúčovými a dôležitými subjektmi alebo môžu vyžadovať, aby subjekty používali certifikované produkty IKT, služby IKT a procesy IKT. |
| --- | --- |

(80)

Na účely preukázania súladu s opatreniami na riadenie kybernetických rizík a v prípade neexistencie vhodných európskych systémov certifikácie kybernetickej bezpečnosti prijatých v súlade s nariadením Európskeho parlamentu a Rady (EÚ) 2019/881 (18) by členské štáty mali konzultáciou so skupinou pre spoluprácu a európskou skupinou pre certifikáciu kybernetickej bezpečnosti podporovať používanie príslušných európskych a medzinárodných noriem kľúčovými a dôležitými subjektmi alebo môžu vyžadovať, aby subjekty používali certifikované produkty IKT, služby IKT a procesy IKT.

| (81) | S cieľom vyhnúť sa neprimeranému finančnému a administratívnemu zaťaženiu kľúčových a dôležitých subjektov by opatrenia na riadenie kybernetických rizík mali byť primerané rizikám, ktorým čelí daná sieť a daný informačný systém, a zohľadňovať najnovší technický vývoj v oblasti takýchto opatrení a podľa potreby príslušné európske a medzinárodné normy, ako aj náklady na ich vykonávanie. |
| --- | --- |

(81)

S cieľom vyhnúť sa neprimeranému finančnému a administratívnemu zaťaženiu kľúčových a dôležitých subjektov by opatrenia na riadenie kybernetických rizík mali byť primerané rizikám, ktorým čelí daná sieť a daný informačný systém, a zohľadňovať najnovší technický vývoj v oblasti takýchto opatrení a podľa potreby príslušné európske a medzinárodné normy, ako aj náklady na ich vykonávanie.

| (82) | Opatrenia na riadenie kybernetických rizík by mali byť primerané stupňu vystavenia kľúčového alebo dôležitého subjektu rizikám a spoločenskému a hospodárskemu vplyvu, ktorý by incident mal. Pri stanovovaní opatrení na riadenie kybernetických rizík prispôsobených kľúčovým a dôležitým subjektom by sa mala náležite zohľadniť odlišná expozícia kľúčových a dôležitých subjektov voči rizikám, napríklad kritickosť subjektu, riziká vrátane spoločenských rizík, ktorým je vystavený, veľkosť subjektu a pravdepodobnosť výskytu incidentov a ich závažnosť vrátane ich spoločenského a hospodárskeho vplyvu. |
| --- | --- |

(82)

Opatrenia na riadenie kybernetických rizík by mali byť primerané stupňu vystavenia kľúčového alebo dôležitého subjektu rizikám a spoločenskému a hospodárskemu vplyvu, ktorý by incident mal. Pri stanovovaní opatrení na riadenie kybernetických rizík prispôsobených kľúčovým a dôležitým subjektom by sa mala náležite zohľadniť odlišná expozícia kľúčových a dôležitých subjektov voči rizikám, napríklad kritickosť subjektu, riziká vrátane spoločenských rizík, ktorým je vystavený, veľkosť subjektu a pravdepodobnosť výskytu incidentov a ich závažnosť vrátane ich spoločenského a hospodárskeho vplyvu.

| (83) | Kľúčové a dôležité subjekty by mali zaistiť bezpečnosť sietí a informačných systémov, ktoré používajú vo svojich činnostiach. Ide predovšetkým o súkromné siete a informačné systémy, ktoré spravujú interní IT pracovníci kľúčových a dôležitých subjektov alebo ktorých bezpečnosť zaisťujú externí dodávatelia. Opatrenia na riadenie kybernetických rizík a oznamovacie povinnosti stanovené v tejto smernici by sa mali vzťahovať na príslušné kľúčové a dôležité subjekty bez ohľadu na to, či uvedené subjekty vykonávajú údržbu svojich sietí a informačných systémov interne alebo ju zabezpečujú externe. |
| --- | --- |

(83)

Kľúčové a dôležité subjekty by mali zaistiť bezpečnosť sietí a informačných systémov, ktoré používajú vo svojich činnostiach. Ide predovšetkým o súkromné siete a informačné systémy, ktoré spravujú interní IT pracovníci kľúčových a dôležitých subjektov alebo ktorých bezpečnosť zaisťujú externí dodávatelia. Opatrenia na riadenie kybernetických rizík a oznamovacie povinnosti stanovené v tejto smernici by sa mali vzťahovať na príslušné kľúčové a dôležité subjekty bez ohľadu na to, či uvedené subjekty vykonávajú údržbu svojich sietí a informačných systémov interne alebo ju zabezpečujú externe.

| (84) | Poskytovatelia služieb DNS, správcovia názvov TLD, poskytovatelia služieb cloud computingu, poskytovatelia služieb dátového centra, poskytovatelia sietí na sprístupňovanie obsahu, poskytovatelia riadených služieb, poskytovatelia riadených bezpečnostných služieb, poskytovatelia online trhov, internetových vyhľadávačov a platforiem služieb sociálnej siete a poskytovatelia dôveryhodných služieb by vzhľadom na svoj cezhraničný charakter mali podliehať vysokej miere harmonizácie na úrovni Únie. Vykonávanie opatrení na riadenie kybernetických rizík by sa preto malo, pokiaľ ide o uvedené subjekty, uľahčiť vykonávacím aktom. |
| --- | --- |

(84)

Poskytovatelia služieb DNS, správcovia názvov TLD, poskytovatelia služieb cloud computingu, poskytovatelia služieb dátového centra, poskytovatelia sietí na sprístupňovanie obsahu, poskytovatelia riadených služieb, poskytovatelia riadených bezpečnostných služieb, poskytovatelia online trhov, internetových vyhľadávačov a platforiem služieb sociálnej siete a poskytovatelia dôveryhodných služieb by vzhľadom na svoj cezhraničný charakter mali podliehať vysokej miere harmonizácie na úrovni Únie. Vykonávanie opatrení na riadenie kybernetických rizík by sa preto malo, pokiaľ ide o uvedené subjekty, uľahčiť vykonávacím aktom.

| (85) | Riešenie rizík vyplývajúcich z dodávateľského reťazca subjektu a jeho vzťahu s dodávateľmi, ako sú poskytovatelia služieb ukladania a spracúvania údajov alebo poskytovatelia riadených bezpečnostných služieb a vydavatelia softvéru, je obzvlášť dôležité vzhľadom na výskyt incidentov, keď sa subjekty stali obeťami kybernetických útokov a keď páchatelia s nekalými úmyslami dokázali ohroziť bezpečnosť sietí a informačných systémov subjektu využitím zraniteľností v produktoch a službách tretích strán. Kľúčové a dôležité subjekty by preto mali posúdiť a zohľadniť celkovú kvalitu a odolnosť produktov a služieb, opatrenia na riadenie kybernetických rizík, ktoré zahŕňajú, a postupy svojich dodávateľov a poskytovateľov služieb v oblasti kybernetickej bezpečnosti vrátane ich bezpečných vývojových postupov. Kľúčové a dôležité subjekty by sa mali nabádať najmä k tomu, aby začlenili opatrenia na riadenie kybernetických rizík do zmluvných dohôd so svojimi priamymi dodávateľmi a poskytovateľmi služieb. Uvedené subjekty by mohli zvážiť riziká, ktoré vyplývajú zo strany dodávateľov a poskytovateľov služieb ďalších úrovní. |
| --- | --- |

(85)

Riešenie rizík vyplývajúcich z dodávateľského reťazca subjektu a jeho vzťahu s dodávateľmi, ako sú poskytovatelia služieb ukladania a spracúvania údajov alebo poskytovatelia riadených bezpečnostných služieb a vydavatelia softvéru, je obzvlášť dôležité vzhľadom na výskyt incidentov, keď sa subjekty stali obeťami kybernetických útokov a keď páchatelia s nekalými úmyslami dokázali ohroziť bezpečnosť sietí a informačných systémov subjektu využitím zraniteľností v produktoch a službách tretích strán. Kľúčové a dôležité subjekty by preto mali posúdiť a zohľadniť celkovú kvalitu a odolnosť produktov a služieb, opatrenia na riadenie kybernetických rizík, ktoré zahŕňajú, a postupy svojich dodávateľov a poskytovateľov služieb v oblasti kybernetickej bezpečnosti vrátane ich bezpečných vývojových postupov. Kľúčové a dôležité subjekty by sa mali nabádať najmä k tomu, aby začlenili opatrenia na riadenie kybernetických rizík do zmluvných dohôd so svojimi priamymi dodávateľmi a poskytovateľmi služieb. Uvedené subjekty by mohli zvážiť riziká, ktoré vyplývajú zo strany dodávateľov a poskytovateľov služieb ďalších úrovní.

| (86) | Spomedzi poskytovateľov služieb zohrávajú poskytovatelia riadených bezpečnostných služieb osobitne dôležitú úlohu v pomoci subjektom v ich úsilí o prevenciu, odhaľovanie incidentov, reakciu na ne alebo zotavenie sa z nich, a to v takých oblastiach, ako je reakcia na incidenty, penetračné testovanie, bezpečnostné audity a poradenstvo. Avšak aj samotní poskytovatelia riadených bezpečnostných služieb boli cieľom kybernetických útokov a ich úzke zapojenie do činnosti subjektov predstavuje osobitné riziko. Kľúčové a dôležité subjekty by preto mali výberu poskytovateľa riadených bezpečnostných služieb venovať zvýšenú pozornosť. |
| --- | --- |

(86)

Spomedzi poskytovateľov služieb zohrávajú poskytovatelia riadených bezpečnostných služieb osobitne dôležitú úlohu v pomoci subjektom v ich úsilí o prevenciu, odhaľovanie incidentov, reakciu na ne alebo zotavenie sa z nich, a to v takých oblastiach, ako je reakcia na incidenty, penetračné testovanie, bezpečnostné audity a poradenstvo. Avšak aj samotní poskytovatelia riadených bezpečnostných služieb boli cieľom kybernetických útokov a ich úzke zapojenie do činnosti subjektov predstavuje osobitné riziko. Kľúčové a dôležité subjekty by preto mali výberu poskytovateľa riadených bezpečnostných služieb venovať zvýšenú pozornosť.

| (87) | Príslušné orgány môžu v kontexte svojich úloh dohľadu využívať aj služby v oblasti kybernetickej bezpečnosti, ako sú bezpečnostné audity, penetračné testovanie alebo reakcie na incidenty. |
| --- | --- |

(87)

Príslušné orgány môžu v kontexte svojich úloh dohľadu využívať aj služby v oblasti kybernetickej bezpečnosti, ako sú bezpečnostné audity, penetračné testovanie alebo reakcie na incidenty.

| (88) | Kľúčové a dôležité subjekty by mali riešiť aj riziká vyplývajúce z ich interakcií a vzťahov s inými zainteresovanými stranami v rámci širšieho ekosystému, a to aj s cieľom bojovať proti priemyselnej špionáži a chrániť obchodné tajomstvo. Predovšetkým by uvedené subjekty mali prijať vhodné opatrenia, aby sa ich spolupráca s akademickými a výskumnými inštitúciami uskutočňovala v súlade s ich politikami v oblasti kybernetickej bezpečnosti a aby sa riadila osvedčenými postupmi, pokiaľ ide o bezpečný prístup k informáciám a ich šírenie vo všeobecnosti, a konkrétne o ochranu duševného vlastníctva. Podobne by kľúčové a dôležité subjekty, ak sú závislé od služieb v oblasti transformácie údajov a analýzy údajov od tretích strán, mali prijať všetky vhodné opatrenia na riadenie kybernetických rizík, a to vzhľadom na význam a hodnotu údajov pre svoju činnosť. |
| --- | --- |

(88)

Kľúčové a dôležité subjekty by mali riešiť aj riziká vyplývajúce z ich interakcií a vzťahov s inými zainteresovanými stranami v rámci širšieho ekosystému, a to aj s cieľom bojovať proti priemyselnej špionáži a chrániť obchodné tajomstvo. Predovšetkým by uvedené subjekty mali prijať vhodné opatrenia, aby sa ich spolupráca s akademickými a výskumnými inštitúciami uskutočňovala v súlade s ich politikami v oblasti kybernetickej bezpečnosti a aby sa riadila osvedčenými postupmi, pokiaľ ide o bezpečný prístup k informáciám a ich šírenie vo všeobecnosti, a konkrétne o ochranu duševného vlastníctva. Podobne by kľúčové a dôležité subjekty, ak sú závislé od služieb v oblasti transformácie údajov a analýzy údajov od tretích strán, mali prijať všetky vhodné opatrenia na riadenie kybernetických rizík, a to vzhľadom na význam a hodnotu údajov pre svoju činnosť.

| (89) | Kľúčové a dôležité subjekty by mali prijať širokú škálu základných postupov v oblasti kybernetickej hygieny, ako sú zásady nulovej dôvery, aktualizácie softvéru, konfigurácia zariadení, segmentácia siete, správa identít a prístupu alebo informovanosť používateľov, organizovať školenia pre svojich zamestnancov a zvyšovať informovanosť o kybernetických hrozbách, phishingu alebo technikách sociálneho inžinierstva. Okrem toho by uvedené subjekty mali vyhodnotiť vlastné spôsobilosti v oblasti kybernetickej bezpečnosti a podľa potreby sa usilovať o integráciu technológií posilňujúcich kybernetickú bezpečnosť, ako sú systémy umelej inteligencie alebo strojového učenia, s cieľom posilniť svoje spôsobilosti a bezpečnosť sietí a informačných systémov. |
| --- | --- |

(89)

Kľúčové a dôležité subjekty by mali prijať širokú škálu základných postupov v oblasti kybernetickej hygieny, ako sú zásady nulovej dôvery, aktualizácie softvéru, konfigurácia zariadení, segmentácia siete, správa identít a prístupu alebo informovanosť používateľov, organizovať školenia pre svojich zamestnancov a zvyšovať informovanosť o kybernetických hrozbách, phishingu alebo technikách sociálneho inžinierstva. Okrem toho by uvedené subjekty mali vyhodnotiť vlastné spôsobilosti v oblasti kybernetickej bezpečnosti a podľa potreby sa usilovať o integráciu technológií posilňujúcich kybernetickú bezpečnosť, ako sú systémy umelej inteligencie alebo strojového učenia, s cieľom posilniť svoje spôsobilosti a bezpečnosť sietí a informačných systémov.

| (90) | V záujme ďalšieho riešenia rizík kľúčového dodávateľského reťazca a pomoci kľúčovým a dôležitým subjektom pôsobiacim v odvetviach, na ktoré sa vzťahuje táto smernica, pri náležitom riadení rizík súvisiacich s dodávateľským reťazcom a dodávateľmi, by skupina pre spoluprácu mala v spolupráci s Komisiou a agentúrou ENISA a podľa potreby po konzultácii s relevantnými zainteresovanými stranami vrátane priemyslu vykonať koordinované posúdenia bezpečnostných rizík kritických dodávateľských reťazcov, ktoré sa už vykonali v prípade sietí 5G v nadväznosti na odporúčanie Komisie (EÚ) 2019/534 (19) s cieľom identifikovať za každé odvetvie kritické služby IKT, systémy IKT alebo produkty IKT, relevantné hrozby a zraniteľnosti. Takéto koordinované posúdenia bezpečnostných rizík by mali určiť opatrenia, plány zmierňovania a najlepšie postupy vo vzťahu ku kritickým závislostiam, potenciálnym jediným bodom zlyhania, hrozbám, zraniteľnostiam a ďalším rizikám spojeným s dodávateľským reťazcom a mali by preskúmať spôsoby, ako ešte viac podporiť ich širšie prijatie kľúčovými a dôležitými subjektmi. Potenciálne netechnické rizikové faktory, ako je neprimeraný vplyv tretej krajiny na dodávateľov a poskytovateľov služieb, najmä v prípade alternatívnych modelov riadenia, zahŕňajú skryté zraniteľnosti alebo zadné dvierka a potenciálne systémové narušenie dodávok, najmä v prípade odkázanosti na určitého dodávateľa technológie alebo závislosti od poskytovateľa. |
| --- | --- |

(90)

V záujme ďalšieho riešenia rizík kľúčového dodávateľského reťazca a pomoci kľúčovým a dôležitým subjektom pôsobiacim v odvetviach, na ktoré sa vzťahuje táto smernica, pri náležitom riadení rizík súvisiacich s dodávateľským reťazcom a dodávateľmi, by skupina pre spoluprácu mala v spolupráci s Komisiou a agentúrou ENISA a podľa potreby po konzultácii s relevantnými zainteresovanými stranami vrátane priemyslu vykonať koordinované posúdenia bezpečnostných rizík kritických dodávateľských reťazcov, ktoré sa už vykonali v prípade sietí 5G v nadväznosti na odporúčanie Komisie (EÚ) 2019/534 (19) s cieľom identifikovať za každé odvetvie kritické služby IKT, systémy IKT alebo produkty IKT, relevantné hrozby a zraniteľnosti. Takéto koordinované posúdenia bezpečnostných rizík by mali určiť opatrenia, plány zmierňovania a najlepšie postupy vo vzťahu ku kritickým závislostiam, potenciálnym jediným bodom zlyhania, hrozbám, zraniteľnostiam a ďalším rizikám spojeným s dodávateľským reťazcom a mali by preskúmať spôsoby, ako ešte viac podporiť ich širšie prijatie kľúčovými a dôležitými subjektmi. Potenciálne netechnické rizikové faktory, ako je neprimeraný vplyv tretej krajiny na dodávateľov a poskytovateľov služieb, najmä v prípade alternatívnych modelov riadenia, zahŕňajú skryté zraniteľnosti alebo zadné dvierka a potenciálne systémové narušenie dodávok, najmä v prípade odkázanosti na určitého dodávateľa technológie alebo závislosti od poskytovateľa.

| (91) | Pri koordinovanom posudzovaní bezpečnostných rizík v kritických dodávateľských reťazcoch by sa vzhľadom na vlastnosti dotknutého odvetvia mali zohľadniť technické a v relevantných prípadoch aj netechnické faktory vrátane tých, ktoré sú vymedzené v odporúčaní (EÚ) 2019/534, v koordinovanom posúdení rizík na úrovni EÚ v oblasti kybernetickej bezpečnosti sietí 5G a v súbore nástrojov EÚ pre kybernetickú bezpečnosť 5G, na ktorom sa dohodla skupina pre spoluprácu. Pri určovaní dodávateľských reťazcov, ktoré by mali podliehať koordinovanému posúdeniu bezpečnostných rizík, by sa mali zohľadniť tieto kritériá: i) rozsah, v akom kľúčové a dôležité subjekty využívajú konkrétne kritické služby IKT, systémy IKT alebo produkty IKT a spoliehajú sa na ne; ii) relevantnosť konkrétnych kritických služieb IKT, systémov IKT alebo produktov IKT pre vykonávanie kritických alebo citlivých funkcií vrátane spracúvania osobných údajov; iii) dostupnosť alternatívnych služieb IKT, systémov IKT alebo produktov IKT; iv) odolnosť celkového dodávateľského reťazca služieb IKT, systémov IKT alebo produktov IKT počas ich životného cyklu voči rušivým udalostiam a v) v prípade vznikajúcich služieb IKT, systémov IKT alebo produktov IKT ich potenciálny budúci význam pre činnosti subjektov. Okrem toho by sa osobitný dôraz mal klásť na služby IKT, systémy IKT alebo produkty IKT, na ktoré sa vzťahujú osobitné požiadavky, ktoré pochádzajú z tretích krajín. |
| --- | --- |

(91)

Pri koordinovanom posudzovaní bezpečnostných rizík v kritických dodávateľských reťazcoch by sa vzhľadom na vlastnosti dotknutého odvetvia mali zohľadniť technické a v relevantných prípadoch aj netechnické faktory vrátane tých, ktoré sú vymedzené v odporúčaní (EÚ) 2019/534, v koordinovanom posúdení rizík na úrovni EÚ v oblasti kybernetickej bezpečnosti sietí 5G a v súbore nástrojov EÚ pre kybernetickú bezpečnosť 5G, na ktorom sa dohodla skupina pre spoluprácu. Pri určovaní dodávateľských reťazcov, ktoré by mali podliehať koordinovanému posúdeniu bezpečnostných rizík, by sa mali zohľadniť tieto kritériá: i) rozsah, v akom kľúčové a dôležité subjekty využívajú konkrétne kritické služby IKT, systémy IKT alebo produkty IKT a spoliehajú sa na ne; ii) relevantnosť konkrétnych kritických služieb IKT, systémov IKT alebo produktov IKT pre vykonávanie kritických alebo citlivých funkcií vrátane spracúvania osobných údajov; iii) dostupnosť alternatívnych služieb IKT, systémov IKT alebo produktov IKT; iv) odolnosť celkového dodávateľského reťazca služieb IKT, systémov IKT alebo produktov IKT počas ich životného cyklu voči rušivým udalostiam a v) v prípade vznikajúcich služieb IKT, systémov IKT alebo produktov IKT ich potenciálny budúci význam pre činnosti subjektov. Okrem toho by sa osobitný dôraz mal klásť na služby IKT, systémy IKT alebo produkty IKT, na ktoré sa vzťahujú osobitné požiadavky, ktoré pochádzajú z tretích krajín.

| (92) | S cieľom zjednodušiť povinnosti uložené poskytovateľom verejných elektronických komunikačných sietí alebo verejne dostupných elektronických komunikačných služieb a poskytovateľom dôveryhodných služieb v súvislosti s bezpečnosťou ich sietí a informačných systémov, ako aj umožniť uvedeným subjektom a príslušným orgánom podľa smernice Európskeho parlamentu a Rady (EÚ) 2018/1972 (20) a nariadenia (EÚ) č. 910/2014 využívať právny rámec stanovený touto smernicou vrátane určenia jednotky CSIRT zodpovednej za riešenie incidentov a účasti dotknutých príslušných orgánov na činnostiach skupiny pre spoluprácu a siete jednotiek CSIRT, by tieto subjekty mali patriť do rozsahu pôsobnosti tejto smernice. Zodpovedajúce ustanovenia nariadenia (EÚ) č. 910/2014 a smernice (EÚ) 2018/1972 týkajúce sa stanovenia požiadaviek na bezpečnosť a oznamovanie pre uvedené typy subjektov by sa preto mali vypustiť. Pravidlami týkajúcimi sa oznamovacích povinností stanovenými v tejto smernici by nemalo byť dotknuté nariadenie (EÚ) 2016/679 a smernica 2002/58/ES. |
| --- | --- |

(92)

S cieľom zjednodušiť povinnosti uložené poskytovateľom verejných elektronických komunikačných sietí alebo verejne dostupných elektronických komunikačných služieb a poskytovateľom dôveryhodných služieb v súvislosti s bezpečnosťou ich sietí a informačných systémov, ako aj umožniť uvedeným subjektom a príslušným orgánom podľa smernice Európskeho parlamentu a Rady (EÚ) 2018/1972 (20) a nariadenia (EÚ) č. 910/2014 využívať právny rámec stanovený touto smernicou vrátane určenia jednotky CSIRT zodpovednej za riešenie incidentov a účasti dotknutých príslušných orgánov na činnostiach skupiny pre spoluprácu a siete jednotiek CSIRT, by tieto subjekty mali patriť do rozsahu pôsobnosti tejto smernice. Zodpovedajúce ustanovenia nariadenia (EÚ) č. 910/2014 a smernice (EÚ) 2018/1972 týkajúce sa stanovenia požiadaviek na bezpečnosť a oznamovanie pre uvedené typy subjektov by sa preto mali vypustiť. Pravidlami týkajúcimi sa oznamovacích povinností stanovenými v tejto smernici by nemalo byť dotknuté nariadenie (EÚ) 2016/679 a smernica 2002/58/ES.

| (93) | Povinnosti v oblasti kybernetickej bezpečnosti stanovené v tejto smernici by sa mali považovať za doplnkové k požiadavkám uloženým poskytovateľom dôveryhodných služieb podľa nariadenia (EÚ) č. 910/2014. Od poskytovateľov dôveryhodných služieb by sa malo vyžadovať, aby prijali všetky vhodné a primerané opatrenia na riadenie rizík ohrozujúcich ich služby, a to aj vo vzťahu k zákazníkom a spoliehajúcim sa tretím stranám, a aby oznamovali incidenty podľa tejto smernice. Takéto povinnosti v oblasti kybernetickej bezpečnosti a oznamovania by sa mali týkať aj fyzickej ochrany poskytovaných služieb. Požiadavky na kvalifikovaných poskytovateľov dôveryhodných služieb stanovené v článku 24 nariadenia (EÚ) č. 910/2014 sa naďalej uplatňujú. |
| --- | --- |

(93)

Povinnosti v oblasti kybernetickej bezpečnosti stanovené v tejto smernici by sa mali považovať za doplnkové k požiadavkám uloženým poskytovateľom dôveryhodných služieb podľa nariadenia (EÚ) č. 910/2014. Od poskytovateľov dôveryhodných služieb by sa malo vyžadovať, aby prijali všetky vhodné a primerané opatrenia na riadenie rizík ohrozujúcich ich služby, a to aj vo vzťahu k zákazníkom a spoliehajúcim sa tretím stranám, a aby oznamovali incidenty podľa tejto smernice. Takéto povinnosti v oblasti kybernetickej bezpečnosti a oznamovania by sa mali týkať aj fyzickej ochrany poskytovaných služieb. Požiadavky na kvalifikovaných poskytovateľov dôveryhodných služieb stanovené v článku 24 nariadenia (EÚ) č. 910/2014 sa naďalej uplatňujú.

| (94) | Členské štáty môžu prideliť úlohu príslušných orgánov, pokiaľ ide o dôveryhodné služby, orgánom dohľadu podľa nariadenia (EÚ) č. 910/2014 s cieľom zabezpečiť pokračovanie súčasných postupov a stavať na poznatkoch a skúsenostiach získaných pri uplatňovaní uvedeného nariadenia. V takom prípade by príslušné orgány podľa tejto smernice mali úzko a včas spolupracovať s uvedenými orgánmi dohľadu formou výmeny relevantných informácií s cieľom zabezpečiť účinný dohľad a súlad poskytovateľov dôveryhodných služieb s požiadavkami stanovenými v tejto smernici a v nariadení (EÚ) č. 910/2014. V náležitých prípadoch by jednotka CSIRT alebo príslušný orgán podľa tejto smernice mal bezodkladne informovať orgán dohľadu podľa nariadenia (EÚ) č. 910/2014 o každej oznámenej významnej kybernetickej hrozbe alebo incidente ovplyvňujúcich dôveryhodné služby, ako aj o akomkoľvek porušení tejto smernice zo strany poskytovateľa dôveryhodných služieb. Na účely oznamovania môžu členské štáty podľa potreby použiť jednotný vstupný bod zriadený v záujme dosiahnutia spoločného a automatického oznamovania incidentov orgánu dohľadu podľa nariadenia (EÚ) č. 910/2014 a jednotke CSIRT alebo príslušnému orgánu podľa tejto smernice. |
| --- | --- |

(94)

Členské štáty môžu prideliť úlohu príslušných orgánov, pokiaľ ide o dôveryhodné služby, orgánom dohľadu podľa nariadenia (EÚ) č. 910/2014 s cieľom zabezpečiť pokračovanie súčasných postupov a stavať na poznatkoch a skúsenostiach získaných pri uplatňovaní uvedeného nariadenia. V takom prípade by príslušné orgány podľa tejto smernice mali úzko a včas spolupracovať s uvedenými orgánmi dohľadu formou výmeny relevantných informácií s cieľom zabezpečiť účinný dohľad a súlad poskytovateľov dôveryhodných služieb s požiadavkami stanovenými v tejto smernici a v nariadení (EÚ) č. 910/2014. V náležitých prípadoch by jednotka CSIRT alebo príslušný orgán podľa tejto smernice mal bezodkladne informovať orgán dohľadu podľa nariadenia (EÚ) č. 910/2014 o každej oznámenej významnej kybernetickej hrozbe alebo incidente ovplyvňujúcich dôveryhodné služby, ako aj o akomkoľvek porušení tejto smernice zo strany poskytovateľa dôveryhodných služieb. Na účely oznamovania môžu členské štáty podľa potreby použiť jednotný vstupný bod zriadený v záujme dosiahnutia spoločného a automatického oznamovania incidentov orgánu dohľadu podľa nariadenia (EÚ) č. 910/2014 a jednotke CSIRT alebo príslušnému orgánu podľa tejto smernice.

| (95) | V prípade potreby a s cieľom zabrániť zbytočnému narušeniu by sa pri transpozícii tejto smernice mali zohľadniť existujúce vnútroštátne usmernenia prijaté na účely transpozície pravidiel týkajúcich sa bezpečnostných opatrení stanovených v článkoch 40 a 41 smernice (EÚ) 2018/1972, čím by sa stavalo na poznatkoch a skúsenostiach získaných podľa smernice (EÚ) 2018/1972 v súvislosti s bezpečnostnými opatreniami a oznamovaním incidentov. Agentúra ENISA môže vypracovať aj usmernenia zamerané na požiadavky týkajúce sa bezpečnosti a na oznamovacie povinnosti určené poskytovateľom verejných elektronických komunikačných sietí alebo verejne dostupných elektronických komunikačných služieb s cieľom uľahčiť harmonizáciu a prechod a minimalizovať narušenie. Členské štáty môžu prideliť úlohu príslušných orgánov pre elektronické komunikácie národným regulačným orgánom podľa smernice (EÚ) 2018/1972 s cieľom zabezpečiť pokračovanie súčasných postupov a stavať na poznatkoch a skúsenostiach získaných pri vykonávaní uvedenej smernice. |
| --- | --- |

(95)

V prípade potreby a s cieľom zabrániť zbytočnému narušeniu by sa pri transpozícii tejto smernice mali zohľadniť existujúce vnútroštátne usmernenia prijaté na účely transpozície pravidiel týkajúcich sa bezpečnostných opatrení stanovených v článkoch 40 a 41 smernice (EÚ) 2018/1972, čím by sa stavalo na poznatkoch a skúsenostiach získaných podľa smernice (EÚ) 2018/1972 v súvislosti s bezpečnostnými opatreniami a oznamovaním incidentov. Agentúra ENISA môže vypracovať aj usmernenia zamerané na požiadavky týkajúce sa bezpečnosti a na oznamovacie povinnosti určené poskytovateľom verejných elektronických komunikačných sietí alebo verejne dostupných elektronických komunikačných služieb s cieľom uľahčiť harmonizáciu a prechod a minimalizovať narušenie. Členské štáty môžu prideliť úlohu príslušných orgánov pre elektronické komunikácie národným regulačným orgánom podľa smernice (EÚ) 2018/1972 s cieľom zabezpečiť pokračovanie súčasných postupov a stavať na poznatkoch a skúsenostiach získaných pri vykonávaní uvedenej smernice.

| (96) | Vzhľadom na rastúci význam interpersonálnych komunikačných služieb nezávislých od číslovania, ako sú vymedzené v smernici (EÚ) 2018/1972, je potrebné zabezpečiť, aby takéto služby tiež podliehali príslušným bezpečnostným požiadavkám vzhľadom na ich špecifický charakter a hospodársky význam. Keďže priestor na útoky sa naďalej rozširuje, interpersonálne komunikačné služby nezávislé od číslovania, ako sú služby zasielania správ, sa stávajú veľmi rozšírenými vektormi útokov. Páchatelia s nekalými úmyslami využívajú platformy na komunikáciu s obeťami a ich nalákanie na otvorenie napadnutých webových stránok, čím sa zvyšuje pravdepodobnosť incidentov zahŕňajúcich zneužívanie osobných údajov, čo má následne vplyv na bezpečnosť sietí a informačných systémov. Poskytovatelia interpersonálnych komunikačných služieb nezávislých od číslovania by mali zabezpečiť takú úroveň bezpečnosti sietí a informačných systémov, ktorá zodpovedá daným rizikám. Vzhľadom na to, že poskytovatelia interpersonálnych komunikačných služieb nezávislých od číslovania obyčajne nemajú skutočnú kontrolu nad prenosom signálov v sieťach, miera rizík pre takéto služby sa môže v niektorých aspektoch považovať za nižšiu ako v prípade tradičných elektronických komunikačných služieb. To isté platí pre interpersonálne komunikačné služby, ako sú vymedzené v smernici (EÚ) 2018/1972, ktoré využívajú čísla a ktoré nemajú skutočnú kontrolu nad prenosom signálu. |
| --- | --- |

(96)

Vzhľadom na rastúci význam interpersonálnych komunikačných služieb nezávislých od číslovania, ako sú vymedzené v smernici (EÚ) 2018/1972, je potrebné zabezpečiť, aby takéto služby tiež podliehali príslušným bezpečnostným požiadavkám vzhľadom na ich špecifický charakter a hospodársky význam. Keďže priestor na útoky sa naďalej rozširuje, interpersonálne komunikačné služby nezávislé od číslovania, ako sú služby zasielania správ, sa stávajú veľmi rozšírenými vektormi útokov. Páchatelia s nekalými úmyslami využívajú platformy na komunikáciu s obeťami a ich nalákanie na otvorenie napadnutých webových stránok, čím sa zvyšuje pravdepodobnosť incidentov zahŕňajúcich zneužívanie osobných údajov, čo má následne vplyv na bezpečnosť sietí a informačných systémov. Poskytovatelia interpersonálnych komunikačných služieb nezávislých od číslovania by mali zabezpečiť takú úroveň bezpečnosti sietí a informačných systémov, ktorá zodpovedá daným rizikám. Vzhľadom na to, že poskytovatelia interpersonálnych komunikačných služieb nezávislých od číslovania obyčajne nemajú skutočnú kontrolu nad prenosom signálov v sieťach, miera rizík pre takéto služby sa môže v niektorých aspektoch považovať za nižšiu ako v prípade tradičných elektronických komunikačných služieb. To isté platí pre interpersonálne komunikačné služby, ako sú vymedzené v smernici (EÚ) 2018/1972, ktoré využívajú čísla a ktoré nemajú skutočnú kontrolu nad prenosom signálu.

| (97) | Vnútorný trh je viac než kedykoľvek závislý od fungovania internetu. Služby takmer všetkých kľúčových a dôležitých subjektov sú závislé od služieb poskytovaných cez internet. V záujme zabezpečenia bezproblémového poskytovania služieb kľúčovými a dôležitými subjektmi je dôležité, aby všetci poskytovatelia verejných elektronických komunikačných sietí mali zavedené vhodné opatrenia na riadenie kybernetických rizík a aby oznamovali významné incidenty, ktoré sa ich týkajú. Členské štáty by mali zabezpečiť zachovanie bezpečnosti verejných elektronických komunikačných sietí a ochranu svojich životne dôležitých bezpečnostných záujmov pred sabotážou a špionážou. Keďže medzinárodná konektivita zlepšuje a urýchľuje konkurencieschopnú digitalizáciu Únie a jej hospodárstva, incidenty ovplyvňujúce podmorské komunikačné káble by sa mali oznamovať jednotke CSIRT alebo prípadne príslušnému orgánu. V národnej stratégii kybernetickej bezpečnosti by sa v prípade potreby mala zohľadňovať kybernetická bezpečnosť podmorských komunikačných káblov a mala by zahŕňať mapovanie potenciálnych kybernetických rizík a zmierňujúce opatrenia na zabezpečenie najvyššej úrovne ich ochrany. |
| --- | --- |

(97)

Vnútorný trh je viac než kedykoľvek závislý od fungovania internetu. Služby takmer všetkých kľúčových a dôležitých subjektov sú závislé od služieb poskytovaných cez internet. V záujme zabezpečenia bezproblémového poskytovania služieb kľúčovými a dôležitými subjektmi je dôležité, aby všetci poskytovatelia verejných elektronických komunikačných sietí mali zavedené vhodné opatrenia na riadenie kybernetických rizík a aby oznamovali významné incidenty, ktoré sa ich týkajú. Členské štáty by mali zabezpečiť zachovanie bezpečnosti verejných elektronických komunikačných sietí a ochranu svojich životne dôležitých bezpečnostných záujmov pred sabotážou a špionážou. Keďže medzinárodná konektivita zlepšuje a urýchľuje konkurencieschopnú digitalizáciu Únie a jej hospodárstva, incidenty ovplyvňujúce podmorské komunikačné káble by sa mali oznamovať jednotke CSIRT alebo prípadne príslušnému orgánu. V národnej stratégii kybernetickej bezpečnosti by sa v prípade potreby mala zohľadňovať kybernetická bezpečnosť podmorských komunikačných káblov a mala by zahŕňať mapovanie potenciálnych kybernetických rizík a zmierňujúce opatrenia na zabezpečenie najvyššej úrovne ich ochrany.

| (98) | S cieľom zaistiť bezpečnosť verejných elektronických komunikačných sietí a verejne dostupných elektronických komunikačných služieb by sa malo podporovať používanie šifrovacích technológií, najmä šifrovania bez medzifáz, ako aj bezpečnostných koncepcií zameraných na údaje, ako je kartografia, segmentácia, označovanie, politika prístupu a riadenie prístupu a automatizované rozhodnutia o prístupe. V prípade potreby by malo byť používanie šifrovania, najmä šifrovania bez medzifáz, povinné pre poskytovateľov verejných elektronických komunikačných sietí alebo verejne dostupných elektronických komunikačných služieb v súlade so zásadami štandardnej a špecificky navrhnutej bezpečnosti a ochrany súkromia na účely tejto smernice. Používanie šifrovania bez medzifáz by sa malo zosúladiť s právomocami členských štátov na zabezpečenie ochrany ich základných bezpečnostných záujmov a verejnej bezpečnosti a na umožnenie prevencie, vyšetrovania, odhaľovania a stíhania trestných činov v súlade s právom Únie. Nemalo by to však oslabiť šifrovanie bez medzifáz, ktoré je zásadnou technológiou pre účinnú ochranu údajov a súkromia a bezpečnosti komunikácií. |
| --- | --- |

(98)

S cieľom zaistiť bezpečnosť verejných elektronických komunikačných sietí a verejne dostupných elektronických komunikačných služieb by sa malo podporovať používanie šifrovacích technológií, najmä šifrovania bez medzifáz, ako aj bezpečnostných koncepcií zameraných na údaje, ako je kartografia, segmentácia, označovanie, politika prístupu a riadenie prístupu a automatizované rozhodnutia o prístupe. V prípade potreby by malo byť používanie šifrovania, najmä šifrovania bez medzifáz, povinné pre poskytovateľov verejných elektronických komunikačných sietí alebo verejne dostupných elektronických komunikačných služieb v súlade so zásadami štandardnej a špecificky navrhnutej bezpečnosti a ochrany súkromia na účely tejto smernice. Používanie šifrovania bez medzifáz by sa malo zosúladiť s právomocami členských štátov na zabezpečenie ochrany ich základných bezpečnostných záujmov a verejnej bezpečnosti a na umožnenie prevencie, vyšetrovania, odhaľovania a stíhania trestných činov v súlade s právom Únie. Nemalo by to však oslabiť šifrovanie bez medzifáz, ktoré je zásadnou technológiou pre účinnú ochranu údajov a súkromia a bezpečnosti komunikácií.

| (99) | S cieľom zaistiť bezpečnosť a zabrániť zneužívaniu verejných elektronických komunikačných sietí a verejne dostupných elektronických komunikačných služieb a manipulácii s nimi by sa malo podporovať používanie noriem bezpečného smerovania, aby sa zabezpečila integrita a spoľahlivosť funkcií smerovania v rámci celého ekosystému poskytovateľov služieb prístupu k internetu. |
| --- | --- |

(99)

S cieľom zaistiť bezpečnosť a zabrániť zneužívaniu verejných elektronických komunikačných sietí a verejne dostupných elektronických komunikačných služieb a manipulácii s nimi by sa malo podporovať používanie noriem bezpečného smerovania, aby sa zabezpečila integrita a spoľahlivosť funkcií smerovania v rámci celého ekosystému poskytovateľov služieb prístupu k internetu.

| (100) | V záujme zabezpečenia funkčnosti a integrity internetu a podpory bezpečnosti a odolnosti DNS by sa mali príslušné zainteresované strany vrátane subjektov súkromného sektora, poskytovateľov verejne dostupných elektronických komunikačných služieb, najmä poskytovateľov služieb prístupu k internetu, a poskytovateľov internetových vyhľadávačov v Únii nabádať k tomu, aby prijali stratégiu diverzifikácie rozlišovania DNS. Členské štáty by navyše mali podporovať rozvoj a používanie verejnej a bezpečnej európskej služby resolverov DNS. |
| --- | --- |

(100)

V záujme zabezpečenia funkčnosti a integrity internetu a podpory bezpečnosti a odolnosti DNS by sa mali príslušné zainteresované strany vrátane subjektov súkromného sektora, poskytovateľov verejne dostupných elektronických komunikačných služieb, najmä poskytovateľov služieb prístupu k internetu, a poskytovateľov internetových vyhľadávačov v Únii nabádať k tomu, aby prijali stratégiu diverzifikácie rozlišovania DNS. Členské štáty by navyše mali podporovať rozvoj a používanie verejnej a bezpečnej európskej služby resolverov DNS.

| (101) | V tejto smernici sa stanovuje viacfázový prístup k oznamovaniu významných incidentov s cieľom nájsť správnu rovnováhu medzi rýchlym oznamovaním na jednej strane, ktoré pomáha zmierniť potenciálne šírenie významných incidentov a umožňuje kľúčovým a dôležitým subjektom hľadať pomoc, a na druhej strane podávaním podrobných správ, ktoré poskytuje cenné ponaučenia z jednotlivých incidentov a časom zlepšuje kybernetickú odolnosť jednotlivých subjektov a celých odvetví. V tejto súvislosti by táto smernica mala zahŕňať oznamovanie incidentov, pri ktorých by sa na základe prvotného posúdenia vykonaného dotknutým subjektom mohlo predpokladať, že by mohli viesť k vážnemu narušeniu prevádzky služieb alebo finančným stratám uvedeného subjektu alebo by mohli zasiahnuť iné fyzické alebo právnické osoby tým, že by im spôsobili značnú majetkovú alebo nemajetkovú ujmu. V takomto prvotnom posúdení by sa mali zohľadniť okrem iného dotknuté siete a informačné systémy, najmä ich význam pri poskytovaní služieb subjektu, závažnosť a technické vlastnosti kybernetickej hrozby a všetky súvisiace zraniteľnosti, ktoré sa využívajú, ako aj skúsenosti subjektu s podobnými incidentmi. Ukazovatele, ako je rozsah, v akom je zasiahnuté fungovanie služby, trvanie incidentu alebo počet zasiahnutých príjemcov služieb, by mohli zohrávať dôležitú úlohu pri určovaní toho, či je narušenie prevádzky služby závažné. |
| --- | --- |

(101)

V tejto smernici sa stanovuje viacfázový prístup k oznamovaniu významných incidentov s cieľom nájsť správnu rovnováhu medzi rýchlym oznamovaním na jednej strane, ktoré pomáha zmierniť potenciálne šírenie významných incidentov a umožňuje kľúčovým a dôležitým subjektom hľadať pomoc, a na druhej strane podávaním podrobných správ, ktoré poskytuje cenné ponaučenia z jednotlivých incidentov a časom zlepšuje kybernetickú odolnosť jednotlivých subjektov a celých odvetví. V tejto súvislosti by táto smernica mala zahŕňať oznamovanie incidentov, pri ktorých by sa na základe prvotného posúdenia vykonaného dotknutým subjektom mohlo predpokladať, že by mohli viesť k vážnemu narušeniu prevádzky služieb alebo finančným stratám uvedeného subjektu alebo by mohli zasiahnuť iné fyzické alebo právnické osoby tým, že by im spôsobili značnú majetkovú alebo nemajetkovú ujmu. V takomto prvotnom posúdení by sa mali zohľadniť okrem iného dotknuté siete a informačné systémy, najmä ich význam pri poskytovaní služieb subjektu, závažnosť a technické vlastnosti kybernetickej hrozby a všetky súvisiace zraniteľnosti, ktoré sa využívajú, ako aj skúsenosti subjektu s podobnými incidentmi. Ukazovatele, ako je rozsah, v akom je zasiahnuté fungovanie služby, trvanie incidentu alebo počet zasiahnutých príjemcov služieb, by mohli zohrávať dôležitú úlohu pri určovaní toho, či je narušenie prevádzky služby závažné.

| (102) | Keď sa kľúčové alebo dôležité subjekty dozvedia o významnom incidente, mali by byť povinné vyhlásiť včasné varovanie bezodkladne a v každom prípade do 24 hodín. Po uvedenom včasnom varovaní by malo nasledovať oznámenie o incidente. Dotknuté subjekty by mali nahlásiť incident bezodkladne a v každom prípade do 72 hodín po tom, ako sa dozvedia o významnom incidente, najmä za účelom aktualizácie informácií poskytnutých vo včasnom varovaní a s uvedením prvotného hodnotenia významného incidentu, vrátane jeho závažnosti a vplyvu, ako aj prípadných ukazovateľov narušenia. Záverečná správa by sa mala zaslať najneskôr jeden mesiac po nahlásení incidentu. Včasné varovanie by malo obsahovať len tie informácie, ktoré sú potrebné na oznámenie významného incidentu jednotke CSIRT, prípadne príslušnému orgánu, a na základe ktorých môže dotknutý subjekt v prípade potreby požiadať o pomoc. V takomto včasnom varovaní by sa malo uviesť prípadné podozrenie, či bol významný incident spôsobený konaním, ktoré je nezákonné alebo so zlým úmyslom, a či môže mať cezhraničný dosah. Členské štáty by mali zabezpečiť, aby povinnosť zaslať uvedené včasné varovanie alebo následné oznámenie o incidente neodvádzala zdroje oznamujúceho subjektu od činností súvisiacich s riešením incidentu, ktoré by mali mať prednosť, aby pre povinnosť oznámiť incident nedochádzalo k odvádzaniu zdrojov od riešenia reakcie na významné incidenty alebo k inému ohrozeniu úsilia subjektu v uvedenej súvislosti. Ak v čase zaslania záverečnej správy incident ešte prebieha, členské štáty ba mali zabezpečiť, aby dotknuté subjekty v uvedenom čase poskytli priebežnú správu a záverečnú správu vypracovali do jedného mesiaca odo dňa, keď významný incident vyriešili. |
| --- | --- |

(102)

Keď sa kľúčové alebo dôležité subjekty dozvedia o významnom incidente, mali by byť povinné vyhlásiť včasné varovanie bezodkladne a v každom prípade do 24 hodín. Po uvedenom včasnom varovaní by malo nasledovať oznámenie o incidente. Dotknuté subjekty by mali nahlásiť incident bezodkladne a v každom prípade do 72 hodín po tom, ako sa dozvedia o významnom incidente, najmä za účelom aktualizácie informácií poskytnutých vo včasnom varovaní a s uvedením prvotného hodnotenia významného incidentu, vrátane jeho závažnosti a vplyvu, ako aj prípadných ukazovateľov narušenia. Záverečná správa by sa mala zaslať najneskôr jeden mesiac po nahlásení incidentu. Včasné varovanie by malo obsahovať len tie informácie, ktoré sú potrebné na oznámenie významného incidentu jednotke CSIRT, prípadne príslušnému orgánu, a na základe ktorých môže dotknutý subjekt v prípade potreby požiadať o pomoc. V takomto včasnom varovaní by sa malo uviesť prípadné podozrenie, či bol významný incident spôsobený konaním, ktoré je nezákonné alebo so zlým úmyslom, a či môže mať cezhraničný dosah. Členské štáty by mali zabezpečiť, aby povinnosť zaslať uvedené včasné varovanie alebo následné oznámenie o incidente neodvádzala zdroje oznamujúceho subjektu od činností súvisiacich s riešením incidentu, ktoré by mali mať prednosť, aby pre povinnosť oznámiť incident nedochádzalo k odvádzaniu zdrojov od riešenia reakcie na významné incidenty alebo k inému ohrozeniu úsilia subjektu v uvedenej súvislosti. Ak v čase zaslania záverečnej správy incident ešte prebieha, členské štáty ba mali zabezpečiť, aby dotknuté subjekty v uvedenom čase poskytli priebežnú správu a záverečnú správu vypracovali do jedného mesiaca odo dňa, keď významný incident vyriešili.

| (103) | V prípade potreby by kľúčové a dôležité subjekty mali bez zbytočného odkladu informovať príjemcov svojich služieb o akýchkoľvek opatreniach alebo prostriedkoch nápravy, ktoré môžu prijať na zmiernenie rizík vyplývajúcich z významnej kybernetickej hrozby. Uvedené subjekty by mali tiež v prípade potreby, a najmä ak je pravdepodobné, že významná kybernetická hrozba sa naplní, informovať príjemcov svojich služieb aj o samotnej hrozbe. Požiadavka informovať týchto príjemcov o významných kybernetických hrozbách by sa mala splniť s vynaložením maximálneho úsilia, ale nemala by uvedené subjekty zbaviť povinnosti na vlastné náklady prijať vhodné a okamžité opatrenia na prevenciu alebo odstránenie akýchkoľvek takýchto hrozieb a obnovenie bežnej úrovne bezpečnosti služby. Takéto informácie o významných kybernetických hrozbách by sa mali príjemcom služieb poskytovať bezplatne a mali by byť formulované v ľahko zrozumiteľnom jazyku. |
| --- | --- |

(103)

V prípade potreby by kľúčové a dôležité subjekty mali bez zbytočného odkladu informovať príjemcov svojich služieb o akýchkoľvek opatreniach alebo prostriedkoch nápravy, ktoré môžu prijať na zmiernenie rizík vyplývajúcich z významnej kybernetickej hrozby. Uvedené subjekty by mali tiež v prípade potreby, a najmä ak je pravdepodobné, že významná kybernetická hrozba sa naplní, informovať príjemcov svojich služieb aj o samotnej hrozbe. Požiadavka informovať týchto príjemcov o významných kybernetických hrozbách by sa mala splniť s vynaložením maximálneho úsilia, ale nemala by uvedené subjekty zbaviť povinnosti na vlastné náklady prijať vhodné a okamžité opatrenia na prevenciu alebo odstránenie akýchkoľvek takýchto hrozieb a obnovenie bežnej úrovne bezpečnosti služby. Takéto informácie o významných kybernetických hrozbách by sa mali príjemcom služieb poskytovať bezplatne a mali by byť formulované v ľahko zrozumiteľnom jazyku.

| (104) | Poskytovatelia verejných elektronických komunikačných sietí alebo verejne dostupných elektronických komunikačných služieb by mali uplatňovať špecificky navrhnutú a štandardnú bezpečnosť a informovať príjemcov svojich služieb o významných kybernetických hrozbách a o opatreniach, ktoré môžu prijať na ochranu bezpečnosti svojich zariadení a svojej komunikácie, napríklad použitím určitých typov softvéru alebo šifrovacích technológií. |
| --- | --- |

(104)

Poskytovatelia verejných elektronických komunikačných sietí alebo verejne dostupných elektronických komunikačných služieb by mali uplatňovať špecificky navrhnutú a štandardnú bezpečnosť a informovať príjemcov svojich služieb o významných kybernetických hrozbách a o opatreniach, ktoré môžu prijať na ochranu bezpečnosti svojich zariadení a svojej komunikácie, napríklad použitím určitých typov softvéru alebo šifrovacích technológií.

| (105) | Aktívny prístup ku kybernetickým hrozbám je základnou súčasťou riadenia rizík kybernetickej bezpečnosti, ktoré by malo príslušným orgánom umožniť účinne zabrániť tomu, aby sa z kybernetických hrozieb stali incidenty, ktoré by mohli spôsobiť značnú materiálnu alebo nemateriálnu ujmu. Preto je oznamovanie kybernetických hrozieb mimoriadne dôležité. Na uvedený účel sa subjektom odporúča, aby kybernetické hrozby oznamovali dobrovoľne. |
| --- | --- |

(105)

Aktívny prístup ku kybernetickým hrozbám je základnou súčasťou riadenia rizík kybernetickej bezpečnosti, ktoré by malo príslušným orgánom umožniť účinne zabrániť tomu, aby sa z kybernetických hrozieb stali incidenty, ktoré by mohli spôsobiť značnú materiálnu alebo nemateriálnu ujmu. Preto je oznamovanie kybernetických hrozieb mimoriadne dôležité. Na uvedený účel sa subjektom odporúča, aby kybernetické hrozby oznamovali dobrovoľne.

| (106) | S cieľom zjednodušiť oznamovanie informácií požadovaných podľa tejto smernice, ako aj znížiť administratívnu záťaž pre subjekty, členské štáty by na poskytovanie relevantných informácií, ktoré sa majú oznamovať, mali poskytnúť technické prostriedky ako jednotný kontaktné miesto, automatizované systémy, online formuláre, ľahko použiteľné rozhrania, šablóny, špecializované platformy na použitie pre subjekty, bez ohľadu na to, či patria do rozsahu pôsobnosti tejto smernice. Financovanie Únie na podporu vykonávanie tejto smernice, najmä v rámci programu Digitálna Európa zriadeného nariadením Európskeho parlamentu a Rady (EÚ) 2021/694 (21), by mohlo zahŕňať podporu jednotných kontaktných miest. Navyše subjekty sa často nachádzajú v situácii, keď sa konkrétny incident z dôvodu jeho charakteristík musí oznámiť rôznym orgánom v dôsledku oznamovacej povinnosti zahrnutej v rôznych právnych nástrojoch. Takéto prípady vytvárajú dodatočnú administratívnu záťaž a mohli by viesť aj k nejasnostiam, pokiaľ ide o formát a postupy takéhoto oznamovania. Ak je zriadené jednotné kontaktné miesto, členským štátom sa odporúča, aby toto jednotné kontaktné miesto používali aj na oznamovanie bezpečnostných incidentov, ktoré sa vyžaduje podľa iných právnych predpisov Únie, než je nariadenie (EÚ) 2016/679 a smernica 2002/58/ES. Používanie takéhoto jednotného kontaktného miesta na oznamovanie bezpečnostných incidentov podľa nariadenia (EÚ) 2016/679 a smernice 2002/58/ES by nemalo mať vplyv na uplatňovanie ustanovení nariadenia (EÚ) 2016/679 a smernice 2002/58/ES, najmä nie na uplatňovanie ustanovení o nezávislosti orgánov v nich uvedených. Agentúra ENISA v spolupráci so skupinou pre spoluprácu by mala vypracovať spoločné vzorové formuláre oznámení prostredníctvom usmernení na zjednodušenie a zefektívnenie poskytovania informácií, ktoré sa majú oznamovať podľa práva Únie, a na zníženie administratívnej záťaže pre oznamujúce subjekty. |
| --- | --- |

(106)

S cieľom zjednodušiť oznamovanie informácií požadovaných podľa tejto smernice, ako aj znížiť administratívnu záťaž pre subjekty, členské štáty by na poskytovanie relevantných informácií, ktoré sa majú oznamovať, mali poskytnúť technické prostriedky ako jednotný kontaktné miesto, automatizované systémy, online formuláre, ľahko použiteľné rozhrania, šablóny, špecializované platformy na použitie pre subjekty, bez ohľadu na to, či patria do rozsahu pôsobnosti tejto smernice. Financovanie Únie na podporu vykonávanie tejto smernice, najmä v rámci programu Digitálna Európa zriadeného nariadením Európskeho parlamentu a Rady (EÚ) 2021/694 (21), by mohlo zahŕňať podporu jednotných kontaktných miest. Navyše subjekty sa často nachádzajú v situácii, keď sa konkrétny incident z dôvodu jeho charakteristík musí oznámiť rôznym orgánom v dôsledku oznamovacej povinnosti zahrnutej v rôznych právnych nástrojoch. Takéto prípady vytvárajú dodatočnú administratívnu záťaž a mohli by viesť aj k nejasnostiam, pokiaľ ide o formát a postupy takéhoto oznamovania. Ak je zriadené jednotné kontaktné miesto, členským štátom sa odporúča, aby toto jednotné kontaktné miesto používali aj na oznamovanie bezpečnostných incidentov, ktoré sa vyžaduje podľa iných právnych predpisov Únie, než je nariadenie (EÚ) 2016/679 a smernica 2002/58/ES. Používanie takéhoto jednotného kontaktného miesta na oznamovanie bezpečnostných incidentov podľa nariadenia (EÚ) 2016/679 a smernice 2002/58/ES by nemalo mať vplyv na uplatňovanie ustanovení nariadenia (EÚ) 2016/679 a smernice 2002/58/ES, najmä nie na uplatňovanie ustanovení o nezávislosti orgánov v nich uvedených. Agentúra ENISA v spolupráci so skupinou pre spoluprácu by mala vypracovať spoločné vzorové formuláre oznámení prostredníctvom usmernení na zjednodušenie a zefektívnenie poskytovania informácií, ktoré sa majú oznamovať podľa práva Únie, a na zníženie administratívnej záťaže pre oznamujúce subjekty.

| (107) | Ak existuje podozrenie, že incident súvisí so závažnou trestnou činnosťou podľa práva Únie alebo vnútroštátneho práva, členské štáty by mali nabádať kľúčové a dôležité subjekty na základe platných pravidiel trestného konania v súlade s právom Únie, aby príslušným orgánom presadzovania práva oznamovali incidenty, pri ktorých existuje podozrenie o ich súvise so závažnou trestnou činnosťou. V prípade potreby a bez toho, aby boli dotknuté pravidlá ochrany osobných údajov, ktoré sa vzťahujú na Europol, je žiaduce, aby Európske centrum boja proti počítačovej kriminalite (EC3) a agentúra ENISA uľahčili koordináciu medzi príslušnými orgánmi a orgánmi presadzovania práva jednotlivých členských štátov. |
| --- | --- |

(107)

Ak existuje podozrenie, že incident súvisí so závažnou trestnou činnosťou podľa práva Únie alebo vnútroštátneho práva, členské štáty by mali nabádať kľúčové a dôležité subjekty na základe platných pravidiel trestného konania v súlade s právom Únie, aby príslušným orgánom presadzovania práva oznamovali incidenty, pri ktorých existuje podozrenie o ich súvise so závažnou trestnou činnosťou. V prípade potreby a bez toho, aby boli dotknuté pravidlá ochrany osobných údajov, ktoré sa vzťahujú na Europol, je žiaduce, aby Európske centrum boja proti počítačovej kriminalite (EC3) a agentúra ENISA uľahčili koordináciu medzi príslušnými orgánmi a orgánmi presadzovania práva jednotlivých členských štátov.

| (108) | V dôsledku incidentov je v mnohých prípadoch ohrozená ochrana osobných údajov. V uvedenej súvislosti by príslušné orgány mali spolupracovať a vymieňať si informácie o všetkých relevantných záležitostiach s orgánmi uvedenými v nariadení (EÚ) 2016/679 a smernici 2002/58/ES. |
| --- | --- |

(108)

V dôsledku incidentov je v mnohých prípadoch ohrozená ochrana osobných údajov. V uvedenej súvislosti by príslušné orgány mali spolupracovať a vymieňať si informácie o všetkých relevantných záležitostiach s orgánmi uvedenými v nariadení (EÚ) 2016/679 a smernici 2002/58/ES.

| (109) | Udržiavanie presných a úplných databáz registračných údajov názvov domén (údaje WHOIS) a poskytovanie zákonného prístupu k takýmto údajom je nevyhnutné na zaistenie bezpečnosti, stability a odolnosti DNS, čo zase prispieva k vysokej spoločnej úrovni kybernetickej bezpečnosti v celej Únii. Na tento konkrétny účel by sa od registrov názvov TLD a subjektov poskytujúcich služby registrácie názvov domén malo vyžadovať spracovanie určitých údajov potrebných na dosiahnutie uvedeného účelu. Takéto spracovanie by malo byť zo zákona povinné v zmysle článku 6 ods. 1 písm. c) nariadenia (EÚ) 2016/679. Uvedenou povinnosťou nie je dotknutá možnosť zhromažďovať registračné údaje názvov domén na iné účely, napríklad na základe zmluvných dojednaní alebo právnych požiadaviek ustanovených v iných právnych predpisoch Únie alebo členských štátov. Cieľom uvedenej povinnosti je získať úplný a presný súbor registračných údajov a nemala by viesť k opakovanému zberu tých istých údajov. Na zamedzenie duplicity uvedenej úlohy by registre názvov TLD a subjekty poskytujúce služby registrácie názvov domén mali navzájom spolupracovať. |
| --- | --- |

(109)

Udržiavanie presných a úplných databáz registračných údajov názvov domén (údaje WHOIS) a poskytovanie zákonného prístupu k takýmto údajom je nevyhnutné na zaistenie bezpečnosti, stability a odolnosti DNS, čo zase prispieva k vysokej spoločnej úrovni kybernetickej bezpečnosti v celej Únii. Na tento konkrétny účel by sa od registrov názvov TLD a subjektov poskytujúcich služby registrácie názvov domén malo vyžadovať spracovanie určitých údajov potrebných na dosiahnutie uvedeného účelu. Takéto spracovanie by malo byť zo zákona povinné v zmysle článku 6 ods. 1 písm. c) nariadenia (EÚ) 2016/679. Uvedenou povinnosťou nie je dotknutá možnosť zhromažďovať registračné údaje názvov domén na iné účely, napríklad na základe zmluvných dojednaní alebo právnych požiadaviek ustanovených v iných právnych predpisoch Únie alebo členských štátov. Cieľom uvedenej povinnosti je získať úplný a presný súbor registračných údajov a nemala by viesť k opakovanému zberu tých istých údajov. Na zamedzenie duplicity uvedenej úlohy by registre názvov TLD a subjekty poskytujúce služby registrácie názvov domén mali navzájom spolupracovať.

| (110) | Dostupnosť a včasná prístupnosť registračných údajov názvov domén pre legitímnych žiadateľov o prístup je nevyhnutná na prevenciu a boj proti zneužívaniu DNS a na prevenciu a odhaľovanie incidentov a na reakciu na ne. Legitímnymi žiadateľmi o prístup sa rozumie akákoľvek fyzická alebo právnická osoba, ktorá podala žiadosť podľa práva Únie alebo vnútroštátneho práva. Môžu k nim patriť orgány, ktoré sú príslušné podľa tejto smernice, a orgány, ktoré sú podľa práva Únie alebo vnútroštátneho práva príslušné na prevenciu, vyšetrovanie, odhaľovanie alebo stíhanie trestných činov a jednotky CERT alebo CSIRT. Od registrov názvov TLD a subjektov poskytujúcich služby registrácie názvov domén by sa malo vyžadovať, aby legitímnym žiadateľom o prístup ku konkrétnym údajom o registrácii názvov domén, ktoré sú potrebné na účely žiadosti o prístup, umožnili zákonný prístup v súlade s právom Únie a členského štátu. K žiadosti oprávnených žiadateľov o prístup by malo byť pripojené odôvodnenie, ktoré umožní posúdiť potrebu prístupu k údajom. |
| --- | --- |

(110)

Dostupnosť a včasná prístupnosť registračných údajov názvov domén pre legitímnych žiadateľov o prístup je nevyhnutná na prevenciu a boj proti zneužívaniu DNS a na prevenciu a odhaľovanie incidentov a na reakciu na ne. Legitímnymi žiadateľmi o prístup sa rozumie akákoľvek fyzická alebo právnická osoba, ktorá podala žiadosť podľa práva Únie alebo vnútroštátneho práva. Môžu k nim patriť orgány, ktoré sú príslušné podľa tejto smernice, a orgány, ktoré sú podľa práva Únie alebo vnútroštátneho práva príslušné na prevenciu, vyšetrovanie, odhaľovanie alebo stíhanie trestných činov a jednotky CERT alebo CSIRT. Od registrov názvov TLD a subjektov poskytujúcich služby registrácie názvov domén by sa malo vyžadovať, aby legitímnym žiadateľom o prístup ku konkrétnym údajom o registrácii názvov domén, ktoré sú potrebné na účely žiadosti o prístup, umožnili zákonný prístup v súlade s právom Únie a členského štátu. K žiadosti oprávnených žiadateľov o prístup by malo byť pripojené odôvodnenie, ktoré umožní posúdiť potrebu prístupu k údajom.

| (111) | S cieľom zabezpečiť dostupnosť presných a úplných registračných údajov názvov domén by správcovia registrov názvov TLD a subjekty poskytujúce služby registrácie názvov domén mali zhromažďovať registračné údaje názvov domén a zaručovať ich integritu a dostupnosť. Správcovia registrov názvov TLD a subjekty poskytujúce služby registrácie názvov domén by mali najmä stanoviť politiky a postupy zhromažďovania a uchovávania presných a úplných registračných údajov názvov domén, ako aj predchádzania nepresným registračným údajom a ich opravy, v súlade s právom Únie v oblasti ochrany údajov. Uvedené politiky a postupy by mali v rámci možností zohľadňovať normy vypracované štruktúrami riadenia so zapojením viacerých zainteresovaných strán na medzinárodnej úrovni. Registre názvov TLD a subjekty poskytujúce služby registrácie názvov domén by mali prijať a zaviesť primerané postupy na overovanie registračných údajov názvov domén. Uvedené postupy by mali odzrkadľovať najlepšie postupy používané v tejto oblasti a v rámci možností aj pokrok v oblasti elektronickej identifikácie. K príkladom overovacích postupov môžu patriť kontroly ex ante vykonávané v čase registrácie a kontroly ex post vykonávané po registrácii. Registre názvov TLD a subjekty poskytujúce služby registrácie názvov domén by mali najmä overovať aspoň jednu možnosť kontaktu žiadateľa o registráciu. |
| --- | --- |

(111)

S cieľom zabezpečiť dostupnosť presných a úplných registračných údajov názvov domén by správcovia registrov názvov TLD a subjekty poskytujúce služby registrácie názvov domén mali zhromažďovať registračné údaje názvov domén a zaručovať ich integritu a dostupnosť. Správcovia registrov názvov TLD a subjekty poskytujúce služby registrácie názvov domén by mali najmä stanoviť politiky a postupy zhromažďovania a uchovávania presných a úplných registračných údajov názvov domén, ako aj predchádzania nepresným registračným údajom a ich opravy, v súlade s právom Únie v oblasti ochrany údajov. Uvedené politiky a postupy by mali v rámci možností zohľadňovať normy vypracované štruktúrami riadenia so zapojením viacerých zainteresovaných strán na medzinárodnej úrovni. Registre názvov TLD a subjekty poskytujúce služby registrácie názvov domén by mali prijať a zaviesť primerané postupy na overovanie registračných údajov názvov domén. Uvedené postupy by mali odzrkadľovať najlepšie postupy používané v tejto oblasti a v rámci možností aj pokrok v oblasti elektronickej identifikácie. K príkladom overovacích postupov môžu patriť kontroly ex ante vykonávané v čase registrácie a kontroly ex post vykonávané po registrácii. Registre názvov TLD a subjekty poskytujúce služby registrácie názvov domén by mali najmä overovať aspoň jednu možnosť kontaktu žiadateľa o registráciu.

| (112) | Od registrov názvov TLD a subjektov poskytujúcich služby registrácie názvov domén, by sa v súlade s úvodnými ustanoveniami nariadenia (EÚ) 2016/679 malo požadovať, aby zverejňovali registračné údaje názvov domén, ktoré nepatria do rozsahu pôsobnosti práva Únie v oblasti ochrany údajov, ako sú údaje o právnických osobách. V prípade právnických osôb by registre názvov TLD a subjekty poskytujúce služby registrácie názvov domén mali verejne sprístupniť aspoň meno/názov žiadateľa o registráciu a kontaktné telefónne číslo. Zverejnená by mala byť aj kontaktná e-mailová adresa, ak neobsahuje osobné údaje, ako je to v prípade použitia e-mailových aliasov alebo funkčných účtov. Registre názvov TLD a subjekty poskytujúce služby registrácie názvov domén by oprávneným záujemcom o prístup mali tiež umožniť zákonný prístup k špecifickým registračným údajom názvov domén týkajúcich sa fyzických osôb podľa práva Únie v oblasti ochrany údajov. Členské štáty by mali vyžadovať, aby registre názvov TLD a subjekty poskytujúce služby registrácie názvov domén bez zbytočného odkladu reagovali na žiadosti o sprístupnenie registračných údajov názvov domén od oprávnených žiadateľov o prístup. Registre názvov TLD a subjekty poskytujúce služby registrácie názvov domén by na vybavovanie žiadostí o sprístupnenie od oprávnených žiadateľov o prístup mali stanoviť politiky a postupy zverejňovania a sprístupňovania registračných údajov vrátane dohôd o úrovni poskytovaných služieb. Uvedené politiky a postupy by mali v rámci možností zohľadňovať všetky usmernenia a normy vypracované štruktúrami riadenia so zapojením viacerých zainteresovaných strán na medzinárodnej úrovni. Súčasťou postupu sprístupnenia by mohlo byť aj použitie rozhrania, portálu alebo iného technického nástroja na zabezpečenie účinného systému na podávanie žiadostí o poskytnutie registračných údajov a prístupu k nim. Na podporu harmonizovaného postupu na celom vnútornom trhu môže Komisia bez toho, aby boli dotknuté právomoci Európskeho výboru pre ochranu údajov, poskytovať usmernenia o takýchto postupoch, ktoré pokiaľ možno zohľadnia normy vypracované viacstrannými riadiacimi štruktúrami na medzinárodnej úrovni. Členské štáty by mali zabezpečiť, aby všetky druhy prístupu k osobným a iným ako osobným registračným údajom názvov domén boli bezplatné. |
| --- | --- |

(112)

Od registrov názvov TLD a subjektov poskytujúcich služby registrácie názvov domén, by sa v súlade s úvodnými ustanoveniami nariadenia (EÚ) 2016/679 malo požadovať, aby zverejňovali registračné údaje názvov domén, ktoré nepatria do rozsahu pôsobnosti práva Únie v oblasti ochrany údajov, ako sú údaje o právnických osobách. V prípade právnických osôb by registre názvov TLD a subjekty poskytujúce služby registrácie názvov domén mali verejne sprístupniť aspoň meno/názov žiadateľa o registráciu a kontaktné telefónne číslo. Zverejnená by mala byť aj kontaktná e-mailová adresa, ak neobsahuje osobné údaje, ako je to v prípade použitia e-mailových aliasov alebo funkčných účtov. Registre názvov TLD a subjekty poskytujúce služby registrácie názvov domén by oprávneným záujemcom o prístup mali tiež umožniť zákonný prístup k špecifickým registračným údajom názvov domén týkajúcich sa fyzických osôb podľa práva Únie v oblasti ochrany údajov. Členské štáty by mali vyžadovať, aby registre názvov TLD a subjekty poskytujúce služby registrácie názvov domén bez zbytočného odkladu reagovali na žiadosti o sprístupnenie registračných údajov názvov domén od oprávnených žiadateľov o prístup. Registre názvov TLD a subjekty poskytujúce služby registrácie názvov domén by na vybavovanie žiadostí o sprístupnenie od oprávnených žiadateľov o prístup mali stanoviť politiky a postupy zverejňovania a sprístupňovania registračných údajov vrátane dohôd o úrovni poskytovaných služieb. Uvedené politiky a postupy by mali v rámci možností zohľadňovať všetky usmernenia a normy vypracované štruktúrami riadenia so zapojením viacerých zainteresovaných strán na medzinárodnej úrovni. Súčasťou postupu sprístupnenia by mohlo byť aj použitie rozhrania, portálu alebo iného technického nástroja na zabezpečenie účinného systému na podávanie žiadostí o poskytnutie registračných údajov a prístupu k nim. Na podporu harmonizovaného postupu na celom vnútornom trhu môže Komisia bez toho, aby boli dotknuté právomoci Európskeho výboru pre ochranu údajov, poskytovať usmernenia o takýchto postupoch, ktoré pokiaľ možno zohľadnia normy vypracované viacstrannými riadiacimi štruktúrami na medzinárodnej úrovni. Členské štáty by mali zabezpečiť, aby všetky druhy prístupu k osobným a iným ako osobným registračným údajom názvov domén boli bezplatné.

| (113) | Subjekty patriace do rozsahu pôsobnosti tejto smernice by sa mali považovať za subjekty podliehajúce právomoci členského štátu, v ktorom sú usadené. Poskytovatelia verejných elektronických komunikačných sietí alebo poskytovatelia verejne dostupných elektronických komunikačných služieb by sa však mali považovať za poskytovateľov podliehajúcich právomoci členského štátu, v ktorom poskytujú služby. Poskytovatelia služieb DNS, správcovia názvov TLD, subjekty, ktoré poskytujú služby registrácie názvov domén pre TLD, poskytovatelia služieb cloud computingu, poskytovatelia služieb dátových centier, poskytovatelia sietí na sprístupňovanie obsahu, poskytovatelia riadených služieb, poskytovatelia riadených bezpečnostných služieb, ako aj o poskytovatelia online trhov, internetových vyhľadávačov a platforiem služieb sociálnych sietí by mali byť považovaní za subjekty podliehajúce právomoci toho členského štátu, v ktorom majú hlavnú prevádzkareň v Únii. Subjekty verejnej správy by mali podliehať právomoci členského štátu, v ktorom sú usadené. Ak subjekt poskytuje služby alebo je usadený vo viac ako jednom členskom štáte, mal by podliehať samostatnej a súbežnej právomoci každého z týchto členských štátov. Príslušné orgány uvedených členských štátov by mali spolupracovať, vzájomne si pomáhať a v prípade potreby vykonávať spoločné opatrenia dohľadu. Ak členské štáty vykonávajú právomoc, podľa zásady ne bis in idem by nemali ukladať opatrenia presadzovania práva alebo sankcie za rovnaké počínanie viac ako raz. |
| --- | --- |

(113)

Subjekty patriace do rozsahu pôsobnosti tejto smernice by sa mali považovať za subjekty podliehajúce právomoci členského štátu, v ktorom sú usadené. Poskytovatelia verejných elektronických komunikačných sietí alebo poskytovatelia verejne dostupných elektronických komunikačných služieb by sa však mali považovať za poskytovateľov podliehajúcich právomoci členského štátu, v ktorom poskytujú služby. Poskytovatelia služieb DNS, správcovia názvov TLD, subjekty, ktoré poskytujú služby registrácie názvov domén pre TLD, poskytovatelia služieb cloud computingu, poskytovatelia služieb dátových centier, poskytovatelia sietí na sprístupňovanie obsahu, poskytovatelia riadených služieb, poskytovatelia riadených bezpečnostných služieb, ako aj o poskytovatelia online trhov, internetových vyhľadávačov a platforiem služieb sociálnych sietí by mali byť považovaní za subjekty podliehajúce právomoci toho členského štátu, v ktorom majú hlavnú prevádzkareň v Únii. Subjekty verejnej správy by mali podliehať právomoci členského štátu, v ktorom sú usadené. Ak subjekt poskytuje služby alebo je usadený vo viac ako jednom členskom štáte, mal by podliehať samostatnej a súbežnej právomoci každého z týchto členských štátov. Príslušné orgány uvedených členských štátov by mali spolupracovať, vzájomne si pomáhať a v prípade potreby vykonávať spoločné opatrenia dohľadu. Ak členské štáty vykonávajú právomoc, podľa zásady ne bis in idem by nemali ukladať opatrenia presadzovania práva alebo sankcie za rovnaké počínanie viac ako raz.

| (114) | S cieľom zohľadniť cezhraničnú povahu služieb a operácií poskytovateľov služieb DNS, registrov názvov TLD by subjekty poskytujúce služby registrácie názvov domén, poskytovatelia služieb cloud computingu, poskytovatelia služieb dátových centier, poskytovatelia sietí na sprístupňovanie obsahu, poskytovatelia riadených služieb, poskytovatelia riadených bezpečnostných služieb, ako aj o poskytovatelia online trhov, internetových vyhľadávačov a platforiem služieb sociálnych sietí mali podliehať právomoci iba jedného členského štátu. Právomoc by mal mať ten členský štát, v ktorom má dotknutý subjekt hlavnú prevádzkareň v Únii. Z kritéria prevádzkarne na účely tejto smernice vyplýva skutočné vykonávanie činnosti na základe stabilných dojednaní. Právna forma takýchto dojednaní, či už ide o pobočku alebo dcérsku spoločnosť s právnou subjektivitou, nie je v tomto ohľade určujúcim faktorom. Splnenie uvedeného kritéria by nemalo závisieť od toho, či sa sieť a informačné systémy fyzicky nachádzajú na danom mieste; samotná prítomnosť a používanie takýchto systémov ako takých nepredstavuje hlavnú prevádzkareň, a preto nejde o rozhodujúce kritérium na určenie hlavnej prevádzkarne. Za hlavnú prevádzkareň by sa mal považovať členský štát, kde sa najčastejšie prijímajú rozhodnutia o opatreniach na riadenie rizík kybernetickej bezpečnosti. Zvyčajne bude zodpovedať miestu ústredia subjektov v Únii. Ak takýto členský štát nemožno určiť alebo ak sa takéto rozhodnutia neprijímajú v Únii, za hlavnú prevádzkareň by sa mal považovať členský štát, v ktorom sa operácie kybernetickej bezpečnosti vykonávajú. Ak takýto členský štát nemožno určiť, za hlavnú prevádzkareň by sa mal považovať členský štát, v ktorom má subjekt prevádzkareň s najvyšším počtom zamestnancov v Únii. Ak služby vykonáva skupina podnikov, hlavná prevádzkareň riadiaceho podniku by sa mala považovať za hlavnú prevádzkareň skupiny podnikov. |
| --- | --- |

(114)

S cieľom zohľadniť cezhraničnú povahu služieb a operácií poskytovateľov služieb DNS, registrov názvov TLD by subjekty poskytujúce služby registrácie názvov domén, poskytovatelia služieb cloud computingu, poskytovatelia služieb dátových centier, poskytovatelia sietí na sprístupňovanie obsahu, poskytovatelia riadených služieb, poskytovatelia riadených bezpečnostných služieb, ako aj o poskytovatelia online trhov, internetových vyhľadávačov a platforiem služieb sociálnych sietí mali podliehať právomoci iba jedného členského štátu. Právomoc by mal mať ten členský štát, v ktorom má dotknutý subjekt hlavnú prevádzkareň v Únii. Z kritéria prevádzkarne na účely tejto smernice vyplýva skutočné vykonávanie činnosti na základe stabilných dojednaní. Právna forma takýchto dojednaní, či už ide o pobočku alebo dcérsku spoločnosť s právnou subjektivitou, nie je v tomto ohľade určujúcim faktorom. Splnenie uvedeného kritéria by nemalo závisieť od toho, či sa sieť a informačné systémy fyzicky nachádzajú na danom mieste; samotná prítomnosť a používanie takýchto systémov ako takých nepredstavuje hlavnú prevádzkareň, a preto nejde o rozhodujúce kritérium na určenie hlavnej prevádzkarne. Za hlavnú prevádzkareň by sa mal považovať členský štát, kde sa najčastejšie prijímajú rozhodnutia o opatreniach na riadenie rizík kybernetickej bezpečnosti. Zvyčajne bude zodpovedať miestu ústredia subjektov v Únii. Ak takýto členský štát nemožno určiť alebo ak sa takéto rozhodnutia neprijímajú v Únii, za hlavnú prevádzkareň by sa mal považovať členský štát, v ktorom sa operácie kybernetickej bezpečnosti vykonávajú. Ak takýto členský štát nemožno určiť, za hlavnú prevádzkareň by sa mal považovať členský štát, v ktorom má subjekt prevádzkareň s najvyšším počtom zamestnancov v Únii. Ak služby vykonáva skupina podnikov, hlavná prevádzkareň riadiaceho podniku by sa mala považovať za hlavnú prevádzkareň skupiny podnikov.

| (115) | Ak verejne dostupnú rekurzívnu službu DNS poskytuje poskytovateľ verejných elektronických komunikačných sietí alebo verejne dostupných elektronických komunikačných služieb len ako súčasť služby prístupu na internet, subjekt by sa mal považovať za subjekt podliehajúci právomoci všetkých členských štátov, v ktorých sa jeho služby poskytujú. |
| --- | --- |

(115)

Ak verejne dostupnú rekurzívnu službu DNS poskytuje poskytovateľ verejných elektronických komunikačných sietí alebo verejne dostupných elektronických komunikačných služieb len ako súčasť služby prístupu na internet, subjekt by sa mal považovať za subjekt podliehajúci právomoci všetkých členských štátov, v ktorých sa jeho služby poskytujú.

| (116) | Ak poskytovateľ služieb DNS, register názvov TLD, subjekt, ktorý poskytuje služby registrácie názvov domén, poskytovateľ služieb cloud computingu, poskytovateľ služieb dátového centra, poskytovateľ sietí na sprístupňovanie obsahu, poskytovateľ riadených služieb, poskytovateľ riadených bezpečnostných služieb alebo poskytovateľ online trhu, internetového vyhľadávača a platformy služieb sociálnych sietí, ktorý nie je usadený v Únii a v Únii poskytuje služby, mal by určiť v Únii zástupcu. Aby bolo možné určiť, či takýto subjekt poskytuje služby v Únii, malo by sa zistiť, či daný subjekt mieni poskytovať služby osobám v jednom alebo vo viacerých členských štátoch. Samotná dostupnosť webového sídla subjektu alebo jeho sprostredkovateľa v Únii alebo e-mailovej adresy alebo iných kontaktných údajov alebo použitie jazyka, ktorý sa všeobecne používa v tretej krajine, v ktorej je subjekt usadený, by sa na potvrdenie takého úmyslu malo považovať za nedostatočné. Na základe faktorov, ako je používanie jazyka alebo meny bežne používaných v jednom alebo vo viacerých členských štátoch s možnosťou objednania služieb v tomto jazyku alebo zmienka o zákazníkoch alebo používateľoch, ktorí sa nachádzajú v Únii, by však mohlo byť zjavné, že subjekt hodlá poskytovať služby v Únii. Zástupca by mal konať v mene subjektu a príslušné orgány alebo jednotky CSIRT by mali mať možnosť obrátiť sa na neho. Subjekt by mal prostredníctvom písomného mandátu výslovne určiť zástupcu oprávneného konať v mene subjektu v súvislosti s jeho povinnosťami stanovenými v tejto smernici vrátane oznamovania incidentov. |
| --- | --- |

(116)

Ak poskytovateľ služieb DNS, register názvov TLD, subjekt, ktorý poskytuje služby registrácie názvov domén, poskytovateľ služieb cloud computingu, poskytovateľ služieb dátového centra, poskytovateľ sietí na sprístupňovanie obsahu, poskytovateľ riadených služieb, poskytovateľ riadených bezpečnostných služieb alebo poskytovateľ online trhu, internetového vyhľadávača a platformy služieb sociálnych sietí, ktorý nie je usadený v Únii a v Únii poskytuje služby, mal by určiť v Únii zástupcu. Aby bolo možné určiť, či takýto subjekt poskytuje služby v Únii, malo by sa zistiť, či daný subjekt mieni poskytovať služby osobám v jednom alebo vo viacerých členských štátoch. Samotná dostupnosť webového sídla subjektu alebo jeho sprostredkovateľa v Únii alebo e-mailovej adresy alebo iných kontaktných údajov alebo použitie jazyka, ktorý sa všeobecne používa v tretej krajine, v ktorej je subjekt usadený, by sa na potvrdenie takého úmyslu malo považovať za nedostatočné. Na základe faktorov, ako je používanie jazyka alebo meny bežne používaných v jednom alebo vo viacerých členských štátoch s možnosťou objednania služieb v tomto jazyku alebo zmienka o zákazníkoch alebo používateľoch, ktorí sa nachádzajú v Únii, by však mohlo byť zjavné, že subjekt hodlá poskytovať služby v Únii. Zástupca by mal konať v mene subjektu a príslušné orgány alebo jednotky CSIRT by mali mať možnosť obrátiť sa na neho. Subjekt by mal prostredníctvom písomného mandátu výslovne určiť zástupcu oprávneného konať v mene subjektu v súvislosti s jeho povinnosťami stanovenými v tejto smernici vrátane oznamovania incidentov.

| (117) | Na zabezpečenie jednoznačného prehľadu by poskytovatelia služieb DNS, správcovia názvov TLD, subjekty poskytujúce služby registrácie názvov domén pre TLD, poskytovatelia služieb cloud computingu, poskytovatelia služieb dátových centier, poskytovatelia sietí na sprístupňovanie obsahu, poskytovatelia riadených služieb, poskytovatelia riadených bezpečnostných služieb, ako aj o poskytovatelia online trhov, internetových vyhľadávačov a platforiem služieb sociálnych sietí, ktorí poskytujú služby v celej Únii a patria do pôsobnosti tejto smernice, by agentúra ENISA mala zriadiť a viesť register takýchto subjektov na základe informácií poskytnutých členským štátom, prípadne aj prostredníctvom vnútroštátnych mechanizmov zriadených pre subjekty, aby sa registrovali samé. Agentúre ENISA by informácie a všetky ich zmeny mali odovzdávať jednotné kontaktné miesta. Na zabezpečenie presnosti a úplnosti informácií, ktoré sa majú zapísať do uvedeného registra, môžu členské štáty zasielať agentúre ENISA informácie o týchto subjektoch dostupné v ľubovoľných vnútroštátnych registroch. Agentúra ENISA a členské štáty by mali prijať opatrenia na podporu interoperability takýchto registrov a zároveň zabezpečiť ochranu dôverných informácií alebo utajovaných skutočností. Na zaistenie bezpečnosti a dôvernosti sprístupnených informácií a obmedzenie prístupu, uchovávania a prenosu takýchto informácií predpokladaným používateľom by agentúra ENISA mala zaviesť príslušné protokoly na klasifikáciu a riadenie informácií. |
| --- | --- |

(117)

Na zabezpečenie jednoznačného prehľadu by poskytovatelia služieb DNS, správcovia názvov TLD, subjekty poskytujúce služby registrácie názvov domén pre TLD, poskytovatelia služieb cloud computingu, poskytovatelia služieb dátových centier, poskytovatelia sietí na sprístupňovanie obsahu, poskytovatelia riadených služieb, poskytovatelia riadených bezpečnostných služieb, ako aj o poskytovatelia online trhov, internetových vyhľadávačov a platforiem služieb sociálnych sietí, ktorí poskytujú služby v celej Únii a patria do pôsobnosti tejto smernice, by agentúra ENISA mala zriadiť a viesť register takýchto subjektov na základe informácií poskytnutých členským štátom, prípadne aj prostredníctvom vnútroštátnych mechanizmov zriadených pre subjekty, aby sa registrovali samé. Agentúre ENISA by informácie a všetky ich zmeny mali odovzdávať jednotné kontaktné miesta. Na zabezpečenie presnosti a úplnosti informácií, ktoré sa majú zapísať do uvedeného registra, môžu členské štáty zasielať agentúre ENISA informácie o týchto subjektoch dostupné v ľubovoľných vnútroštátnych registroch. Agentúra ENISA a členské štáty by mali prijať opatrenia na podporu interoperability takýchto registrov a zároveň zabezpečiť ochranu dôverných informácií alebo utajovaných skutočností. Na zaistenie bezpečnosti a dôvernosti sprístupnených informácií a obmedzenie prístupu, uchovávania a prenosu takýchto informácií predpokladaným používateľom by agentúra ENISA mala zaviesť príslušné protokoly na klasifikáciu a riadenie informácií.

| (118) | Ak sa informácie, ktoré sú utajované v súlade s právom Únie alebo vnútroštátnym právom, vymieňajú, oznamujú alebo inak zdieľajú podľa tejto smernice, mali by sa uplatňovať príslušné pravidlá zaobchádzania s utajovanými skutočnosťami. Agentúra ENISA by okrem toho mala mať zavedenú infraštruktúru, postupy a pravidlá pre citlivé a utajované skutočnosti v súlade s platnými bezpečnostnými predpismi na ochranu utajovaných skutočností EÚ. |
| --- | --- |

(118)

Ak sa informácie, ktoré sú utajované v súlade s právom Únie alebo vnútroštátnym právom, vymieňajú, oznamujú alebo inak zdieľajú podľa tejto smernice, mali by sa uplatňovať príslušné pravidlá zaobchádzania s utajovanými skutočnosťami. Agentúra ENISA by okrem toho mala mať zavedenú infraštruktúru, postupy a pravidlá pre citlivé a utajované skutočnosti v súlade s platnými bezpečnostnými predpismi na ochranu utajovaných skutočností EÚ.

| (119) | Keďže kybernetické hrozby sú čoraz zložitejšie a sofistikovanejšie, dobré opatrenia na odhaľovanie takýchto hrozieb a ich prevenciu do značnej miery závisia od pravidelného zdieľania spravodajských informácií o hrozbách a zraniteľnosti medzi subjektmi. Zdieľanie informácií prispieva k zvýšenej informovanosti o kybernetických hrozbách, čo zase zvyšuje schopnosť subjektov predchádzať tomu, aby sa takéto hrozby stali incidentmi, a subjektom umožňuje lepšie obmedziť vplyvy incidentov a účinnejšie sa z nich zotaviť. Keďže na úrovni Únie príslušné usmernenia neexistujú, zdá sa, že takémuto zdieľaniu spravodajských informácií bránia rôzne faktory, najmä neistá zlučiteľnosť s pravidlami hospodárskej súťaže a zodpovednosti. |
| --- | --- |

(119)

Keďže kybernetické hrozby sú čoraz zložitejšie a sofistikovanejšie, dobré opatrenia na odhaľovanie takýchto hrozieb a ich prevenciu do značnej miery závisia od pravidelného zdieľania spravodajských informácií o hrozbách a zraniteľnosti medzi subjektmi. Zdieľanie informácií prispieva k zvýšenej informovanosti o kybernetických hrozbách, čo zase zvyšuje schopnosť subjektov predchádzať tomu, aby sa takéto hrozby stali incidentmi, a subjektom umožňuje lepšie obmedziť vplyvy incidentov a účinnejšie sa z nich zotaviť. Keďže na úrovni Únie príslušné usmernenia neexistujú, zdá sa, že takémuto zdieľaniu spravodajských informácií bránia rôzne faktory, najmä neistá zlučiteľnosť s pravidlami hospodárskej súťaže a zodpovednosti.

| (120) | Členské štáty by mali subjektom odporúčať a pomáhať im v spoločnom využívaní svojich individuálnych znalostí a praktických skúseností na strategickej, taktickej a operačnej úrovni s cieľom zlepšiť si spôsobilosti na primeranú prevenciu a detekciu hrozieb, reakciu na ne alebo zotavenie z incidentov či zmiernenie ich vplyvu. Preto je potrebné umožniť na úrovni Únie vznik dobrovoľného zdieľania informácií o kybernetickej bezpečnosti. Na uvedený účel by členské štáty mali aktívne pomáhať a povzbudzovať subjekty, ako sú subjekty poskytujúce služby a výskum kybernetickej bezpečnosti, ako aj príslušné subjekty, ktoré nepatria do rozsahu pôsobnosti tejto smernice, aby sa zúčastňovali na takýchto dohodách o výmene informácií o kybernetickej bezpečnosti. Uvedené dohody by sa mali uzatvárať v súlade s pravidlami Únie pre hospodársku súťaž a právom Únie v oblasti ochrany údajov. |
| --- | --- |

(120)

Členské štáty by mali subjektom odporúčať a pomáhať im v spoločnom využívaní svojich individuálnych znalostí a praktických skúseností na strategickej, taktickej a operačnej úrovni s cieľom zlepšiť si spôsobilosti na primeranú prevenciu a detekciu hrozieb, reakciu na ne alebo zotavenie z incidentov či zmiernenie ich vplyvu. Preto je potrebné umožniť na úrovni Únie vznik dobrovoľného zdieľania informácií o kybernetickej bezpečnosti. Na uvedený účel by členské štáty mali aktívne pomáhať a povzbudzovať subjekty, ako sú subjekty poskytujúce služby a výskum kybernetickej bezpečnosti, ako aj príslušné subjekty, ktoré nepatria do rozsahu pôsobnosti tejto smernice, aby sa zúčastňovali na takýchto dohodách o výmene informácií o kybernetickej bezpečnosti. Uvedené dohody by sa mali uzatvárať v súlade s pravidlami Únie pre hospodársku súťaž a právom Únie v oblasti ochrany údajov.

| (121) | Spracovanie osobných údajov v nevyhnutnom a primeranom rozsahu na účely zaistenia bezpečnosti sieťových a informačných systémov kľúčovými a dôležitými subjektmi by sa mohlo považovať za zákonné na základe toho, že takéto spracovanie je v súlade so zákonnou povinnosťou, ktorej podlieha prevádzkovateľ v súlade s požiadavkami článku 6 ods. 1 písm. c) a článku 6 ods. 3 nariadenia (EÚ) 2016/679. Spracovanie osobných údajov by mohlo byť potrebné aj pre oprávnené záujmy kľúčových a dôležitých subjektov, ako aj pre poskytovateľov bezpečnostných technológií a služieb, ktorí konajú v mene uvedených subjektov podľa článku 6 ods. 1 písm. f) nariadenia (EÚ) 2016/679, a to aj vtedy, keď je takéto spracovanie nevyhnutné na účely dohôd o výmene informácií o kybernetickej bezpečnosti alebo dobrovoľného zasielania relevantných informácií v súlade s touto smernicou. Opatrenia súvisiace s prevenciou, odhaľovaním, identifikáciou, obmedzovaním následkov, analýzou incidentov a reakciami na ne, opatrenia na zvýšenie informovanosti o konkrétnych kybernetických hrozbách, výmena informácií v kontexte nápravy zraniteľnosti a koordinovaného zverejňovania zraniteľností, dobrovoľná výmena informácií o týchto incidentoch a o kybernetických hrozbách a zraniteľnostiach, ukazovatele kompromitácie, taktiky, techniky a postupy, kybernetické bezpečnostné varovania a konfiguračné nástroje by mohli vyžadovať spracovanie určitých kategórií osobných údajov, ako sú IP adresy, jednotné vyhľadávače prostriedkov (URL), názvy domén, e-mailové adresy, a ak tieto prezrádzajú osobné údaje, časové pečiatky. Spracovanie osobných údajov príslušnými orgánmi, jednotnými kontaktnými miestami a jednotkami CSIRT by mohlo založiť zákonnú povinnosť alebo by sa mohlo považovať za nevyhnutné na vykonanie úlohy vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi podľa článku 1 písm. c) alebo e) a článku 6 ods. 3 nariadenia (EÚ) 2016/679 alebo na sledovanie oprávneného záujmu kľúčových a dôležitých subjektov podľa článku 6 ods. ), bod f) uvedeného nariadenia. Okrem toho by sa vo vnútroštátnom práve mohli stanoviť pravidlá umožňujúce príslušným orgánom, jednotným kontaktným miestam a jednotkám CSIRT v rozsahu, ktorý je potrebný a primeraný na účely zaistenia bezpečnosti sietí a informačných systémov kľúčových a dôležitých subjektov, spracovávať osobitné kategórie osobných údajov podľa článku 9 nariadenia (EÚ) 2016/679, najmä ustanovením vhodných konkrétnych opatrení na ochranu základných práv a záujmov fyzických osôb vrátane technických obmedzení opakovaného použitia takýchto údajov a použitia najmodernejších bezpečnostných opatrení a opatrení na ochranu súkromia, ako je pseudonymizácia alebo šifrovanie, ak anonymizácia môže výrazne ovplyvniť sledovaný účel. |
| --- | --- |

(121)

Spracovanie osobných údajov v nevyhnutnom a primeranom rozsahu na účely zaistenia bezpečnosti sieťových a informačných systémov kľúčovými a dôležitými subjektmi by sa mohlo považovať za zákonné na základe toho, že takéto spracovanie je v súlade so zákonnou povinnosťou, ktorej podlieha prevádzkovateľ v súlade s požiadavkami článku 6 ods. 1 písm. c) a článku 6 ods. 3 nariadenia (EÚ) 2016/679. Spracovanie osobných údajov by mohlo byť potrebné aj pre oprávnené záujmy kľúčových a dôležitých subjektov, ako aj pre poskytovateľov bezpečnostných technológií a služieb, ktorí konajú v mene uvedených subjektov podľa článku 6 ods. 1 písm. f) nariadenia (EÚ) 2016/679, a to aj vtedy, keď je takéto spracovanie nevyhnutné na účely dohôd o výmene informácií o kybernetickej bezpečnosti alebo dobrovoľného zasielania relevantných informácií v súlade s touto smernicou. Opatrenia súvisiace s prevenciou, odhaľovaním, identifikáciou, obmedzovaním následkov, analýzou incidentov a reakciami na ne, opatrenia na zvýšenie informovanosti o konkrétnych kybernetických hrozbách, výmena informácií v kontexte nápravy zraniteľnosti a koordinovaného zverejňovania zraniteľností, dobrovoľná výmena informácií o týchto incidentoch a o kybernetických hrozbách a zraniteľnostiach, ukazovatele kompromitácie, taktiky, techniky a postupy, kybernetické bezpečnostné varovania a konfiguračné nástroje by mohli vyžadovať spracovanie určitých kategórií osobných údajov, ako sú IP adresy, jednotné vyhľadávače prostriedkov (URL), názvy domén, e-mailové adresy, a ak tieto prezrádzajú osobné údaje, časové pečiatky. Spracovanie osobných údajov príslušnými orgánmi, jednotnými kontaktnými miestami a jednotkami CSIRT by mohlo založiť zákonnú povinnosť alebo by sa mohlo považovať za nevyhnutné na vykonanie úlohy vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi podľa článku 1 písm. c) alebo e) a článku 6 ods. 3 nariadenia (EÚ) 2016/679 alebo na sledovanie oprávneného záujmu kľúčových a dôležitých subjektov podľa článku 6 ods. ), bod f) uvedeného nariadenia. Okrem toho by sa vo vnútroštátnom práve mohli stanoviť pravidlá umožňujúce príslušným orgánom, jednotným kontaktným miestam a jednotkám CSIRT v rozsahu, ktorý je potrebný a primeraný na účely zaistenia bezpečnosti sietí a informačných systémov kľúčových a dôležitých subjektov, spracovávať osobitné kategórie osobných údajov podľa článku 9 nariadenia (EÚ) 2016/679, najmä ustanovením vhodných konkrétnych opatrení na ochranu základných práv a záujmov fyzických osôb vrátane technických obmedzení opakovaného použitia takýchto údajov a použitia najmodernejších bezpečnostných opatrení a opatrení na ochranu súkromia, ako je pseudonymizácia alebo šifrovanie, ak anonymizácia môže výrazne ovplyvniť sledovaný účel.

| (122) | S cieľom posilniť právomoci a opatrenia v oblasti dohľadu, ktoré pomáhajú zabezpečiť účinné dodržiavanie predpisov, by sa v tejto smernici mal stanoviť minimálny zoznam opatrení a prostriedkov dohľadu, prostredníctvom ktorých môžu príslušné orgány vykonávať dohľad nad kľúčovými a dôležitými subjektmi. Okrem toho by sa touto smernicou malo zaviesť rozlišovanie režimu dohľadu nad kľúčovými a dôležitými subjektmi s cieľom zabezpečiť spravodlivú rovnováhu povinností pre uvedené subjekty a pre príslušné orgány. Kľúčové subjekty by preto mali podliehať komplexnému režimu dohľadu ex ante a ex post, pričom dôležité subjekty by mali podliehať iba ľahkému režimu dohľadu ex post. Od dôležitých subjektov by sa nemalo vyžadovať, aby systematicky dokumentovali súlad s opatreniami na riadenie rizík kybernetickej bezpečnosti, pričom príslušné orgány by k dohľadu mali pristupovať reaktívne ex post, a preto by nemali mať všeobecnú povinnosť vykonávať dohľad nad týmito subjektmi. Dohľad nad dôležitými subjektmi ex post môžu vyvolať dôkazy, indície alebo informácie, na ktoré boli príslušné orgány upozornené a ktoré tieto orgány považujú za potenciálne porušenie tejto smernice. Takéto dôkazy, indície alebo informácie môžu byť napríklad takého druhu, aký príslušným orgánom poskytujú iné orgány, subjekty, občania, médiá alebo iné zdroje alebo verejne dostupné informácie, alebo by mohli vyplynúť z iných činností, ktoré príslušné orgány vykonávajú pri plnení svojich úloh. |
| --- | --- |

(122)

S cieľom posilniť právomoci a opatrenia v oblasti dohľadu, ktoré pomáhajú zabezpečiť účinné dodržiavanie predpisov, by sa v tejto smernici mal stanoviť minimálny zoznam opatrení a prostriedkov dohľadu, prostredníctvom ktorých môžu príslušné orgány vykonávať dohľad nad kľúčovými a dôležitými subjektmi. Okrem toho by sa touto smernicou malo zaviesť rozlišovanie režimu dohľadu nad kľúčovými a dôležitými subjektmi s cieľom zabezpečiť spravodlivú rovnováhu povinností pre uvedené subjekty a pre príslušné orgány. Kľúčové subjekty by preto mali podliehať komplexnému režimu dohľadu ex ante a ex post, pričom dôležité subjekty by mali podliehať iba ľahkému režimu dohľadu ex post. Od dôležitých subjektov by sa nemalo vyžadovať, aby systematicky dokumentovali súlad s opatreniami na riadenie rizík kybernetickej bezpečnosti, pričom príslušné orgány by k dohľadu mali pristupovať reaktívne ex post, a preto by nemali mať všeobecnú povinnosť vykonávať dohľad nad týmito subjektmi. Dohľad nad dôležitými subjektmi ex post môžu vyvolať dôkazy, indície alebo informácie, na ktoré boli príslušné orgány upozornené a ktoré tieto orgány považujú za potenciálne porušenie tejto smernice. Takéto dôkazy, indície alebo informácie môžu byť napríklad takého druhu, aký príslušným orgánom poskytujú iné orgány, subjekty, občania, médiá alebo iné zdroje alebo verejne dostupné informácie, alebo by mohli vyplynúť z iných činností, ktoré príslušné orgány vykonávajú pri plnení svojich úloh.

| (123) | Výkon úloh dohľadu príslušnými orgánmi by nemal zbytočne prekážať podnikateľskej činnosti dotknutého subjektu. Ak príslušné orgány vykonávajú svoje úlohy dohľadu vo vzťahu ku kľúčovým subjektom vrátane výkonu inšpekcií na mieste a dohľadu na diaľku, vyšetrovania porušení tejto smernice a výkonu bezpečnostných auditov alebo bezpečnostných skenov, mali by minimalizovať vplyv na podnikateľskú činnosť dotknutého subjektu. |
| --- | --- |

(123)

Výkon úloh dohľadu príslušnými orgánmi by nemal zbytočne prekážať podnikateľskej činnosti dotknutého subjektu. Ak príslušné orgány vykonávajú svoje úlohy dohľadu vo vzťahu ku kľúčovým subjektom vrátane výkonu inšpekcií na mieste a dohľadu na diaľku, vyšetrovania porušení tejto smernice a výkonu bezpečnostných auditov alebo bezpečnostných skenov, mali by minimalizovať vplyv na podnikateľskú činnosť dotknutého subjektu.

| (124) | Pri výkone dohľadu ex ante by príslušné orgány mali mať možnosť primeraným spôsobom rozhodnúť o prednostnom použití opatrení a prostriedkov v oblasti dohľadu, ktoré majú k dispozícii. To znamená, že príslušné orgány môžu rozhodnúť o prednosti na základe metodík dohľadu, ktoré by mali vychádzať z prístupu založeného na riziku. Konkrétnejšie, takéto metodiky by mohli zahŕňať kritériá alebo referenčné hodnoty na klasifikáciu kľúčových subjektov do kategórií rizík a zodpovedajúce opatrenia a prostriedky v oblasti dohľadu odporúčané pre jednotlivé kategórie rizík, ako je použitie, frekvencia alebo typy inšpekcií na mieste, cielených bezpečnostných auditov alebo bezpečnostných kontrol, druh informácií, ktoré sa majú vyžadovať, a úroveň podrobnosti týchto informácií. Takéto metodiky dohľadu by mohli byť sprevádzané pracovnými programami a môžu sa pravidelne posudzovať a preskúmavať, a to aj pokiaľ ide o aspekty, ako je prideľovanie zdrojov a potreby na úrovni zdrojov. V súvislosti so subjektmi verejnej správy by sa právomoci v oblasti dohľadu mali vykonávať v súlade s vnútroštátnymi rámcami právnych predpisov a inštitucionálnymi rámcami. |
| --- | --- |

(124)

Pri výkone dohľadu ex ante by príslušné orgány mali mať možnosť primeraným spôsobom rozhodnúť o prednostnom použití opatrení a prostriedkov v oblasti dohľadu, ktoré majú k dispozícii. To znamená, že príslušné orgány môžu rozhodnúť o prednosti na základe metodík dohľadu, ktoré by mali vychádzať z prístupu založeného na riziku. Konkrétnejšie, takéto metodiky by mohli zahŕňať kritériá alebo referenčné hodnoty na klasifikáciu kľúčových subjektov do kategórií rizík a zodpovedajúce opatrenia a prostriedky v oblasti dohľadu odporúčané pre jednotlivé kategórie rizík, ako je použitie, frekvencia alebo typy inšpekcií na mieste, cielených bezpečnostných auditov alebo bezpečnostných kontrol, druh informácií, ktoré sa majú vyžadovať, a úroveň podrobnosti týchto informácií. Takéto metodiky dohľadu by mohli byť sprevádzané pracovnými programami a môžu sa pravidelne posudzovať a preskúmavať, a to aj pokiaľ ide o aspekty, ako je prideľovanie zdrojov a potreby na úrovni zdrojov. V súvislosti so subjektmi verejnej správy by sa právomoci v oblasti dohľadu mali vykonávať v súlade s vnútroštátnymi rámcami právnych predpisov a inštitucionálnymi rámcami.

| (125) | Príslušné orgány by mali zabezpečiť, aby ich úlohy dohľadu vo vzťahu kú kľúčovým a dôležitým subjektom vykonávali školení odborníci, ktorí by na výkon týchto úloh mali mať potrebnú kvalifikáciu, najmä pokiaľ ide o výkon inšpekcií na mieste a dohľadu na diaľku, vrátane identifikácie slabých miest v databázach, hardvéri, firewalloch, šifrovaní a sieťach. Uvedené inšpekcie a uvedený dohľad by sa mali vykonávať objektívnym spôsobom. |
| --- | --- |

(125)

Príslušné orgány by mali zabezpečiť, aby ich úlohy dohľadu vo vzťahu kú kľúčovým a dôležitým subjektom vykonávali školení odborníci, ktorí by na výkon týchto úloh mali mať potrebnú kvalifikáciu, najmä pokiaľ ide o výkon inšpekcií na mieste a dohľadu na diaľku, vrátane identifikácie slabých miest v databázach, hardvéri, firewalloch, šifrovaní a sieťach. Uvedené inšpekcie a uvedený dohľad by sa mali vykonávať objektívnym spôsobom.

| (126) | V riadne odôvodnených prípadoch, keď si je príslušný orgán vedomý závažnej kybernetickej hrozby alebo hroziaceho rizika, mal by mať možnosť prijímať okamžité rozhodnutia o presadzovaní práva s cieľom zabrániť incidentu alebo reagovať naň. |
| --- | --- |

(126)

V riadne odôvodnených prípadoch, keď si je príslušný orgán vedomý závažnej kybernetickej hrozby alebo hroziaceho rizika, mal by mať možnosť prijímať okamžité rozhodnutia o presadzovaní práva s cieľom zabrániť incidentu alebo reagovať naň.

| (127) | Aby bolo presadzovanie práva účinné, mal by sa stanoviť minimálny zoznam právomocí presadzovania práva, ktoré sa môžu uplatňovať za porušenie opatrení v oblasti riadenia rizík kybernetickej bezpečnosti a oznamovania stanovených v tejto smernici, ktorým sa stanoví jasný a konzistentný rámec pre takéto presadzovanie práva v celej Únii. Náležitá pozornosť by sa mala venovať povahe, závažnosti a trvaniu porušenia tejto smernice, spôsobenej hmotnej a nehmotnej ujme nezávisle od toho, či bolo porušenie úmyselné alebo z nedbanlivosti, opatrení prijatých na zabránenie alebo zmiernenie hmotnej alebo nehmotnej ujmy, miere zodpovednosti alebo akémukoľvek relevantnému predchádzajúcemu porušeniu, miere spolupráce s príslušným orgánom a akýmkoľvek ďalším priťažujúcim alebo poľahčujúcim faktorom. Opatrenia presadzovania práva vrátane správnych pokút by mali byť primerané a ich ukladanie by malo podliehať primeraným procesným zárukám v súlade so všeobecnými zásadami práva Únie a Charty základných práv Európskej únie (ďalej len „charta“) vrátane účinného opravného prostriedku a spravodlivého procesu, prezumpcie neviny a práva na obhajobu. |
| --- | --- |

(127)

Aby bolo presadzovanie práva účinné, mal by sa stanoviť minimálny zoznam právomocí presadzovania práva, ktoré sa môžu uplatňovať za porušenie opatrení v oblasti riadenia rizík kybernetickej bezpečnosti a oznamovania stanovených v tejto smernici, ktorým sa stanoví jasný a konzistentný rámec pre takéto presadzovanie práva v celej Únii. Náležitá pozornosť by sa mala venovať povahe, závažnosti a trvaniu porušenia tejto smernice, spôsobenej hmotnej a nehmotnej ujme nezávisle od toho, či bolo porušenie úmyselné alebo z nedbanlivosti, opatrení prijatých na zabránenie alebo zmiernenie hmotnej alebo nehmotnej ujmy, miere zodpovednosti alebo akémukoľvek relevantnému predchádzajúcemu porušeniu, miere spolupráce s príslušným orgánom a akýmkoľvek ďalším priťažujúcim alebo poľahčujúcim faktorom. Opatrenia presadzovania práva vrátane správnych pokút by mali byť primerané a ich ukladanie by malo podliehať primeraným procesným zárukám v súlade so všeobecnými zásadami práva Únie a Charty základných práv Európskej únie (ďalej len „charta“) vrátane účinného opravného prostriedku a spravodlivého procesu, prezumpcie neviny a práva na obhajobu.

| (128) | Táto smernica od členských štátov nevyžaduje, aby stanovili trestnoprávnu alebo občianskoprávnu zodpovednosť v súvislosti s fyzickými osobami zodpovednými za zabezpečenie súladu subjektu s touto smernicou za škodu, ktorú tretie strany utrpeli v dôsledku porušenia tejto smernice. |
| --- | --- |

(128)

Táto smernica od členských štátov nevyžaduje, aby stanovili trestnoprávnu alebo občianskoprávnu zodpovednosť v súvislosti s fyzickými osobami zodpovednými za zabezpečenie súladu subjektu s touto smernicou za škodu, ktorú tretie strany utrpeli v dôsledku porušenia tejto smernice.

| (129) | S cieľom zabezpečiť účinné presadzovanie povinností stanovených v tejto smernici by mal mať každý príslušný orgán právomoc uložiť správne pokuty alebo požiadať o ich uloženie. |
| --- | --- |

(129)

S cieľom zabezpečiť účinné presadzovanie povinností stanovených v tejto smernici by mal mať každý príslušný orgán právomoc uložiť správne pokuty alebo požiadať o ich uloženie.

| (130) | Ak sa správna pokuta ukladá kľúčovému alebo dôležitému subjektu, ktorý je podnikom, na tieto účely by sa za podnik mal považovať podnik podľa článkov 101 a 102 ZFEÚ. Ak sa správna pokuta ukladá osobe, ktorá nie je podnikom, príslušný orgán by mal pri rozhodovaní o primeranej výške pokuty zohľadniť všeobecnú úroveň príjmov v členskom štáte, ako aj majetkové pomery danej osoby. Členské štáty by mali rozhodnúť, či orgány verejnej moci budú podliehať správnym pokutám a do akej miery. Uloženie správnej pokuty nemá vplyv na uplatňovanie iných právomocí príslušných orgánov alebo iných sankcií stanovených vo vnútroštátnych predpisoch, ktorými sa transponuje táto smernica. |
| --- | --- |

(130)

Ak sa správna pokuta ukladá kľúčovému alebo dôležitému subjektu, ktorý je podnikom, na tieto účely by sa za podnik mal považovať podnik podľa článkov 101 a 102 ZFEÚ. Ak sa správna pokuta ukladá osobe, ktorá nie je podnikom, príslušný orgán by mal pri rozhodovaní o primeranej výške pokuty zohľadniť všeobecnú úroveň príjmov v členskom štáte, ako aj majetkové pomery danej osoby. Členské štáty by mali rozhodnúť, či orgány verejnej moci budú podliehať správnym pokutám a do akej miery. Uloženie správnej pokuty nemá vplyv na uplatňovanie iných právomocí príslušných orgánov alebo iných sankcií stanovených vo vnútroštátnych predpisoch, ktorými sa transponuje táto smernica.

| (131) | Členské štáty by mali mať možnosť stanoviť pravidlá o trestných sankciách za porušenie vnútroštátnych pravidiel, ktorými sa transponuje táto smernica. Uloženie trestných sankcií za porušenia takýchto vnútroštátnych predpisov a uloženie súvisiacich správnych sankcií by však nemalo viesť k porušeniu zásady ne bis in idem, ako ju vykladá Súdny dvor Európskej únie. |
| --- | --- |

(131)

Členské štáty by mali mať možnosť stanoviť pravidlá o trestných sankciách za porušenie vnútroštátnych pravidiel, ktorými sa transponuje táto smernica. Uloženie trestných sankcií za porušenia takýchto vnútroštátnych predpisov a uloženie súvisiacich správnych sankcií by však nemalo viesť k porušeniu zásady ne bis in idem, ako ju vykladá Súdny dvor Európskej únie.

| (132) | Členské štáty by mali zaviesť systém, ktorým sa zabezpečia účinné, primerané a odrádzajúce sankcie v prípadoch, keď sa touto smernicou neharmonizujú správne sankcie alebo, ak je to potrebné, aj v iných prípadoch, napríklad v prípade závažného porušenia tejto smernice. Povaha týchto sankcií a to, či sú trestné alebo správne, by sa mala určiť podľa vnútroštátneho práva. |
| --- | --- |

(132)

Členské štáty by mali zaviesť systém, ktorým sa zabezpečia účinné, primerané a odrádzajúce sankcie v prípadoch, keď sa touto smernicou neharmonizujú správne sankcie alebo, ak je to potrebné, aj v iných prípadoch, napríklad v prípade závažného porušenia tejto smernice. Povaha týchto sankcií a to, či sú trestné alebo správne, by sa mala určiť podľa vnútroštátneho práva.

| (133) | S cieľom ďalej posilniť účinnosť a odrádzajúci účinok opatrení presadzovania práva za porušenie tejto smernice by príslušné orgány mali byť oprávnené dočasne pozastaviť a požadovať dočasné pozastavenie certifikácie alebo povolenia časti alebo všetkých relevantných služieb alebo činností, ktoré poskytuje kľúčový subjekt, a požadovať uloženie dočasného zákazu fyzickej osobe vykonávať riadiace funkcie akoukoľvek fyzickou osobou na úrovni výkonného riaditeľa alebo právneho zástupcu. Takéto dočasné pozastavenia alebo zákazy by sa vzhľadom na svoju závažnosť a vplyv na činnosti subjektov a v konečnom dôsledku na používateľov mali uplatňovať len úmerne k závažnosti porušenia a s prihliadnutím na okolnosti každého jednotlivého prípadu vrátane skutočnosti, či išlo o úmyselné alebo nedbanlivostné porušenie, a akýchkoľvek opatrení prijatých na zabránenie alebo zmiernenie vzniknutej hmotnej alebo nehmotnej ujmy. Takéto dočasné pozastavenia alebo zákazy by sa mali uplatňovať len ako posledná možnosť, teda až po vyčerpaní ostatných príslušných opatrení na presadzovanie povinností stanovených v tejto smernici, a len do vtedy, kým dotknutý subjekt neprijme potrebné opatrenia na nápravu nedostatkov alebo na splnenie požiadaviek príslušného orgánu, v prípade ktorých sa takéto dočasné pozastavenia alebo zákazy uplatnili. Ukladanie takýchto dočasných pozastavení alebo zákazov by malo podliehať primeraným procesným zárukám v súlade so všeobecnými zásadami práva Únie a charty vrátane práva na účinný prostriedok nápravy a spravodlivý proces, prezumpcie neviny a práva na obhajobu. |
| --- | --- |

(133)

S cieľom ďalej posilniť účinnosť a odrádzajúci účinok opatrení presadzovania práva za porušenie tejto smernice by príslušné orgány mali byť oprávnené dočasne pozastaviť a požadovať dočasné pozastavenie certifikácie alebo povolenia časti alebo všetkých relevantných služieb alebo činností, ktoré poskytuje kľúčový subjekt, a požadovať uloženie dočasného zákazu fyzickej osobe vykonávať riadiace funkcie akoukoľvek fyzickou osobou na úrovni výkonného riaditeľa alebo právneho zástupcu. Takéto dočasné pozastavenia alebo zákazy by sa vzhľadom na svoju závažnosť a vplyv na činnosti subjektov a v konečnom dôsledku na používateľov mali uplatňovať len úmerne k závažnosti porušenia a s prihliadnutím na okolnosti každého jednotlivého prípadu vrátane skutočnosti, či išlo o úmyselné alebo nedbanlivostné porušenie, a akýchkoľvek opatrení prijatých na zabránenie alebo zmiernenie vzniknutej hmotnej alebo nehmotnej ujmy. Takéto dočasné pozastavenia alebo zákazy by sa mali uplatňovať len ako posledná možnosť, teda až po vyčerpaní ostatných príslušných opatrení na presadzovanie povinností stanovených v tejto smernici, a len do vtedy, kým dotknutý subjekt neprijme potrebné opatrenia na nápravu nedostatkov alebo na splnenie požiadaviek príslušného orgánu, v prípade ktorých sa takéto dočasné pozastavenia alebo zákazy uplatnili. Ukladanie takýchto dočasných pozastavení alebo zákazov by malo podliehať primeraným procesným zárukám v súlade so všeobecnými zásadami práva Únie a charty vrátane práva na účinný prostriedok nápravy a spravodlivý proces, prezumpcie neviny a práva na obhajobu.

| (134) | Na účely zabezpečenia, že subjekty budú dodržiavať svoje povinnosti stanovené v tejto smernici, by členské štáty mali spolupracovať a navzájom si pomáhať, pokiaľ ide o opatrenia dohľadu a presadzovania, najmä ak subjekt poskytuje služby vo viac ako jednom členskom štáte, alebo ak sa jeho sieť a informačné systémy nachádzajú v inom členskom štáte, než v ktorom poskytuje služby. Pri poskytovaní pomoci by mal dožiadaný príslušný orgán prijať opatrenia dohľadu alebo presadzovania v súlade s vnútroštátnym právom. S cieľom zabezpečiť bezproblémové fungovanie vzájomnej pomoci podľa tejto smernice by príslušné orgány mali využívať skupinu pre spoluprácu ako fórum na diskusiu o prípadoch a konkrétnych žiadostiach o pomoc. |
| --- | --- |

(134)

Na účely zabezpečenia, že subjekty budú dodržiavať svoje povinnosti stanovené v tejto smernici, by členské štáty mali spolupracovať a navzájom si pomáhať, pokiaľ ide o opatrenia dohľadu a presadzovania, najmä ak subjekt poskytuje služby vo viac ako jednom členskom štáte, alebo ak sa jeho sieť a informačné systémy nachádzajú v inom členskom štáte, než v ktorom poskytuje služby. Pri poskytovaní pomoci by mal dožiadaný príslušný orgán prijať opatrenia dohľadu alebo presadzovania v súlade s vnútroštátnym právom. S cieľom zabezpečiť bezproblémové fungovanie vzájomnej pomoci podľa tejto smernice by príslušné orgány mali využívať skupinu pre spoluprácu ako fórum na diskusiu o prípadoch a konkrétnych žiadostiach o pomoc.

| (135) | S cieľom zabezpečiť účinný dohľad a presadzovanie práva, najmä v situácii s cezhraničným rozmerom, by členský štát, ktorému bola doručená žiadosť o vzájomnú pomoc, mal v rozsahu uvedenej žiadosti prijať primerané opatrenia v oblasti dohľadu a presadzovania práva vo vzťahu k subjektu, ktorého sa uvedená žiadosť týka a ktorý poskytuje služby alebo má sieť a informačný systém na území uvedeného členského štátu. |
| --- | --- |

(135)

S cieľom zabezpečiť účinný dohľad a presadzovanie práva, najmä v situácii s cezhraničným rozmerom, by členský štát, ktorému bola doručená žiadosť o vzájomnú pomoc, mal v rozsahu uvedenej žiadosti prijať primerané opatrenia v oblasti dohľadu a presadzovania práva vo vzťahu k subjektu, ktorého sa uvedená žiadosť týka a ktorý poskytuje služby alebo má sieť a informačný systém na území uvedeného členského štátu.

| (136) | Touto smernicou by sa mali stanoviť pravidlá spolupráce medzi príslušnými orgánmi a dozornými orgánmi podľa nariadenia (EÚ) 2016/679 s cieľom riešiť porušenia tejto smernice týkajúce sa osobných údajov. |
| --- | --- |

(136)

Touto smernicou by sa mali stanoviť pravidlá spolupráce medzi príslušnými orgánmi a dozornými orgánmi podľa nariadenia (EÚ) 2016/679 s cieľom riešiť porušenia tejto smernice týkajúce sa osobných údajov.

| (137) | Cieľom tejto smernice by malo byť zabezpečiť vysokú úroveň zodpovednosti za opatrenia v oblasti riadenia rizík kybernetickej bezpečnosti a oznamovacích povinností na úrovni kľúčových a dôležitých subjektov. Preto by riadiace orgány kľúčových a dôležitých subjektov mali schvaľovať opatrenia na riadenie rizík kybernetickej bezpečnosti a dohliadať na ich vykonávanie. |
| --- | --- |

(137)

Cieľom tejto smernice by malo byť zabezpečiť vysokú úroveň zodpovednosti za opatrenia v oblasti riadenia rizík kybernetickej bezpečnosti a oznamovacích povinností na úrovni kľúčových a dôležitých subjektov. Preto by riadiace orgány kľúčových a dôležitých subjektov mali schvaľovať opatrenia na riadenie rizík kybernetickej bezpečnosti a dohliadať na ich vykonávanie.

| (138) | S cieľom zabezpečiť vysokú úroveň kybernetickej bezpečnosti v celej Únii na základe tejto smernice by mala byť Komisia splnomocnená prijímať akty v súlade s článkom 290 ZFEÚ na doplnenie tejto smernice tým, že bližšie určí, od ktorých kategórií kľúčových a dôležitých subjektov sa má vyžadovať, aby používali určité certifikované produkty IKT, služby IKT a procesy IKT alebo získali certifikát v rámci niektorého európskeho systému kybernetickej bezpečnosti. Je osobitne dôležité, aby Komisia počas prípravných prác uskutočnila príslušné konzultácie, a to aj na úrovni expertov, a aby tieto konzultácie vykonávala v súlade so zásadami stanovenými v Medziinštitucionálnej dohode z 13. apríla 2016 o lepšej tvorbe práva (22). Predovšetkým, v záujme rovnakého zastúpenia pri príprave delegovaných aktov, sa všetky dokumenty doručujú Európskemu parlamentu a Rade v rovnakom čase ako expertom z členských štátov, a experti Európskeho parlamentu a Rady majú systematický prístup na zasadnutia skupín expertov Komisie, ktoré sa zaoberajú prípravou delegovaných aktov. |
| --- | --- |

(138)

S cieľom zabezpečiť vysokú úroveň kybernetickej bezpečnosti v celej Únii na základe tejto smernice by mala byť Komisia splnomocnená prijímať akty v súlade s článkom 290 ZFEÚ na doplnenie tejto smernice tým, že bližšie určí, od ktorých kategórií kľúčových a dôležitých subjektov sa má vyžadovať, aby používali určité certifikované produkty IKT, služby IKT a procesy IKT alebo získali certifikát v rámci niektorého európskeho systému kybernetickej bezpečnosti. Je osobitne dôležité, aby Komisia počas prípravných prác uskutočnila príslušné konzultácie, a to aj na úrovni expertov, a aby tieto konzultácie vykonávala v súlade so zásadami stanovenými v Medziinštitucionálnej dohode z 13. apríla 2016 o lepšej tvorbe práva (22). Predovšetkým, v záujme rovnakého zastúpenia pri príprave delegovaných aktov, sa všetky dokumenty doručujú Európskemu parlamentu a Rade v rovnakom čase ako expertom z členských štátov, a experti Európskeho parlamentu a Rady majú systematický prístup na zasadnutia skupín expertov Komisie, ktoré sa zaoberajú prípravou delegovaných aktov.

| (139) | S cieľom zabezpečiť jednotné podmienky vykonávania tejto smernice by sa mali na Komisiu preniesť vykonávacie právomoci, aby stanovila procesné opatrenia potrebné na fungovanie skupiny pre spoluprácu a technické a metodické, ako aj odvetvové požiadavky týkajúce sa opatrení na riadenie kybernetických rizík, a bližšie špecifikovala druh informácií, formát a postup v prípade incidentu, kybernetických hrozieb a oznámení o situáciách, keď takmer došlo k nehode, a oznamovania významných kybernetických hrozieb, ako aj prípadov, keď sa incident považuje za významný. Uvedené právomoci by sa mali vykonávať v súlade s nariadením Európskeho parlamentu a Rady (EÚ) č. 182/2011 (23). |
| --- | --- |

(139)

S cieľom zabezpečiť jednotné podmienky vykonávania tejto smernice by sa mali na Komisiu preniesť vykonávacie právomoci, aby stanovila procesné opatrenia potrebné na fungovanie skupiny pre spoluprácu a technické a metodické, ako aj odvetvové požiadavky týkajúce sa opatrení na riadenie kybernetických rizík, a bližšie špecifikovala druh informácií, formát a postup v prípade incidentu, kybernetických hrozieb a oznámení o situáciách, keď takmer došlo k nehode, a oznamovania významných kybernetických hrozieb, ako aj prípadov, keď sa incident považuje za významný. Uvedené právomoci by sa mali vykonávať v súlade s nariadením Európskeho parlamentu a Rady (EÚ) č. 182/2011 (23).

| (140) | Komisia by mala túto smernicu pravidelne preskúmavať a po porade so zainteresovanými stranami najmä s cieľom určiť, či je vhodné navrhnúť zmeny vzhľadom na zmeny spoločenských, politických, technologických alebo trhových podmienok. V rámci týchto preskúmaní by Komisia mala posúdiť relevantnosť veľkosti dotknutých subjektov a odvetví, pododvetví a typu subjektu, uvedených v prílohách k tejto smernici pre fungovanie hospodárstva a spoločnosti v súvislosti s kybernetickou bezpečnosťou. Komisia by mala okrem iného posúdiť, či poskytovatelia patriaci do rozsahu pôsobnosti tejto smernice, ktorí sú v zmysle článku 33 nariadenia Európskeho parlamentu a Rady (EÚ) 2022/2065 (24) určení ako veľmi veľké online platformy, by sa podľa tejto smernice mohli považovať za kľúčové subjekty. |
| --- | --- |

(140)

Komisia by mala túto smernicu pravidelne preskúmavať a po porade so zainteresovanými stranami najmä s cieľom určiť, či je vhodné navrhnúť zmeny vzhľadom na zmeny spoločenských, politických, technologických alebo trhových podmienok. V rámci týchto preskúmaní by Komisia mala posúdiť relevantnosť veľkosti dotknutých subjektov a odvetví, pododvetví a typu subjektu, uvedených v prílohách k tejto smernici pre fungovanie hospodárstva a spoločnosti v súvislosti s kybernetickou bezpečnosťou. Komisia by mala okrem iného posúdiť, či poskytovatelia patriaci do rozsahu pôsobnosti tejto smernice, ktorí sú v zmysle článku 33 nariadenia Európskeho parlamentu a Rady (EÚ) 2022/2065 (24) určení ako veľmi veľké online platformy, by sa podľa tejto smernice mohli považovať za kľúčové subjekty.

| (141) | Táto smernica vytvára nové úlohy pre agentúru ENISA, čím sa posilňuje jej úloha, a môže viesť tiež k tomu, že agentúra ENISA bude musieť vykonávať svoje súčasné úlohy podľa nariadenia (EÚ) 2019/881 na vyššej úrovni ako predtým. S cieľom zabezpečiť, aby agentúra ENISA mala potrebné finančné a ľudské zdroje na vykonávanie súčasných a nových úloh, ako aj na dosahovanie akejkoľvek vyššej úrovne výkonu uvedených úloh vyplývajúcich z jej posilnenej úlohy, jej rozpočet by sa mal adekvátne zvýšiť. Aby sa zabezpečilo efektívne využívanie zdrojov, agentúre ENISA by sa mala navyše poskytnúť väčšia flexibilita, pokiaľ ide o spôsob, akým je schopná interne prideľovať zdroje, s cieľom efektívneho výkonu úloh a plnenia očakávaní. |
| --- | --- |

(141)

Táto smernica vytvára nové úlohy pre agentúru ENISA, čím sa posilňuje jej úloha, a môže viesť tiež k tomu, že agentúra ENISA bude musieť vykonávať svoje súčasné úlohy podľa nariadenia (EÚ) 2019/881 na vyššej úrovni ako predtým. S cieľom zabezpečiť, aby agentúra ENISA mala potrebné finančné a ľudské zdroje na vykonávanie súčasných a nových úloh, ako aj na dosahovanie akejkoľvek vyššej úrovne výkonu uvedených úloh vyplývajúcich z jej posilnenej úlohy, jej rozpočet by sa mal adekvátne zvýšiť. Aby sa zabezpečilo efektívne využívanie zdrojov, agentúre ENISA by sa mala navyše poskytnúť väčšia flexibilita, pokiaľ ide o spôsob, akým je schopná interne prideľovať zdroje, s cieľom efektívneho výkonu úloh a plnenia očakávaní.

| (142) | Keďže cieľ tejto smernice, a to dosiahnutie vysokej spoločnej úrovne kybernetickej bezpečnosti v celej Únii, nie je možné uspokojivo dosiahnuť na úrovni samotných členských štátov, ale z dôvodov účinku opatrení ho možno lepšie dosiahnuť na úrovni Únie, môže Únia prijať opatrenia v súlade so zásadou subsidiarity podľa článku 5 Zmluvy o Európskej únii. V súlade so zásadou proporcionality podľa uvedeného článku táto smernica neprekračuje rámec nevyhnutný na dosiahnutie tohto cieľa. |
| --- | --- |

(142)

Keďže cieľ tejto smernice, a to dosiahnutie vysokej spoločnej úrovne kybernetickej bezpečnosti v celej Únii, nie je možné uspokojivo dosiahnuť na úrovni samotných členských štátov, ale z dôvodov účinku opatrení ho možno lepšie dosiahnuť na úrovni Únie, môže Únia prijať opatrenia v súlade so zásadou subsidiarity podľa článku 5 Zmluvy o Európskej únii. V súlade so zásadou proporcionality podľa uvedeného článku táto smernica neprekračuje rámec nevyhnutný na dosiahnutie tohto cieľa.

| (143) | V tejto smernici sa rešpektujú základné práva a dodržiavajú zásady uznané v charte, najmä právo na rešpektovanie súkromného života a komunikácií, ochranu osobných údajov, slobodu podnikania, právo vlastniť majetok, právo na účinný prostriedok nápravy a na spravodlivý proces, prezumpcia neviny a právo na obhajobu. Právo na účinný prostriedok nápravy sa vzťahuje aj na príjemcov služieb poskytovaných kľúčovými a dôležitými subjektmi. Táto smernica by sa mala vykonávať v súlade s uvedenými právami a zásadami. |
| --- | --- |

(143)

V tejto smernici sa rešpektujú základné práva a dodržiavajú zásady uznané v charte, najmä právo na rešpektovanie súkromného života a komunikácií, ochranu osobných údajov, slobodu podnikania, právo vlastniť majetok, právo na účinný prostriedok nápravy a na spravodlivý proces, prezumpcia neviny a právo na obhajobu. Právo na účinný prostriedok nápravy sa vzťahuje aj na príjemcov služieb poskytovaných kľúčovými a dôležitými subjektmi. Táto smernica by sa mala vykonávať v súlade s uvedenými právami a zásadami.

| (144) | S európskym dozorným úradníkom pre ochranu údajov sa konzultovalo v súlade s článkom 42 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725 (25) a európsky dozorný úradník pre ochranu údajov vydal stanovisko 11. marca 2021 (26), |
| --- | --- |

(144)

S európskym dozorným úradníkom pre ochranu údajov sa konzultovalo v súlade s článkom 42 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725 (25) a európsky dozorný úradník pre ochranu údajov vydal stanovisko 11. marca 2021 (26),

PRIJALI TÚTO SMERNICU:

KAPITOLA I

VŠEOBECNÉ USTANOVENIA

Článok 1

Predmet úpravy

1.   Touto smernicou sa stanovujú opatrenia, ktorých zámerom je dosiahnuť vysokú spoločnú úroveň kybernetickej bezpečnosti v celej Únii na účely lepšieho fungovania vnútorného trhu.

2.   Na uvedený účel sa v tejto smernici stanovujú:

| a) | povinnosti, ktorými sa od členských štátov vyžaduje, aby prijali národné stratégie kybernetickej bezpečnosti a určili alebo zriadili príslušné orgány, orgány pre riadenie kybernetických kríz, jednotné kontaktné miesta pre kybernetickú bezpečnosť (jednotné kontaktné miesta) a jednotky pre riešenie počítačových bezpečnostných incidentov (jednotky CSIRT); |
| --- | --- |

a)

povinnosti, ktorými sa od členských štátov vyžaduje, aby prijali národné stratégie kybernetickej bezpečnosti a určili alebo zriadili príslušné orgány, orgány pre riadenie kybernetických kríz, jednotné kontaktné miesta pre kybernetickú bezpečnosť (jednotné kontaktné miesta) a jednotky pre riešenie počítačových bezpečnostných incidentov (jednotky CSIRT);

| b) | opatrenia na riadenie kybernetických rizík a oznamovacie povinnosti pre subjekty typu uvedeného v prílohe I alebo II, ako aj pre subjekty identifikované ako kritické subjekty podľa smernice (EÚ) 2022/2557; |
| --- | --- |

b)

opatrenia na riadenie kybernetických rizík a oznamovacie povinnosti pre subjekty typu uvedeného v prílohe I alebo II, ako aj pre subjekty identifikované ako kritické subjekty podľa smernice (EÚ) 2022/2557;

| c) | pravidlá a povinnosti výmeny informácií o kybernetickej bezpečnosti; |
| --- | --- |

c)

pravidlá a povinnosti výmeny informácií o kybernetickej bezpečnosti;

| d) | povinnosti členských štátov v oblasti dohľadu a presadzovania práva. |
| --- | --- |

d)

povinnosti členských štátov v oblasti dohľadu a presadzovania práva.

Článok 2

Rozsah pôsobnosti

1.   Táto smernica sa vzťahuje na verejné alebo súkromné subjekty typu uvedeného v prílohe I alebo II, ktoré sa považujú za stredné podniky podľa článku 2 prílohy k odporúčaniu 2003/361/ES alebo presahujú limity pre stredné podniky stanovené v odseku 1 uvedeného článku a ktoré poskytujú služby alebo vykonávajú svoje činnosti v Únii.

Na účely tejto smernice sa článok 3 ods. 4 prílohy k uvedenému odporúčaniu neuplatňuje.

2.   Táto smernica sa vzťahuje aj na subjekty typu uvedeného v prílohe I alebo II bez ohľadu na ich veľkosť, ak:

| a) | služby poskytujú:






  i) | poskytovatelia verejných elektronických komunikačných sietí alebo verejne dostupných elektronických komunikačných služieb; |
| --- | --- | --- |

a)

služby poskytujú:

i)

poskytovatelia verejných elektronických komunikačných sietí alebo verejne dostupných elektronických komunikačných služieb;

| ii) | poskytovatelia dôveryhodných služieb; |
| --- | --- |

ii)

poskytovatelia dôveryhodných služieb;

| iii) | registre názvov domén najvyššej úrovne a poskytovatelia služieb systému názvov domén; |
| --- | --- |

iii)

registre názvov domén najvyššej úrovne a poskytovatelia služieb systému názvov domén;

| b) | subjekt je v členskom štáte jediným poskytovateľom služby, ktorá je kľúčovou pre zachovanie kritických spoločenských alebo hospodárskych činností; |
| --- | --- |

b)

subjekt je v členskom štáte jediným poskytovateľom služby, ktorá je kľúčovou pre zachovanie kritických spoločenských alebo hospodárskych činností;

| c) | narušenie služby poskytovanej subjektom by mohlo mať významný vplyv na verejný poriadok, verejnú bezpečnosť alebo verejné zdravie; |
| --- | --- |

c)

narušenie služby poskytovanej subjektom by mohlo mať významný vplyv na verejný poriadok, verejnú bezpečnosť alebo verejné zdravie;

| d) | narušenie služby poskytovanej subjektom by mohlo vyvolať významné systémové riziko, najmä v odvetviach, v ktorých by takéto narušenie mohlo mať cezhraničný vplyv; |
| --- | --- |

d)

narušenie služby poskytovanej subjektom by mohlo vyvolať významné systémové riziko, najmä v odvetviach, v ktorých by takéto narušenie mohlo mať cezhraničný vplyv;

| e) | subjekt je vzhľadom na svoj osobitný význam na vnútroštátnej alebo regionálnej úrovni kritickým pre konkrétne odvetvie alebo typ služby alebo pre iné vzájomne závislé odvetvia v členskom štáte; |
| --- | --- |

e)

subjekt je vzhľadom na svoj osobitný význam na vnútroštátnej alebo regionálnej úrovni kritickým pre konkrétne odvetvie alebo typ služby alebo pre iné vzájomne závislé odvetvia v členskom štáte;

| f) | subjekt je subjektom verejnej správy:






  i) | v ústrednej štátnej správe podľa definície členského štátu v súlade s vnútroštátnym právom; alebo |
| --- | --- | --- |

f)

subjekt je subjektom verejnej správy:

i)

v ústrednej štátnej správe podľa definície členského štátu v súlade s vnútroštátnym právom; alebo

| ii) | na regionálnej úrovni podľa definície členského štátu v súlade s vnútroštátnym právom, ktorý po posúdení na základe rizík poskytuje služby, ktorých narušenie by mohlo mať významný vplyv na kritické spoločenské alebo hospodárske činnosti. |
| --- | --- |

ii)

na regionálnej úrovni podľa definície členského štátu v súlade s vnútroštátnym právom, ktorý po posúdení na základe rizík poskytuje služby, ktorých narušenie by mohlo mať významný vplyv na kritické spoločenské alebo hospodárske činnosti.

3.   Táto smernica sa vzťahuje na subjekty identifikované ako kritické subjekty podľa smernice (EÚ) 2022/2557 bez ohľadu na ich veľkosť.

4.   Táto smernica sa vzťahuje na subjekty poskytujúce služby registrácie názvov domén bez ohľadu na ich veľkosť.

5.   Členské štáty môžu ustanoviť, že sa táto smernica vzťahuje na:

| a) | subjekty verejnej správy na miestnej úrovni; |
| --- | --- |

a)

subjekty verejnej správy na miestnej úrovni;

| b) | vzdelávacie inštitúcie, najmä tie, v ktorých sa vykonávajú kritické výskumné činnosti. |
| --- | --- |

b)

vzdelávacie inštitúcie, najmä tie, v ktorých sa vykonávajú kritické výskumné činnosti.

6.   Touto smernicou nie je dotknutá zodpovednosť členských štátov za ochranu národnej bezpečnosti ani ich právomoc chrániť iné základné funkcie štátu vrátane zabezpečenia územnej celistvosti štátu a udržiavania verejného poriadku.

7.   Táto smernica sa nevzťahuje na subjekty verejnej správy, ktoré vykonávajú činnosť v oblasti národnej bezpečnosti, verejnej bezpečnosti, obrany alebo presadzovania práva vrátane prevencie, vyšetrovania, odhaľovania a stíhania trestných činov.

8.   Členské štáty môžu vyňať konkrétne subjekty, ktoré vykonávajú činnosti v oblastiach národnej bezpečnosti, verejnej bezpečnosti, obrany alebo presadzovania práva vrátane prevencie, vyšetrovania, odhaľovania a stíhania trestných činov, alebo ktoré poskytujú služby výhradne subjektom verejnej správy uvedeným v odseku 7 tohto článku, v súvislosti s danými činnosťami alebo službami z povinností stanovených v článku 21 alebo článku 23. V takýchto prípadoch sa opatrenia dohľadu a presadzovania uvedené v kapitole VII v súvislosti s týmito konkrétnymi činnosťami alebo službami neuplatňujú. Ak subjekty vykonávajú činnosti alebo poskytujú služby výlučne typu uvedeného v tomto odseku, členské štáty sa môžu tiež rozhodnúť vyňať tieto subjekty z povinností stanovených v článkoch 3 a 27.

9.   Ak subjekt koná ako poskytovateľ dôveryhodných služieb, odseky 7 a 8 sa neuplatňujú.

10.   Táto smernica sa nevzťahuje na subjekty, ktoré členské štáty vyňali z rozsahu pôsobnosti nariadenia (EÚ) 2022/2554 v súlade s článkom 2 ods. 4 uvedeného nariadenia.

11.   K povinnostiam ustanoveným v tejto smernici nepatrí poskytovanie informácií, ktorých zverejnenie by bolo v rozpore so základnými záujmami členských štátov v oblasti národnej bezpečnosti, verejnej bezpečnosti alebo obrany.

12.   Táto smernica sa uplatňuje bez toho, aby bolo dotknuté nariadenie (EÚ) 2016/679, smernica 2002/58/ES, smernice Európskeho parlamentu a Rady 2011/93/EÚ (27) a 2013/40/EÚ (28) a smernica (EÚ) 2022/2557.

13.   Bez toho, aby bol dotknutý článok 346 ZFEÚ, informácie, ktoré sú podľa predpisov Únie alebo vnútroštátnych predpisov dôverné, ako napríklad predpisy o obchodnom tajomstve, sa vymieňajú s Komisiou a inými príslušnými orgánmi v súlade s touto smernicou len vtedy, ak je takáto výmena potrebná na účely uplatňovania tejto smernice. Vymieňané informácie sa obmedzia na také informácie, ktoré sú relevantné a primerané účelu danej výmeny. Pri výmene informácií sa zachováva ich dôvernosť a chránia sa bezpečnostné a komerčné záujmy dotknutých subjektov.

14.   Subjekty, príslušné orgány, jednotné kontaktné miesta a jednotky CSIRT spracúvajú osobné údaje v rozsahu potrebnom na účely tejto smernice a v súlade s nariadením (EÚ) 2016/679, pričom takéto spracovanie sa opiera najmä o jeho článok 6.

Spracovanie osobných údajov podľa tejto smernice poskytovateľmi verejných elektronických komunikačných sietí alebo poskytovateľmi verejne dostupných elektronických komunikačných služieb sa vykonáva v súlade s právom Únie v oblasti ochrany údajov a právom Únie v oblasti ochrany súkromia, najmä so smernicou 2002/58/ES.

Článok 3

Kľúčové a dôležité subjekty

1.   Na účely tejto smernice sa za kľúčové subjekty považujú:

| a) | subjekty typu uvedeného v prílohe I, ktoré presahujú limity pre stredné podniky stanovené v článku 2 ods. 1 prílohy k odporúčaniu 2003/361/ES; |
| --- | --- |

a)

subjekty typu uvedeného v prílohe I, ktoré presahujú limity pre stredné podniky stanovené v článku 2 ods. 1 prílohy k odporúčaniu 2003/361/ES;

| b) | kvalifikovaní poskytovatelia dôveryhodných služieb a registre názvov domén najvyššej úrovne, ako aj poskytovatelia služieb DNS, bez ohľadu na ich veľkosť; |
| --- | --- |

b)

kvalifikovaní poskytovatelia dôveryhodných služieb a registre názvov domén najvyššej úrovne, ako aj poskytovatelia služieb DNS, bez ohľadu na ich veľkosť;

| c) | poskytovatelia verejných elektronických komunikačných sietí alebo verejne dostupných elektronických komunikačných služieb, ktoré sú považované za stredné podniky podľa článku 2 prílohy k odporúčaniu 2003/361/ES; |
| --- | --- |

c)

poskytovatelia verejných elektronických komunikačných sietí alebo verejne dostupných elektronických komunikačných služieb, ktoré sú považované za stredné podniky podľa článku 2 prílohy k odporúčaniu 2003/361/ES;

| d) | subjekty verejnej správy uvedené v článku 2 ods. 2 písm. f) bode i); |
| --- | --- |

d)

subjekty verejnej správy uvedené v článku 2 ods. 2 písm. f) bode i);

| e) | akékoľvek iné subjekty typu uvedeného v prílohe I alebo II, ktoré členský štát označil za kľúčové subjekty podľa článku 2 ods. 2 písm. b) až e); |
| --- | --- |

e)

akékoľvek iné subjekty typu uvedeného v prílohe I alebo II, ktoré členský štát označil za kľúčové subjekty podľa článku 2 ods. 2 písm. b) až e);

| f) | subjekty označené ako kritické subjekty podľa smernice (EÚ) 2022/2557 uvedenej v článku 2 ods. 3 tejto smernice; |
| --- | --- |

f)

subjekty označené ako kritické subjekty podľa smernice (EÚ) 2022/2557 uvedenej v článku 2 ods. 3 tejto smernice;

| g) | ak tak členský štát ustanoví, subjekty, ktoré daný členský štát označil pred 16. januárom 2023 ako prevádzkovateľov základných služieb v súlade so smernicou (EÚ) 2016/1148 alebo vnútroštátnym právom. |
| --- | --- |

g)

ak tak členský štát ustanoví, subjekty, ktoré daný členský štát označil pred 16. januárom 2023 ako prevádzkovateľov základných služieb v súlade so smernicou (EÚ) 2016/1148 alebo vnútroštátnym právom.

2.   Na účely tejto smernice sa subjekty typu uvedeného v prílohe I alebo II, ktoré sa nepovažujú za kľúčové subjekty podľa odseku 1 tohto článku, považujú za dôležité subjekty. Patria sem subjekty označené členskými štátmi ako dôležité subjekty podľa článku 2 ods. 2 písm. b) až e).

3.   Do 17. apríla 2025 vypracujú členské štáty zoznam kľúčových a dôležitých subjektov ako aj subjektov poskytujúcich služby registrácie názvov domén. Členské štáty tento zoznam pravidelne prehodnocujú a podľa potreby aktualizujú najmenej každé dva roky po uvedenom dátume.

4.   Na účely zostavenia zoznamu uvedeného v odseku 3 členské štáty požadujú od subjektov uvedených v uvedenom odseku, aby príslušným orgánom predložili aspoň tieto informácie:

| a) | názov subjektu; |
| --- | --- |

a)

názov subjektu;

| b) | adresu a aktuálne kontaktné údaje vrátane e-mailových adries, IP adries a telefónnych čísel; |
| --- | --- |

b)

adresu a aktuálne kontaktné údaje vrátane e-mailových adries, IP adries a telefónnych čísel;

| c) | podľa potreby príslušné odvetvie a pododvetvie uvedené v prílohe I alebo II; a |
| --- | --- |

c)

podľa potreby príslušné odvetvie a pododvetvie uvedené v prílohe I alebo II; a

| d) | prípadne zoznam členských štátov, v ktorých poskytujú služby patriace do pôsobnosti tejto smernice. |
| --- | --- |

d)

prípadne zoznam členských štátov, v ktorých poskytujú služby patriace do pôsobnosti tejto smernice.

Subjekty uvedené v odseku 3 bezodkladne a v každom prípade do dvoch týždňov odo dňa zmeny oznámia akékoľvek zmeny údajov zasielaných podľa prvého pododseku tohto odseku.

Komisia s pomocou Agentúry Európskej únie pre kybernetickú bezpečnosť (ENISA) bez zbytočného odkladu poskytne usmernenia a vzory súvisiace s povinnosťami stanovenými v tomto odseku.

Členské štáty môžu zaviesť vnútroštátne mechanizmy, pomocou ktorých by sa subjekty mohli zaregistrovať samé.

5.   Do 17. apríla 2025 a potom každé dva roky príslušné orgány nahlasujú:

| a) | Komisii a skupine pre spoluprácu počet kľúčových a dôležitých subjektov uvedených v odseku 3 za každé odvetvie a pododvetvie uvedené v prílohe I alebo II; a |
| --- | --- |

a)

Komisii a skupine pre spoluprácu počet kľúčových a dôležitých subjektov uvedených v odseku 3 za každé odvetvie a pododvetvie uvedené v prílohe I alebo II; a

| b) | Komisii relevantné informácie o počte kľúčových a dôležitých subjektov označených podľa článku 2 ods. 2 písm. b) až e), odvetvie a pododvetvie uvedené v prílohe I alebo II, do ktorých patria, druh nimi poskytovanej služby a ustanovenie spomedzi ustanovení uvedených v článku 2 ods. 2 písm. b) až e), podľa ktorého boli označené. |
| --- | --- |

b)

Komisii relevantné informácie o počte kľúčových a dôležitých subjektov označených podľa článku 2 ods. 2 písm. b) až e), odvetvie a pododvetvie uvedené v prílohe I alebo II, do ktorých patria, druh nimi poskytovanej služby a ustanovenie spomedzi ustanovení uvedených v článku 2 ods. 2 písm. b) až e), podľa ktorého boli označené.

6.   Do 17. apríla 2025 a na žiadosť Komisie môžu členské štáty Komisii nahlásiť názvy kľúčových a dôležitých subjektov uvedených v odseku 5 písm. b).

Článok 4

Odvetvové právne akty Únie

1.   Ak sa v odvetvových právnych aktoch Únie vyžaduje, aby kľúčové alebo dôležité subjekty prijali opatrenia na riadenie kybernetických rizík alebo aby nahlasovali významné incidenty, a ak majú tieto požiadavky aspoň rovnocenný účinok ako povinnosti stanovené v tejto smernici, príslušné ustanovenia tejto smernice vrátane ustanovení o dohľade a presadzovaní práva v kapitole VII sa na takéto subjekty nevzťahujú. Ak sa odvetvové právne akty Únie nevzťahujú na všetky subjekty v konkrétnom odvetví v pôsobnosti tejto smernice, príslušné ustanovenia tejto smernice sa naďalej vzťahujú na subjekty, na ktoré sa odvetvové právne akty Únie nevzťahujú.

2.   Požiadavky uvedené v odseku 1 tohto článku sa považujú za rovnocenné s povinnosťami stanovenými v tejto smernici, ak:

| a) | opatrenia na riadenie kybernetických rizík majú prinajmenšom rovnocenný účinok ako opatrenia stanovené v článku 21 ods. 1 a 2; alebo |
| --- | --- |

a)

opatrenia na riadenie kybernetických rizík majú prinajmenšom rovnocenný účinok ako opatrenia stanovené v článku 21 ods. 1 a 2; alebo

| b) | odvetvový právny akt Únie poskytuje okamžitý prístup, podľa potreby automatický a priamy, k hláseniam o incidentoch od jednotiek CSIRT, príslušných orgánov alebo jednotných kontaktných miest podľa tejto smernice a ak požiadavky na nahlasovanie závažných incidentov majú prinajmenšom rovnocenný účinok ako požiadavky stanovené v článku 23 ods. 1 až 6 tejto smernice. |
| --- | --- |

b)

odvetvový právny akt Únie poskytuje okamžitý prístup, podľa potreby automatický a priamy, k hláseniam o incidentoch od jednotiek CSIRT, príslušných orgánov alebo jednotných kontaktných miest podľa tejto smernice a ak požiadavky na nahlasovanie závažných incidentov majú prinajmenšom rovnocenný účinok ako požiadavky stanovené v článku 23 ods. 1 až 6 tejto smernice.

3.   Komisia do 17. júla 2023 poskytne usmernenia na objasnenie uplatňovania odsekov 1 a 2. Komisia uvedené usmernenia pravidelne prehodnocuje. Pri príprave uvedených usmernení Komisia zohľadňuje všetky pripomienky skupiny pre spoluprácu a agentúry ENISA.

Článok 5

Minimálna harmonizácia

Táto smernica nebráni členským štátom, aby prijali alebo ponechali v platnosti ustanovenia na zaistenie vyššej úrovne kybernetickej bezpečnosti, ak nie sú takéto ustanovenia v rozpore s povinnosťami členských štátov stanovenými v práve Únie.

Článok 6

Vymedzenie pojmov

Na účely tejto smernice sa uplatňuje toto vymedzenie pojmov:

| 1. | „sieť a informačný systém“ je:






  a) | elektronická komunikačná sieť v zmysle vymedzenia v článku 2 bodu 1 smernice (EÚ) 2018/1972; |
| --- | --- | --- |

1.

„sieť a informačný systém“ je:

a)

elektronická komunikačná sieť v zmysle vymedzenia v článku 2 bodu 1 smernice (EÚ) 2018/1972;

| b) | každé zariadenie alebo skupina vzájomne prepojených alebo súvisiacich zariadení, z ktorých jedno alebo viaceré vykonávajú automatické spracúvanie digitálnych údajov na základe programu; alebo |
| --- | --- |

b)

každé zariadenie alebo skupina vzájomne prepojených alebo súvisiacich zariadení, z ktorých jedno alebo viaceré vykonávajú automatické spracúvanie digitálnych údajov na základe programu; alebo

| c) | digitálne údaje, ktoré sa ukladajú, spracúvajú, získavajú alebo prenášajú prostredníctvom prvkov uvedených v písmenách a) a b) na účely ich prevádzkovania, používania, ochrany a udržiavania; |
| --- | --- |

c)

digitálne údaje, ktoré sa ukladajú, spracúvajú, získavajú alebo prenášajú prostredníctvom prvkov uvedených v písmenách a) a b) na účely ich prevádzkovania, používania, ochrany a udržiavania;

| 2. | „bezpečnosť sietí a informačných systémov“ je schopnosť sietí a informačných systémov odolávať na určitom stupni spoľahlivosti akejkoľvek udalosti, ktorá môže ohroziť dostupnosť, pravosť, integritu alebo dôvernosť uchovávaných, prenášaných alebo spracúvaných údajov alebo služieb poskytovaných alebo prístupných prostredníctvom týchto sietí a informačných systémov; |
| --- | --- |

2.

„bezpečnosť sietí a informačných systémov“ je schopnosť sietí a informačných systémov odolávať na určitom stupni spoľahlivosti akejkoľvek udalosti, ktorá môže ohroziť dostupnosť, pravosť, integritu alebo dôvernosť uchovávaných, prenášaných alebo spracúvaných údajov alebo služieb poskytovaných alebo prístupných prostredníctvom týchto sietí a informačných systémov;

| 3. | „kybernetická bezpečnosť“ je kybernetická bezpečnosť v zmysle vymedzenia v článku 2 bode 1 nariadenia (EÚ) 2019/881; |
| --- | --- |

3.

„kybernetická bezpečnosť“ je kybernetická bezpečnosť v zmysle vymedzenia v článku 2 bode 1 nariadenia (EÚ) 2019/881;

| 4. | „národná stratégia kybernetickej bezpečnosti “ je koherentný rámec členského štátu, v ktorom sa stanovujú strategické ciele a priority v oblasti kybernetickej bezpečnosti a systém správy na ich dosiahnutie v danom členskom štáte; |
| --- | --- |

4.

„národná stratégia kybernetickej bezpečnosti “ je koherentný rámec členského štátu, v ktorom sa stanovujú strategické ciele a priority v oblasti kybernetickej bezpečnosti a systém správy na ich dosiahnutie v danom členskom štáte;

| 5. | „udalosť odvrátená v poslednej chvíli“ je udalosť, ktorá by mohla ohroziť dostupnosť, pravosť, integritu alebo dôvernosť uchovávaných, prenášaných alebo spracúvaných údajov alebo služieb poskytovaných alebo prístupných prostredníctvom týchto sietí a informačných systémov, ale ktorej vzniku sa úspešne zabránilo alebo ku ktorej nedošlo; |
| --- | --- |

5.

„udalosť odvrátená v poslednej chvíli“ je udalosť, ktorá by mohla ohroziť dostupnosť, pravosť, integritu alebo dôvernosť uchovávaných, prenášaných alebo spracúvaných údajov alebo služieb poskytovaných alebo prístupných prostredníctvom týchto sietí a informačných systémov, ale ktorej vzniku sa úspešne zabránilo alebo ku ktorej nedošlo;

| 6. | „incident“ je udalosť ohrozujúca dostupnosť, pravosť, integritu alebo dôvernosť uchovávaných, prenášaných alebo spracúvaných údajov alebo služieb poskytovaných alebo prístupných prostredníctvom sietí a informačných systémov; |
| --- | --- |

6.

„incident“ je udalosť ohrozujúca dostupnosť, pravosť, integritu alebo dôvernosť uchovávaných, prenášaných alebo spracúvaných údajov alebo služieb poskytovaných alebo prístupných prostredníctvom sietí a informačných systémov;

| 7. | „rozsiahly kybernetický incident“ je incident, ktorý spôsobí narušenie na úrovni presahujúcej schopnosť členského štátu naň reagovať alebo ktorý má významný vplyv aspoň na dva členské štáty; |
| --- | --- |

7.

„rozsiahly kybernetický incident“ je incident, ktorý spôsobí narušenie na úrovni presahujúcej schopnosť členského štátu naň reagovať alebo ktorý má významný vplyv aspoň na dva členské štáty;

| 8. | „riešenie incidentov“ sú akékoľvek kroky a postupy zamerané na prevenciu, odhaľovanie, analýzu a obmedzovanie incidentov alebo na reakciu na incident a zotavenie z neho; |
| --- | --- |

8.

„riešenie incidentov“ sú akékoľvek kroky a postupy zamerané na prevenciu, odhaľovanie, analýzu a obmedzovanie incidentov alebo na reakciu na incident a zotavenie z neho;

| 9. | „riziko“ je potenciál straty alebo narušenia v dôsledku incidentu a má byť vyjadrené ako kombinácia rozsahu takejto straty alebo narušenia a pravdepodobnosti výskytu incidentu; |
| --- | --- |

9.

„riziko“ je potenciál straty alebo narušenia v dôsledku incidentu a má byť vyjadrené ako kombinácia rozsahu takejto straty alebo narušenia a pravdepodobnosti výskytu incidentu;

| 10. | „kybernetická hrozba“ je kybernetická hrozba v zmysle vymedzenia v článku 2 bode 8 nariadenia (EÚ) 2019/881; |
| --- | --- |

10.

„kybernetická hrozba“ je kybernetická hrozba v zmysle vymedzenia v článku 2 bode 8 nariadenia (EÚ) 2019/881;

| 11. | „významná kybernetická hrozba“ je kybernetická hrozba, o ktorej možno na základe jej technických charakteristík predpokladať, že má potenciál mať závažný vplyv na sieť a informačné systémy subjektu alebo používateľov služieb subjektu tým, že spôsobí značnú hmotnú alebo nehmotnú ujmu; |
| --- | --- |

11.

„významná kybernetická hrozba“ je kybernetická hrozba, o ktorej možno na základe jej technických charakteristík predpokladať, že má potenciál mať závažný vplyv na sieť a informačné systémy subjektu alebo používateľov služieb subjektu tým, že spôsobí značnú hmotnú alebo nehmotnú ujmu;

| 12. | „produkt IKT“ je produkt IKT v zmysle vymedzenia v článku 2 bode 12 nariadenia (EÚ) 2019/881; |
| --- | --- |

12.

„produkt IKT“ je produkt IKT v zmysle vymedzenia v článku 2 bode 12 nariadenia (EÚ) 2019/881;

| 13. | „služba IKT“ je služba IKT v zmysle vymedzenia v článku 2 bode 13 nariadenia (EÚ) 2019/881; |
| --- | --- |

13.

„služba IKT“ je služba IKT v zmysle vymedzenia v článku 2 bode 13 nariadenia (EÚ) 2019/881;

| 14. | „proces IKT“ je proces v zmysle vymedzenia v článku 2 bode 14 nariadenia (EÚ) 2019/881; |
| --- | --- |

14.

„proces IKT“ je proces v zmysle vymedzenia v článku 2 bode 14 nariadenia (EÚ) 2019/881;

| 15. | „zraniteľnosť“ je slabá stránka, náchylnosť alebo chyba produktov IKT alebo služieb IKT, ktorá môže byť zneužitá kybernetickou hrozbou; |
| --- | --- |

15.

„zraniteľnosť“ je slabá stránka, náchylnosť alebo chyba produktov IKT alebo služieb IKT, ktorá môže byť zneužitá kybernetickou hrozbou;

| 16. | „norma“ je norma v zmysle vymedzenia v článku 2 bode 1 nariadenia Európskeho parlamentu a Rady (EÚ) č. 1025/2012 (29); |
| --- | --- |

16.

„norma“ je norma v zmysle vymedzenia v článku 2 bode 1 nariadenia Európskeho parlamentu a Rady (EÚ) č. 1025/2012 (29);

29

| 17. | „technická špecifikácia“ je technická špecifikácia v zmysle vymedzenia v článku 2 bode 4 nariadenia (EÚ) č. 1025/2012; |
| --- | --- |

17.

„technická špecifikácia“ je technická špecifikácia v zmysle vymedzenia v článku 2 bode 4 nariadenia (EÚ) č. 1025/2012;

| 18. | „internetový prepojovací uzol“ je sieťové zariadenie, ktoré umožňuje prepojenie viac než dvoch nezávislých autonómnych sietí (autonómnych systémov) najmä na účely sprostredkovania internetového dátového toku, ktorý prepojuje len autonómne systémy a ktorý nevyžaduje, aby internetový dátový tok medzi ktoroukoľvek dvojicou zúčastnených autonómnych systémov prechádzal cez ľubovoľný tretí autonómny systém, takýto dátový tok menil alebo doň nejako nezasahoval; |
| --- | --- |

18.

„internetový prepojovací uzol“ je sieťové zariadenie, ktoré umožňuje prepojenie viac než dvoch nezávislých autonómnych sietí (autonómnych systémov) najmä na účely sprostredkovania internetového dátového toku, ktorý prepojuje len autonómne systémy a ktorý nevyžaduje, aby internetový dátový tok medzi ktoroukoľvek dvojicou zúčastnených autonómnych systémov prechádzal cez ľubovoľný tretí autonómny systém, takýto dátový tok menil alebo doň nejako nezasahoval;

| 19. | „systém názvov domén“ alebo „DNS“ je hierarchický distribuovaný systém názvov, ktorý umožňuje identifikáciu internetových služieb a zdrojov a to, aby zariadenia koncových používateľov používali služby smerovania internetu a pripojenia na účely prístupu k týmto službám a zdrojom; |
| --- | --- |

19.

„systém názvov domén“ alebo „DNS“ je hierarchický distribuovaný systém názvov, ktorý umožňuje identifikáciu internetových služieb a zdrojov a to, aby zariadenia koncových používateľov používali služby smerovania internetu a pripojenia na účely prístupu k týmto službám a zdrojom;

| 20. | „poskytovateľ služieb DNS“ je subjekt, ktorý poskytuje:






  a) | verejne dostupné služby rekurzívneho rozlišovania názvov domén pre koncových používateľov internetu; alebo |
| --- | --- | --- |

20.

„poskytovateľ služieb DNS“ je subjekt, ktorý poskytuje:

a)

verejne dostupné služby rekurzívneho rozlišovania názvov domén pre koncových používateľov internetu; alebo

| b) | autoritatívne služby rozlišovania názvov domén pre použitie tretích strán s výnimkou koreňových názvových serverov; |
| --- | --- |

b)

autoritatívne služby rozlišovania názvov domén pre použitie tretích strán s výnimkou koreňových názvových serverov;

| 21. | „správca názvov domén najvyššej úrovne“ alebo „správca názvov TLD“ je subjekt, ktorému bola pridelená osobitná doména najvyššej úrovne (TLD) a ktorý je zodpovedný za správu TLD vrátane registrácie názvov domén v rámci TLD a za technickú prevádzku TLD vrátane prevádzky názvových serverov, údržby jeho databáz a distribúcie súborov zóny TLD v rámci názvových serverov bez ohľadu na to, či ktorúkoľvek z týchto operácií vykonáva subjekt sám alebo sa vykonáva externe, avšak s vylúčením situácií, kedy názvy TLD používa správca pre vlastnú potrebu; |
| --- | --- |

21.

„správca názvov domén najvyššej úrovne“ alebo „správca názvov TLD“ je subjekt, ktorému bola pridelená osobitná doména najvyššej úrovne (TLD) a ktorý je zodpovedný za správu TLD vrátane registrácie názvov domén v rámci TLD a za technickú prevádzku TLD vrátane prevádzky názvových serverov, údržby jeho databáz a distribúcie súborov zóny TLD v rámci názvových serverov bez ohľadu na to, či ktorúkoľvek z týchto operácií vykonáva subjekt sám alebo sa vykonáva externe, avšak s vylúčením situácií, kedy názvy TLD používa správca pre vlastnú potrebu;

| 22. | „subjekt poskytujúci služby registrácie názvov domén“ je registrátor alebo zástupca konajúci v mene registrátorov, ako napríklad poskytovateľ alebo predajca služieb registrácie súkromia alebo proxy; |
| --- | --- |

22.

„subjekt poskytujúci služby registrácie názvov domén“ je registrátor alebo zástupca konajúci v mene registrátorov, ako napríklad poskytovateľ alebo predajca služieb registrácie súkromia alebo proxy;

| 23. | „digitálna služba“ je služba v zmysle vymedzenia v článku 1 ods. 1 písm. b) smernice Európskeho parlamentu a Rady (EÚ) 2015/1535 (30); |
| --- | --- |

23.

„digitálna služba“ je služba v zmysle vymedzenia v článku 1 ods. 1 písm. b) smernice Európskeho parlamentu a Rady (EÚ) 2015/1535 (30);

30

| 24. | „dôveryhodná služba“ je dôveryhodná služba v zmysle vymedzenia v článku 3 bode 16 nariadenia (EÚ) č. 910/2014; |
| --- | --- |

24.

„dôveryhodná služba“ je dôveryhodná služba v zmysle vymedzenia v článku 3 bode 16 nariadenia (EÚ) č. 910/2014;

| 25. | „poskytovateľ dôveryhodných služieb“ je poskytovateľ dôveryhodných služieb v zmysle vymedzenia v článku 3 bode 19 nariadenia (EÚ) č. 910/2014; |
| --- | --- |

25.

„poskytovateľ dôveryhodných služieb“ je poskytovateľ dôveryhodných služieb v zmysle vymedzenia v článku 3 bode 19 nariadenia (EÚ) č. 910/2014;

| 26. | „kvalifikovaná dôveryhodná služba“ je kvalifikovaná dôveryhodná služba v zmysle vymedzenia v článku 3 bode 17 nariadenia (EÚ) č. 910/2014; |
| --- | --- |

26.

„kvalifikovaná dôveryhodná služba“ je kvalifikovaná dôveryhodná služba v zmysle vymedzenia v článku 3 bode 17 nariadenia (EÚ) č. 910/2014;

| 27. | „poskytovateľ kvalifikovaných dôveryhodných služieb“ je poskytovateľ kvalifikovaných dôveryhodných služieb v zmysle vymedzenia v článku 3 bode 20 nariadenia (EÚ) č. 910/2014; |
| --- | --- |

27.

„poskytovateľ kvalifikovaných dôveryhodných služieb“ je poskytovateľ kvalifikovaných dôveryhodných služieb v zmysle vymedzenia v článku 3 bode 20 nariadenia (EÚ) č. 910/2014;

| 28. | „online trhovisko“ je online trhovisko v zmysle vymedzenia v článku 2 písm. n) smernice Európskeho parlamentu a Rady 2005/29/ES (31); |
| --- | --- |

28.

„online trhovisko“ je online trhovisko v zmysle vymedzenia v článku 2 písm. n) smernice Európskeho parlamentu a Rady 2005/29/ES (31);

31

| 29. | „internetový vyhľadávač“ je internetový vyhľadávač v zmysle vymedzenia v článku 2 bodu 5 nariadenia Európskeho parlamentu a Rady (EÚ) 2019/1150 (32); |
| --- | --- |

29.

„internetový vyhľadávač“ je internetový vyhľadávač v zmysle vymedzenia v článku 2 bodu 5 nariadenia Európskeho parlamentu a Rady (EÚ) 2019/1150 (32);

32

| 30. | „služba cloud computingu“ je digitálna služba, ktoré umožňuje správu na požiadanie a vzdialený širokopásmový prístup ku škálovateľnému a pružnému súboru zdieľateľných výpočtových zdrojov, a to aj ak sa tieto zdroje nachádzajú na viacerých miestach; |
| --- | --- |

30.

„služba cloud computingu“ je digitálna služba, ktoré umožňuje správu na požiadanie a vzdialený širokopásmový prístup ku škálovateľnému a pružnému súboru zdieľateľných výpočtových zdrojov, a to aj ak sa tieto zdroje nachádzajú na viacerých miestach;

| 31. | „služba dátového centra“ je služba, ktorá zahŕňa štruktúry alebo skupiny štruktúr vyhradené na centralizované umiestnenie, vzájomné prepojenie a prevádzku IT a sieťového vybavenia poskytujúcich služby ukladania, spracovania a prepravy dát spolu so všetkými zariadeniami a infraštruktúrami na distribúciu elektrickej energie a environmentálnu kontrolu; |
| --- | --- |

31.

„služba dátového centra“ je služba, ktorá zahŕňa štruktúry alebo skupiny štruktúr vyhradené na centralizované umiestnenie, vzájomné prepojenie a prevádzku IT a sieťového vybavenia poskytujúcich služby ukladania, spracovania a prepravy dát spolu so všetkými zariadeniami a infraštruktúrami na distribúciu elektrickej energie a environmentálnu kontrolu;

| 32. | „sieť na sprístupňovanie obsahu“ je sieť geograficky distribuovaných serverov na zabezpečenie vysokej dostupnosti, prístupnosti alebo rýchleho doručenia digitálneho obsahu a služieb používateľom internetu v mene poskytovateľov obsahu a služieb; |
| --- | --- |

32.

„sieť na sprístupňovanie obsahu“ je sieť geograficky distribuovaných serverov na zabezpečenie vysokej dostupnosti, prístupnosti alebo rýchleho doručenia digitálneho obsahu a služieb používateľom internetu v mene poskytovateľov obsahu a služieb;

| 33. | „platforma služieb sociálnej siete“ je platforma, ktorá koncovým používateľom umožňuje vzájomné prepojenie, zdieľanie, objavovanie a komunikáciu prostredníctvom viacerých zariadení, najmä prostredníctvom chatov, príspevkov, videí a odporúčaní; |
| --- | --- |

33.

„platforma služieb sociálnej siete“ je platforma, ktorá koncovým používateľom umožňuje vzájomné prepojenie, zdieľanie, objavovanie a komunikáciu prostredníctvom viacerých zariadení, najmä prostredníctvom chatov, príspevkov, videí a odporúčaní;

| 34. | „zástupca“ je fyzická alebo právnická osoba usadená v Únii, ktorá je výslovne určená konať v mene poskytovateľa služieb DNS, správcu názvov TLD, subjektu poskytujúceho služby registrácie názvov domén, poskytovateľa služieb cloud computingu, poskytovateľa služieb dátových centier, poskytovateľa siete na sprístupňovanie obsahu, poskytovateľa riadených služieb, poskytovateľa riadených bezpečnostných služieb, alebo poskytovateľa online trhoviska, internetového vyhľadávača alebo platformy služieb sociálnych sietí, ktorí nie sú usadení v Únii, a na ktorú sa príslušný orgán alebo jednotka CSIRT môžu obracať namiesto subjektu v súvislosti s jeho povinnosťami podľa tejto smernice; |
| --- | --- |

34.

„zástupca“ je fyzická alebo právnická osoba usadená v Únii, ktorá je výslovne určená konať v mene poskytovateľa služieb DNS, správcu názvov TLD, subjektu poskytujúceho služby registrácie názvov domén, poskytovateľa služieb cloud computingu, poskytovateľa služieb dátových centier, poskytovateľa siete na sprístupňovanie obsahu, poskytovateľa riadených služieb, poskytovateľa riadených bezpečnostných služieb, alebo poskytovateľa online trhoviska, internetového vyhľadávača alebo platformy služieb sociálnych sietí, ktorí nie sú usadení v Únii, a na ktorú sa príslušný orgán alebo jednotka CSIRT môžu obracať namiesto subjektu v súvislosti s jeho povinnosťami podľa tejto smernice;

| 35. | „subjekt verejnej správy“ je subjekt, ktorý je ako taký uznaný v členskom štáte v súlade s vnútroštátnym právom, okrem súdnictva, parlamentov a centrálnych bánk, a ktorý spĺňa tieto kritériá:






  a) | je zriadený na účely plnenia potrieb všeobecného záujmu a nemá priemyselný ani komerčný charakter; |
| --- | --- | --- |

35.

„subjekt verejnej správy“ je subjekt, ktorý je ako taký uznaný v členskom štáte v súlade s vnútroštátnym právom, okrem súdnictva, parlamentov a centrálnych bánk, a ktorý spĺňa tieto kritériá:

a)

je zriadený na účely plnenia potrieb všeobecného záujmu a nemá priemyselný ani komerčný charakter;

| b) | má právnu subjektivitu alebo je zo zákona oprávnený konať v mene iného subjektu s právnou subjektivitou; |
| --- | --- |

b)

má právnu subjektivitu alebo je zo zákona oprávnený konať v mene iného subjektu s právnou subjektivitou;

| c) | je financovaný prevažne štátnymi, regionálnymi alebo inými verejnoprávnymi orgánmi, podlieha dohľadu týchto inštitúcií alebo orgánov nad svojím riadením alebo v správnom, riadiacom alebo dozornom orgáne má viac ako polovicu členov menovaných štátnymi alebo regionálnymi orgánmi alebo inými verejnoprávnymi inštitúciami; |
| --- | --- |

c)

je financovaný prevažne štátnymi, regionálnymi alebo inými verejnoprávnymi orgánmi, podlieha dohľadu týchto inštitúcií alebo orgánov nad svojím riadením alebo v správnom, riadiacom alebo dozornom orgáne má viac ako polovicu členov menovaných štátnymi alebo regionálnymi orgánmi alebo inými verejnoprávnymi inštitúciami;

| d) | má právomoc vydávať fyzickým alebo právnickým osobám správne alebo regulačné rozhodnutia, ktoré majú vplyv na ich práva pri cezhraničnom pohybe osôb, tovarov, služieb alebo kapitálu; |
| --- | --- |

d)

má právomoc vydávať fyzickým alebo právnickým osobám správne alebo regulačné rozhodnutia, ktoré majú vplyv na ich práva pri cezhraničnom pohybe osôb, tovarov, služieb alebo kapitálu;

| 36. | „verejná elektronická komunikačná sieť“ je verejná elektronická komunikačná sieť v zmysle vymedzenia v článku 2 bode 8 smernice (EÚ) 2018/1972; |
| --- | --- |

36.

„verejná elektronická komunikačná sieť“ je verejná elektronická komunikačná sieť v zmysle vymedzenia v článku 2 bode 8 smernice (EÚ) 2018/1972;

| 37. | „elektronická komunikačná služba“ je elektronická komunikačná služba v zmysle vymedzenia v článku 2 bode 4 smernice (EÚ) 2018/1972; |
| --- | --- |

37.

„elektronická komunikačná služba“ je elektronická komunikačná služba v zmysle vymedzenia v článku 2 bode 4 smernice (EÚ) 2018/1972;

| 38. | „subjekt“ je fyzická alebo právnická osoba zriadená a uznaná ako taká podľa vnútroštátneho práva v mieste svojho sídla, ktorá môže vo vlastnom mene vykonávať práva a podliehať povinnostiam; |
| --- | --- |

38.

„subjekt“ je fyzická alebo právnická osoba zriadená a uznaná ako taká podľa vnútroštátneho práva v mieste svojho sídla, ktorá môže vo vlastnom mene vykonávať práva a podliehať povinnostiam;

| 39. | „poskytovateľ riadených služieb“ je subjekt, ktorý poskytuje služby súvisiace s inštaláciou, správou, prevádzkou alebo údržbou produktov IKT, sietí, infraštruktúry, aplikácií alebo akýchkoľvek iných sietí a informačných systémov formou pomoci alebo aktívnej správy vykonávanej buď v priestoroch zákazníka alebo na diaľku; |
| --- | --- |

39.

„poskytovateľ riadených služieb“ je subjekt, ktorý poskytuje služby súvisiace s inštaláciou, správou, prevádzkou alebo údržbou produktov IKT, sietí, infraštruktúry, aplikácií alebo akýchkoľvek iných sietí a informačných systémov formou pomoci alebo aktívnej správy vykonávanej buď v priestoroch zákazníka alebo na diaľku;

| 40. | „poskytovateľ riadených bezpečnostných služieb“ je poskytovateľ riadených služieb, ktorý vykonáva alebo poskytuje pomoc pre činnosti súvisiace s riadením kybernetických rizík; |
| --- | --- |

40.

„poskytovateľ riadených bezpečnostných služieb“ je poskytovateľ riadených služieb, ktorý vykonáva alebo poskytuje pomoc pre činnosti súvisiace s riadením kybernetických rizík;

| 41. | „výskumná organizácia“ je subjekt, ktorého hlavným cieľom je vykonávať aplikovaný výskum alebo experimentálny vývoj s cieľom využiť výsledky tohto výskumu na komerčné účely, ktorého súčasťou však nie sú vzdelávacie inštitúcie. |
| --- | --- |

41.

„výskumná organizácia“ je subjekt, ktorého hlavným cieľom je vykonávať aplikovaný výskum alebo experimentálny vývoj s cieľom využiť výsledky tohto výskumu na komerčné účely, ktorého súčasťou však nie sú vzdelávacie inštitúcie.

KAPITOLA II

KOORDINOVANÉ RÁMCE KYBERNETICKEJ BEZPEČNOSTI

Článok 7

Národná stratégia kybernetickej bezpečnosti

1.   Každý členský štát prijme národnú stratégiu kybernetickej bezpečnosti, v ktorej stanoví strategické ciele, zdroje potrebné na dosiahnutie týchto cieľov a vhodné politické a regulačné opatrenia na dosiahnutie a zachovanie vysokej úrovne kybernetickej bezpečnosti. Národná stratégia kybernetickej bezpečnosti sietí obsahuje:

| a) | ciele a priority stratégie kybernetickej bezpečnosti členského štátu najmä pre odvetvia uvedené v prílohách I a II; |
| --- | --- |

a)

ciele a priority stratégie kybernetickej bezpečnosti členského štátu najmä pre odvetvia uvedené v prílohách I a II;

| b) | rámec riadenia na dosiahnutie cieľov a priorít uvedených v písmene a) tohto odseku vrátane politík uvedených v odseku 2; |
| --- | --- |

b)

rámec riadenia na dosiahnutie cieľov a priorít uvedených v písmene a) tohto odseku vrátane politík uvedených v odseku 2;

| c) | rámec riadenia na objasnenie úloh a povinností relevantných zainteresovaných strán na vnútroštátnej úrovni, ktorý je základom spolupráce a koordinácie na vnútroštátnej úrovni medzi príslušnými orgánmi, jednotnými kontaktnými miestami a jednotkami CSIRT podľa tejto smernice, ako aj koordináciu a spoluprácu medzi uvedenými orgánmi a príslušnými orgánmi podľa odvetvových právnych aktov Únie; |
| --- | --- |

c)

rámec riadenia na objasnenie úloh a povinností relevantných zainteresovaných strán na vnútroštátnej úrovni, ktorý je základom spolupráce a koordinácie na vnútroštátnej úrovni medzi príslušnými orgánmi, jednotnými kontaktnými miestami a jednotkami CSIRT podľa tejto smernice, ako aj koordináciu a spoluprácu medzi uvedenými orgánmi a príslušnými orgánmi podľa odvetvových právnych aktov Únie;

| d) | mechanizmus na identifikáciu relevantných prostriedkov a hodnotenie rizík v danom členskom štáte; |
| --- | --- |

d)

mechanizmus na identifikáciu relevantných prostriedkov a hodnotenie rizík v danom členskom štáte;

| e) | identifikáciu opatrení na zabezpečenie pripravenosti a schopnosti reakcie na incidenty a zotavenia z nich vrátane spolupráce medzi verejným a súkromným sektorom; |
| --- | --- |

e)

identifikáciu opatrení na zabezpečenie pripravenosti a schopnosti reakcie na incidenty a zotavenia z nich vrátane spolupráce medzi verejným a súkromným sektorom;

| f) | zoznam rôznych orgánov a zainteresovaných strán zapojených do vykonávania národnej stratégie kybernetickej bezpečnosti; |
| --- | --- |

f)

zoznam rôznych orgánov a zainteresovaných strán zapojených do vykonávania národnej stratégie kybernetickej bezpečnosti;

| g) | politický rámec pre posilnenú koordináciu medzi príslušnými orgánmi podľa tejto smernice a príslušnými orgánmi podľa smernice (EÚ) 2022/2557 za účelom výmeny informácií o rizikách, kybernetických hrozbách a incidentoch, ako aj o nekybernetických rizikách, hrozbách a incidentoch, prípadne pri plnení úloh dohľadu; |
| --- | --- |

g)

politický rámec pre posilnenú koordináciu medzi príslušnými orgánmi podľa tejto smernice a príslušnými orgánmi podľa smernice (EÚ) 2022/2557 za účelom výmeny informácií o rizikách, kybernetických hrozbách a incidentoch, ako aj o nekybernetických rizikách, hrozbách a incidentoch, prípadne pri plnení úloh dohľadu;

| h) | plán vrátane potrebných opatrení na zvýšenie všeobecnej úrovne informovanosti občanov o kybernetickej bezpečnosti. |
| --- | --- |

h)

plán vrátane potrebných opatrení na zvýšenie všeobecnej úrovne informovanosti občanov o kybernetickej bezpečnosti.

2.   Členské štáty v rámci národnej stratégie kybernetickej bezpečnosti prijmú najmä politiky:

| a) | so zameraním na kybernetickú bezpečnosť v dodávateľskom reťazci produktov IKT a služieb IKT, ktoré subjekty používajú na poskytovanie svojich služieb; |
| --- | --- |

a)

so zameraním na kybernetickú bezpečnosť v dodávateľskom reťazci produktov IKT a služieb IKT, ktoré subjekty používajú na poskytovanie svojich služieb;

| b) | týkajúce sa zahrnutia a špecifikácie požiadaviek na kybernetickú bezpečnosť produktov IKT a služieb IKT vo verejnom obstarávaní, a to aj pokiaľ ide o certifikáciu kybernetickej bezpečnosti, šifrovanie a využívanie produktov kybernetickej bezpečnosti s otvoreným zdrojovým kódom; |
| --- | --- |

b)

týkajúce sa zahrnutia a špecifikácie požiadaviek na kybernetickú bezpečnosť produktov IKT a služieb IKT vo verejnom obstarávaní, a to aj pokiaľ ide o certifikáciu kybernetickej bezpečnosti, šifrovanie a využívanie produktov kybernetickej bezpečnosti s otvoreným zdrojovým kódom;

| c) | riadenia zraniteľností vrátane podpory a sprostredkovania koordinovaného zverejňovania zraniteľností podľa článku 12 ods. 1; |
| --- | --- |

c)

riadenia zraniteľností vrátane podpory a sprostredkovania koordinovaného zverejňovania zraniteľností podľa článku 12 ods. 1;

| d) | v súvislosti s udržiavaním všeobecnej dostupnosti, integrity a dôvernosti verejného jadra otvoreného internetu, v relevantnom prípade vrátane kybernetickej bezpečnosti podmorských komunikačných káblov; |
| --- | --- |

d)

v súvislosti s udržiavaním všeobecnej dostupnosti, integrity a dôvernosti verejného jadra otvoreného internetu, v relevantnom prípade vrátane kybernetickej bezpečnosti podmorských komunikačných káblov;

| e) | na podporu vývoja a integrácie relevantných pokročilých technológií so zámerom implementovať najmodernejšie opatrenia na riadenie rizík kybernetickej bezpečnosti; |
| --- | --- |

e)

na podporu vývoja a integrácie relevantných pokročilých technológií so zámerom implementovať najmodernejšie opatrenia na riadenie rizík kybernetickej bezpečnosti;

| f) | na podporu a rozvoj vzdelávania a odbornej prípravy v oblasti kybernetickej bezpečnosti, kvalifikácií v oblasti kybernetickej bezpečnosti, zvyšovania informovanosti a výskumných a vývojových iniciatív v oblasti kybernetickej bezpečnosti, ako aj usmernenia o správnych postupoch a kontrolách kybernetickej hygieny, zamerané na občanov, zainteresované strany a subjekty; |
| --- | --- |

f)

na podporu a rozvoj vzdelávania a odbornej prípravy v oblasti kybernetickej bezpečnosti, kvalifikácií v oblasti kybernetickej bezpečnosti, zvyšovania informovanosti a výskumných a vývojových iniciatív v oblasti kybernetickej bezpečnosti, ako aj usmernenia o správnych postupoch a kontrolách kybernetickej hygieny, zamerané na občanov, zainteresované strany a subjekty;

| g) | na podporu akademických a výskumných inštitúcií pri vývoji, zlepšovaní a zavádzaní nástrojov kybernetickej bezpečnosti a bezpečnej sieťovej infraštruktúry; |
| --- | --- |

g)

na podporu akademických a výskumných inštitúcií pri vývoji, zlepšovaní a zavádzaní nástrojov kybernetickej bezpečnosti a bezpečnej sieťovej infraštruktúry;

| h) | vrátane príslušných postupov a vhodných nástrojov zdieľania informácií na podporu dobrovoľného zdieľania informácií o kybernetickej bezpečnosti medzi subjektmi v súlade s právom Únie; |
| --- | --- |

h)

vrátane príslušných postupov a vhodných nástrojov zdieľania informácií na podporu dobrovoľného zdieľania informácií o kybernetickej bezpečnosti medzi subjektmi v súlade s právom Únie;

| i) | na posilnenie kybernetickej odolnosti a základnej kybernetickej hygieny malých a stredných podnikov, najmä podnikov vyňatých z pôsobnosti tejto smernice, poskytovaním ľahko dostupných usmernení a pomoci pre ich špecifické potreby; |
| --- | --- |

i)

na posilnenie kybernetickej odolnosti a základnej kybernetickej hygieny malých a stredných podnikov, najmä podnikov vyňatých z pôsobnosti tejto smernice, poskytovaním ľahko dostupných usmernení a pomoci pre ich špecifické potreby;

| j) | na podporu aktívnej kybernetickej ochrany. |
| --- | --- |

j)

na podporu aktívnej kybernetickej ochrany.

3.   Členské štáty oznámia Komisii svoje národné stratégie kybernetickej bezpečnosti do troch mesiacov od ich prijatia. Členské štáty môžu z takýchto oznámení vylúčiť informácie, ktoré sa týkajú ich národnej bezpečnosti.

4.   Členské štáty pravidelne a aspoň každých päť rokov hodnotia svoje národné stratégie kybernetickej bezpečnosti na základe kľúčových ukazovateľov výkonnosti a v prípade potreby ich aktualizujú. Agentúra ENISA pomáha členským štátom na ich žiadosť pri vývoji alebo aktualizácii národnej stratégie kybernetickej bezpečnosti a kľúčových ukazovateľov výkonnosti na posúdenie tejto stratégie s cieľom zosúladiť ju s požiadavkami a povinnosťami stanovenými v tejto smernici.

Článok 8

Príslušné orgány a miesta jednotného kontaktu

1.   Každý členský štát určí jeden alebo zriadi jeden alebo viacero príslušných orgánov zodpovedných za kybernetickú bezpečnosť a za úlohy dohľadu uvedené v kapitole VII (príslušné orgány).

2.   Príslušné orgány uvedené v odseku 1 monitorujú implementáciu tejto smernice na vnútroštátnej úrovni.

3.   Každý členský štát určí alebo zriadi miesto jednotného kontaktu. Ak členský štát určí alebo zriadi iba jeden príslušný orgán podľa odseku 1, uvedený príslušný orgán je aj jednotným kontaktným miestom v danom členskom štáte.

4.   Každé jednotné kontaktné miesto vykonáva styčnú funkciu s cieľom zabezpečiť cezhraničnú spoluprácu orgánov daného členského štátu s príslušnými orgánmi iných členských štátov a v prípade potreby s Komisiou a agentúrou ENISA, ako aj s cieľom zabezpečiť medziodvetvovú spoluprácu s inými príslušnými orgánmi v rámci daného členského štátu.

5.   Členské štáty zabezpečia, aby ich príslušné orgány a jednotné kontaktné miesta mali primerané zdroje na účinné a efektívne vykonávanie zverených úloh, a teda na plnenie cieľov tejto smernice.

6.   Každý členský štát bez zbytočného odkladu informuje Komisiu o identite príslušného orgánu uvedeného v odseku 1 a jednotného kontaktného miesta uvedeného v odseku 3, o úlohách uvedených orgánov a o všetkých ich následných zmenách. Každý členský štát totožnosť svojho príslušného orgánu zverejní. Komisia zostaví verejne dostupný zoznam jednotných kontaktných miest.

Článok 9

Národné rámce pre riadenie kybernetických kríz

1.   Každý členský štát určí alebo zriadi jeden alebo viac príslušných orgánov zodpovedných za riadenie rozsiahlych kybernetických incidentov a kríz (orgány pre riadenie kybernetických kríz). Členské štáty zabezpečujú, aby uvedené orgány mali primerané zdroje na účinný a efektívny výkon zverených úloh. Súlad s platnými rámcami pre všeobecné vnútroštátne krízové riadenie zabezpečujú členské štáty.

2.   Ak členský štát určí alebo zriadi viac ako jeden orgán pre riadenie kybernetických kríz podľa odseku 1, jasne uvedie, ktorý z týchto príslušných orgánov má slúžiť ako koordinátor riadenia rozsiahlych kybernetických incidentov a kríz.

3.   Každý členský štát určí spôsobilosti, aktíva a postupy, ktoré možno použiť na účely tejto smernice v prípade krízy.

4.   Každý členský štát prijme národný plán reakcie na rozsiahle kybernetické incidenty a krízy, v ktorom sa stanovia ciele a spôsoby riadenia rozsiahlych kybernetických incidentov a kríz. V uvedenom pláne sa stanovia najmä:

| a) | ciele vnútroštátnych opatrení a činností v oblasti pripravenosti; |
| --- | --- |

a)

ciele vnútroštátnych opatrení a činností v oblasti pripravenosti;

| b) | úlohy a povinnosti orgánov pre riadenie kybernetických kríz; |
| --- | --- |

b)

úlohy a povinnosti orgánov pre riadenie kybernetických kríz;

| c) | postupy riadenia kybernetických kríz vrátane ich začlenenia do všeobecného vnútroštátneho rámca krízového riadenia a kanálov na výmenu informácií; |
| --- | --- |

c)

postupy riadenia kybernetických kríz vrátane ich začlenenia do všeobecného vnútroštátneho rámca krízového riadenia a kanálov na výmenu informácií;

| d) | vnútroštátne opatrenia v oblasti pripravenosti vrátane cvičení a činností odbornej prípravy; |
| --- | --- |

d)

vnútroštátne opatrenia v oblasti pripravenosti vrátane cvičení a činností odbornej prípravy;

| e) | príslušné verejné a súkromné zainteresované strany a potrebná infraštruktúra; |
| --- | --- |

e)

príslušné verejné a súkromné zainteresované strany a potrebná infraštruktúra;

| f) | vnútroštátne postupy a dojednania medzi príslušnými vnútroštátnymi orgánmi a inštitúciami s cieľom zabezpečiť účinnú účasť členského štátu na koordinovanom riadení rozsiahlych kybernetických incidentov a kríz na úrovni Únie, ako aj jeho podporu tohto riadenia. |
| --- | --- |

f)

vnútroštátne postupy a dojednania medzi príslušnými vnútroštátnymi orgánmi a inštitúciami s cieľom zabezpečiť účinnú účasť členského štátu na koordinovanom riadení rozsiahlych kybernetických incidentov a kríz na úrovni Únie, ako aj jeho podporu tohto riadenia.

5.   Do troch mesiacov od určenia alebo zriadenia orgánu pre riadenie kybernetických kríz uvedeného v odseku 1 informuje každý členský štát Komisiu o totožnosti svojho orgánu a o všetkých jeho následných zmenách. Členské štáty zasielajú Komisii a Európskej sieti kontaktných organizácií pre kybernetickú krízu (EU-CyCLONe) relevantné informácie v súvislosti s požiadavkami odseku 4 o svojich vnútroštátnych plánoch reakcie na rozsiahle kybernetické incidenty a krízy do troch mesiacov od prijatia uvedených plánov. Členské štáty môžu vylúčiť informácie v prípade a v rozsahu, v akom je takéto vylúčenie potrebné pre ich národnú bezpečnosť.

Článok 10

Jednotky pre riešenie počítačových bezpečnostných incidentov (jednotky CSIRT)

1.   Každý členský štát určí alebo zriadi jednu alebo viacero jednotiek CSIRT. Jednotky CSIRT možno určiť alebo zriadiť v rámci príslušného orgánu. Jednotky CSIRT sú povinné spĺňať požiadavky stanovené v článku 11 ods. 1, pokrývať aspoň odvetvia, pododvetvia alebo druhy subjektov uvedených v prílohách I a II a zodpovedajú za riešenie incidentov podľa presne stanoveného postupu.

2.   Členské štáty zabezpečia, aby každá jednotka CSIRT mala primerané zdroje na účinné plnenie svojich úloh stanovených v článku 11 ods. 3.

3.   Členské štáty zabezpečia, aby každá jednotka CSIRT mala k dispozícii vhodnú, bezpečnú a odolnú komunikačnú a informačnú infraštruktúru na výmenu informácií s kľúčovými a dôležitými subjektmi a ďalšími relevantnými zainteresovanými stranami. Členské štáty na uvedený účel zabezpečia, aby každá jednotka CSIRT prispievala k zavádzaniu bezpečných nástrojov na výmenu informácií.

4.   Jednotky CSIRT spolupracujú a v prípade potreby si vymieňajú relevantné informácie v súlade s článkom 29 s odvetvovými alebo medziodvetvovými komunitami kľúčových a dôležitých subjektov.

5.   Jednotky CSIRT sa zúčastňujú na partnerských preskúmaniach organizovaných podľa článku 19.

6.   Členské štáty zabezpečia účinnú, efektívnu a bezpečnú spoluprácu svojich jednotiek CSIRT v sieti jednotiek CSIRT.

7.   Jednotky CSIRT môžu nadväzovať spoluprácu s národnými jednotkami reakcie na počítačové bezpečnostné incidenty tretích krajín. Ako súčasť takýchto vzťahov spolupráce členské štáty sprostredkujú účinnú, efektívnu a bezpečnú výmenu informácií s uvedenými národnými jednotkami reakcie na počítačové bezpečnostné incidenty z tretích krajín, pričom použijú relevantné protokoly na výmenu informácií vrátane semaforového protokolu. Jednotky CSIRT si môžu vymieňať relevantné informácie s národnými jednotkami reakcie na počítačové bezpečnostné incidenty tretích krajín vrátane osobných údajov v súlade s právom Únie v oblasti ochrany údajov.

8.   Jednotky CSIRT môžu spolupracovať s národnými jednotkami reakcie na počítačové bezpečnostné incidenty tretích krajín alebo rovnocennými orgánmi tretích krajín najmä na účely poskytovania pomoci v oblasti kybernetickej bezpečnosti.

9.   Každý členský štát bez zbytočného odkladu informuje Komisiu o identite jednotky CSIRT uvedenej v odseku 1 tohto článku a jednotky CSIRT určenej za koordinátora podľa článku 12 ods. 1, o úlohách uvedených orgánov v súvislosti s kľúčovými a dôležitými subjektmi a o všetkých následných zmenách.

10.   Členské štáty môžu pri zriaďovaní svojich jednotiek CSIRT požiadať o pomoc agentúru ENISA.

Článok 11

Požiadavky na jednotky CSIRT a ich technické spôsobilosti a úlohy

1.   Jednotky CSIRT sú povinné spĺňať tieto požiadavky:

| a) | zabezpečovať vysokú úroveň dostupnosti svojich komunikačných kanálov prevenciou jediných bodov zlyhania a mať k dispozícii niekoľko spôsobov, ktorými ich možno kedykoľvek kontaktovať a ktorými môžu tieto jednotky kontaktovať iných; jasne špecifikovať komunikačné kanály a oboznámiť s nimi zainteresované strany a spolupracujúcich partnerov; |
| --- | --- |

a)

zabezpečovať vysokú úroveň dostupnosti svojich komunikačných kanálov prevenciou jediných bodov zlyhania a mať k dispozícii niekoľko spôsobov, ktorými ich možno kedykoľvek kontaktovať a ktorými môžu tieto jednotky kontaktovať iných; jasne špecifikovať komunikačné kanály a oboznámiť s nimi zainteresované strany a spolupracujúcich partnerov;

| b) | mať svoje pracoviská a podporné informačné systémy umiestnené na zabezpečených miestach; |
| --- | --- |

b)

mať svoje pracoviská a podporné informačné systémy umiestnené na zabezpečených miestach;

| c) | byť vybavené vhodným systémom riadenia a smerovania žiadostí, najmä na sprostredkovanie ich účinného a efektívneho odovzdávania; |
| --- | --- |

c)

byť vybavené vhodným systémom riadenia a smerovania žiadostí, najmä na sprostredkovanie ich účinného a efektívneho odovzdávania;

| d) | zabezpečovať dôvernosť a dôveryhodnosť svojich operácií; |
| --- | --- |

d)

zabezpečovať dôvernosť a dôveryhodnosť svojich operácií;

| e) | byť primerane personálne vybavené na zabezpečenie stálej dostupnosti svojich služieb a zabezpečovať patričnú odbornú prípravu pre svojich zamestnancov; |
| --- | --- |

e)

byť primerane personálne vybavené na zabezpečenie stálej dostupnosti svojich služieb a zabezpečovať patričnú odbornú prípravu pre svojich zamestnancov;

| f) | byť vybavené redundantnými systémami a záložným pracovným priestorom na zabezpečenie kontinuity svojich služieb. |
| --- | --- |

f)

byť vybavené redundantnými systémami a záložným pracovným priestorom na zabezpečenie kontinuity svojich služieb.

Jednotky CSIRT môžu byť zapojené do sietí medzinárodnej spolupráce.

2.   Členské štáty zabezpečia, aby ich jednotky CSIRT spoločne mali technické spôsobilosti potrebné na výkon úloh uvedených v odseku 3. Aby jednotky CSIRT mohli rozvíjať svoje technické spôsobilosti, členské štáty zabezpečia prídel dostatočných zdrojov pre svoje jednotky CSIRT na zaistenie primeraného počtu zamestnancov.

3.   Jednotky CSIRT plnia tieto úlohy:

| a) | monitorujú a analyzujú kybernetické hrozby, zraniteľnosti a incidenty na vnútroštátnej úrovni a na požiadanie poskytujú pomoc dotknutým kľúčovým a dôležitým subjektom s ohľadom na monitorovanie ich sietí a informačných systémov v reálnom alebo takmer v reálnom čase; |
| --- | --- |

a)

monitorujú a analyzujú kybernetické hrozby, zraniteľnosti a incidenty na vnútroštátnej úrovni a na požiadanie poskytujú pomoc dotknutým kľúčovým a dôležitým subjektom s ohľadom na monitorovanie ich sietí a informačných systémov v reálnom alebo takmer v reálnom čase;

| b) | zasielajú včasné varovania, výstrahy a oznámenia a šíria informácie o kybernetických hrozbách, zraniteľnostiach a incidentoch dotknutým kľúčovým a dôležitým subjektom, ako aj príslušným orgánom a ďalším relevantným zainteresovaným stranám pokiaľ možno takmer v reálnom čase; |
| --- | --- |

b)

zasielajú včasné varovania, výstrahy a oznámenia a šíria informácie o kybernetických hrozbách, zraniteľnostiach a incidentoch dotknutým kľúčovým a dôležitým subjektom, ako aj príslušným orgánom a ďalším relevantným zainteresovaným stranám pokiaľ možno takmer v reálnom čase;

| c) | podľa potreby reagujú na incidenty a poskytujú pomoc dotknutým kľúčovým a dôležitým subjektom; |
| --- | --- |

c)

podľa potreby reagujú na incidenty a poskytujú pomoc dotknutým kľúčovým a dôležitým subjektom;

| d) | zhromažďujú a analyzujú forenzné údaje a poskytujú dynamickú analýzu rizík a incidentov a informácie o situácii v kybernetickej bezpečnosti; |
| --- | --- |

d)

zhromažďujú a analyzujú forenzné údaje a poskytujú dynamickú analýzu rizík a incidentov a informácie o situácii v kybernetickej bezpečnosti;

| e) | na žiadosť kľúčového alebo dôležitého subjektu umožňujú aktívne skenovanie siete a informačných systémov dotknutého subjektu s cieľom odhaľovať zraniteľnosti s potenciálnym významným dosahom; |
| --- | --- |

e)

na žiadosť kľúčového alebo dôležitého subjektu umožňujú aktívne skenovanie siete a informačných systémov dotknutého subjektu s cieľom odhaľovať zraniteľnosti s potenciálnym významným dosahom;

| f) | účasť v sieti jednotiek CSIRT a poskytovanie vzájomnej pomoci podľa svojich kapacít a kompetencií ostatným členom siete jednotiek CSIRT na ich žiadosť; |
| --- | --- |

f)

účasť v sieti jednotiek CSIRT a poskytovanie vzájomnej pomoci podľa svojich kapacít a kompetencií ostatným členom siete jednotiek CSIRT na ich žiadosť;

| g) | v prípade potreby pôsobia ako koordinátor na účely koordinovaného zverejňovania zraniteľností podľa článku 12 ods. 1; |
| --- | --- |

g)

v prípade potreby pôsobia ako koordinátor na účely koordinovaného zverejňovania zraniteľností podľa článku 12 ods. 1;

| h) | prispievajú k zavádzaniu bezpečných nástrojov na výmenu informácií podľa článku 10 ods. 3. |
| --- | --- |

h)

prispievajú k zavádzaniu bezpečných nástrojov na výmenu informácií podľa článku 10 ods. 3.

Jednotky CSIRT môžu vykonávať aktívne nerušivé skenovanie verejne prístupných sietí a informačných systémov kľúčových a dôležitých subjektov. Takéto skenovanie sa vykonáva s cieľom odhaliť zraniteľné alebo nezabezpečene nakonfigurované siete a informačné systémy a informovať dotknuté subjekty. Takéto skenovanie nesmie mať negatívny vplyv na fungovanie služieb subjektov.

Pri výkone úloh uvedených v prvom pododseku môžu jednotky CSIRT uprednostňovať konkrétne úlohy na základe prístupu založeného na rizikách.

4.   Jednotky CSIRT nadviažu spoluprácu s príslušnými zainteresovanými stranami v súkromnom sektore s cieľom dosiahnuť ciele tejto smernice.

5.   Jednotky CSIRT v záujme sprostredkovania spolupráce uvedenej v odseku 4 podporujú prijímanie a využívanie spoločných alebo normalizovaných postupov, režimov utajenia a taxonómie v súvislosti s:

| a) | postupmi riešenia incidentov; |
| --- | --- |

a)

postupmi riešenia incidentov;

| b) | krízovým riadením; a |
| --- | --- |

b)

krízovým riadením; a

| c) | koordinovaným zverejňovaním zraniteľností podľa článku 12 ods. 1. |
| --- | --- |

c)

koordinovaným zverejňovaním zraniteľností podľa článku 12 ods. 1.

Článok 12

Koordinované zverejňovanie zraniteľností a európska databáza zraniteľností

1.   Na účely koordinovaného zverejňovania zraniteľností určí každý členský štát jednu zo svojich jednotiek CSIRT za koordinátora. Jednotka CSIRT určená za koordinátora koná ako dôveryhodný sprostredkovateľ, ktorý v prípade potreby sprostredkuje interakciu medzi fyzickou alebo právnickou osobou, ktorá na žiadosť niektorej zo strán oznamuje zraniteľnosť a výrobcom alebo poskytovateľom potenciálne zraniteľných produktov IKT alebo služieb IKT. K úlohám jednotky CSIRT určenej za koordinátora patrí:

| a) | identifikácia a kontaktovanie dotknutých subjektov; |
| --- | --- |

a)

identifikácia a kontaktovanie dotknutých subjektov;

| b) | pomoc fyzickým alebo právnickým osobám oznamujúcim zraniteľnosti a |
| --- | --- |

b)

pomoc fyzickým alebo právnickým osobám oznamujúcim zraniteľnosti a

| c) | vyjednávanie harmonogramu zverejňovania a riadenie zraniteľností, ktoré majú dosah na viaceré subjekty. |
| --- | --- |

c)

vyjednávanie harmonogramu zverejňovania a riadenie zraniteľností, ktoré majú dosah na viaceré subjekty.

Členské štáty zabezpečia, aby fyzické alebo právnické osoby mohli na požiadanie nahlásiť zraniteľnosť jednotke CSIRT určenej za koordinátora anonymne. Jednotka CSIRT určená za koordinátora zabezpečí v súvislosti s oznámenou zraniteľnosťou vykonanie dôsledných následných opatrení a zabezpečí anonymitu fyzickej alebo právnickej osoby, ktorá túto zraniteľnosť oznámila. Ak by oznámená zraniteľnosť mohla by mať významný vplyv na subjekty vo viac ako jednom členskom štáte, jednotka CSIRT každého dotknutého členského štátu určená za koordinátora v prípade potreby spolupracuje s inými jednotkami CSIRT určenými za koordinátorov v rámci siete jednotiek CSIRT.

2.   Po porade so skupinou pre spoluprácu agentúra ENISA vytvorí a vedie európsku databázu zraniteľností. Na uvedený účel agentúra ENISA zriaďuje a udržiava vhodné informačné systémy, politiky a postupy a prijíma nevyhnutné technické a organizačné opatrenia na zaistenie bezpečnosti a integrity európskej databázy zraniteľností, aby subjektom, bez ohľadu na to či patria do rozsahu pôsobnosti tejto smernice, a ich dodávateľom sietí a informačných systémov umožnila najmä dobrovoľne zverejňovať a do registra zaraďovať verejne známe zraniteľnosti produktov IKT alebo služieb IKT. Prístup k informáciám o zraniteľnostiach v európskej databáze zraniteľností sa poskytuje všetkým zainteresovaným stranám. Uvedená databáza obsahuje:

| a) | informácie s opisom zraniteľností; |
| --- | --- |

a)

informácie s opisom zraniteľností;

| b) | zasiahnuté produkty IKT alebo služby IKT a závažnosť zraniteľnosti z hľadiska okolností, za ktorých ju možno zneužiť; |
| --- | --- |

b)

zasiahnuté produkty IKT alebo služby IKT a závažnosť zraniteľnosti z hľadiska okolností, za ktorých ju možno zneužiť;

| c) | dostupnosť súvisiacich záplat a v prípade absencie dostupných záplat usmernenia poskytnuté príslušnými orgánmi alebo jednotkami CSIRT určené používateľom zraniteľných produktov IKT a služieb IKT o tom, ako možno zmierniť riziká vyplývajúce zo zverejnených zraniteľností. |
| --- | --- |

c)

dostupnosť súvisiacich záplat a v prípade absencie dostupných záplat usmernenia poskytnuté príslušnými orgánmi alebo jednotkami CSIRT určené používateľom zraniteľných produktov IKT a služieb IKT o tom, ako možno zmierniť riziká vyplývajúce zo zverejnených zraniteľností.

Článok 13

Spolupráca na vnútroštátnej úrovni

1.   Ak sú príslušné orgány, jednotné kontaktné miesto a jednotky CSIRT jedného členského štátu samostatnými subjektmi, pri plnení povinností stanovených v tejto smernici navzájom spolupracujú.

2.   Členské štáty zabezpečia, aby ich jednotky CSIRT, prípadne ich príslušné orgány dostávali oznámenia o významných incidentoch podľa článku 23 a o incidentoch, kybernetických hrozbách a udalostiach odvrátených v poslednej chvíli podľa článku 30.

3.   Členské štáty zabezpečia, aby ich jednotky CSIRT, prípadne príslušné orgány poskytovali ich jednotným kontaktným miestam hlásenia o incidentoch, kybernetických hrozbách a udalostiach odvrátených v poslednej chvíli zasielané podľa tejto smernice.

4.   S cieľom zabezpečiť, aby sa úlohy a povinnosti príslušných orgánov, jednotných kontaktných miest a jednotiek CSIRT vykonávali efektívne, členské štáty v rámci možností zabezpečia primeranú spoluprácu medzi uvedenými orgánmi a orgánmi presadzovania práva, orgánmi na ochranu údajov, vnútroštátnymi orgánmi podľa nariadení (ES) č. 300/2008 a (EÚ) 2018/1139, dozornými orgánmi podľa nariadenia (EÚ) č. 910/2014, príslušnými orgánmi podľa nariadenia (EÚ) 2022/2554, národnými regulačnými orgánmi podľa smernice (EÚ) 2018/1972, príslušnými orgánmi podľa smernice (EÚ) 2022/2557, ako aj príslušnými orgánmi podľa iných odvetvových právnych aktov Únie v danom členskom štáte.

5.   Členské štáty zabezpečia, aby ich príslušné orgány podľa tejto smernice a ich príslušné orgány podľa smernice (EÚ) 2022/2557 pravidelne spolupracovali a vymieňali si informácie, pokiaľ ide o identifikáciu kritických subjektov, o rizikách, kybernetických hrozbách a incidentoch, ako aj o nekybernetických rizikách, hrozbách a incidentoch s dosahom na kľúčové subjekty označené ako kritické podľa smernice (EÚ) 2022/2557 a o opatreniach prijatých v reakcii na takéto riziká, hrozby a incidenty. Členské štáty tiež zabezpečia, aby si ich príslušné orgány podľa tejto smernice a ich príslušné orgány podľa nariadenia (EÚ) č. 910/2014, nariadenia (EÚ) 2022/2554 a smernice (EÚ) 2018/1972 pravidelne vymieňali relevantné informácie, a to aj o relevantných incidentoch a kybernetických hrozbách.

6.   Pre oznamovanie uvedené v článkoch 23 a 30 zjednodušia členské štáty oznamovanie technickými prostriedkami.

KAPITOLA III

SPOLUPRÁCA NA ÚROVNI ÚNIE A NA MEDZINÁRODNEJ ÚROVNI

Článok 14

Skupina pre spoluprácu

1.   S cieľom podporiť a sprostredkovať strategickú spoluprácu a výmenu informácií medzi členskými štátmi, ako aj posilniť vzájomnú dôveru, sa zriaďuje skupina pre spoluprácu.

2.   Skupina pre spoluprácu vykonáva svoje úlohy na základe dvojročných pracovných programov uvedených v odseku 7.

3.   Skupinu pre spoluprácu tvoria zástupcovia členských štátov, Komisie a agentúry ENISA. Na činnostiach skupiny pre spoluprácu sa ako pozorovateľ zúčastňuje Európska služba pre vonkajšiu činnosť. Európske orgány dohľadu (ESA) a príslušné orgány podľa nariadenia (EÚ) 2022/2554 sa môžu zúčastňovať na činnostiach skupiny pre spoluprácu v súlade s článkom 47 ods. 1 uvedeného nariadenia.

Podľa potreby môže skupina pre spoluprácu prizvať k práci Európsky parlament a zástupcov príslušných zainteresovaných strán.

Sekretariát zabezpečuje Komisia.

4.   Skupina pre spoluprácu plní tieto úlohy:

| a) | poskytuje usmernenia príslušným orgánom v súvislosti s transpozíciou a vykonávaním tejto smernice; |
| --- | --- |

a)

poskytuje usmernenia príslušným orgánom v súvislosti s transpozíciou a vykonávaním tejto smernice;

| b) | poskytuje usmernenia príslušným orgánom v súvislosti s prípravou a implementáciou politík koordinovaného zverejňovania zraniteľností, ako sa uvádza v článku 7 ods. 2 písm. c); |
| --- | --- |

b)

poskytuje usmernenia príslušným orgánom v súvislosti s prípravou a implementáciou politík koordinovaného zverejňovania zraniteľností, ako sa uvádza v článku 7 ods. 2 písm. c);

| c) | vymieňa si najlepšie postupy a informácie v súvislosti s implementáciou tejto smernice, a to aj o kybernetických hrozbách, incidentoch, zraniteľnostiach, udalostiach odvrátených v poslednej chvíli, iniciatívy na zvyšovanie informovanosti, odbornú prípravu, cvičenia a kvalifikácie, budovanie kapacít, normy a technické špecifikácie, ako aj identifikáciu kľúčových a dôležitých subjektov podľa článku 2 ods. 2 písm. b) až e); |
| --- | --- |

c)

vymieňa si najlepšie postupy a informácie v súvislosti s implementáciou tejto smernice, a to aj o kybernetických hrozbách, incidentoch, zraniteľnostiach, udalostiach odvrátených v poslednej chvíli, iniciatívy na zvyšovanie informovanosti, odbornú prípravu, cvičenia a kvalifikácie, budovanie kapacít, normy a technické špecifikácie, ako aj identifikáciu kľúčových a dôležitých subjektov podľa článku 2 ods. 2 písm. b) až e);

| d) | vymieňa si rady a spolupracuje s Komisiou v súvislosti s novými politickými iniciatívami pre kybernetickú bezpečnosť a celkovou konzistentnosťou odvetvových požiadaviek na kybernetickú bezpečnosť; |
| --- | --- |

d)

vymieňa si rady a spolupracuje s Komisiou v súvislosti s novými politickými iniciatívami pre kybernetickú bezpečnosť a celkovou konzistentnosťou odvetvových požiadaviek na kybernetickú bezpečnosť;

| e) | vymieňa si rady a spolupracuje s Komisiou v súvislosti s návrhom delegovaných alebo vykonávacích aktov prijímaných podľa tejto smernice; |
| --- | --- |

e)

vymieňa si rady a spolupracuje s Komisiou v súvislosti s návrhom delegovaných alebo vykonávacích aktov prijímaných podľa tejto smernice;

| f) | vymieňa si najlepšie postupy a informácie s relevantnými inštitúciami, orgánmi, úradmi a agentúrami Únie; |
| --- | --- |

f)

vymieňa si najlepšie postupy a informácie s relevantnými inštitúciami, orgánmi, úradmi a agentúrami Únie;

| g) | vymieňa si názory na implementáciu odvetvových právnych aktov Únie, ktoré obsahujú ustanovenia o kybernetickej bezpečnosti; |
| --- | --- |

g)

vymieňa si názory na implementáciu odvetvových právnych aktov Únie, ktoré obsahujú ustanovenia o kybernetickej bezpečnosti;

| h) | v prípade potreby rokuje o správach o partnerskom hodnotení uvedenom v článku 19 ods. 9 a pripravuje závery a odporúčania; |
| --- | --- |

h)

v prípade potreby rokuje o správach o partnerskom hodnotení uvedenom v článku 19 ods. 9 a pripravuje závery a odporúčania;

| i) | vykonáva koordinované hodnotenia bezpečnostných rizík kritických dodávateľských reťazcov v súlade s článkom 22 ods. 1; |
| --- | --- |

i)

vykonáva koordinované hodnotenia bezpečnostných rizík kritických dodávateľských reťazcov v súlade s článkom 22 ods. 1;

| j) | rokuje o prípadoch vzájomnej pomoci vrátane skúseností a výsledkov z cezhraničných spoločných opatrení dohľadu uvedených v článku 37; |
| --- | --- |

j)

rokuje o prípadoch vzájomnej pomoci vrátane skúseností a výsledkov z cezhraničných spoločných opatrení dohľadu uvedených v článku 37;

| k) | na žiadosť jedného alebo viacerých dotknutých členských štátov rokuje o konkrétnych žiadostiach o vzájomnú pomoc podľa článku 37; |
| --- | --- |

k)

na žiadosť jedného alebo viacerých dotknutých členských štátov rokuje o konkrétnych žiadostiach o vzájomnú pomoc podľa článku 37;

| l) | poskytuje strategické usmernenia pre sieť jednotiek CSIRT a EU-CyCLONe v otázkach konkrétnych vznikajúcich problémov; |
| --- | --- |

l)

poskytuje strategické usmernenia pre sieť jednotiek CSIRT a EU-CyCLONe v otázkach konkrétnych vznikajúcich problémov;

| m) | vymieňa si názory na politiku nadväzných opatrení po rozsiahlych kybernetických incidentoch a krízach na základe skúseností siete jednotiek CSIRT a EU-CyCLONe; |
| --- | --- |

m)

vymieňa si názory na politiku nadväzných opatrení po rozsiahlych kybernetických incidentoch a krízach na základe skúseností siete jednotiek CSIRT a EU-CyCLONe;

| n) | prispieva k spôsobilostiam kybernetickej bezpečnosti v celej Únii sprostredkovaním výmen vnútroštátnych úradníkov prostredníctvom programu budovania kapacít, do ktorého sú zapojení zamestnanci príslušných orgánov alebo jednotiek CSIRT; |
| --- | --- |

n)

prispieva k spôsobilostiam kybernetickej bezpečnosti v celej Únii sprostredkovaním výmen vnútroštátnych úradníkov prostredníctvom programu budovania kapacít, do ktorého sú zapojení zamestnanci príslušných orgánov alebo jednotiek CSIRT;

| o) | organizuje pravidelné spoločné stretnutia s príslušnými súkromnými zainteresovanými stranami z celej Únie s cieľom rokovať o činnostiach skupiny a zhromažďovať informácie o nových politických výzvach; |
| --- | --- |

o)

organizuje pravidelné spoločné stretnutia s príslušnými súkromnými zainteresovanými stranami z celej Únie s cieľom rokovať o činnostiach skupiny a zhromažďovať informácie o nových politických výzvach;

| p) | rokuje o práci vykonanej v súvislosti s cvičeniami kybernetickej bezpečnosti, ako aj o práci agentúry ENISA; |
| --- | --- |

p)

rokuje o práci vykonanej v súvislosti s cvičeniami kybernetickej bezpečnosti, ako aj o práci agentúry ENISA;

| q) | stanovuje metodiku a organizačné aspekty partnerských preskúmaní uvedených v článku 19 ods. 1, ako aj stanovuje metodiku sebahodnotenia pre členské štáty v súlade s článkom 19 ods. 5 za pomoci Komisie a agentúry ENISA a v spolupráci s Komisiou a agentúrou ENISA vypracovať kódexy správania, ktoré budú základom pracovných metód určených expertov na kybernetickú bezpečnosť v súlade s článkom 19 ods. 6; |
| --- | --- |

q)

stanovuje metodiku a organizačné aspekty partnerských preskúmaní uvedených v článku 19 ods. 1, ako aj stanovuje metodiku sebahodnotenia pre členské štáty v súlade s článkom 19 ods. 5 za pomoci Komisie a agentúry ENISA a v spolupráci s Komisiou a agentúrou ENISA vypracovať kódexy správania, ktoré budú základom pracovných metód určených expertov na kybernetickú bezpečnosť v súlade s článkom 19 ods. 6;

| r) | vyhotovuje správy o skúsenostiach získaných na strategickej úrovni a z partnerských preskúmaní na účely preskúmania uvedeného v článku 40; |
| --- | --- |

r)

vyhotovuje správy o skúsenostiach získaných na strategickej úrovni a z partnerských preskúmaní na účely preskúmania uvedeného v článku 40;

| s) | pravidelne vedie diskusiu o súčasnom stave kybernetických hrozieb alebo incidentov, ako je ransomvér, a vykonávať jeho hodnotenie. |
| --- | --- |

s)

pravidelne vedie diskusiu o súčasnom stave kybernetických hrozieb alebo incidentov, ako je ransomvér, a vykonávať jeho hodnotenie.

Skupina pre spoluprácu predkladá správy uvedené v prvom pododseku písm. r) Komisii, Európskemu parlamentu a Rade.

5.   Členské štáty zabezpečia účinnú, efektívnu a bezpečnú spoluprácu svojich zástupcov v rámci skupiny pre spoluprácu.

6.   Skupina pre spoluprácu môže od siete jednotiek CSIRT požadovať technickú správu na vybrané témy.

7.   Skupina pre spoluprácu do 1. februára 2024 a potom každé dva roky zostaví pracovný program týkajúci sa činností, ktoré sa majú uskutočniť v rámci dosahovania jej cieľov a úloh.

8.   Komisia môže prijať vykonávacie akty stanovujúce procesné opatrenia potrebné na fungovanie skupiny pre spoluprácu.

Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 39 ods. 2.

Pokiaľ ide o návrhy vykonávacích aktov uvedených v prvom pododseku tohto odseku, Komisia sa radí a spolupracuje so skupinou pre spoluprácu v súlade s odsekom 4 písm. e).

9.   Skupina pre spoluprácu sa pravidelne a v každom prípade aspoň raz ročne stretáva so skupinou pre odolnosť kritických subjektov zriadenou podľa smernice (EÚ) 2022/2557 s cieľom podporovať a sprostredkovať strategickú spoluprácu a výmenu informácií.

Článok 15

Sieť jednotiek CSIRT

1.   S cieľom prispieť k zvyšovaniu dôvery a podporiť rýchlu a účinnú operačnú spoluprácu medzi členskými štátmi sa zriaďuje sieť národných jednotiek CSIRT.

2.   Sieť jednotiek CSIRT sa skladá zo zástupcov jednotiek CSIRT určených alebo zriadených podľa článku 10 a tímu reakcie na núdzové počítačové situácie v inštitúciách, orgánoch a agentúrach Únie (CERT-EU). Komisia sa zúčastňuje na práci siete jednotiek CSIRT ako pozorovateľ. Agentúra ENISA zabezpečuje sekretariát a aktívne pomáha so spoluprácou medzi jednotkami CSIRT.

3.   Sieť jednotiek CSIRT plní tieto úlohy:

| a) | výmena informácií o spôsobilostiach jednotiek CSIRT; |
| --- | --- |

a)

výmena informácií o spôsobilostiach jednotiek CSIRT;

| b) | sprostredkovanie spoločného používania, transferu a výmeny technológií a príslušných opatrení, politík, nástrojov, procesov, najlepších postupov a rámcov medzi jednotkami CSIRT; |
| --- | --- |

b)

sprostredkovanie spoločného používania, transferu a výmeny technológií a príslušných opatrení, politík, nástrojov, procesov, najlepších postupov a rámcov medzi jednotkami CSIRT;

| c) | výmena relevantných informácií o incidentoch, udalostiach odvrátených v poslednej chvíli, kybernetických hrozbách, rizikách a zraniteľnostiach; |
| --- | --- |

c)

výmena relevantných informácií o incidentoch, udalostiach odvrátených v poslednej chvíli, kybernetických hrozbách, rizikách a zraniteľnostiach;

| d) | výmena informácií v súvislosti s publikáciami a odporúčaniami o kybernetickej bezpečnosti; |
| --- | --- |

d)

výmena informácií v súvislosti s publikáciami a odporúčaniami o kybernetickej bezpečnosti;

| e) | zabezpečovanie interoperability, pokiaľ ide o špecifikácie a protokoly výmeny informácií; |
| --- | --- |

e)

zabezpečovanie interoperability, pokiaľ ide o špecifikácie a protokoly výmeny informácií;

| f) | na žiadosť člena siete jednotiek CSIRT potenciálne zasiahnutej incidentom výmena a prediskutovanie informácií o danom incidente a súvisiacich kybernetických hrozbách, rizikách a zraniteľnostiach; |
| --- | --- |

f)

na žiadosť člena siete jednotiek CSIRT potenciálne zasiahnutej incidentom výmena a prediskutovanie informácií o danom incidente a súvisiacich kybernetických hrozbách, rizikách a zraniteľnostiach;

| g) | na žiadosť člena siete jednotiek CSIRT prediskutovanie a v rámci možností vykonanie koordinovanej reakcie na incident, ktorý bol identifikovaný v oblasti patriacej do právomoci daného členského štátu; |
| --- | --- |

g)

na žiadosť člena siete jednotiek CSIRT prediskutovanie a v rámci možností vykonanie koordinovanej reakcie na incident, ktorý bol identifikovaný v oblasti patriacej do právomoci daného členského štátu;

| h) | poskytovanie pomoci členským štátom pri riešení cezhraničných incidentov podľa tejto smernice; |
| --- | --- |

h)

poskytovanie pomoci členským štátom pri riešení cezhraničných incidentov podľa tejto smernice;

| i) | spolupráca, výmena najlepších postupov a poskytovanie pomoci jednotkám CSIRT určeným za koordinátorov podľa článku 12 ods. 1, pokiaľ ide o riadenie koordinovaného zverejňovania informácií o zraniteľnostiach, ktoré by mohli mať významný dosah na subjekty vo viac ako jednom členskom štáte; |
| --- | --- |

i)

spolupráca, výmena najlepších postupov a poskytovanie pomoci jednotkám CSIRT určeným za koordinátorov podľa článku 12 ods. 1, pokiaľ ide o riadenie koordinovaného zverejňovania informácií o zraniteľnostiach, ktoré by mohli mať významný dosah na subjekty vo viac ako jednom členskom štáte;

| j) | prediskutovanie a určovanie ďalších foriem operačnej spolupráce, a to aj v súvislosti:






  i) | s kategóriami kybernetických hrozieb a incidentov; |
| --- | --- | --- |

j)

prediskutovanie a určovanie ďalších foriem operačnej spolupráce, a to aj v súvislosti:

i)

s kategóriami kybernetických hrozieb a incidentov;

| ii) | so včasnými varovaniami; |
| --- | --- |

ii)

so včasnými varovaniami;

| iii) | so vzájomnou pomocou; |
| --- | --- |

iii)

so vzájomnou pomocou;

| iv) | so zásadami a dojednaniami koordinácie pri reakcii na cezhraničné riziká a incidenty; |
| --- | --- |

iv)

so zásadami a dojednaniami koordinácie pri reakcii na cezhraničné riziká a incidenty;

| v) | na žiadosť členského štátu s príspevkom k národnému plánu reakcie na rozsiahle kybernetické incidenty a krízy uvedeného v článku 9 ods. 4; |
| --- | --- |

v)

na žiadosť členského štátu s príspevkom k národnému plánu reakcie na rozsiahle kybernetické incidenty a krízy uvedeného v článku 9 ods. 4;

| k) | informovanie skupiny pre spoluprácu o svojej činnosti a o ďalších formách operačnej spolupráce prediskutovaných podľa písmena j) a v prípade potreby požadovanie usmernení v tomto ohľade; |
| --- | --- |

k)

informovanie skupiny pre spoluprácu o svojej činnosti a o ďalších formách operačnej spolupráce prediskutovaných podľa písmena j) a v prípade potreby požadovanie usmernení v tomto ohľade;

| l) | bilancia kybernetických bezpečnostných cvičení vrátane cvičení organizovaných agentúrou ENISA; |
| --- | --- |

l)

bilancia kybernetických bezpečnostných cvičení vrátane cvičení organizovaných agentúrou ENISA;

| m) | na žiadosť niektorej jednotky CSIRT prediskutovanie spôsobilostí a pripravenosti tejto jednotky CSIRT; |
| --- | --- |

m)

na žiadosť niektorej jednotky CSIRT prediskutovanie spôsobilostí a pripravenosti tejto jednotky CSIRT;

| n) | spolupráca a výmena informácií s regionálnymi a únijnými centrami bezpečnostných operácií (SOC) s cieľom zlepšiť spoločné situačné povedomie o incidentoch a kybernetických hrozbách v celej Únii; |
| --- | --- |

n)

spolupráca a výmena informácií s regionálnymi a únijnými centrami bezpečnostných operácií (SOC) s cieľom zlepšiť spoločné situačné povedomie o incidentoch a kybernetických hrozbách v celej Únii;

| o) | v príslušných prípadoch prediskutovanie správ o partnerskom preskúmaní uvedených v článku 19 ods. 9; |
| --- | --- |

o)

v príslušných prípadoch prediskutovanie správ o partnerskom preskúmaní uvedených v článku 19 ods. 9;

| p) | poskytovanie usmernení s cieľom uľahčiť zbližovanie operačných postupov so zreteľom na uplatňovanie ustanovení tohto článku, pokiaľ ide o operačnú spoluprácu. |
| --- | --- |

p)

poskytovanie usmernení s cieľom uľahčiť zbližovanie operačných postupov so zreteľom na uplatňovanie ustanovení tohto článku, pokiaľ ide o operačnú spoluprácu.

4.   Na účely preskúmania uvedeného v článku 40 sieť jednotiek CSIRT do 17. januára 2025 a potom každé dva roky posúdi pokrok dosiahnutý s ohľadom na operačnú spoluprácu a prijme správu. V správe sa predovšetkým vyvodia závery a odporúčania na základe výsledkov partnerských preskúmaní uvedených v článku 19 a vykonaných v súvislosti s národnými jednotkami CSIRT. Táto správa sa predloží skupine pre spoluprácu.

5.   Sieť jednotiek CSIRT prijme svoj rokovací poriadok.

6.   Sieť jednotiek CSIRT a sieť EU-CyCLONe sa dohodnú na procesných opatreniach a v súlade s nimi spolupracujú.

Článok 16

Európska sieť styčných organizácií pre kybernetické krízy (EU-CyCLONe)

1.   Sieť EU-CyCLONe sa zriaďuje s cieľom podporiť koordinované riadenie rozsiahlych kybernetických incidentov a kríz na operačnej úrovni a zabezpečiť pravidelnú výmenu relevantných informácií medzi členskými štátmi a inštitúciami, orgánmi, úradmi a agentúrami Únie.

2.   Sieť EU-CyCLONe tvoria zástupcovia orgánov členských štátov pre riadenie kybernetických kríz a v prípadoch, keď potenciálny alebo prebiehajúci rozsiahly kybernetický incident má alebo pravdepodobne bude mať významný vplyv na služby a činnosti patriace do rozsahu pôsobnosti tejto smernice, aj zástupcovia Komisie. Vo všetkých ostatných prípadoch sa Komisia zúčastňuje na činnostiach siete EU-CyCLONe ako pozorovateľ.

Agentúra ENISA zabezpečuje sekretariát siete EU-CyCLONe, podporuje bezpečnú výmenu informácií a poskytuje potrebné nástroje na podporu spolupráce medzi členskými štátmi zaistením bezpečnej výmeny informácií.

V náležitých prípadoch môže sieť EU-CyCLONe prizvať ako pozorovateľov k svojej práci zástupcov príslušných zainteresovaných strán.

3.   Sieť EU-CyCLONe plní tieto úlohy:

| a) | zvyšovanie úrovne pripravenosti na riadenie rozsiahlych kybernetických incidentov a kríz; |
| --- | --- |

a)

zvyšovanie úrovne pripravenosti na riadenie rozsiahlych kybernetických incidentov a kríz;

| b) | rozvíjanie spoločného situačného povedomia o rozsiahlych kybernetických incidentoch a krízach; |
| --- | --- |

b)

rozvíjanie spoločného situačného povedomia o rozsiahlych kybernetických incidentoch a krízach;

| c) | posudzovanie dôsledkov a vplyvu relevantných rozsiahlych kybernetických incidentov a kríz a navrhovanie možných zmierňujúcich opatrení; |
| --- | --- |

c)

posudzovanie dôsledkov a vplyvu relevantných rozsiahlych kybernetických incidentov a kríz a navrhovanie možných zmierňujúcich opatrení;

| d) | koordinácia riadenia rozsiahlych kybernetických incidentov a kríz a podpora rozhodovania na politickej úrovni v súvislosti s takýmito incidentmi a krízami; |
| --- | --- |

d)

koordinácia riadenia rozsiahlych kybernetických incidentov a kríz a podpora rozhodovania na politickej úrovni v súvislosti s takýmito incidentmi a krízami;

| e) | na žiadosť príslušného členského štátu prediskutovanie národných plánov reakcie na rozsiahle kybernetické incidenty a krízy uvedených v článku 9 ods. 4; |
| --- | --- |

e)

na žiadosť príslušného členského štátu prediskutovanie národných plánov reakcie na rozsiahle kybernetické incidenty a krízy uvedených v článku 9 ods. 4;

4.   Sieť EU-CyCLONe prijme vlastný rokovací poriadok.

5.   Sieť EU-CyCLONe podáva skupine pre spoluprácu pravidelne správy o riadení rozsiahlych kybernetických incidentov a kríz, ako aj o trendoch, pričom sa zameriava najmä na ich vplyv na kľúčové a dôležité subjekty.

6.   Sieť EU-CyCLONe spolupracuje so sieťou jednotiek CSIRT na základe dohodnutých procesných opatrení stanovených v článku 15 ods. 6.

7.   Sieť EU-CyCLONe do 17. júla 2024 a potom každých 18 mesiacov predloží Európskemu parlamentu a Rade správu, v ktorej posúdi svoju prácu.

Článok 17

Medzinárodná spolupráca

Únia môže v prípade potreby v súlade s článkom 218 ZFEÚ uzatvárať medzinárodné dohody s tretími krajinami alebo medzinárodnými organizáciami, ktorými môže povoľovať a organizovať ich účasť na konkrétnych činnostiach skupiny pre spoluprácu, siete jednotiek CSIRT a siete EU-CyCLONe. Takéto dohody musia byť v súlade s právom Únie v oblasti ochrany údajov.

Článok 18

Správa o stave kybernetickej bezpečnosti v Únii

1.   Agentúra ENISA v spolupráci s Komisiou a skupinou pre spoluprácu prijme každé dva roky správu o stave kybernetickej bezpečnosti v Únii a predkladá a prezentuje ju Európskemu parlamentu. Správa sa vydáva aj v strojovo čitateľnom formáte a obsahuje:

| a) | posúdenie kybernetických rizík na úrovni Únie s prihliadnutím na panorámu kybernetických hrozieb; |
| --- | --- |

a)

posúdenie kybernetických rizík na úrovni Únie s prihliadnutím na panorámu kybernetických hrozieb;

| b) | posúdenie rozvoja spôsobilostí v oblasti kybernetickej bezpečnosti vo verejnom a súkromnom sektore v celej Únii; |
| --- | --- |

b)

posúdenie rozvoja spôsobilostí v oblasti kybernetickej bezpečnosti vo verejnom a súkromnom sektore v celej Únii;

| c) | posúdenie všeobecnej úrovne informovanosti o kybernetickej bezpečnosti a kybernetickej hygieny medzi občanmi a subjektmi vrátane malých a stredných podnikov; |
| --- | --- |

c)

posúdenie všeobecnej úrovne informovanosti o kybernetickej bezpečnosti a kybernetickej hygieny medzi občanmi a subjektmi vrátane malých a stredných podnikov;

| d) | súhrnné posúdenie výsledkov partnerského preskúmania uvedeného v článku 19; |
| --- | --- |

d)

súhrnné posúdenie výsledkov partnerského preskúmania uvedeného v článku 19;

| e) | súhrnné posúdenie úrovne vyspelosti spôsobilostí a zdrojov v oblasti kybernetickej bezpečnosti v celej Únii vrátane spôsobilostí a zdrojov na úrovni odvetví, ako aj rozsahu, v akom sú národné stratégie kybernetickej bezpečnosti členských štátov zosúladené. |
| --- | --- |

e)

súhrnné posúdenie úrovne vyspelosti spôsobilostí a zdrojov v oblasti kybernetickej bezpečnosti v celej Únii vrátane spôsobilostí a zdrojov na úrovni odvetví, ako aj rozsahu, v akom sú národné stratégie kybernetickej bezpečnosti členských štátov zosúladené.

2.   Správa obsahuje konkrétne politické odporúčania na riešenie problémov a zvýšenie úrovne kybernetickej bezpečnosti v celej Únii a zhrnutie zistení za konkrétne obdobie z technických situačných správ o kybernetickej bezpečnosti v EÚ o incidentoch a kybernetických hrozbách, ktoré vypracúva agentúra ENISA v súlade s článkom 7 ods. 6 nariadenia (EÚ) 2019/881.

3.   Agentúra ENISA v spolupráci s Komisiou, skupinou pre spoluprácu a sieťou jednotiek CSIRT pripraví metodiku súhrnného posúdenia uvedeného v prvom odseku písm. e) vrátane príslušných premenných, ako sú kvantitatívne a kvalitatívne ukazovatele.

Článok 19

Partnerské preskúmania

1.   Skupina pre spoluprácu do 17. januára 2025 s pomocou Komisie a agentúry ENISA a v prípade potreby siete jednotiek CSIRT vypracuje metodiku a organizačné aspekty partnerských preskúmaní s cieľom čerpať zo spoločných skúseností, posilniť vzájomnú dôveru, dosiahnuť vysokú spoločnú úroveň kybernetickej bezpečnosti, ako aj posilniť spôsobilosti kybernetickej bezpečnosti a politiky členských štátov potrebné na vykonávanie tejto smernice. Účasť na partnerských preskúmaniach je dobrovoľná. Partnerské preskúmania vykonávajú experti na kybernetickú bezpečnosť. Expertov na kybernetickú bezpečnosť určia minimálne dva iné členské štáty, než je členský štát, ktorý je predmetom preskúmania.

Partnerské preskúmania sa týkajú aspoň jedného z týchto aspektov:

| a) | úrovne vykonávania opatrení na riadenie kybernetických rizík a oznamovacích povinností stanovených v článkoch 21 a 23; |
| --- | --- |

a)

úrovne vykonávania opatrení na riadenie kybernetických rizík a oznamovacích povinností stanovených v článkoch 21 a 23;

| b) | úrovne spôsobilostí vrátane dostupných finančných, technických a ľudských zdrojov a účinnosť plnenia úloh príslušných orgánov; |
| --- | --- |

b)

úrovne spôsobilostí vrátane dostupných finančných, technických a ľudských zdrojov a účinnosť plnenia úloh príslušných orgánov;

| c) | operačných spôsobilostí jednotiek CSIRT; |
| --- | --- |

c)

operačných spôsobilostí jednotiek CSIRT;

| d) | úrovne vykonávania vzájomnej pomoci uvedenej v článku 37; |
| --- | --- |

d)

úrovne vykonávania vzájomnej pomoci uvedenej v článku 37;

| e) | úrovne vykonávania dohôd o výmene informácií o kybernetickej bezpečnosti uvedených v článku 29; |
| --- | --- |

e)

úrovne vykonávania dohôd o výmene informácií o kybernetickej bezpečnosti uvedených v článku 29;

| f) | konkrétnych záležitostí cezhraničného alebo medziodvetvového charakteru. |
| --- | --- |

f)

konkrétnych záležitostí cezhraničného alebo medziodvetvového charakteru.

2.   Metodika uvedená v odseku 1 zahŕňa objektívne, nediskriminačné, spravodlivé a transparentné kritériá, na základe ktorých členské štáty určia expertov na kybernetickú bezpečnosť oprávnených vykonávať partnerské preskúmania. Komisia agentúra ENISA sa zúčastňujú na partnerských preskúmaniach ako pozorovatelia.

3.   Členské štáty môžu určiť konkrétne záležitosti uvedené v odseku 1 písm. f) na účely partnerského preskúmania.

4.   Pred začatím partnerského preskúmania uvedeného v odseku 1 členské štáty oznámia zúčastneným členským štátom jeho rozsah vrátane konkrétnych záležitostí určených podľa odseku 3.

5.   Pred začatím partnerského preskúmania môžu členské štáty vykonať sebahodnotenie skúmaných aspektov a toto sebahodnotenie poskytnúť určeným expertom na kybernetickú bezpečnosť. Metodiku sebahodnotenia členských štátov stanoví skupina pre spoluprácu s pomocou Komisie a agentúry ENISA.

6.   Partnerské preskúmania zahŕňajú osobné alebo virtuálne návštevy na mieste a výmenu informácií na diaľku. Členský štát, ktorý je predmetom partnerského preskúmania, poskytne v súlade so zásadou dobrej spolupráce určeným expertom na kybernetickú bezpečnosť informácie potrebné na hodnotenie, a to bez toho, aby bolo dotknuté právo Únie alebo vnútroštátne právo týkajúce sa ochrany dôverných alebo utajovaných skutočností a ochrany základných funkcií štátu, ako je národná bezpečnosť. Skupina pre spoluprácu v spolupráci s Komisiou a agentúrou ENISA vypracuje vhodné kódexy správania na podporu pracovných metód určených expertov na kybernetickú bezpečnosť. Všetky informácie získané v rámci partnerského preskúmania sa použijú výlučne na uvedený účel. Experti na kybernetickú bezpečnosť, ktorí sa zúčastňujú na partnerskom preskúmaní, nesmú sprístupniť tretím stranám žiadne citlivé alebo dôverné informácie získané v priebehu tohto partnerského preskúmania.

7.   Tie isté aspekty, ktoré už boli predmetom partnerského preskúmania v členskom štáte, nepodliehajú ďalšiemu partnerskému preskúmaniu v tomto členskom štáte najbližšie dva roky od ukončenia partnerského preskúmania, pokiaľ o to členský štát nepožiada alebo nedôjde k dohode po návrhu skupiny pre spoluprácu.

8.   Členské štáty zabezpečia, aby každé riziko konfliktu záujmov týkajúce sa určených expertov na kybernetickú bezpečnosť bolo oznámené ostatným členským štátom, skupine pre spoluprácu, Komisii a agentúre ENISA pred začatím postupu partnerského preskúmania. Členský štát, ktorý je predmetom partnerského preskúmania, môže na základe riadne opodstatnených dôvodov, ktoré oznámi určujúcemu členskému štátu, podať námietku proti určeniu konkrétnych expertov na kybernetickú bezpečnosť.

9.   Experti na kybernetickú bezpečnosť zúčastňujúci sa na partnerských preskúmaniach vypracujú správy o zisteniach a záveroch partnerských preskúmaní. Členské štáty, ktoré sú predmetom partnerského preskúmania, môžu predložiť pripomienky k návrhom správ, ktoré sa ich týkajú, a takéto pripomienky sa priložia k správam. Správy obsahujú odporúčania s cieľom umožniť zlepšenie aspektov, ktoré sú predmetom partnerského preskúmania. Správy sú v náležitých prípadoch postúpené skupine pre spoluprácu a sieti jednotiek CSIRT. Členský štát, ktorý je predmetom partnerského preskúmania, sa môže rozhodnúť, že svoju správu alebo jej upravenú verziu sprístupní verejnosti.

KAPITOLA IV

OPATRENIA NA RIADENIE KYBERNETICKÝCH RIZÍK A OZNAMOVACIE POVINNOSTI

Článok 20

Riadenie

1.   Členské štáty zabezpečia, aby riadiace orgány kľúčových a dôležitých subjektov schválili opatrenia na riadenie kybernetických rizík, ktoré tieto subjekty prijali s cieľom dosiahnuť súlad s článkom 21, dohliadali na jeho vykonávanie a aby mohli byť brané na zodpovednosť, ak subjekty porušujú uvedený článok.

Uplatňovaním tohto odseku nie je dotknuté vnútroštátne právo, pokiaľ ide o pravidlá zodpovednosti uplatniteľné na verejné inštitúcie, ako aj zodpovednosť štátnych zamestnancov a volených alebo menovaných činiteľov.

2.   Členské štáty zabezpečia, aby členovia riadiacich orgánov kľúčových a dôležitých subjektov boli povinní absolvovať odbornú prípravu, a kľúčové a dôležité subjekty podporia v tom, aby svojim zamestnancom pravidelne poskytovali podobnú odbornú prípravu a ich zamestnanci tak získali dostatočné znalosti a zručnosti a vedeli rozpoznať riziká a posúdiť postupy riadenia kybernetických rizík a ich vplyv na služby poskytované subjektom.

Článok 21

Opatrenia na riadenie kybernetických rizík

1.   Členské štáty zabezpečia, aby kľúčové a dôležité subjekty prijali vhodné a primerané technické, operačné a organizačné opatrenia na riadenie rizík súvisiacich s bezpečnosťou sietí a informačných systémov, ktoré tieto subjekty využívajú na svoju činnosť alebo na poskytovanie svojich služieb a na prevenciu alebo minimalizáciu vplyvu incidentov na príjemcov ich služieb a na ďalšie služby.

S prihliadnutím na najnovšie, resp. na relevantné európske a medzinárodné normy, ako aj na náklady na vykonávanie sa opatreniami uvedenými v prvom pododseku zabezpečí úroveň bezpečnosti sietí a informačných systémov primeraná rizikám, ktoré predstavujú. Pri posudzovaní primeranosti týchto opatrení sa náležite zohľadní miera vystavenia subjektu rizikám, veľkosť subjektu a pravdepodobnosť výskytu incidentov a ich závažnosti vrátane ich spoločenského a hospodárskeho dosahu.

2.   Opatrenia uvedené v odseku 1 sú založené na prístupe zohľadňujúcom všetky riziká, ktorého cieľom je chrániť siete a informačné systémy a fyzické prostredie uvedených systémov pred incidentmi, a zahŕňajú aspoň:

| a) | zásady analýzy rizík a bezpečnosti informačných systémov; |
| --- | --- |

a)

zásady analýzy rizík a bezpečnosti informačných systémov;

| b) | riešenie incidentov; |
| --- | --- |

b)

riešenie incidentov;

| c) | kontinuitu činností, ako je riadenie zálohovania a obnova systému po havárii, a krízové riadenie; |
| --- | --- |

c)

kontinuitu činností, ako je riadenie zálohovania a obnova systému po havárii, a krízové riadenie;

| d) | bezpečnosť dodávateľského reťazca vrátane bezpečnostných aspektov týkajúcich sa vzťahov medzi jednotlivými subjektmi a ich priamymi dodávateľmi alebo poskytovateľmi služieb; |
| --- | --- |

d)

bezpečnosť dodávateľského reťazca vrátane bezpečnostných aspektov týkajúcich sa vzťahov medzi jednotlivými subjektmi a ich priamymi dodávateľmi alebo poskytovateľmi služieb;

| e) | bezpečnosť pri nadobúdaní, vývoji a údržbe siete a informačných systémov vrátane riešenia zraniteľností a zverejňovania informácií o zraniteľnostiach; |
| --- | --- |

e)

bezpečnosť pri nadobúdaní, vývoji a údržbe siete a informačných systémov vrátane riešenia zraniteľností a zverejňovania informácií o zraniteľnostiach;

| f) | zásady a postupy posudzovania účinnosti opatrení na riadenie kybernetických rizík; |
| --- | --- |

f)

zásady a postupy posudzovania účinnosti opatrení na riadenie kybernetických rizík;

| g) | základné postupy kybernetickej hygieny a odborná príprava v oblasti kybernetickej bezpečnosti; |
| --- | --- |

g)

základné postupy kybernetickej hygieny a odborná príprava v oblasti kybernetickej bezpečnosti;

| h) | zásady a postupy používania kryptografie, prípadne šifrovania; |
| --- | --- |

h)

zásady a postupy používania kryptografie, prípadne šifrovania;

| i) | bezpečnosť ľudských zdrojov, zásady kontroly prístupu a správu aktív; |
| --- | --- |

i)

bezpečnosť ľudských zdrojov, zásady kontroly prístupu a správu aktív;

| j) | v prípade potreby používanie riešení viacstupňovej alebo kontinuálnej autentifikácie, zabezpečenej hlasovej, obrazovej a textovej komunikácie a zabezpečených systémov komunikácie v núdzových situáciách v rámci subjektu. |
| --- | --- |

j)

v prípade potreby používanie riešení viacstupňovej alebo kontinuálnej autentifikácie, zabezpečenej hlasovej, obrazovej a textovej komunikácie a zabezpečených systémov komunikácie v núdzových situáciách v rámci subjektu.

3.   Členské štáty zabezpečia, aby subjekty pri zvažovaní toho, ktoré opatrenia uvedené v odseku 2 písm. d) tohto článku sú vhodné, zohľadňovali zraniteľnosti špecifické pre každého priameho dodávateľa a poskytovateľa služieb a celkovú kvalitu produktov a postupy svojich dodávateľov a poskytovateľov služieb kybernetickej bezpečnosti vrátane ich postupov bezpečného vývoja. Členské štáty tiež zabezpečia, aby subjekty pri zvažovaní toho, ktoré opatrenia uvedené v uvedenom písmene sú vhodné, boli povinné zohľadňovať výsledky koordinovaných posúdení bezpečnostných rizík kritických dodávateľských reťazcov vykonaných v súlade s článkom 22 ods. 1.

4.   Členské štáty zabezpečia, aby subjekt, ktorý zistí, že nedodržiava opatrenia stanovené v odseku 2, prijal bez zbytočného odkladu všetky potrebné, vhodné a primerané nápravné opatrenia.

5.   Komisia do 17. októbra 2024 prijme vykonávacie akty, ktorými stanoví technické a metodické požiadavky na opatrenia uvedené v odseku 2, pokiaľ ide o poskytovateľov služieb DNS, správcov názvov TLD, poskytovateľov služieb cloud computingu, poskytovateľov služieb dátového centra, poskytovateľov sietí na sprístupňovanie obsahu, poskytovateľov riadených služieb, poskytovateľov riadených bezpečnostných služieb, poskytovateľov online trhov, internetových vyhľadávačov a platforiem služieb sociálnej siete a poskytovateľov dôveryhodných služieb.

Komisia môže prijať vykonávacie akty, ktorými podľa potreby stanoví technické, metodické, ako aj odvetvové požiadavky na opatrenia uvedené v odseku 2, pokiaľ ide o iné kľúčové a dôležité subjekty, než sú subjekty uvedené v prvom pododseku tohto odseku.

Komisia pri príprave vykonávacích aktov uvedených v prvom a druhom pododseku tohto odseku sa v čo najväčšej možnej miere riadi európskymi a medzinárodnými normami, ako aj príslušnými technickými špecifikáciami. Komisia sa radí a spolupracuje so skupinou pre spoluprácu a agentúrou ENISA v súlade s článkom 14 ods. 4 písm. e), pokiaľ ide o návrhy vykonávacích aktov.

Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 39 ods. 2.

Článok 22

Koordinované posúdenia bezpečnostných rizík kritických dodávateľských reťazcov na úrovni Únie

1.   Skupina pre spoluprácu môže v spolupráci s Komisiou a agentúrou ENISA vykonávať koordinované posúdenia bezpečnostných rizík dodávateľských reťazcov konkrétnych kritických služieb IKT, systémov IKT alebo produktov IKT, pričom zohľadní technické a prípadne aj netechnické faktory rizík.

2.   Komisia po konzultácii so skupinou pre spoluprácu a agentúrou ENISA a v prípade potreby s príslušnými zainteresovanými stranami určí konkrétne kritické služby IKT, systémy IKT alebo produkty IKT, ktoré môžu podliehať koordinovanému posúdeniu bezpečnostných rizík uvedenému v odseku 1.

Článok 23

Oznamovacie povinnosti

1.   Každý členský štát zabezpečí, aby kľúčové a dôležité subjekty bez zbytočného odkladu oznámili svojej jednotke CSIRT alebo v náležitých prípadoch svojmu príslušnému orgánu v súlade s odsekom 4 každý incident s významným vplyvom na poskytovanie ich služieb ako sa uvádza v odseku 3 (významný incident). V prípade potreby dotknuté subjekty bez zbytočného odkladu oznámia príjemcom svojich služieb významné incidenty, ktoré by mohli nepriaznivo ovplyvniť poskytovanie daných služieb. Každý členský štát zabezpečí, aby tieto subjekty oznamovali okrem iného informácie umožňujúce jednotke CSIRT alebo v náležitých prípadoch príslušnému orgánu určiť cezhraničný vplyv incidentu. Samotný akt oznámenia nezakladá zvýšenú zodpovednosť oznamujúceho subjektu.

Ak dotknuté subjekty oznámia príslušnému orgánu významný incident podľa prvého pododseku, členský štát zabezpečí, aby uvedený príslušný orgán postúpil toto oznámenie po jeho prijatí jednotke CSIRT.

V prípade cezhraničného alebo medziodvetvového významného incidentu členské štáty zabezpečia, aby sa ich jednotným kontaktným miestam včas poskytli príslušné informácie oznámené v súlade s odsekom 4.

2.   Členské štáty v náležitých prípadoch zabezpečia, aby kľúčové a dôležité subjekty bez zbytočného odkladu oznámili príjemcom svojich služieb, ktorí potenciálne čelia významnej kybernetickej hrozbe, všetky opatrenia alebo nápravné kroky, ktoré títo príjemcovia môžu v reakcii na danú hrozbu prijať. Subjekty v prípade potreby týchto príjemcov informujú aj o samotnej významnej kybernetickej hrozbe.

3.   Incident sa považuje za významný, ak:

| a) | spôsobil alebo má schopnosť spôsobiť dotknutému subjektu závažné prevádzkové narušenie služieb alebo finančnú stratu; |
| --- | --- |

a)

spôsobil alebo má schopnosť spôsobiť dotknutému subjektu závažné prevádzkové narušenie služieb alebo finančnú stratu;

| b) | zasiahol alebo má schopnosť zasiahnuť iné fyzické alebo právnické osoby tým, že im spôsobí značnú majetkovú alebo nemajetkovú ujmu. |
| --- | --- |

b)

zasiahol alebo má schopnosť zasiahnuť iné fyzické alebo právnické osoby tým, že im spôsobí značnú majetkovú alebo nemajetkovú ujmu.

4.   Členské štáty zabezpečia, aby dotknuté subjekty na účely oznámenia podľa odseku 1 postúpili jednotke CSIRT alebo v náležitých prípadoch príslušnému orgánu:

| a) | bez zbytočného odkladu a v každom prípade do 24 hodín od zistenia významného incidentu včasné varovanie, v ktorom sa prípadne uvedie, či významný incident pravdepodobne spôsobilo konanie, ktoré je nezákonné alebo so zlým úmyslom, alebo či môže mať cezhraničný dosah; |
| --- | --- |

a)

bez zbytočného odkladu a v každom prípade do 24 hodín od zistenia významného incidentu včasné varovanie, v ktorom sa prípadne uvedie, či významný incident pravdepodobne spôsobilo konanie, ktoré je nezákonné alebo so zlým úmyslom, alebo či môže mať cezhraničný dosah;

| b) | bez zbytočného odkladu a v každom prípade do 72 hodín po tom, ako sa dozvedeli o významnom incidente, oznámenie o incidente, ktorým v prípade potreby aktualizujú informácie uvedené v písmene a) a uvedú prvotné posúdenie významného incidentu, vrátane jeho závažnosti a vplyvu, ako aj prípadne indikátory kompromitácie. |
| --- | --- |

b)

bez zbytočného odkladu a v každom prípade do 72 hodín po tom, ako sa dozvedeli o významnom incidente, oznámenie o incidente, ktorým v prípade potreby aktualizujú informácie uvedené v písmene a) a uvedú prvotné posúdenie významného incidentu, vrátane jeho závažnosti a vplyvu, ako aj prípadne indikátory kompromitácie.

| c) | na žiadosť jednotky CSIRT alebo v náležitých prípadoch príslušného orgánu priebežnú správu s relevantnou aktualizáciou daného stavu; |
| --- | --- |

c)

na žiadosť jednotky CSIRT alebo v náležitých prípadoch príslušného orgánu priebežnú správu s relevantnou aktualizáciou daného stavu;

| d) | najneskôr jeden mesiac po postúpení oznámenia o incidente podľa písmena b) záverečnú správu, ktorá obsahuje tieto informácie:






  i) | podrobný opis incidentu vrátane jeho závažnosti a vplyvu; |
| --- | --- | --- |

d)

najneskôr jeden mesiac po postúpení oznámenia o incidente podľa písmena b) záverečnú správu, ktorá obsahuje tieto informácie:

i)

podrobný opis incidentu vrátane jeho závažnosti a vplyvu;

| ii) | druh hrozby alebo hlavnú príčinu, ktorá pravdepodobne incident spôsobila; |
| --- | --- |

ii)

druh hrozby alebo hlavnú príčinu, ktorá pravdepodobne incident spôsobila;

| iii) | zavedené a prebiehajúce zmierňujúce opatrenia; |
| --- | --- |

iii)

zavedené a prebiehajúce zmierňujúce opatrenia;

| iv) | v náležitých prípadoch cezhraničný vplyv incidentu; |
| --- | --- |

iv)

v náležitých prípadoch cezhraničný vplyv incidentu;

| e) | v prípade, že v čase predkladania záverečnej správy uvedenej v písmene d) incident ešte prebieha, členské štáty zabezpečia, aby dotknuté subjekty predložili v uvedenom čase ďalšiu priebežnú správu a záverečnú správu do jedného mesiaca odo dňa, keď incident vyriešili. |
| --- | --- |

e)

v prípade, že v čase predkladania záverečnej správy uvedenej v písmene d) incident ešte prebieha, členské štáty zabezpečia, aby dotknuté subjekty predložili v uvedenom čase ďalšiu priebežnú správu a záverečnú správu do jedného mesiaca odo dňa, keď incident vyriešili.

Odchylne od prvého pododseku písm. b) poskytovateľ dôveryhodných služieb informuje jednotku CSIRT alebo v náležitých prípadoch príslušný orgán o významných incidentoch, ktoré majú vplyv na poskytovanie jeho dôveryhodných služieb, a to bez zbytočného odkladu a v každom prípade do 24 hodín od zistenia významného incidentu.

5.   Jednotka CSIRT alebo príslušný orgán bez zbytočného odkladu a v rámci možností do 24 hodín od doručenia včasného varovania uvedeného v odseku 4 písm. a) poskytne oznamujúcemu subjektu odpoveď vrátane prvotnej spätnej väzby k významnému incidentu a na žiadosť subjektu usmernenie alebo operačné pokyny k vykonávaniu možných zmierňujúcich opatrení. Ak jednotka CSIRT nie je prvotným príjemcom oznámenia uvedeného v odseku 1, usmernenie poskytne príslušný orgán v spolupráci s jednotkou CSIRT. Jednotka CSIRT poskytne doplňujúcu technickú podporu, ak o to dotknutý subjekt požiada. Ak existuje podozrenie, že významný incident je trestnoprávnej povahy, jednotka CSIRT alebo príslušný orgán poskytne aj usmernenie, ako významný incident oznámiť orgánom presadzovania práva.

6.   V prípade potreby, a najmä ak sa významný incident týka dvoch alebo viacerých členských štátov, jednotka CSIRT, príslušný orgán alebo jednotné kontaktné miesto bez zbytočného odkladu informuje o významnom incidente ostatné zasiahnuté členské štáty a agentúru ENISA. Takéto informácie obsahujú informácie toho typu, ktoré boli doručené v súlade s odsekom 4. Jednotka CSIRT, príslušný orgán alebo jednotné kontaktné miesto pritom v súlade s právom Únie alebo vnútroštátnymi právom chránia bezpečnosť a obchodné záujmy subjektu, ako aj dôvernosť poskytnutých informácií.

7.   Po porade s dotknutým subjektom môže jednotka CSIRT, prípadne príslušný orgán členského štátu a v náležitých prípadoch jednotky CSIRT alebo príslušné orgány ďalších dotknutých členských štátov informovať o významnom incidente verejnosť alebo požiadať o to daný subjekt, ak je informovanie verejnosti potrebné na zabránenie významnému incidentu alebo riešenie prebiehajúceho incidentu alebo ak je zverejnenie významného incidentu vo verejnom záujme z iného dôvodu.

8.   Na žiadosť jednotky CSIRT alebo príslušného orgánu jednotné kontaktné miesto postúpi doručené oznámenia podľa odseku 1 jednotným kontaktným miestam ostatných zasiahnutých členských štátov.

9.   Jednotné kontaktné miesto predkladá agentúre ENISA každé tri mesiace súhrnnú správu s anonymizovanými a agregovanými údajmi o významných incidentoch, incidentoch, kybernetických hrozbách a udalostiach odvrátených v poslednej chvíli oznámených v súlade s odsekom 1 tohto článku a s článkom 30. S cieľom prispieť k poskytovaniu porovnateľných informácií môže agentúra ENISA prijať technické usmernenia k parametrom informácií, ktoré sa majú uvádzať v súhrnnej správe. Agentúra ENISA každých šesť mesiacov informuje skupinu pre spoluprácu a sieť jednotiek CSIRT o svojich zisteniach týkajúcich sa doručených oznámení.

10.   Jednotky CSIRT alebo v náležitých prípadoch príslušné orgány poskytujú príslušným orgánom podľa smernice (EÚ) 2022/2557 informácie o významných incidentoch, incidentoch, kybernetických hrozbách a udalostiach odvrátených v poslednej chvíli, ktoré v súlade s odsekom 1 tohto článku a s článkom 30 oznámili subjekty označené ako kritické subjekty podľa smernice (EÚ) 2022/2557.

11.   Komisia môže prijať vykonávacie akty, v ktorých bližšie určí druh informácií, formát a postup oznámenia predkladaného podľa odseku 1 tohto článku a článku 30 a komunikácie predkladanej podľa odseku 2 tohto článku.

Komisia do 17. októbra 2024 vo vzťahu k poskytovateľom služieb DNS, správcom názvov TLD, poskytovateľom služieb cloud computingu, poskytovateľom služieb dátového centra, poskytovateľom sietí na sprístupňovanie obsahu, poskytovateľom riadených služieb, poskytovateľom riadených bezpečnostných služieb, ako aj poskytovateľom online trhov, internetových vyhľadávačov a platforiem služieb sociálnych sietí prijme vykonávacie akty, v ktorých bližšie určí prípady, v ktorých sa incident považuje za významný, ako sa uvádza v odseku 3. Komisia môže prijať takéto vykonávacie akty vo vzťahu k iným kľúčovým a dôležitým subjektom.

Komisia sa radí a spolupracuje so skupinou pre spoluprácu v súlade s článkom 14 ods. 4 písm. e), pokiaľ ide o návrhy vykonávacích aktov uvedených v prvom a druhom pododseku tohto odseku.

Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 39 ods. 2.

Článok 24

Používanie európskych systémov certifikácie kybernetickej bezpečnosti

1.   S cieľom preukázať súlad s určitými požiadavkami článku 21 môžu členské štáty vyžadovať, aby kľúčové a dôležité subjekty používali určité produkty IKT, služby IKT a procesy IKT, ktoré vyvinul kľúčový alebo dôležitý subjekt alebo boli obstarané od tretích strán certifikovaných podľa európskych systémov certifikácie kybernetickej bezpečnosti prijatých podľa článku 49 nariadenia (EÚ) 2019/881. Členské štáty navyše podporujú kľúčové a dôležité subjekty v tom, aby využívali kvalifikované dôveryhodné služby.

2.   Komisia je splnomocnená prijímať delegované akty v súlade s článkom 38 s cieľom doplniť túto smernicu a bližšie určiť kategórie kľúčových a dôležitých subjektov, od ktorých sa má vyžadovať používanie určitých certifikovaných produktov IKT, služieb IKT a procesov IKT alebo získanie certifikátu v rámci európskeho systému certifikácie kybernetickej bezpečnosti prijatého podľa článku 49 nariadenia (EÚ) 2019/881. Uvedené delegované akty sa prijmú v prípade, že sa zistí nedostatočná úroveň kybernetickej bezpečnosti, a stanoví sa v nich obdobie vykonávania.

Komisia pred prijatím takýchto delegovaných aktov vykoná posúdenie vplyvov a uskutoční konzultácie v súlade s článkom 56 nariadenia (EÚ) 2019/881.

3.   V prípadoch, keď nie je k dispozícii žiadny európsky systém certifikácie kybernetickej bezpečnosti na účely odseku 2 tohto článku, Komisia po porade so skupinou pre spoluprácu a európskou skupinou pre certifikáciu kybernetickej bezpečnosti môže požiadať agentúru ENISA, aby vypracovala kandidátsky systém podľa článku 48 ods. 2 nariadenia (EÚ) 2019/881.

Článok 25

Normalizácia

1.   Členské štáty v záujme harmonizovaného vykonávania článku 21 ods. 1 a 2 a bez toho, aby ukladali povinnosť využívať určitý typ technológie alebo diskriminovali v prospech takéhoto využívania, podporujú využívanie európskych a medzinárodných noriem a technických špecifikácií, ktoré sú relevantné pre bezpečnosť sietí a informačných systémov.

2.   Agentúra ENISA v spolupráci s členskými štátmi a v prípade potreby po konzultácii s príslušnými zainteresovanými stranami vypracuje odporúčania a usmernenia pre technické oblasti, ktoré sa majú zvážiť v súvislosti s odsekom 1, ako aj odporúčania a usmernenia k už existujúcim normám vrátane vnútroštátnych noriem, ktoré by sa mohli vzťahovať na uvedené oblasti.

KAPITOLA V

PRÁVOMOC A REGISTRÁCIA

Článok 26

Právomoc a teritorialita

1.   Subjekty, ktoré patria do rozsahu pôsobnosti tejto smernice sa považujú za subjekty podliehajúce právomoci členského štátu, v ktorom sú usadené, s výnimkou:

| a) | poskytovateľov verejných elektronických komunikačných sietí alebo poskytovateľov verejne dostupných elektronických komunikačných služieb, ktorí sa považujú za poskytovateľov podliehajúcich právomoci členského štátu, v ktorom poskytujú svoje služby; |
| --- | --- |

a)

poskytovateľov verejných elektronických komunikačných sietí alebo poskytovateľov verejne dostupných elektronických komunikačných služieb, ktorí sa považujú za poskytovateľov podliehajúcich právomoci členského štátu, v ktorom poskytujú svoje služby;

| b) | poskytovateľov služieb DNS, správcov názvov TLD, subjektov poskytujúcich služby registrácie názvov domén, poskytovateľov služieb cloud computingu, poskytovateľov služieb dátového centra, poskytovateľov sietí na sprístupňovanie obsahu, poskytovateľov riadených služieb, poskytovateľov riadených bezpečnostných služieb, ako aj poskytovateľov online trhov, internetových vyhľadávačov a platforiem služieb sociálnej siete, ktorí sa považujú za subjekty podliehajúce právomoci toho členského štátu, v ktorom majú hlavnú prevádzkareň v Únii podľa odseku 2; |
| --- | --- |

b)

poskytovateľov služieb DNS, správcov názvov TLD, subjektov poskytujúcich služby registrácie názvov domén, poskytovateľov služieb cloud computingu, poskytovateľov služieb dátového centra, poskytovateľov sietí na sprístupňovanie obsahu, poskytovateľov riadených služieb, poskytovateľov riadených bezpečnostných služieb, ako aj poskytovateľov online trhov, internetových vyhľadávačov a platforiem služieb sociálnej siete, ktorí sa považujú za subjekty podliehajúce právomoci toho členského štátu, v ktorom majú hlavnú prevádzkareň v Únii podľa odseku 2;

| c) | subjektov verejnej správy, ktoré sa považujú za subjekty podliehajúce právomoci členského štátu, ktorý ich zriadil. |
| --- | --- |

c)

subjektov verejnej správy, ktoré sa považujú za subjekty podliehajúce právomoci členského štátu, ktorý ich zriadil.

2.   Na účely tejto smernice platí, že subjekt uvedený v odseku 1 písm. b) má svoju hlavnú prevádzkareň v Únii v členskom štáte, v ktorom najčastejšie prijíma rozhodnutia týkajúce sa opatrení na riadenie kybernetických rizík. Ak takýto členský štát nemožno určiť alebo ak sa takéto rozhodnutia neprijímajú v Únii, za hlavnú prevádzkareň sa považuje členský štát, v ktorom sa vykonávajú operácie kybernetickej bezpečnosti. Ak takýto členský štát nemožno určiť, za hlavnú prevádzkareň sa považuje členský štát, v ktorom má dotknutý subjekt prevádzkareň s najvyšším počtom zamestnancov v Únii.

3.   Ak subjekt uvedený v odseku 1 písm. b) nie je usadený v Únii, ale ponúka služby v rámci Únie, určí zástupcu v Únii. Zástupca musí byť usadený v jednom z tých členských štátov, v ktorých subjekt ponúka služby. Takýto subjekt sa považuje za subjekt podliehajúci právomoci toho členského štátu, v ktorom je usadený jeho zástupca. Ak v Únii nie je určený zástupca podľa tohto odseku, ktorýkoľvek členský štát, v ktorom subjekt poskytuje služby, môže proti tomuto subjektu podniknúť právne kroky za porušenie tejto smernice.

4.   Tým, že subjekt uvedený v odseku 1 písm. b) určí svojho zástupcu, nie sú dotknuté právne kroky, ktoré by mohli byť podniknuté proti samotnému subjektu.

5.   Členské štáty, ktorým bola doručená žiadosť o vzájomnú pomoc týkajúcu sa subjektu uvedeného v odseku 1 písm. b), môžu v medziach uvedenej žiadosti prijať primerané opatrenia dohľadu a presadzovania práva vo vzťahu k dotknutému subjektu, ktorý poskytuje služby alebo má sieť a informačný systém na ich území.

Článok 27

Register subjektov

1.   Agentúra ENISA zriadi a vedie register poskytovateľov služieb DNS, správcov názvov TLD, subjektov poskytujúcich služby registrácie názvov domén, poskytovateľov služieb cloud computingu, poskytovateľov služieb dátového centra, poskytovateľov sietí na sprístupňovanie obsahu, poskytovateľov riadených služieb, poskytovateľov riadených bezpečnostných služieb, ako aj poskytovateľov online trhov, internetových vyhľadávačov a platforiem služieb sociálnych sietí na základe informácií získaných od jednotných kontaktných miest v súlade s odsekom 4. Agentúra ENISA umožní príslušným orgánom na požiadanie prístup do uvedeného registra, pričom v náležitých prípadoch zabezpečí ochranu dôvernosti informácií.

2.   Členské štáty do 17. januára 2025 požiadajú subjekty uvedené v odseku 1, aby príslušným orgánom predložili tieto informácie:

| a) | názov subjektu; |
| --- | --- |

a)

názov subjektu;

| b) | podľa potreby príslušné odvetvie, pododvetvie a typ subjektu, ako sú uvedené v prílohe I alebo II; |
| --- | --- |

b)

podľa potreby príslušné odvetvie, pododvetvie a typ subjektu, ako sú uvedené v prílohe I alebo II;

| c) | adresu hlavnej prevádzkarne subjektu a jeho iných zákonných prevádzkarní v Únii, alebo ak subjekt nie je usadený v Únii, adresu svojho zástupcu určeného podľa článku 26 ods. 3; |
| --- | --- |

c)

adresu hlavnej prevádzkarne subjektu a jeho iných zákonných prevádzkarní v Únii, alebo ak subjekt nie je usadený v Únii, adresu svojho zástupcu určeného podľa článku 26 ods. 3;

| d) | aktuálne kontaktné údaje vrátane e-mailových adries a telefónnych čísel subjektu a v náležitom prípade jeho zástupcu určeného podľa článku 26 ods. 3; |
| --- | --- |

d)

aktuálne kontaktné údaje vrátane e-mailových adries a telefónnych čísel subjektu a v náležitom prípade jeho zástupcu určeného podľa článku 26 ods. 3;

| e) | členské štáty, v ktorých subjekt poskytuje služby; a |
| --- | --- |

e)

členské štáty, v ktorých subjekt poskytuje služby; a

| f) | rozsahy IP adries subjektu. |
| --- | --- |

f)

rozsahy IP adries subjektu.

3.   Členské štáty zabezpečia, aby subjekty uvedené v odseku 1 oznámili príslušnému orgánu všetky zmeny údajov, ktoré predložili podľa odseku 2, a to bezodkladne a v každom prípade do troch mesiacov odo dňa zmeny.

4.   Po doručení informácií uvedených v odsekoch 2 a 3, s výnimkou informácií uvedených v odseku 2 písm. f), jednotné kontaktné miesto dotknutého členského štátu postúpi tieto informácie bez zbytočného odkladu agentúre ENISA.

5.   Informácie uvedené v odsekoch 2 a 3 tohto článku sa prípadne podávajú prostredníctvom vnútroštátneho mechanizmu uvedeného v článku 3 ods. 4 štvrtom pododseku.

Článok 28

Databáza registračných údajov názvov domén

1.   S cieľom prispieť k bezpečnosti, stabilite a odolnosti DNS členské štáty požadujú, aby správcovia názvov TLD a subjekty poskytujúce služby registrácie názvov domén s náležitou starostlivosťou zhromažďovali a uchovávali presné a úplné registračné údaje názvov domén vo vyhradenej databáze v súlade s právom Únie v oblasti ochrany údajov, pokiaľ ide o údaje, ktoré sú osobnými údajmi.

2.   Na účely odseku 1 členské štáty požadujú, aby databáza registračných údajov názvov domén obsahovala nevyhnutné informácie na identifikáciu a kontaktovanie držiteľov názvov domén a kontaktných miest spravujúcich názvy domén v rámci TLD. Takéto informácie zahŕňajú:

| a) | názov domény; |
| --- | --- |

a)

názov domény;

| b) | dátum registrácie; |
| --- | --- |

b)

dátum registrácie;

| c) | meno/názov žiadateľa o registráciu, kontaktnú e-mailovú adresu a telefónne číslo; |
| --- | --- |

c)

meno/názov žiadateľa o registráciu, kontaktnú e-mailovú adresu a telefónne číslo;

| d) | kontaktnú e-mailovú adresu a telefónne číslo kontaktného miesta spravujúceho názov domény v prípade, že sa líšia od adresy a čísla žiadateľa o registráciu. |
| --- | --- |

d)

kontaktnú e-mailovú adresu a telefónne číslo kontaktného miesta spravujúceho názov domény v prípade, že sa líšia od adresy a čísla žiadateľa o registráciu.

3.   Členské štáty požadujú, aby správcovia názvov TLD a subjekty poskytujúce služby registrácie názvov domén mali zavedené politiky a postupy vrátane postupov overovania s cieľom zabezpečiť, aby databázy uvedené v odseku 1 obsahovali presné a úplné informácie. Členské štáty požadujú, aby takéto politiky a postupy boli verejne dostupné.

4.   Členské štáty požadujú, aby správcovia názvov TLD a subjekty poskytujúce služby registrácie názvov domén bez zbytočného odkladu po registrácii názvu domény zverejnili registračné údaje názvu domény, ktoré nie sú osobnými údajmi.

5.   Členské štáty požadujú, aby správcovia názvov TLD a subjekty poskytujúce služby registrácie názvov domén poskytovali prístup k špecifickým registračným údajom názvov domén na základe zákonných a riadne odôvodnených žiadostí oprávnených záujemcov o prístup v súlade s právom Únie v oblasti ochrany údajov. Členské štáty požadujú, aby správcovia názvov TLD a subjekty poskytujúce služby registrácie názvov domén odpovedali bez zbytočného odkladu a v každom prípade do 72 hodín od doručenia akýchkoľvek žiadostí o prístup. Členské štáty požadujú, aby politiky a postupy zverejňovania takýchto údajov boli verejne dostupné.

6.   Dodržiavanie povinností stanovených v odsekoch 1 až 5 nesmie viesť k duplicitnému zberu registračných údajov názvov domén. Na tento účel členské štáty požadujú, aby správcovia názvov TLD a subjekty poskytujúce služby registrácie názvov domén navzájom spolupracovali.

KAPITOLA VI

VÝMENA INFORMÁCIÍ

Článok 29

Dohody o výmene informácií o kybernetickej bezpečnosti

1.   Členské štáty zabezpečia, aby si subjekty, ktoré patria do rozsahu pôsobnosti tejto smernice, a v náležitých prípadoch ďalšie subjekty, ktoré nepatria do rozsahu pôsobnosti tejto smernice, mohli dobrovoľne medzi sebou vymieňať relevantné informácie o kybernetickej bezpečnosti vrátane informácií o kybernetických hrozbách, udalostiach odvrátených v poslednej chvíli, zraniteľnostiach, technikách a postupoch, indikátoroch kompromitácie, nepriateľských taktikách, informácie špecifické pre jednotlivé hrozby a aktérov, výstrahy a odporúčania týkajúce sa konfigurácie kybernetických bezpečnostných nástrojov na odhaľovanie kybernetických útokov, ak takáto výmena informácií:

| a) | má za cieľ predchádzať incidentom, odhaľovať ich, reagovať na ne alebo zotaviť sa z nich, alebo zmierniť ich vplyv; |
| --- | --- |

a)

má za cieľ predchádzať incidentom, odhaľovať ich, reagovať na ne alebo zotaviť sa z nich, alebo zmierniť ich vplyv;

| b) | zvyšuje úroveň kybernetickej bezpečnosti, najmä zvyšovaním informovanosti o kybernetických hrozbách, obmedzovaním alebo zabraňovaním možnosti šírenia takýchto hrozieb, podporou celej škály obranných spôsobilostí, nápravou zraniteľností a zverejňovaním informácií o nich, odhaľovaním hrozieb, technikami na zamedzenie ich šírenia a na ich predchádzanie, stratégiami zmierňovania alebo fázami reakcie a zotavenia, resp. podporou spoločného výskumu kybernetických hrozieb verejnými a súkromnými subjektmi. |
| --- | --- |

b)

zvyšuje úroveň kybernetickej bezpečnosti, najmä zvyšovaním informovanosti o kybernetických hrozbách, obmedzovaním alebo zabraňovaním možnosti šírenia takýchto hrozieb, podporou celej škály obranných spôsobilostí, nápravou zraniteľností a zverejňovaním informácií o nich, odhaľovaním hrozieb, technikami na zamedzenie ich šírenia a na ich predchádzanie, stratégiami zmierňovania alebo fázami reakcie a zotavenia, resp. podporou spoločného výskumu kybernetických hrozieb verejnými a súkromnými subjektmi.

2.   Členské štáty zabezpečia, aby sa výmena informácií uskutočňovala v rámci komunít kľúčových a dôležitých subjektov, prípadne ich dodávateľov alebo poskytovateľov služieb. Takáto výmena sa uskutočňuje na základe dohôd o výmene informácií o kybernetickej bezpečnosti s ohľadom na potenciálne citlivú povahu vymieňaných informácií.

3.   Uzavretie dohôd o výmene informácií o kybernetickej bezpečnosti uvedených v odseku 2 tohto článku sprostredkujú členské štáty. V takýchto dohodách sa môžu špecifikovať operačné prvky vrátane využívania špecializovaných platforiem IKT a nástrojov automatizácie, ako aj obsah a podmienky dohôd o výmene informácií. Tým, že členské štáty stanovia podrobnosti o zapojení orgánov verejnej moci do takýchto dohôd, môžu uložiť podmienky zverejňovania informácií príslušnými orgánmi alebo jednotkami CSIRT. Členské štáty pomáhajú s uplatňovaním takýchto dohôd v súlade so svojimi politikami uvedenými v článku 7 ods. 2 písm. h).

4.   Členské štáty zabezpečia, aby kľúčové a dôležité subjekty oznamovali príslušným orgánom svoju účasť na dohodách o výmene informácií o kybernetickej bezpečnosti uvedených v odseku 2 hneď, ako takéto dohody uzatvoria, prípadne ich odstúpenie od takýchto dohôd hneď, ako odstúpenie nadobudne účinnosť.

5.   Agentúra ENISA poskytuje pomoc pri uzatváraní dohôd o výmene informácií o kybernetickej bezpečnosti uvedených v odseku 2 tým, že umožňuje výmenu najlepších postupov a poskytuje rady.

Článok 30

Dobrovoľné oznámenie relevantných informácií

1.   Členské štáty zabezpečia, aby okrem oznamovacej povinnosti stanovenej v článku 23 mohli jednotkám CSIRT alebo prípadne príslušným orgánom podávať oznámenia dobrovoľne tieto subjekty:

| a) | kľúčové a dôležité subjekty v súvislosti s incidentmi, kybernetickými hrozbami a udalosťami odvrátenými v poslednej chvíli; |
| --- | --- |

a)

kľúčové a dôležité subjekty v súvislosti s incidentmi, kybernetickými hrozbami a udalosťami odvrátenými v poslednej chvíli;

| b) | iné subjekty, než sú subjekty uvedené v písmene a), bez ohľadu na to, či patria do rozsahu pôsobnosti tejto smernice, v súvislosti s významnými incidentmi, kybernetickými hrozbami a udalosťami odvrátenými v poslednej chvíli. |
| --- | --- |

b)

iné subjekty, než sú subjekty uvedené v písmene a), bez ohľadu na to, či patria do rozsahu pôsobnosti tejto smernice, v súvislosti s významnými incidentmi, kybernetickými hrozbami a udalosťami odvrátenými v poslednej chvíli.

2.   Členské štáty spracujú oznámenie uvedené v odseku 1 tohto článku v súlade s postupom stanoveným v článku 23. Členské štáty môžu spracovanie povinných oznámení uprednostniť pred dobrovoľnými oznámeniami.

V prípade potreby jednotky CSIRT a v náležitom prípade príslušné orgány poskytnú jednotným kontaktným miestam informácie o oznámeniach doručených podľa tohto článku, pričom zabezpečia dôvernosť a primeranú ochranu informácií poskytnutých oznamujúcim subjektom. Bez toho, aby bola dotknutá prevencia, vyšetrovanie, odhaľovanie a stíhanie trestných činov, oznamujúcemu subjektu nevznikajú v dôsledku dobrovoľného oznámenia žiadne ďalšie povinnosti, ktoré by sa naň neboli vzťahovali, ak by oznámenie nepodal.

KAPITOLA VII

DOHĽAD A PRESADZOVANIE PRÁVA

Článok 31

Všeobecné aspekty dohľadu a presadzovania práva

1.   Členské štáty zabezpečia, aby ich príslušné orgány účinne dohliadali a prijímali opatrenia potrebné na zabezpečenie súladu s touto smernicou.

2.   Členské štáty môžu povoliť svojim príslušným orgánom, aby uprednostnili úlohy dohľadu. Takéto uprednostňovanie vychádza z prístupu založeného na rizikách. Príslušné orgány môžu na tento účel pri vykonávaní svojich úloh dohľadu stanovených v článkoch 32 a 33 stanoviť metodiky dohľadu, ktoré umožnia uprednostnenie takýchto úloh podľa prístupu založeného na rizikách.

3.   Príslušné orgány pri riešení incidentov, ktoré majú za následok porušenie ochrany osobných údajov, úzko spolupracujú s orgánmi dohľadu podľa nariadenia (EÚ) 2016/679 bez toho, aby boli dotknuté kompetencie a úlohy orgánov dohľadu podľa uvedeného nariadenia.

4.   Bez toho, aby boli dotknuté vnútroštátne legislatívne a inštitucionálne rámce, členské štáty zabezpečia, aby príslušné orgány mali pri dohľade nad dodržiavaním tejto smernice subjektami verejnej správy a pri ukladaní opatrení presadzovania práva v súvislosti s porušeniami tejto smernice primerané právomoci na plnenie takýchto úloh s operačnou nezávislosťou od dohliadaných subjektov verejnej správy. Členské štáty môžu rozhodnúť o uložení vhodných, primeraných a účinných opatrení v oblasti dohľadu a na presadzovanie práva vo vzťahu k týmto subjektom v súlade s vnútroštátnymi legislatívnymi a inštitucionálnymi rámcami.

Článok 32

Opatrenia dohľadu a presadzovania práva týkajúce sa kľúčových subjektov

1.   Členské štáty zabezpečia, aby opatrenia dohľadu alebo presadzovania práva uložené kľúčovým subjektom v súvislosti s povinnosťami stanovenými v tejto smernici boli účinné, primerané a odrádzajúce a zároveň zohľadňovali okolnosti každého jednotlivého prípadu.

2.   Členské štáty zabezpečia, aby príslušné orgány pri vykonávaní svojich úloh dohľadu nad kľúčovými subjektmi mali právomoc podrobiť tieto subjekty prinajmenšom:

| a) | inšpekciám na mieste a dohľadu na diaľku vrátane náhodných kontrol, ktoré vykonávajú vyškolení odborníci; |
| --- | --- |

a)

inšpekciám na mieste a dohľadu na diaľku vrátane náhodných kontrol, ktoré vykonávajú vyškolení odborníci;

| b) | pravidelným a cieleným bezpečnostným auditom, ktoré vykonáva nezávislý orgán alebo príslušný orgán; |
| --- | --- |

b)

pravidelným a cieleným bezpečnostným auditom, ktoré vykonáva nezávislý orgán alebo príslušný orgán;

| c) | auditom ad hoc, a to v prípadoch odôvodnených významným incidentom alebo porušením tejto smernice kľúčovým subjektom; |
| --- | --- |

c)

auditom ad hoc, a to v prípadoch odôvodnených významným incidentom alebo porušením tejto smernice kľúčovým subjektom;

| d) | bezpečnostným kontrolám podľa objektívnych, nediskriminačných, spravodlivých a transparentných kritérií posudzovania rizík, v prípade potreby v spolupráci s dotknutým subjektom; |
| --- | --- |

d)

bezpečnostným kontrolám podľa objektívnych, nediskriminačných, spravodlivých a transparentných kritérií posudzovania rizík, v prípade potreby v spolupráci s dotknutým subjektom;

| e) | žiadostiam o informácie potrebné na posúdenie opatrení na riadenie kybernetických rizík, ktoré dotknutý subjekt prijal, vrátane zdokumentovaných politík kybernetickej bezpečnosti, ako aj dodržiavania povinnosti predložiť informácie príslušným orgánom podľa článku 27; |
| --- | --- |

e)

žiadostiam o informácie potrebné na posúdenie opatrení na riadenie kybernetických rizík, ktoré dotknutý subjekt prijal, vrátane zdokumentovaných politík kybernetickej bezpečnosti, ako aj dodržiavania povinnosti predložiť informácie príslušným orgánom podľa článku 27;

| f) | žiadostiam o prístup k údajom, dokumentom a informáciám potrebným na plnenie ich úloh dohľadu; |
| --- | --- |

f)

žiadostiam o prístup k údajom, dokumentom a informáciám potrebným na plnenie ich úloh dohľadu;

| g) | žiadostiam o dôkazy vykonávania politík kybernetickej bezpečnosti, ako sú výsledky bezpečnostných auditov uskutočnených kvalifikovaným audítorom a príslušné podkladové dôkazy. |
| --- | --- |

g)

žiadostiam o dôkazy vykonávania politík kybernetickej bezpečnosti, ako sú výsledky bezpečnostných auditov uskutočnených kvalifikovaným audítorom a príslušné podkladové dôkazy.

Cielené bezpečnostné audity uvedené v prvom pododseku písm. b) sú založené na posúdeniach rizík, ktoré vypracoval príslušný orgán alebo auditovaný subjekt, alebo na iných dostupných informáciách týkajúcich sa rizík.

Výsledky každého cieleného bezpečnostného auditu sa sprístupnia príslušnému orgánu. Náklady na takýto cielený bezpečnostný audit, ktorý vykonáva nezávislý orgán, hradí auditovaný subjekt, s výnimkou riadne odôvodnených prípadov, keď príslušný orgán rozhodne inak.

3.   Príslušné orgány pri vykonávaní svojich právomocí podľa odseku 2 písm. e), f) alebo g) uvedú účel žiadosti a konkretizujú požadované informácie.

4.   Členské štáty zabezpečia, aby ich príslušné orgány pri vykonávaní svojich právomocí presadzovania práva v súvislosti s kľúčovými subjektmi mali právomoc prinajmenšom:

| a) | vydávať varovania o porušeniach tejto smernice dotknutými subjektmi; |
| --- | --- |

a)

vydávať varovania o porušeniach tejto smernice dotknutými subjektmi;

| b) | prijímať záväzné pokyny, a to aj v súvislosti s opatreniami potrebnými na prevenciu alebo nápravu incidentu, ako aj lehotami na vykonávanie takýchto opatrení a podávanie správ o ich vykonávaní, alebo príkaz, ktorým sa od dotknutých subjektov vyžaduje napraviť zistené nedostatky alebo porušenia tejto smernice; |
| --- | --- |

b)

prijímať záväzné pokyny, a to aj v súvislosti s opatreniami potrebnými na prevenciu alebo nápravu incidentu, ako aj lehotami na vykonávanie takýchto opatrení a podávanie správ o ich vykonávaní, alebo príkaz, ktorým sa od dotknutých subjektov vyžaduje napraviť zistené nedostatky alebo porušenia tejto smernice;

| c) | nariadiť dotknutým subjektom, aby upustili od konania, ktoré porušuje túto smernicu, a takéto konanie neopakovali; |
| --- | --- |

c)

nariadiť dotknutým subjektom, aby upustili od konania, ktoré porušuje túto smernicu, a takéto konanie neopakovali;

| d) | nariadiť dotknutým subjektom, aby určeným spôsobom a v určenej lehote zosúladili svoje opatrenia na riadenie kybernetických rizík s článkom 21 alebo splnili oznamovacie povinnosti stanovené v článku 23; |
| --- | --- |

d)

nariadiť dotknutým subjektom, aby určeným spôsobom a v určenej lehote zosúladili svoje opatrenia na riadenie kybernetických rizík s článkom 21 alebo splnili oznamovacie povinnosti stanovené v článku 23;

| e) | nariadiť dotknutým subjektom, aby informovali fyzické alebo právnické osoby, v súvislosti s ktorými poskytujú služby alebo vykonávajú činnosti, ktoré sú potenciálne zasiahnuté významnou kybernetickou hrozbou, o povahe hrozby, ako aj o akýchkoľvek možných ochranných alebo nápravných opatreniach, ktoré môžu tieto fyzické alebo právnické osoby prijať v reakcii na danú hrozbu; |
| --- | --- |

e)

nariadiť dotknutým subjektom, aby informovali fyzické alebo právnické osoby, v súvislosti s ktorými poskytujú služby alebo vykonávajú činnosti, ktoré sú potenciálne zasiahnuté významnou kybernetickou hrozbou, o povahe hrozby, ako aj o akýchkoľvek možných ochranných alebo nápravných opatreniach, ktoré môžu tieto fyzické alebo právnické osoby prijať v reakcii na danú hrozbu;

| f) | nariadiť dotknutým subjektom, aby v primeranej lehote vykonali odporúčania poskytnuté na základe bezpečnostného auditu; |
| --- | --- |

f)

nariadiť dotknutým subjektom, aby v primeranej lehote vykonali odporúčania poskytnuté na základe bezpečnostného auditu;

| g) | určiť monitorujúceho úradníka s presne vymedzenými úlohami na určité obdobie, ktorý bude dohliadať na dodržiavanie článkov 21 a 23 dotknutými subjektmi; |
| --- | --- |

g)

určiť monitorujúceho úradníka s presne vymedzenými úlohami na určité obdobie, ktorý bude dohliadať na dodržiavanie článkov 21 a 23 dotknutými subjektmi;

| h) | nariadiť dotknutým subjektom, aby určeným spôsobom zverejnili aspekty porušovania tejto smernice; |
| --- | --- |

h)

nariadiť dotknutým subjektom, aby určeným spôsobom zverejnili aspekty porušovania tejto smernice;

| i) | uložiť správnu pokutu podľa článku 34 alebo požiadať o jej uloženie príslušné orgány, súdy alebo tribunály v súlade s vnútroštátnym právom, a to popri ktoromkoľvek z opatrení uvedených v písmenách a) až h) tohto odseku. |
| --- | --- |

i)

uložiť správnu pokutu podľa článku 34 alebo požiadať o jej uloženie príslušné orgány, súdy alebo tribunály v súlade s vnútroštátnym právom, a to popri ktoromkoľvek z opatrení uvedených v písmenách a) až h) tohto odseku.

5.   Ak sa opatrenia na presadzovanie práva prijaté podľa odseku 4 písm. a) až d) a f) ukážu ako neúčinné, členské štáty zabezpečia, aby ich príslušné orgány mali právomoc stanoviť lehotu, v rámci ktorej je kľúčový subjekt povinný prijať potrebné opatrenia na nápravu nedostatkov alebo splniť požiadavky týchto orgánov. Ak sa požadované opatrenie v stanovenej lehote neprijme, členské štáty zabezpečia, aby ich príslušné orgány mali právomoc:

| a) | dočasne pozastaviť certifikáciu alebo povoľovanie alebo požiadať certifikačný alebo povoľujúci subjekt, súd, alebo tribunál v súlade s vnútroštátnym právom, aby dočasne pozastavil certifikáciu alebo povoľovanie časti alebo všetkých relevantných služieb, ktoré kľúčový subjekt poskytuje, alebo činností, ktoré kľúčový subjekt vykonáva; |
| --- | --- |

a)

dočasne pozastaviť certifikáciu alebo povoľovanie alebo požiadať certifikačný alebo povoľujúci subjekt, súd, alebo tribunál v súlade s vnútroštátnym právom, aby dočasne pozastavil certifikáciu alebo povoľovanie časti alebo všetkých relevantných služieb, ktoré kľúčový subjekt poskytuje, alebo činností, ktoré kľúčový subjekt vykonáva;

| b) | od príslušných orgánov, súdov alebo tribunálov v súlade s vnútroštátnym právom požadovať uloženie dočasného zákazu vykonávať riadiace funkcie v tomto kľúčovom subjekte, a to akejkoľvek fyzickej osobe zodpovednej za vykonávanie riadiacich úloh na úrovni výkonného riaditeľa alebo právneho zástupcu v tomto kľúčovom subjekte. |
| --- | --- |

b)

od príslušných orgánov, súdov alebo tribunálov v súlade s vnútroštátnym právom požadovať uloženie dočasného zákazu vykonávať riadiace funkcie v tomto kľúčovom subjekte, a to akejkoľvek fyzickej osobe zodpovednej za vykonávanie riadiacich úloh na úrovni výkonného riaditeľa alebo právneho zástupcu v tomto kľúčovom subjekte.

Dočasné pozastavenia alebo zákazy podľa tohto odseku sa uplatňujú len dovtedy, kým dotknutý subjekt neprijme potrebné opatrenia na nápravu nedostatkov alebo nesplní požiadavky príslušného orgánu, ktorý takéto opatrenia presadzovania práva uložil. Ukladanie takýchto dočasných pozastavení alebo zákazov musí podliehať primeraným procesným zárukám podľa všeobecných zásad práva Únie a charty vrátane práva na účinný prostriedok nápravy a na spravodlivý proces, prezumpciu neviny a práva na obhajobu.

Opatrenia presadzovania práva stanovené v tomto odseku sa neuplatňujú na subjekty verejnej správy, na ktoré sa vzťahuje táto smernica.

6.   Členské štáty zabezpečia, aby každá fyzická osoba zodpovedná za kľúčový subjekt alebo konajúca ako jeho právny zástupca na základe právomoci zastupovať ho, prijímať rozhodnutia v jeho mene alebo vykonávať kontrolu nad ním mala právomoc zabezpečiť dodržiavanie tejto smernice. Členské štáty zabezpečia, aby bolo možné brať takéto fyzické osoby na zodpovednosť za porušenie ich úloh zabezpečovať dodržiavanie tejto smernice.

Pokiaľ ide o subjekty verejnej správy, týmto odsekom nie je dotknuté vnútroštátne právo, pokiaľ ide o zodpovednosť štátnych zamestnancov a volených alebo menovaných činiteľov.

7.   Príslušné orgány pri prijímaní ktoréhokoľvek z opatrení na presadzovanie práva uvedených v odseku 4 alebo 5 dodržiavajú právo na obhajobu a zohľadňujú okolnosti každého jednotlivého prípadu a prinajmenšom náležite zohľadňujú:

| a) | závažnosť porušenia a dôležitosť porušených ustanovení, pričom za závažné porušenie sa okrem iného považujú v každom prípade tieto porušenia:






  i) | opakované porušenia; |
| --- | --- | --- |

a)

závažnosť porušenia a dôležitosť porušených ustanovení, pričom za závažné porušenie sa okrem iného považujú v každom prípade tieto porušenia:

i)

opakované porušenia;

| ii) | neoznámenie významných incidentov alebo nevykonanie ich nápravy; |
| --- | --- |

ii)

neoznámenie významných incidentov alebo nevykonanie ich nápravy;

| iii) | nevykonanie nápravy nedostatkov po prijatí záväzných pokynov príslušných orgánov; |
| --- | --- |

iii)

nevykonanie nápravy nedostatkov po prijatí záväzných pokynov príslušných orgánov;

| iv) | marenie auditov alebo monitorovacích činností nariadených príslušným orgánom na základe zistenia porušenia; |
| --- | --- |

iv)

marenie auditov alebo monitorovacích činností nariadených príslušným orgánom na základe zistenia porušenia;

| v) | poskytovanie nepravdivých alebo hrubo nepresných informácií týkajúcich sa opatrení na riadenie kybernetických rizík alebo oznamovacích povinností stanovených v článkoch 21 a 23; |
| --- | --- |

v)

poskytovanie nepravdivých alebo hrubo nepresných informácií týkajúcich sa opatrení na riadenie kybernetických rizík alebo oznamovacích povinností stanovených v článkoch 21 a 23;

| b) | dĺžku trvania porušenia; |
| --- | --- |

b)

dĺžku trvania porušenia;

| c) | akékoľvek relevantné predchádzajúce prípady porušenia dotknutého subjektu; |
| --- | --- |

c)

akékoľvek relevantné predchádzajúce prípady porušenia dotknutého subjektu;

| d) | akúkoľvek spôsobenú majetkovú alebo nemajetkovú ujmu vrátane finančných alebo hospodárskych strát, účinkov na iné služby a počtu dotknutých používateľov; |
| --- | --- |

d)

akúkoľvek spôsobenú majetkovú alebo nemajetkovú ujmu vrátane finančných alebo hospodárskych strát, účinkov na iné služby a počtu dotknutých používateľov;

| e) | akýkoľvek úmysel alebo nedbanlivosť páchateľa porušenia; |
| --- | --- |

e)

akýkoľvek úmysel alebo nedbanlivosť páchateľa porušenia;

| f) | akékoľvek opatrenia, ktoré subjekt prijal na zabránenie alebo zmiernenie majetkovej alebo nemajetkovej ujmy; |
| --- | --- |

f)

akékoľvek opatrenia, ktoré subjekt prijal na zabránenie alebo zmiernenie majetkovej alebo nemajetkovej ujmy;

| g) | akékoľvek dodržiavanie schválených kódexov správania alebo schválených mechanizmov certifikácie; |
| --- | --- |

g)

akékoľvek dodržiavanie schválených kódexov správania alebo schválených mechanizmov certifikácie;

| h) | úrovne spolupráce zodpovednej fyzickej alebo právnickej osoby s príslušným orgánom. |
| --- | --- |

h)

úrovne spolupráce zodpovednej fyzickej alebo právnickej osoby s príslušným orgánom.

8.   Príslušné orgány uvedú podrobné odôvodnenie svojich opatrení na presadzovanie práva. Príslušné orgány pred prijatím takýchto opatrení oznámia dotknutým subjektom svoje predbežné zistenia. Takisto poskytnú týmto subjektom primeraný čas na predloženie pripomienok, s výnimkou riadne odôvodnených prípadov, ak by to bránilo prijatiu okamžitých opatrení na predchádzanie incidentom alebo reakciu na ne.

9.   Členské štáty zabezpečia, aby ich príslušné orgány podľa tejto smernice informovali relevantné príslušné orgány v tom istom členskom štáte podľa smernice (EÚ) 2022/2557 vtedy, keď vykonávajú svoje právomoci v oblasti dohľadu a presadzovania práva, ktorých cieľom je zabezpečiť, aby subjekt identifikovaný ako kritický subjekt podľa smernice (EÚ) 2022/2557 dodržiaval túto smernicu. Príslušné orgány podľa smernice (EÚ) 2022/2557 môžu v náležitých prípadoch požiadať príslušné orgány podľa tejto smernice o vykonanie ich právomocí dohľadu a presadzovania práva vo vzťahu k subjektu, ktorý je identifikovaný ako kritický subjekt podľa smernice (EÚ) 2022/2557.

10.   Členské štáty zabezpečia, aby ich príslušné orgány podľa tejto smernice spolupracovali s relevantnými príslušnými orgánmi dotknutého členského štátu podľa nariadenia (EÚ) 2022/2554. Členské štáty najmä zabezpečia, aby ich príslušné orgány podľa tejto smernice informovali fórum pre dozor zriadený podľa článku 32 ods. 1 nariadenia (EÚ) 2022/2554 pri vykonávaní svojich právomocí dohľadu a presadzovania práva, ktorých cieľom je zabezpečiť, aby kľúčový subjekt, ktorý je identifikovaný ako externý poskytovateľ kritických IKT služieb podľa článku 31 nariadenia (EÚ) 2022/2554, dodržiaval túto smernicu.

Článok 33

Opatrenia dohľadu a presadzovania práva týkajúce sa dôležitých subjektov

1.   Ak členské štáty získajú dôkaz, indíciu alebo informáciu, že dôležitý subjekt údajne nedodržiava túto smernicu, a najmä jej články 21 a 23, zabezpečia, aby príslušné orgány konali v prípade potreby prostredníctvom ex post opatrení v oblasti dohľadu. Členské štáty zabezpečia, aby tieto opatrenia boli účinné, primerané a odrádzajúce, pričom zohľadnia okolnosti každého jednotlivého prípadu.

2.   Členské štáty zabezpečia, aby príslušné orgány pri vykonávaní svojich úloh dohľadu nad dôležitými subjektmi mali právomoc podrobiť tieto subjekty prinajmenšom:

| a) | inšpekciám na mieste a ex post dohľadu na diaľku, ktoré vykonávajú vyškolení odborníci; |
| --- | --- |

a)

inšpekciám na mieste a ex post dohľadu na diaľku, ktoré vykonávajú vyškolení odborníci;

| b) | cieleným bezpečnostným auditom, ktoré vykonáva nezávislý orgán alebo príslušný orgán; |
| --- | --- |

b)

cieleným bezpečnostným auditom, ktoré vykonáva nezávislý orgán alebo príslušný orgán;

| c) | bezpečnostným kontrolám založeným na objektívnych, nediskriminačných, spravodlivých a transparentných kritériách posudzovania rizík, v prípade potreby v spolupráci s dotknutým subjektom; |
| --- | --- |

c)

bezpečnostným kontrolám založeným na objektívnych, nediskriminačných, spravodlivých a transparentných kritériách posudzovania rizík, v prípade potreby v spolupráci s dotknutým subjektom;

| d) | žiadostiam o informácie potrebné na ex post posúdenie opatrení na riadenie kybernetických rizík, ktoré dotknutý subjekt prijal, vrátane zdokumentovaných politík kybernetickej bezpečnosti, ako aj dodržiavania povinnosti predkladať informácie príslušným orgánom podľa článku 27; |
| --- | --- |

d)

žiadostiam o informácie potrebné na ex post posúdenie opatrení na riadenie kybernetických rizík, ktoré dotknutý subjekt prijal, vrátane zdokumentovaných politík kybernetickej bezpečnosti, ako aj dodržiavania povinnosti predkladať informácie príslušným orgánom podľa článku 27;

| e) | žiadostiam o prístup k údajom, dokumentom a informáciám potrebným na plnenie ich úloh dohľadu; |
| --- | --- |

e)

žiadostiam o prístup k údajom, dokumentom a informáciám potrebným na plnenie ich úloh dohľadu;

| f) | žiadostiam o dôkazy vykonávania politík kybernetickej bezpečnosti, ako sú výsledky bezpečnostných auditov uskutočnených kvalifikovaným audítorom a príslušné podkladové dôkazy. |
| --- | --- |

f)

žiadostiam o dôkazy vykonávania politík kybernetickej bezpečnosti, ako sú výsledky bezpečnostných auditov uskutočnených kvalifikovaným audítorom a príslušné podkladové dôkazy.

Cielené bezpečnostné audity uvedené v prvom pododseku písm. b) sú založené na posúdení rizík, ktoré vykonal príslušný orgán alebo auditovaný subjekt, alebo na iných dostupných informáciách týkajúcich sa rizík.

Výsledky každého cieleného bezpečnostného auditu sa sprístupnia príslušnému orgánu. Náklady na takýto cielený bezpečnostný audit, ktorý vykonáva nezávislý orgán, hradí auditovaný subjekt, s výnimkou riadne odôvodnených prípadov, keď príslušný orgán rozhodne inak.

3.   Príslušné orgány pri vykonávaní svojich právomocí podľa odseku 2 písm. d), e) alebo f) uvedú účel žiadosti a konkretizujú požadované informácie.

4.   Členské štáty zabezpečia, aby príslušné orgány pri vykonávaní svojich právomocí presadzovania práva v súvislosti s dôležitými subjektmi mali právomoc prinajmenšom:

| a) | vydávať varovania o porušeniach tejto smernice dotknutými subjektmi; |
| --- | --- |

a)

vydávať varovania o porušeniach tejto smernice dotknutými subjektmi;

| b) | prijímať záväzné pokyny alebo príkaz, ktorým sa od dotknutých subjektov vyžaduje napraviť zistené nedostatky alebo porušenie tejto smernice; |
| --- | --- |

b)

prijímať záväzné pokyny alebo príkaz, ktorým sa od dotknutých subjektov vyžaduje napraviť zistené nedostatky alebo porušenie tejto smernice;

| c) | nariadiť dotknutým subjektom, aby upustili od konania, ktoré porušuje túto smernicu, a neopakovali takéto konanie; |
| --- | --- |

c)

nariadiť dotknutým subjektom, aby upustili od konania, ktoré porušuje túto smernicu, a neopakovali takéto konanie;

| d) | nariadiť dotknutým subjektom, aby určeným spôsobom a v určenej lehote zabezpečili zosúladenie svojich opatrení na riadenie kybernetických rizík s článkom 21 alebo splnili oznamovacie povinnosti stanovené v článku 23; |
| --- | --- |

d)

nariadiť dotknutým subjektom, aby určeným spôsobom a v určenej lehote zabezpečili zosúladenie svojich opatrení na riadenie kybernetických rizík s článkom 21 alebo splnili oznamovacie povinnosti stanovené v článku 23;

| e) | nariadiť dotknutým subjektom, aby informovali fyzické alebo právnické osoby, v súvislosti s ktorými poskytujú služby alebo vykonávajú činnosti, ktoré sú potenciálne zasiahnuté významnou kybernetickou hrozbou, o povahe hrozby, ako aj o akýchkoľvek možných ochranných alebo nápravných opatreniach, ktoré môžu tieto fyzické alebo právnické osoby prijať v reakcii na túto hrozbu; |
| --- | --- |

e)

nariadiť dotknutým subjektom, aby informovali fyzické alebo právnické osoby, v súvislosti s ktorými poskytujú služby alebo vykonávajú činnosti, ktoré sú potenciálne zasiahnuté významnou kybernetickou hrozbou, o povahe hrozby, ako aj o akýchkoľvek možných ochranných alebo nápravných opatreniach, ktoré môžu tieto fyzické alebo právnické osoby prijať v reakcii na túto hrozbu;

| f) | nariadiť dotknutým subjektom, aby v primeranej lehote vykonali odporúčania vydané na základe bezpečnostného auditu; |
| --- | --- |

f)

nariadiť dotknutým subjektom, aby v primeranej lehote vykonali odporúčania vydané na základe bezpečnostného auditu;

| g) | nariadiť dotknutým subjektom, aby určeným spôsobom zverejnili aspekty porušovania tejto smernice; |
| --- | --- |

g)

nariadiť dotknutým subjektom, aby určeným spôsobom zverejnili aspekty porušovania tejto smernice;

| h) | uložiť správnu pokutu podľa článku 34 alebo požiadať o jej uloženie príslušné orgány, súdy alebo tribunály v súlade s vnútroštátnym právom, a to popri ktoromkoľvek z opatrení uvedených v písmenách a) až g) tohto odseku. |
| --- | --- |

h)

uložiť správnu pokutu podľa článku 34 alebo požiadať o jej uloženie príslušné orgány, súdy alebo tribunály v súlade s vnútroštátnym právom, a to popri ktoromkoľvek z opatrení uvedených v písmenách a) až g) tohto odseku.

5.   Článok 32 ods. 6, 7 a 8 sa uplatňuje mutatis mutandis na opatrenia dohľadu a presadzovania práva stanovené v tomto článku v súvislosti s dôležitými subjektmi.

6.   Členské štáty zabezpečia, aby ich príslušné orgány podľa tejto smernice spolupracovali s relevantnými príslušnými orgánmi dotknutého členského štátu podľa nariadenia (EÚ) 2022/2554. Členské štáty najmä zabezpečia, aby ich príslušné orgány podľa tejto smernice informovali fórum pre dozor zriadený podľa článku 32 ods. 1 nariadenia (EÚ) 2022/2554 pri vykonávaní svojich právomocí dohľadu a presadzovania práva, ktorých cieľom je zabezpečiť, aby dôležitý subjekt, ktorý je identifikovaný ako externý poskytovateľ kritických IKT služieb podľa článku 31 nariadenia (EÚ) 2022/2554, dodržiaval túto smernicu.

Článok 34

Všeobecné podmienky ukladania správnych pokút kľúčovým a dôležitým subjektom

1.   Členské štáty zabezpečia, aby správne pokuty uložené kľúčovým a dôležitým subjektom podľa tohto článku v súvislosti s porušeniami tejto smernice boli účinné, primerané a odrádzajúce a zároveň zohľadňovali okolnosti každého jednotlivého prípadu.

2.   Správne pokuty sa ukladajú navyše ku ktorémukoľvek z opatrení uvedených v článku 32 ods. 4 písm. a) až h), článku 32 ods. 5 a článku 33 ods. 4 písm. a) až g).

3.   Pri rozhodovaní o uložení správnej pokuty, ako aj pri rozhodovaní o jej výške v každom jednotlivom prípade sa náležite zohľadnia aspoň prvky stanovené v článku 32 ods. 7.

4.   Členské štáty zabezpečia, aby kľúčovým subjektom v prípade porušenia článku 21 alebo 23 boli v súlade s odsekmi 2 a 3 tohto článku uložené správne pokuty v maximálnej výške aspoň 10 000 000 EUR alebo v maximálnej výške aspoň 2 % celkového celosvetového ročného obratu v predchádzajúcom finančnom roku podniku, ku ktorému kľúčový subjekt patrí, podľa toho, ktorá suma je vyššia.

5.   Členské štáty zabezpečia, aby dôležitým subjektom v prípade porušenia článku 21 alebo 23 boli v súlade s odsekmi 2 a 3 tohto článku uložené správne pokuty v maximálnej výške aspoň 7 000 000 EUR alebo v maximálnej výške aspoň 1,4 % celkového celosvetového ročného obratu v predchádzajúcom finančnom roku podniku, ku ktorému dôležitý subjekt patrí, podľa toho, ktorá suma je vyššia.

6.   Členské štáty môžu stanoviť právomoc ukladať pravidelné penále s cieľom prinútiť kľúčový alebo dôležitý subjekt, aby prestal porušovať túto smernicu v súlade s predchádzajúcim rozhodnutím príslušného orgánu.

7.   Bez toho, aby boli dotknuté právomoci príslušných orgánov podľa článkov 32 a 33, každý členský štát môže stanoviť pravidlá, či a v akom rozsahu sa správne pokuty môžu uložiť subjektom verejnej správy.

8.   Ak sa v právnom systéme členského štátu nestanovujú správne pokuty, uvedený členský štát zabezpečí, aby sa tento článok uplatňoval tak, že uloženie pokuty iniciuje príslušný orgán a uložia ju príslušné vnútroštátne súdy alebo tribunály, pričom sa zabezpečí, aby tieto právne prostriedky nápravy boli účinné a mali rovnocenný účinok ako správne pokuty ukladané príslušnými orgánmi. Ukladané pokuty musia byť v každom prípade účinné, primerané a odrádzajúce. Členský štát oznámi Komisii ustanovenia právnych predpisov, ktoré prijíma podľa tohto odseku, do 17. októbra 2024 a bezodkladne všetky následné pozmeňujúce právne predpisy či zmeny, ktoré sa ich týkajú.

Článok 35

Porušenia povinností, pri ktorých došlo k porušeniu ochrany osobných údajov

1.   Ak príslušné orgány počas výkonu dohľadu alebo presadzovania práva zistia, že porušenie povinností stanovených v článkoch 21 a 23 tejto smernice kľúčovým alebo dôležitým subjektom môže mať za následok porušenie ochrany osobných údajov, ako je vymedzené v článku 4 bode 12 nariadenia (EÚ) 2016/679, pričom takéto porušenie sa oznamuje podľa článku 33 uvedeného nariadenia, bez zbytočného odkladu o tom informujú orgány dohľadu podľa článku 55 alebo 56 uvedeného nariadenia.

2.   Ak orgány dohľadu uvedené v článku 55 alebo 56 nariadenia (EÚ) 2016/679 uložia správnu pokutu podľa článku 58 ods. 2 písm. i) uvedeného nariadenia, príslušné orgány neuložia správnu pokutu podľa článku 34 tejto smernice za porušenie uvedené v odseku 1 tohto článku spôsobené rovnakým konaním, ktoré bolo dôvodom správnej pokuty podľa článku 58 ods. 2 písm. i) nariadenia (EÚ) 2016/679. Príslušné orgány však môžu uložiť opatrenia na presadzovanie práva stanovené v článku 32 ods. 4 písm. a) až h), v článku 32 ods. 5 a v článku 33 ods. 4 písm. a) až g) tejto smernice.

3.   Ak je orgán dohľadu, príslušný podľa nariadenia (EÚ) 2016/679, usadený v inom členskom štáte než príslušný orgán, príslušný orgán informuje orgán dohľadu so sídlom v jeho vlastnom členskom štáte o možnom porušení ochrany údajov podľa odseku 1.

Článok 36

Sankcie

Členské štáty stanovia pravidlá, pokiaľ ide o sankcie uplatniteľné pri porušení vnútroštátnych opatrení prijatých podľa tejto smernice, a prijmú všetky opatrenia potrebné na zabezpečenie ich uplatňovania. Stanovené sankcie musia byť účinné, primerané a odrádzajúce. Členské štáty o týchto pravidlách a opatreniach do 17. januára 2025 informujú Komisiu a bezodkladne jej oznámia každú nasledujúcu zmenu, ktorá ich ovplyvní.

Článok 37

Vzájomná pomoc

1.   Ak subjekt poskytuje služby vo viac ako jednom členskom štáte alebo poskytuje služby v jednom alebo viacerých členských štátoch a jeho siete a informačné systémy sú umiestnené v niektorom inom alebo vo viacerých iných členských štátoch, príslušné orgány dotknutých členských štátov spolupracujú a v prípade potreby si navzájom pomáhajú. Táto spolupráca zahŕňa aspoň tieto prvky:

| a) | príslušné orgány, ktoré uplatňujú opatrenia dohľadu alebo presadzovania práva v členskom štáte, informujú prostredníctvom jednotného kontaktného miesta príslušné orgány v ostatných dotknutých členských štátoch a konzultujú s nimi prijaté opatrenia dohľadu a presadzovania práva; |
| --- | --- |

a)

príslušné orgány, ktoré uplatňujú opatrenia dohľadu alebo presadzovania práva v členskom štáte, informujú prostredníctvom jednotného kontaktného miesta príslušné orgány v ostatných dotknutých členských štátoch a konzultujú s nimi prijaté opatrenia dohľadu a presadzovania práva;

| b) | príslušný orgán môže požiadať iný príslušný orgán, aby prijal opatrenia dohľadu alebo presadzovania práva; |
| --- | --- |

b)

príslušný orgán môže požiadať iný príslušný orgán, aby prijal opatrenia dohľadu alebo presadzovania práva;

| c) | príslušný orgán po prijatí odôvodnenej žiadosti od iného príslušného orgánu poskytne tomuto inému príslušnému orgánu vzájomnú pomoc primeranú jeho vlastným zdrojom, aby sa opatrenia dohľadu alebo presadzovania práva mohli vykonávať účinne, efektívne a konzistentne. |
| --- | --- |

c)

príslušný orgán po prijatí odôvodnenej žiadosti od iného príslušného orgánu poskytne tomuto inému príslušnému orgánu vzájomnú pomoc primeranú jeho vlastným zdrojom, aby sa opatrenia dohľadu alebo presadzovania práva mohli vykonávať účinne, efektívne a konzistentne.

Vzájomná pomoc uvedená v prvom pododseku písm. c) sa môže vzťahovať na žiadosti o informácie a na opatrenia v oblasti dohľadu vrátane žiadostí o vykonanie inšpekcií na mieste alebo dohľadu na diaľku, alebo cielených bezpečnostných auditov. Príslušný orgán, ktorému je adresovaná žiadosť o pomoc, túto žiadosť neodmietne, pokiaľ sa nepreukáže, že nemá právomoc poskytnúť požadovanú pomoc, že požadovaná pomoc nie je primeraná úlohám príslušného orgánu v oblasti dohľadu, alebo že sa žiadosť týka informácií alebo zahŕňa činnosti, ktoré by v prípade zverejnenia alebo vykonania boli v rozpore so základnými záujmami členských štátov v oblasti národnej bezpečnosti, verejnej bezpečnosti alebo obrany. Príslušný orgán pred zamietnutím takejto žiadosti konzultuje s ostatnými dotknutými príslušnými orgánmi a v prípade, že o to jeden z dotknutých členských štátov požiada, aj s Komisiou a agentúrou ENISA.

2.   V prípade potreby a po vzájomnej dohode môžu príslušné orgány z rôznych členských štátov vykonávať spoločné opatrenia v oblasti dohľadu.

KAPITOLA VIII

DELEGOVANÉ A VYKONÁVACIE AKTY

Článok 38

Vykonávanie delegovania právomoci

1.   Komisii sa udeľuje právomoc prijímať delegované akty za podmienok stanovených v tomto článku.

2.   Právomoc prijímať delegované akty uvedené v článku 24 ods. 2 sa Komisii udeľuje na obdobie piatich rokov od 16. januára 2023.

3.   Delegovanie právomoci uvedené v článku 24 ods. 2 môže Európsky parlament alebo Rada kedykoľvek odvolať. Rozhodnutím o odvolaní sa ukončuje delegovanie právomoci, ktoré sa v ňom uvádza. Rozhodnutie nadobúda účinnosť dňom nasledujúcim po jeho uverejnení v Úradnom vestníku Európskej únie alebo k neskoršiemu dátumu, ktorý je v ňom určený. Nie je ním dotknutá platnosť delegovaných aktov, ktoré už nadobudli účinnosť.

4.   Komisia pred prijatím delegovaného aktu konzultuje s expertami určenými jednotlivými členskými štátmi v súlade so zásadami stanovenými v Medziinštitucionálnej dohode z 13. apríla 2016 o lepšej tvorbe práva.

5.   Komisia oznamuje delegovaný akt hneď po jeho prijatí súčasne Európskemu parlamentu a Rade.

6.   Delegovaný akt prijatý podľa článku 24 ods. 2 nadobudne účinnosť, len ak Európsky parlament alebo Rada voči nemu nevzniesli námietku v lehote dvoch mesiacov odo dňa oznámenia uvedeného aktu Európskemu parlamentu a Rade alebo ak pred uplynutím uvedenej lehoty Európsky parlament a Rada informovali Komisiu o svojom rozhodnutí nevzniesť námietku. Na podnet Európskeho parlamentu alebo Rady sa táto lehota predĺži o dva mesiace.

Článok 39

Postup výboru

1.   Komisii pomáha výbor. Uvedený výbor je výborom v zmysle nariadenia (EÚ) č. 182/2011.

2.   Ak sa odkazuje na tento odsek, uplatňuje sa článok 5 nariadenia (EÚ) č. 182/2011.

3.   Ak sa má stanovisko výboru získať písomným postupom, uvedený postup sa ukončí bez výsledku, ak tak v rámci lehoty na vydanie stanoviska rozhodne predseda výboru alebo ak o to požiada člen výboru.

KAPITOLA IX

ZÁVEREČNÉ USTANOVENIA

Článok 40

Preskúmanie

Komisia do 17. októbra 2027 a následne každých 36 mesiacov preskúma fungovanie tejto smernice a podá o tom správu Európskemu parlamentu a Rade. V správe sa posúdi najmä relevantnosť veľkosti dotknutých subjektov a odvetví, pododvetví a typov subjektu uvedených v prílohách I a II pre fungovanie hospodárstva a spoločnosti v súvislosti s kybernetickou bezpečnosťou. Na tento účel a s cieľom ďalej napredovať v strategickej a operačnej spolupráci Komisia zohľadní správy skupiny pre spoluprácu a siete jednotiek CSIRT o skúsenostiach získaných na strategickej a operačnej úrovni. K správe sa podľa potreby pripojí legislatívny návrh.

Článok 41

Transpozícia

1.   Členské štáty prijmú a uverejnia do 17. októbra 2024 opatrenia potrebné na dosiahnutie súladu s touto smernicou. Bezodkladne o tom informujú Komisiu.

Tieto opatrenia sa uplatňujú od 18. októbra 2024.

2.   Členské štáty uvedú priamo v prijatých opatreniach uvedených v odseku 1 alebo pri ich úradnom uverejnení odkaz na túto smernicu. Podrobnosti o odkaze upravia členské štáty.

Článok 42

Zmena nariadenia (EÚ) č. 910/2014

V nariadení (EÚ) č. 910/2014 sa vypúšťa článok 19 s účinnosťou od 18. októbra 2024.

Článok 43

Zmena smernice (EÚ) 2018/1972

V smernici (EÚ) 2018/1972 sa vypúšťajú články 40 a 41 s účinnosťou od 18. októbra 2024.

Článok 44

Zrušenie

Smernica (EÚ) 2016/1148 sa zrušuje s účinnosťou od 18. októbra 2024.

Odkazy na zrušenú smernicu sa považujú za odkazy na túto smernicu a znejú v súlade s tabuľkou zhody uvedenou v prílohe III.

Článok 45

Nadobudnutie účinnosti

Táto smernica nadobúda účinnosť dvadsiatym dňom nasledujúcim po jej uverejnení v Úradnom vestníku Európskej únie.

Úradnom vestníku Európskej únie

Článok 46

Adresáti

Táto smernica je určená členským štátom.

V Štrasburgu 14. decembra 2022

Za Európsky parlament

predsedníčka

R. METSOLA

Za Radu

predseda

M. BEK

---

(1)  
  Ú. v. EÚ C 233, 16.6.2022, s. 22.

1

(2)  
  Ú. v. EÚ C 286, 16.7.2021, s. 170.

2

(3)  Pozícia Európskeho parlamentu z 10. novembra 2022 (zatiaľ neuverejnená v úradnom vestníku) a rozhodnutie Rady z 28. novembra 2022.

3

(4)  Smernica Európskeho parlamentu a Rady (EÚ) 2016/1148 zo 6. júla 2016 o opatreniach na zabezpečenie vysokej spoločnej úrovne bezpečnosti sietí a informačných systémov v Únii (Ú. v. EÚ L 194, 19.7.2016, s. 1).

4

(5)  Odporúčanie Komisie 2003/361/ES zo 6. mája 2003 o vymedzení pojmov mikropodnik, malý a stredný podnik (Ú. v. EÚ L 124, 20.5.2003, s. 36).

5

(6)  Nariadenie Európskeho parlamentu a Rady (EÚ) č. 910/2014 z 23. júla 2014 o elektronickej identifikácii a dôveryhodných službách pre elektronické transakcie na vnútornom trhu a o zrušení smernice 1999/93/ES (Ú. v. EÚ L 257, 28.8.2014, s. 73).

6

(7)  Smernica Európskeho parlamentu a Rady 97/67/ES z 15. decembra 1997 o spoločných pravidlách rozvoja vnútorného trhu poštových služieb Spoločenstva a zlepšovaní kvality služieb (Ú. v. ES L 15, 21.1.1998, s. 14).

7

(8)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 4.5.2016, s. 1).

8

(9)  Smernica Európskeho parlamentu a Rady 2002/58/ES z 12. júla 2002, týkajúca sa spracovávania osobných údajov a ochrany súkromia v sektore elektronických komunikácií (smernica o súkromí a elektronických komunikáciách) (Ú. v. ES L 201, 31.7.2002, s. 37).

9

(10)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554 zo 14. decembra 2022 o digitálnej prevádzkovej odolnosti finančného sektora a o zmene nariadení (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014, (EÚ) č. 909/2014 a (EÚ) 2016/1011 (pozri stranu 1 tohto úradného vestníka).

10

(11)  Nariadenie Európskeho parlamentu a Rady (ES) č. 300/2008 z 11. marca 2008 o spoločných pravidlách v oblasti bezpečnostnej ochrany civilného letectva a o zrušení nariadenia (ES) č. 2320/2002 (Ú. v. EÚ L 97, 9.4.2008, s. 72).

11

(12)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2018/1139 zo 4. júla 2018 o spoločných pravidlách v oblasti civilného letectva, ktorým sa zriaďuje Agentúra Európskej únie pre bezpečnosť letectva a ktorým sa menia nariadenia Európskeho parlamentu a Rady (ES) č. 2111/2005, (ES) č. 1008/2008, (EÚ) č. 996/2010, (EÚ) č. 376/2014 a smernice Európskeho parlamentu a Rady 2014/30/EÚ a 2014/53/EÚ a zrušujú nariadenia Európskeho parlamentu a Rady (ES) č. 552/2004 a (ES) č. 216/2008 a nariadenie Rady (EHS) č. 3922/91 (Ú. v. EÚ L 212, 22.8.2018, s. 1).

12

(13)  Smernica Európskeho parlamentu a Rady (EÚ) 2022/2557 zo 14. decembra 2022 o odolnosti kritických subjektov a o zrušení smernice Rady 2008/114/ES (pozri stranu 164 tohto úradného vestníka).

13

(14)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2021/696 z 28. apríla 2021, ktorým sa zriaďuje Vesmírny program Únie a Agentúra Európskej únie pre vesmírny program a ktorým sa zrušujú nariadenia (EÚ) č. 912/2010, (EÚ) č. 1285/2013 a (EÚ) č. 377/2014 a rozhodnutie č. 541/2014/EÚ (Ú. v. EÚ L 170, 12.5.2021, s. 69).

14

(15)  Odporúčanie Komisie (EÚ) 2017/1584 z 13. septembra 2017 o koordinovanej reakcii na kybernetické incidenty a krízy veľkého rozsahu (Ú. v. EÚ L 239, 19.9.2017, s. 36).

15

(16)  Vykonávacie rozhodnutie Rady (EÚ) 2018/1993 z 11. decembra 2018 o dojednaniach EÚ o integrovanej politickej reakcii na krízu (Ú. v. EÚ L 320, 17.12.2018, s. 28).

16

(17)  Rozhodnutie Európskeho parlamentu a Rady č. 1313/2013/EÚ zo 17. decembra 2013 o mechanizme Únie v oblasti civilnej ochrany (Ú. v. EÚ L 347, 20.12.2013, s. 924).

17

(18)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2019/881 zo 17. apríla 2019 o agentúre ENISA (Agentúra Európskej únie pre kybernetickú bezpečnosť) a o certifikácii kybernetickej bezpečnosti informačných a komunikačných technológií a o zrušení nariadenia (EÚ) č. 526/2013 (akt o kybernetickej bezpečnosti) (Ú. v. EÚ L 151, 7.6.2019, s. 15).

18

(19)  Odporúčanie Komisie (EÚ) 2019/534 z 26. marca 2019 Kybernetická bezpečnosť sietí 5G (Ú. v. EÚ L 88, 29.3.2019, s. 42).

19

(20)  Smernica Európskeho parlamentu a Rady (EÚ) 2018/1972 z 11. decembra 2018, ktorou sa stanovuje európsky kódex elektronických komunikácií (Ú. v. EÚ L 321, 17.12.2018, s. 36).

20

(21)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2021/694 z 29. apríla 2021, ktorým sa zriaďuje program Digitálna Európa a zrušuje rozhodnutie (EÚ) 2015/2240 (Ú. v. EÚ L 166, 11.5.2021, s. 1).

21

(22)  
  Ú. v. EÚ L 123, 12.5.2016, s. 1.

22

(23)  Nariadenie Európskeho parlamentu a Rady (EÚ) č. 182/2011 zo 16. februára 2011, ktorým sa ustanovujú pravidlá a všeobecné zásady mechanizmu, na základe ktorého členské štáty kontrolujú vykonávanie vykonávacích právomocí Komisie (Ú. v. EÚ L 55, 28.2.2011, s. 13).

23

(24)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2065 z 19. októbra 2022 o jednotnom trhu s digitálnymi službami a o zmene smernice 2000/31/ES (akt o digitálnych službách) (Ú. v. EÚ L 277, 27.10.2022, s. 1).

24

(25)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2018/1725 z 23. októbra 2018 o ochrane fyzických osôb pri spracúvaní osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie a o voľnom pohybe takýchto údajov, ktorým sa zrušuje nariadenie (ES) č. 45/2001 a rozhodnutie č. 1247/2002/ES (Ú. v. EÚ L 295, 21.11.2018, s. 39).

25

(26)  
  Ú. v. EÚ C 183, 11.5.2021, s. 3.

26

(27)  Smernica Európskeho parlamentu a Rady 2011/93/EÚ z 13. decembra 2011 o boji proti sexuálnemu zneužívaniu a sexuálnemu vykorisťovaniu detí a proti detskej pornografii, ktorou sa nahrádza rámcové rozhodnutie Rady 2004/68/SVV (Ú. v. EÚ L 335, 17.12.2011, s. 1).

27

(28)  Smernica Európskeho parlamentu a Rady 2013/40/EÚ z 12. augusta 2013 o útokoch na informačné systémy, ktorou sa nahrádza rámcové rozhodnutie Rady 2005/222/SVV (Ú. v. EÚ L 218, 14.8.2013, s. 8).

28

(29)  Nariadenie Európskeho parlamentu a Rady (EÚ) č. 1025/2012 z 25. októbra 2012 o európskej normalizácii, ktorým sa menia a dopĺňajú smernice Rady 89/686/EHS a 93/15/EHS a smernice Európskeho parlamentu a Rady 94/9/ES, 94/25/ES, 95/16/ES, 97/23/ES, 98/34/ES, 2004/22/ES, 2007/23/ES, 2009/23/ES a 2009/105/ES a ktorým sa zrušuje rozhodnutie Rady 87/95/EHS a rozhodnutie Európskeho parlamentu a Rady č. 1673/2006/ES (Ú. v. EÚ L 316, 14.11.2012, s. 12).

29

(30)  Smernica Európskeho parlamentu a Rady (EÚ) 2015/1535 z 9. septembra 2015, ktorou sa stanovuje postup pri poskytovaní informácií v oblasti technických predpisov a pravidiel vzťahujúcich sa na služby informačnej spoločnosti (Ú. v. EÚ L 241, 17.9.2015, s. 1).

30

(31)  Smernica Európskeho parlamentu a Rady 2005/29/ES z 11. mája 2005 o nekalých obchodných praktikách podnikateľov voči spotrebiteľom na vnútornom trhu, a ktorou sa mení a dopĺňa smernica Rady 84/450/EHS, smernice Európskeho parlamentu a Rady 97/7/ES, 98/27/ES a 2002/65/ES a nariadenie Európskeho parlamentu a Rady (ES) č. 2006/2004 („smernica o nekalých obchodných praktikách“) (Ú. v. EÚ L 149, 11.6.2005, s. 22).

31

(32)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2019/1150 z 20. júna 2019 o podpore spravodlivosti a transparentnosti pre komerčných používateľov online sprostredkovateľských služieb (Ú. v. EÚ L 186, 11.7.2019, s. 57).

32

---

PRÍLOHA I

ODVETVIA S VYSOKOU ÚROVŇOU KRITICKOSTI

| Odvetvie | Pododvetvie | Typ subjektu |
| --- | --- | --- |
| 1. | Energetika |

Odvetvie

Pododvetvie

Typ subjektu

1.

Energetika

| a) | elektrická energia |
| --- | --- |

a)

elektrická energia

| — | elektroenergetické podniky, ako sú vymedzené v článku 2 bode 57 smernice Európskeho parlamentu a Rady (EÚ) 2019/944 (1), ktoré vykonávajú funkciu „dodávky“, ako je vymedzená v článku 2 bode 12 uvedenej smernice |
| --- | --- |

—

elektroenergetické podniky, ako sú vymedzené v článku 2 bode 57 smernice Európskeho parlamentu a Rady (EÚ) 2019/944 (1), ktoré vykonávajú funkciu „dodávky“, ako je vymedzená v článku 2 bode 12 uvedenej smernice

| — | prevádzkovatelia distribučnej sústavy, ako sú vymedzení v článku 2 bode 29 smernice (EÚ) 2019/944 |
| --- | --- |

—

prevádzkovatelia distribučnej sústavy, ako sú vymedzení v článku 2 bode 29 smernice (EÚ) 2019/944

| — | prevádzkovatelia prenosovej sústavy, ako sú vymedzení v článku 2 bode 35 smernice (EÚ) 2019/944 |
| --- | --- |

—

prevádzkovatelia prenosovej sústavy, ako sú vymedzení v článku 2 bode 35 smernice (EÚ) 2019/944

| — | výrobcovia, ako sú vymedzení v článku 2 bode 38 smernice (EÚ) 2019/944 |
| --- | --- |

—

výrobcovia, ako sú vymedzení v článku 2 bode 38 smernice (EÚ) 2019/944

| — | nominovaní organizátori trhu s elektrinou, ako sú vymedzení v článku 2 bode 8 nariadenia Európskeho parlamentu a Rady (EÚ) 2019/943 (2) |
| --- | --- |

—

nominovaní organizátori trhu s elektrinou, ako sú vymedzení v článku 2 bode 8 nariadenia Európskeho parlamentu a Rady (EÚ) 2019/943 (2)

| — | účastníci trhu, ako sú vymedzení v článku 2 bode 25 nariadenia (EÚ) 2019/943, ktorí poskytujú služby agregácie, riadenia odberu alebo uskladňovania energie, ako sú vymedzené v článku 2 bodoch 18, 20 a 59 smernice (EÚ) 2019/944 |
| --- | --- |

—

účastníci trhu, ako sú vymedzení v článku 2 bode 25 nariadenia (EÚ) 2019/943, ktorí poskytujú služby agregácie, riadenia odberu alebo uskladňovania energie, ako sú vymedzené v článku 2 bodoch 18, 20 a 59 smernice (EÚ) 2019/944

| — | prevádzkovatelia nabíjacieho bodu, ktorí sú zodpovední za správu a prevádzku nabíjacieho bodu, ktorý koncovým používateľom poskytuje nabíjaciu službu, a to aj v mene a na účet poskytovateľa služieb mobility |
| --- | --- |

—

prevádzkovatelia nabíjacieho bodu, ktorí sú zodpovední za správu a prevádzku nabíjacieho bodu, ktorý koncovým používateľom poskytuje nabíjaciu službu, a to aj v mene a na účet poskytovateľa služieb mobility

| b) | diaľkové vykurovanie a chladenie |
| --- | --- |

b)

diaľkové vykurovanie a chladenie

| — | prevádzkovatelia diaľkového vykurovania alebo diaľkového chladenia, ako sú vymedzení v článku 2 bode 19 smernice Európskeho parlamentu a Rady (EÚ) 2018/2001 (3) |
| --- | --- |

—

prevádzkovatelia diaľkového vykurovania alebo diaľkového chladenia, ako sú vymedzení v článku 2 bode 19 smernice Európskeho parlamentu a Rady (EÚ) 2018/2001 (3)

| c) | ropa |
| --- | --- |

c)

ropa

| — | prevádzkovatelia ropovodov |
| --- | --- |

—

prevádzkovatelia ropovodov

| — | prevádzkovatelia zariadení na ťažbu, rafinovanie a spracovanie ropy, jej skladovanie a prepravu |
| --- | --- |

—

prevádzkovatelia zariadení na ťažbu, rafinovanie a spracovanie ropy, jej skladovanie a prepravu

| — | ústredné subjekty správy zásob, ako sú vymedzené v článku 2 písm. f) smernice Rady 2009/119/ES (4) |
| --- | --- |

—

ústredné subjekty správy zásob, ako sú vymedzené v článku 2 písm. f) smernice Rady 2009/119/ES (4)

| d) | plyn |
| --- | --- |

d)

plyn

| — | dodávateľské podniky, ako sú vymedzené v článku 2 bode 8 smernice Európskeho parlamentu a Rady 2009/73/ES (5) |
| --- | --- |

—

dodávateľské podniky, ako sú vymedzené v článku 2 bode 8 smernice Európskeho parlamentu a Rady 2009/73/ES (5)

| — | prevádzkovatelia distribučnej siete, ako sú vymedzení v článku 2 bode 6 smernice 2009/73/ES |
| --- | --- |

—

prevádzkovatelia distribučnej siete, ako sú vymedzení v článku 2 bode 6 smernice 2009/73/ES

| — | prevádzkovatelia prepravnej siete, ako sú vymedzení v článku 2 bode 4 smernice 2009/73/ES |
| --- | --- |

—

prevádzkovatelia prepravnej siete, ako sú vymedzení v článku 2 bode 4 smernice 2009/73/ES

| — | prevádzkovatelia zásobníkov, ako sú vymedzení v článku 2 bode 10 smernice 2009/73/ES |
| --- | --- |

—

prevádzkovatelia zásobníkov, ako sú vymedzení v článku 2 bode 10 smernice 2009/73/ES

| — | prevádzkovatelia zariadení LNG, ako sú vymedzení v článku 2 bode 12 smernice 2009/73/ES |
| --- | --- |

—

prevádzkovatelia zariadení LNG, ako sú vymedzení v článku 2 bode 12 smernice 2009/73/ES

| — | plynárenské podniky, ako sú vymedzené v článku 2 bode 1 smernice 2009/73/ES |
| --- | --- |

—

plynárenské podniky, ako sú vymedzené v článku 2 bode 1 smernice 2009/73/ES

| — | prevádzkovatelia zariadení na rafinovanie a spracovanie zemného plynu |
| --- | --- |

—

prevádzkovatelia zariadení na rafinovanie a spracovanie zemného plynu

| e) | vodík |
| --- | --- |

e)

vodík

| — | prevádzkovatelia zariadení na výrobu, skladovanie a prepravu vodíka |
| --- | --- |

—

prevádzkovatelia zariadení na výrobu, skladovanie a prepravu vodíka

| 2. | Doprava |
| --- | --- |

2.

Doprava

| a) | letecká doprava |
| --- | --- |

a)

letecká doprava

| — | leteckí dopravcovia, ako sú vymedzení v článku 3 bode 4 nariadenia (ES) č. 300/2008, využívaní na komerčné účely |
| --- | --- |

—

leteckí dopravcovia, ako sú vymedzení v článku 3 bode 4 nariadenia (ES) č. 300/2008, využívaní na komerčné účely

| — | riadiace orgány letiska, ako sú vymedzené v článku 2 bode 2 smernice Európskeho parlamentu a Rady 2009/12/ES (6), letiská, ako sú vymedzené v článku 2 bode 1 uvedenej smernice, vrátane hlavných letísk uvedených v oddiele 2 prílohy II k nariadeniu Európskeho parlamentu a Rady (EÚ) č. 1315/2013 (7), a subjekty prevádzkujúce pomocné zariadenia nachádzajúce sa na letiskách |
| --- | --- |

—

riadiace orgány letiska, ako sú vymedzené v článku 2 bode 2 smernice Európskeho parlamentu a Rady 2009/12/ES (6), letiská, ako sú vymedzené v článku 2 bode 1 uvedenej smernice, vrátane hlavných letísk uvedených v oddiele 2 prílohy II k nariadeniu Európskeho parlamentu a Rady (EÚ) č. 1315/2013 (7), a subjekty prevádzkujúce pomocné zariadenia nachádzajúce sa na letiskách

| — | prevádzkovatelia kontroly riadenia dopravy poskytujúci služby riadenia letovej prevádzky (ATC), ako sú vymedzení v článku 2 bode 1 nariadenia Európskeho parlamentu a Rady (ES) č. 549/2004 (8) |
| --- | --- |

—

prevádzkovatelia kontroly riadenia dopravy poskytujúci služby riadenia letovej prevádzky (ATC), ako sú vymedzení v článku 2 bode 1 nariadenia Európskeho parlamentu a Rady (ES) č. 549/2004 (8)

| b) | železničná doprava |
| --- | --- |

b)

železničná doprava

| — | manažéri infraštruktúry, ako sú vymedzení v článku 3 bode 2 smernice Európskeho parlamentu a Rady 2012/34/EÚ (9) |
| --- | --- |

—

manažéri infraštruktúry, ako sú vymedzení v článku 3 bode 2 smernice Európskeho parlamentu a Rady 2012/34/EÚ (9)

| — | železničné podniky, ako sú vymedzené v článku 3 bode 1 smernice 2012/34/EÚ, vrátane prevádzkovateľov servisných zariadení, ako sú vymedzené v článku 3 bode 12 uvedenej smernice |
| --- | --- |

—

železničné podniky, ako sú vymedzené v článku 3 bode 1 smernice 2012/34/EÚ, vrátane prevádzkovateľov servisných zariadení, ako sú vymedzené v článku 3 bode 12 uvedenej smernice

| c) | vodná doprava |
| --- | --- |

c)

vodná doprava

| — | spoločnosti prevádzkujúce vnútrozemskú, námornú a pobrežnú osobnú a nákladnú vodnú dopravu, ako sú vymedzené pre námornú dopravu v prílohe I k nariadeniu Európskeho parlamentu a Rady (ES) č. 725/2004 (10), bez jednotlivých plavidiel, ktoré tieto spoločnosti prevádzkujú |
| --- | --- |

—

spoločnosti prevádzkujúce vnútrozemskú, námornú a pobrežnú osobnú a nákladnú vodnú dopravu, ako sú vymedzené pre námornú dopravu v prílohe I k nariadeniu Európskeho parlamentu a Rady (ES) č. 725/2004 (10), bez jednotlivých plavidiel, ktoré tieto spoločnosti prevádzkujú

| — | riadiace orgány prístavov, ako sú vymedzené v článku 3 bode 1 smernice Európskeho parlamentu a Rady 2005/65/ES (11), vrátane ich prístavných zariadení, ako sú vymedzené v článku 2 bode 11 nariadenia (ES) č. 725/2004, a subjekty prevádzkujúce činnosti a zariadenia v rámci prístavu |
| --- | --- |

—

riadiace orgány prístavov, ako sú vymedzené v článku 3 bode 1 smernice Európskeho parlamentu a Rady 2005/65/ES (11), vrátane ich prístavných zariadení, ako sú vymedzené v článku 2 bode 11 nariadenia (ES) č. 725/2004, a subjekty prevádzkujúce činnosti a zariadenia v rámci prístavu

| — | prevádzkovatelia plavebno-prevádzkových služieb (VTS), ako sú vymedzené v článku 3 písm. o) smernice Európskeho parlamentu a Rady 2002/59/ES (12) |
| --- | --- |

—

prevádzkovatelia plavebno-prevádzkových služieb (VTS), ako sú vymedzené v článku 3 písm. o) smernice Európskeho parlamentu a Rady 2002/59/ES (12)

| d) | cestná doprava |
| --- | --- |

d)

cestná doprava

| — | cestné orgány, ako sú vymedzené v článku 2 bode 12 delegovaného nariadenia Komisie (EÚ) 2015/962 (13), zodpovedné za kontrolu riadenia dopravy, s výnimkou verejných subjektov, v prípade ktorých je riadenie dopravy alebo prevádzkovanie inteligentných dopravných systémov nepodstatnou súčasťou ich celkovej činnosti |
| --- | --- |

—

cestné orgány, ako sú vymedzené v článku 2 bode 12 delegovaného nariadenia Komisie (EÚ) 2015/962 (13), zodpovedné za kontrolu riadenia dopravy, s výnimkou verejných subjektov, v prípade ktorých je riadenie dopravy alebo prevádzkovanie inteligentných dopravných systémov nepodstatnou súčasťou ich celkovej činnosti

| — | prevádzkovatelia inteligentných dopravných systémov, ako sú vymedzené v článku 4 bode 1 smernice Európskeho parlamentu a Rady 2010/40/EÚ (14) |
| --- | --- |

—

prevádzkovatelia inteligentných dopravných systémov, ako sú vymedzené v článku 4 bode 1 smernice Európskeho parlamentu a Rady 2010/40/EÚ (14)

| 3. | Bankovníctvo |
| --- | --- |

3.

Bankovníctvo

úverové inštitúcie, ako sú vymedzené v článku 4 bode 1 nariadenia Európskeho parlamentu a Rady (EÚ) č. 575/2013 (15)

| 4. | Infraštruktúra finančných trhov |
| --- | --- |

4.

Infraštruktúra finančných trhov

| — | prevádzkovatelia obchodných miest, ako sú vymedzení v článku 4 bode 24 smernice Európskeho parlamentu a Rady 2014/65/EÚ (16) |
| --- | --- |

—

prevádzkovatelia obchodných miest, ako sú vymedzení v článku 4 bode 24 smernice Európskeho parlamentu a Rady 2014/65/EÚ (16)

| — | centrálne protistrany (CCP), ako sú vymedzené v článku 2 bode 1 nariadenia Európskeho parlamentu a Rady (EÚ) č. 648/2012 (17) |
| --- | --- |

—

centrálne protistrany (CCP), ako sú vymedzené v článku 2 bode 1 nariadenia Európskeho parlamentu a Rady (EÚ) č. 648/2012 (17)

| 5. | Zdravotníctvo |
| --- | --- |

5.

Zdravotníctvo

| — | poskytovatelia zdravotnej starostlivosti, ako sú vymedzení v článku 3 písm. g) smernice Európskeho parlamentu a Rady 2011/24/EÚ (18) |
| --- | --- |

—

poskytovatelia zdravotnej starostlivosti, ako sú vymedzení v článku 3 písm. g) smernice Európskeho parlamentu a Rady 2011/24/EÚ (18)

| — | referenčné laboratóriá EÚ uvedené v článku 15 nariadenia Európskeho parlamentu a Rady (EÚ) .../... (19) |
| --- | --- |

—

referenčné laboratóriá EÚ uvedené v článku 15 nariadenia Európskeho parlamentu a Rady (EÚ) .../... (19)

| — | subjekty vykonávajúce činnosti vo výskume a vývoji liekov, ako sú vymedzené v článku 1 bode 2 smernice Európskeho parlamentu a Rady 2001/83/ES (20) |
| --- | --- |

—

subjekty vykonávajúce činnosti vo výskume a vývoji liekov, ako sú vymedzené v článku 1 bode 2 smernice Európskeho parlamentu a Rady 2001/83/ES (20)

| — | subjekty vyrábajúce základné farmaceutické výrobky a farmaceutické prípravky uvedené v sekcii C divízii 21 NACE Rev. 2 |
| --- | --- |

—

subjekty vyrábajúce základné farmaceutické výrobky a farmaceutické prípravky uvedené v sekcii C divízii 21 NACE Rev. 2

| — | subjekty vyrábajúce zdravotnícke pomôcky považované za kritické v núdzovej situácii v oblasti verejného zdravia (ďalej len „zoznam kritických pomôcok v núdzovej situácii v oblasti verejného zdravia“) v zmysle článku 22 nariadenia Európskeho parlamentu a Rady (EÚ) 2022/123 (21) |
| --- | --- |

—

subjekty vyrábajúce zdravotnícke pomôcky považované za kritické v núdzovej situácii v oblasti verejného zdravia (ďalej len „zoznam kritických pomôcok v núdzovej situácii v oblasti verejného zdravia“) v zmysle článku 22 nariadenia Európskeho parlamentu a Rady (EÚ) 2022/123 (21)

| 6. | Pitná voda |
| --- | --- |

6.

Pitná voda

dodávatelia a distribútori vody určenej na ľudskú spotrebu, ako je vymedzená v článku 2 bode 1 písm. a) smernice Európskeho parlamentu a Rady (EÚ) 2020/2184 (22), s výnimkou distribútorov, pre ktorých je distribúcia vody určenej na ľudskú spotrebu nepodstatnou súčasťou ich celkovej činnosti v oblasti distribúcie iných komodít a tovaru

| 7. | Odpadová voda |
| --- | --- |

7.

Odpadová voda

podniky zaoberajúce sa zberom, likvidáciou alebo úpravou komunálnych odpadových vôd, odpadových vôd z domácností alebo priemyselných odpadových vôd, ako sú vymedzené v článku 2 bodoch 1, 2 a 3 smernice Rady 91/271/EHS (23), s výnimkou podnikov, pre ktoré je zber, likvidácia alebo úprava komunálnych odpadových vôd, odpadových vôd z domácností alebo priemyselných odpadových vôd nepodstatnou súčasťou ich celkovej činnosti

| 8. | Digitálna infraštruktúra |
| --- | --- |

8.

Digitálna infraštruktúra

| — | poskytovatelia internetových prepojovacích uzlov |
| --- | --- |

—

poskytovatelia internetových prepojovacích uzlov

| — | poskytovatelia služieb DNS, s výnimkou prevádzkovateľov koreňových názvových serverov |
| --- | --- |

—

poskytovatelia služieb DNS, s výnimkou prevádzkovateľov koreňových názvových serverov

| — | správcovia názvov TLD |
| --- | --- |

—

správcovia názvov TLD

| — | poskytovatelia služieb cloud computingu |
| --- | --- |

—

poskytovatelia služieb cloud computingu

| — | poskytovatelia služieb dátového centra |
| --- | --- |

—

poskytovatelia služieb dátového centra

| — | poskytovatelia sietí na sprístupňovanie obsahu |
| --- | --- |

—

poskytovatelia sietí na sprístupňovanie obsahu

| — | poskytovatelia dôveryhodných služieb |
| --- | --- |

—

poskytovatelia dôveryhodných služieb

| — | poskytovatelia verejných elektronických komunikačných sietí |
| --- | --- |

—

poskytovatelia verejných elektronických komunikačných sietí

| — | poskytovatelia verejne dostupných elektronických komunikačných služieb |
| --- | --- |

—

poskytovatelia verejne dostupných elektronických komunikačných služieb

| 9. | Riadenie služieb IKT (medzi podnikmi) |
| --- | --- |

9.

Riadenie služieb IKT (medzi podnikmi)

| — | poskytovatelia riadených služieb |
| --- | --- |

—

poskytovatelia riadených služieb

| — | poskytovatelia riadených bezpečnostných služieb |
| --- | --- |

—

poskytovatelia riadených bezpečnostných služieb

| 10. | Verejná správa |
| --- | --- |

10.

Verejná správa

| — | subjekty verejnej správy na úrovni ústrednej štátnej správy, ako ich vymedzuje členský štát v súlade s vnútroštátnym právom |
| --- | --- |

—

subjekty verejnej správy na úrovni ústrednej štátnej správy, ako ich vymedzuje členský štát v súlade s vnútroštátnym právom

| — | subjekty verejnej správy na regionálnej úrovni, ako ich vymedzuje členský štát v súlade s vnútroštátnym právom |
| --- | --- |

—

subjekty verejnej správy na regionálnej úrovni, ako ich vymedzuje členský štát v súlade s vnútroštátnym právom

| 11. | Vesmír |
| --- | --- |

11.

Vesmír

prevádzkovatelia pozemnej infraštruktúry, ktorú vlastnia, riadia a prevádzkujú členské štáty alebo súkromné subjekty, ktorí prispievajú k poskytovaniu vesmírnych služieb, s výnimkou poskytovateľov verejných elektronických komunikačných sietí

---

(1)  Smernica Európskeho parlamentu a Rady (EÚ) 2019/944 z 5. júna 2019 o spoločných pravidlách pre vnútorný trh s elektrinou a o zmene smernice 2012/27/EÚ (Ú. v. EÚ L 158, 14.6.2019, s. 125).

(2)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2019/943 z 5. júna 2019 o vnútornom trhu s elektrinou (Ú. v. EÚ L 158, 14.6.2019, s. 54).

(3)  Smernica Európskeho parlamentu a Rady (EÚ) 2018/2001 z 11. decembra 2018 o podpore využívania energie z obnoviteľných zdrojov (Ú. v. EÚ L 328, 21.12.2018, s. 82).

(4)  Smernica Rady 2009/119/ES zo 14. septembra 2009, ktorou sa členským štátom ukladá povinnosť udržiavať minimálne zásoby ropy a/alebo ropných výrobkov (Ú. v. EÚ L 265, 9.10.2009, s. 9).

(5)  Smernica Európskeho parlamentu a Rady 2009/73/ES z 13. júla 2009 o spoločných pravidlách pre vnútorný trh so zemným plynom, ktorou sa zrušuje smernica 2003/55/ES (Ú. v. EÚ L 211, 14.8.2009, s. 94).

(6)  Smernica Európskeho parlamentu a Rady 2009/12/ES z 11. marca 2009 o letiskových poplatkoch (Ú. v. EÚ L 70, 14.3.2009, s. 11).

(7)  Nariadenie Európskeho parlamentu a Rady (EÚ) č. 1315/2013 z 11. decembra 2013 o usmerneniach Únie pre rozvoj transeurópskej dopravnej siete a o zrušení rozhodnutia č. 661/2010/EÚ (Ú. v. EÚ L 348, 20.12.2013, s. 1).

(8)  Nariadenie Európskeho parlamentu a Rady (ES) č. 549/2004 z 10. marca 2004, ktorým sa stanovuje rámec na vytvorenie jednotného európskeho neba (rámcové nariadenie) (Ú. v. EÚ L 96, 31.3.2004, s. 1).

(9)  Smernica Európskeho parlamentu a Rady 2012/34/EÚ z 21. novembra 2012, ktorou sa zriaďuje jednotný európsky železničný priestor (Ú. v. EÚ L 343, 14.12.2012, s. 32).

(10)  Nariadenie Európskeho parlamentu a Rady (ES) č. 725/2004 z 31. marca 2004 o zvýšení bezpečnosti lodí a prístavných zariadení (Ú. v. EÚ L 129, 29.4.2004, s. 6).

(11)  Smernica Európskeho parlamentu a Rady 2005/65/ES z 26. októbra 2005 o zvýšení bezpečnosti prístavov (Ú. v. EÚ L 310, 25.11.2005, s. 28).

(12)  Smernica Európskeho parlamentu a Rady 2002/59/ES z 27. júna 2002, ktorou sa zriaďuje monitorovací a informačný systém spoločenstva pre lodnú dopravu a ktorou sa zrušuje smernica Rady 93/75/EHS (Ú. v. ES L 208, 5.8.2002, s. 10).

(13)  Delegované nariadenie Komisie (EÚ) 2015/962 z 18. decembra 2014, ktorým sa dopĺňa smernica Európskeho parlamentu a Rady 2010/40/EÚ, pokiaľ ide o poskytovanie informačných služieb o doprave v reálnom čase v celej EÚ (Ú. v. EÚ L 157, 23.6.2015, s. 21).

(14)  Smernica Európskeho parlamentu a Rady 2010/40/EÚ zo 7. júla 2010 o rámci na zavedenie inteligentných dopravných systémov v oblasti cestnej dopravy a na rozhrania s inými druhmi dopravy (Ú. v. EÚ L 207, 6.8.2010, s. 1).

(15)  Nariadenie Európskeho parlamentu a Rady (EÚ) č. 575/2013 z 26. júna 2013 o prudenciálnych požiadavkách na úverové inštitúcie a o zmene nariadenia (EÚ) č. 648/2012 (Ú. v. EÚ L 176, 27.6.2013, s. 1).

(16)  Smernica Európskeho parlamentu a Rady 2014/65/EÚ z 15. mája 2014 o trhoch s finančnými nástrojmi, ktorou sa mení smernica 2002/92/ES a smernica 2011/61/EÚ (Ú. v. EÚ L 173, 12.6.2014, s. 349).

(17)  Nariadenie Európskeho parlamentu a Rady (EÚ) č. 648/2012 zo 4. júla 2012 o mimoburzových derivátoch, centrálnych protistranách a archívoch obchodných údajov (Ú. v. EÚ L 201, 27.7.2012, s. 1).

(18)  Smernica Európskeho parlamentu a Rady 2011/24/EÚ z 9. marca 2011 o uplatňovaní práv pacientov pri cezhraničnej zdravotnej starostlivosti (Ú. v. EÚ L 88, 4.4.2011, s. 45).

(19)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2371 z 23. novembra 2022 o závažných cezhraničných ohrozeniach zdravia, ktorým sa zrušuje rozhodnutie č. 1082/2013/EÚ (Ú. v. EÚ L 314, 6.12.2022, s. 26).

(20)  Smernica Európskeho parlamentu a Rady 2001/83/ES zo 6. novembra 2001, ktorou sa ustanovuje zákonník spoločenstva o humánnych liekoch (Ú. v. ES L 311, 28.11.2001, s. 67).

(21)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2022/123 z 25. januára 2022 o posilnenej úlohe Európskej agentúry pre lieky z hľadiska pripravenosti na krízy a krízového riadenia v oblasti liekov a zdravotníckych pomôcok (Ú. v. EÚ L 20, 31.1.2022, s. 1).

(22)  Smernica Európskeho parlamentu a Rady (EÚ) 2020/2184 zo 16. decembra 2020 o kvalite vody určenej na ľudskú spotrebu (Ú. v. EÚ L 435, 23.12.2020, s. 1).

(23)  Smernica Rady 91/271/EHS z 21. mája 1991 o čistení komunálnych odpadových vôd (Ú. v. ES L 135, 30.5.1991, s. 40).

---

PRÍLOHA II

INÉ KRITICKÉ ODVETVIA

| Odvetvie | Pododvetvie | Typ subjektu |
| --- | --- | --- |
| 1. | Poštové a kuriérske služby |

Odvetvie

Pododvetvie

Typ subjektu

1.

Poštové a kuriérske služby

poskytovatelia poštových služieb, ako sú vymedzení v článku 2 bode 1a smernice 97/67/ES, vrátane poskytovateľov kuriérskych služieb

| 2. | Odpadové hospodárstvo |
| --- | --- |

2.

Odpadové hospodárstvo

podniky vykonávajúce činnosti nakladania s odpadom, ako je vymedzené v článku 3 bodu 9 smernice Európskeho parlamentu a Rady 2008/98/ES (1), s výnimkou podnikov, pre ktoré nakladanie s odpadom nepredstavuje hlavnú hospodársku činnosť

| 3. | Výroba a distribúcia chemických látok |
| --- | --- |

3.

Výroba a distribúcia chemických látok

podniky vyrábajúce látky a distribuujúce látky alebo zmesi, ako je uvedené v článku 3 bodoch 9 a 14 nariadenia Európskeho parlamentu a Rady (ES) č. 1907/2006 (2), a podniky vyrábajúce výrobky, ako sú vymedzené v článku 3 bode 3 uvedeného nariadenia, z látok a zmesí

| 4. | Výroba, spracovanie a distribúcia potravín |
| --- | --- |

4.

Výroba, spracovanie a distribúcia potravín

potravinárske podniky, ako sú vymedzené v článku 3 bode 2 nariadenia Európskeho parlamentu a Rady (ES) č. 178/2002 (3), ktoré sa zaoberajú veľkoobchodnou distribúciou a priemyselnou výrobou a spracovaním

| 5. | Výroba |
| --- | --- |

5.

Výroba

| a) | výroba zdravotníckych pomôcok a diagnostických zdravotníckych pomôcok in vitro |
| --- | --- |

a)

výroba zdravotníckych pomôcok a diagnostických zdravotníckych pomôcok in vitro

subjekty vyrábajúce zdravotnícke pomôcky, ako sú vymedzené v článku 2 bode 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2017/745 (4), a subjekty vyrábajúce diagnostické zdravotnícke pomôcky in vitro, ako sú vymedzené v článku 2 bode 2 nariadenia Európskeho parlamentu a Rady (EÚ) 2017/746 (5), s výnimkou subjektov vyrábajúcich zdravotnícke pomôcky uvedených v piatej zarážke bodu 5 prílohy I tejto smernice

| b) | výroba počítačových, elektronických a optických výrobkov |
| --- | --- |

b)

výroba počítačových, elektronických a optických výrobkov

subjekty vykonávajúce akúkoľvek hospodársku činnosť uvedenú v sekcii C divízii 26 NACE Rev. 2

| c) | výroba elektrických zariadení |
| --- | --- |

c)

výroba elektrických zariadení

subjekty vykonávajúce akúkoľvek hospodársku činnosť uvedenú v sekcii C divízii 27 NACE Rev. 2

| d) | výroba strojov a zariadení i. n. |
| --- | --- |

d)

výroba strojov a zariadení i. n.

subjekty vykonávajúce akúkoľvek hospodársku činnosť uvedenú v sekcii C divízii 28 NACE Rev. 2

| e) | výroba motorových vozidiel, návesov a prívesov |
| --- | --- |

e)

výroba motorových vozidiel, návesov a prívesov

subjekty vykonávajúce akúkoľvek hospodársku činnosť uvedenú v sekcii C divízii 29 NACE Rev. 2

| f) | výroba ostatných dopravných prostriedkov |
| --- | --- |

f)

výroba ostatných dopravných prostriedkov

subjekty vykonávajúce akúkoľvek hospodársku činnosť uvedenú v sekcii C divízii 30 NACE Rev. 2

| 6. | Poskytovatelia digitálnych služieb |
| --- | --- |

6.

Poskytovatelia digitálnych služieb

| — | poskytovatelia online trhov |
| --- | --- |

—

poskytovatelia online trhov

| — | poskytovatelia internetových vyhľadávačov |
| --- | --- |

—

poskytovatelia internetových vyhľadávačov

| — | poskytovatelia platforiem služieb sociálnej siete |
| --- | --- |

—

poskytovatelia platforiem služieb sociálnej siete

| 7. | Výskum |
| --- | --- |

7.

Výskum

výskumné organizácie

---

(1)  Smernica Európskeho parlamentu a Rady 2008/98/ES z 19. novembra 2008 o odpade a o zrušení určitých smerníc (Ú. v. EÚ L 312, 22.11.2008, s. 3).

(2)  Nariadenie Európskeho parlamentu a Rady (ES) č. 1907/2006 z 18. decembra 2006 o registrácii, hodnotení, autorizácii a obmedzovaní chemikálií (REACH) a o zriadení Európskej chemickej agentúry, o zmene a doplnení smernice 1999/45/ES a o zrušení nariadenia Rady (EHS) č. 793/93 a nariadenia Komisie (ES) č. 1488/94, smernice Rady 76/769/EHS a smerníc Komisie 91/155/EHS, 93/67/EHS, 93/105/ES a 2000/21/ES (Ú. v. EÚ L 396, 30.12.2006, s. 1).

(3)  Nariadenie Európskeho parlamentu a Rady (ES) č. 178/2002 z 28. januára 2002, ktorým sa ustanovujú všeobecné zásady a požiadavky potravinového práva, zriaďuje Európsky úrad pre bezpečnosť potravín a stanovujú postupy v záležitostiach bezpečnosti potravín (Ú. v. ES L 31, 1.2.2002, s. 1).

(4)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2017/745 z 5. apríla 2017 o zdravotníckych pomôckach, zmene smernice 2001/83/ES, nariadenia (ES) č. 178/2002 a nariadenia (ES) č. 1223/2009 a o zrušení smerníc Rady 90/385/EHS a 93/42/EHS (Ú. v. EÚ L 117, 5.5.2017, s. 1).

(5)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2017/746 z 5. apríla 2017 o diagnostických zdravotníckych pomôckach in vitro a o zrušení smernice 98/79/ES a rozhodnutia Komisie 2010/227/EÚ (Ú. v. EÚ L 117, 5.5.2017, s. 176).

---

PRÍLOHA III

TABUĽKA ZHODY

| Smernica (EÚ) 2016/1148 | Táto smernica |
| --- | --- |
| článok 1 ods. 1 | článok 1 ods. 1 |
| článok 1 ods. 2 | článok 1 ods. 2 |
| článok 1 ods. 3 | – |
| článok 1 ods. 4 | článok 2 ods. 12 |
| článok 1 ods. 5 | článok 2 ods. 13 |
| článok 1 ods. 6 | článok 2 ods. 6 a 11 |
| článok 1 ods. 7 | článok 4 |
| článok 2 | článok 2 ods. 14 |
| článok 3 | článok 5 |
| článok 4 | článok 6 |
| článok 5 | – |
| článok 6 | – |
| článok 7 ods. 1 | článok 7 ods. 1 a 2 |
| článok 7 ods. 2 | článok 7 ods. 4 |
| článok 7 ods. 3 | článok 7 ods. 3 |
| článok 8 ods. 1 až 5 | článok 8 ods. 1 až 5 |
| článok 8 ods. 6 | článok 13 ods. 4 |
| článok 8 ods. 7 | článok 8 ods. 6 |
| článok 9 ods. 1, 2 a 3 | článok 10 ods. 1, 2 a 3 |
| článok 9 ods. 4 | článok 10 ods. 9 |
| článok 9 ods. 5 | článok 10 ods. 10 |
| článok 10 ods. 1, 2 a 3 prvý pododsek | článok 13 ods. 1, 2 a 3 |
| článok 10 ods. 3 druhý pododsek | článok 23 ods. 9 |
| článok 11 ods. 1 | článok 14 ods. 1 a 2 |
| článok 11 ods. 2 | článok 14 ods. 3 |
| článok 11 ods. 3 | článok 14 ods. 4 prvý pododsek písm. a) až q) a písm. s) a ods. 7 |
| článok 11 ods. 4 | článok 14 ods. 4 prvý pododsek písm. r) a druhý pododsek |
| článok 11 ods. 5 | článok 14 ods. 8 |
| článok 12 ods. 1 až 5 | článok 15 ods. 1 až 5 |
| článok 13 | článok 17 |
| článok 14 ods. 1 a 2 | článok 21 ods. 1 až 4 |
| článok 14 ods. 3 | článok 23 ods. 1 |
| článok 14 ods. 4 | článok 23 ods. 3 |
| článok 14 ods. 5 | článok 23 ods. 5, 6 a 8 |
| článok 14 ods. 6 | článok 23 ods. 7 |
| článok 14 ods. 7 | článok 23 ods. 11 |
| článok 15 ods. 1 | článok 31 ods. 1 |
| článok 15 ods. 2 prvý pododsek písm. a) | článok 32 ods. 2 písm. e) |
| článok 15 ods. 2 prvý pododsek písm. b) | článok 32 ods. 2 písm. g) |
| článok 15 ods. 2 druhý pododsek | článok 32 ods. 3 |
| článok 15 ods. 3 | článok 32 ods. 4 písm. b) |
| článok 15 ods. 4 | článok 31 ods. 3 |
| článok 16 ods. 1 a 2 | článok 21 ods. 1 až 4 |
| článok 16 ods. 3 | článok 23 ods. 1 |
| článok 16 ods. 4 | článok 23 ods. 3 |
| článok 16 ods. 5 | – |
| článok 16 ods. 6 | článok 23 ods. 6 |
| článok 16 ods. 7 | článok 23 ods. 7 |
| článok 16 ods. 8 a 9 | článok 21 ods. 5 a článok 23 ods. 11 |
| článok 16 ods. 10 | – |
| článok 16 ods. 11 | článok 2 ods. 1, 2 a 3 |
| článok 17 ods. 1 | článok 33 ods. 1 |
| článok 17 ods. 2 písm. a) | článok 32 ods. 2 písm. e) |
| článok 17 ods. 2 písm. b) | článok 32 ods. 4 písm. b) |
| článok 17 ods. 3 | článok 37 ods. 1 písm. a) a b) |
| článok 18 ods. 1 | článok 26 ods. 1 písm. b) a ods. 2 |
| článok 18 ods. 2 | článok 26 ods. 3 |
| článok 18 ods. 3 | článok 26 ods. 4 |
| článok 19 | článok 25 |
| článok 20 | článok 30 |
| článok 21 | článok 36 |
| článok 22 | článok 39 |
| článok 23 | článok 40 |
| článok 24 | – |
| článok 25 | článok 41 |
| článok 26 | článok 45 |
| článok 27 | článok 46 |
| príloha I bod 1 | článok 11 ods. 1 |
| príloha I bod 2 písm. a) podbody i) až iv) | článok 11 ods. 2 písm. a) až d) |
| príloha I bod 2 písm. a) podbod v) | článok 11 ods. 2 písm. f) |
| príloha I bod 2 písm. b) | článok 11 ods. 4 |
| príloha I bod 2 písm. c) podbody i) a ii) | článok 11 ods. 5 písm. a) |
| príloha II | príloha I |
| príloha III body 1 a 2 | príloha II bod 6 |
| príloha III bod 3 | príloha I bod 8 |

Smernica (EÚ) 2016/1148

Táto smernica

článok 1 ods. 1

článok 1 ods. 1

článok 1 ods. 2

článok 1 ods. 2

článok 1 ods. 3

–

článok 1 ods. 4

článok 2 ods. 12

článok 1 ods. 5

článok 2 ods. 13

článok 1 ods. 6

článok 2 ods. 6 a 11

článok 1 ods. 7

článok 4

článok 2

článok 2 ods. 14

článok 3

článok 5

článok 4

článok 6

článok 5

–

článok 6

–

článok 7 ods. 1

článok 7 ods. 1 a 2

článok 7 ods. 2

článok 7 ods. 4

článok 7 ods. 3

článok 7 ods. 3

článok 8 ods. 1 až 5

článok 8 ods. 1 až 5

článok 8 ods. 6

článok 13 ods. 4

článok 8 ods. 7

článok 8 ods. 6

článok 9 ods. 1, 2 a 3

článok 10 ods. 1, 2 a 3

článok 9 ods. 4

článok 10 ods. 9

článok 9 ods. 5

článok 10 ods. 10

článok 10 ods. 1, 2 a 3 prvý pododsek

článok 13 ods. 1, 2 a 3

článok 10 ods. 3 druhý pododsek

článok 23 ods. 9

článok 11 ods. 1

článok 14 ods. 1 a 2

článok 11 ods. 2

článok 14 ods. 3

článok 11 ods. 3

článok 14 ods. 4 prvý pododsek písm. a) až q) a písm. s) a ods. 7

článok 11 ods. 4

článok 14 ods. 4 prvý pododsek písm. r) a druhý pododsek

článok 11 ods. 5

článok 14 ods. 8

článok 12 ods. 1 až 5

článok 15 ods. 1 až 5

článok 13

článok 17

článok 14 ods. 1 a 2

článok 21 ods. 1 až 4

článok 14 ods. 3

článok 23 ods. 1

článok 14 ods. 4

článok 23 ods. 3

článok 14 ods. 5

článok 23 ods. 5, 6 a 8

článok 14 ods. 6

článok 23 ods. 7

článok 14 ods. 7

článok 23 ods. 11

článok 15 ods. 1

článok 31 ods. 1

článok 15 ods. 2 prvý pododsek písm. a)

článok 32 ods. 2 písm. e)

článok 15 ods. 2 prvý pododsek písm. b)

článok 32 ods. 2 písm. g)

článok 15 ods. 2 druhý pododsek

článok 32 ods. 3

článok 15 ods. 3

článok 32 ods. 4 písm. b)

článok 15 ods. 4

článok 31 ods. 3

článok 16 ods. 1 a 2

článok 21 ods. 1 až 4

článok 16 ods. 3

článok 23 ods. 1

článok 16 ods. 4

článok 23 ods. 3

článok 16 ods. 5

–

článok 16 ods. 6

článok 23 ods. 6

článok 16 ods. 7

článok 23 ods. 7

článok 16 ods. 8 a 9

článok 21 ods. 5 a článok 23 ods. 11

článok 16 ods. 10

–

článok 16 ods. 11

článok 2 ods. 1, 2 a 3

článok 17 ods. 1

článok 33 ods. 1

článok 17 ods. 2 písm. a)

článok 32 ods. 2 písm. e)

článok 17 ods. 2 písm. b)

článok 32 ods. 4 písm. b)

článok 17 ods. 3

článok 37 ods. 1 písm. a) a b)

článok 18 ods. 1

článok 26 ods. 1 písm. b) a ods. 2

článok 18 ods. 2

článok 26 ods. 3

článok 18 ods. 3

článok 26 ods. 4

článok 19

článok 25

článok 20

článok 30

článok 21

článok 36

článok 22

článok 39

článok 23

článok 40

článok 24

–

článok 25

článok 41

článok 26

článok 45

článok 27

článok 46

príloha I bod 1

článok 11 ods. 1

príloha I bod 2 písm. a) podbody i) až iv)

článok 11 ods. 2 písm. a) až d)

príloha I bod 2 písm. a) podbod v)

článok 11 ods. 2 písm. f)

príloha I bod 2 písm. b)

článok 11 ods. 4

príloha I bod 2 písm. c) podbody i) a ii)

článok 11 ods. 5 písm. a)

príloha II

príloha I

príloha III body 1 a 2

príloha II bod 6

príloha III bod 3

príloha I bod 8

---

| 27.12.2022 | SK | Úradný vestník Európskej únie | L 333/153 |
| --- | --- | --- | --- |

27.12.2022

SK

Úradný vestník Európskej únie

L 333/153

---

SMERNICA EURÓPSKEHO PARLAMENTU A RADY (EÚ) 2022/2556

zo 14. decembra 2022,

ktorou sa menia smernice 2009/65/ES, 2009/138/ES, 2011/61/EÚ, 2013/36/EÚ, 2014/59/EÚ, 2014/65/EÚ, (EÚ) 2015/2366 a (EÚ) 2016/2341, pokiaľ ide o digitálnu prevádzkovú odolnosť finančného sektora

(Text s významom pre EHP)

EURÓPSKY PARLAMENT A RADA EURÓPSKEJ ÚNIE,

so zreteľom na Zmluvu o fungovaní Európskej únie, a najmä na jej článok 53 ods. 1 a článok 114,

so zreteľom na návrh Európskej komisie,

po postúpení návrhu legislatívneho aktu národným parlamentom,

so zreteľom na stanovisko Európskej centrálnej banky (1),

so zreteľom na stanovisko Európskeho hospodárskeho a sociálneho výboru (2),

konajúc v súlade s riadnym legislatívnym postupom (3),

keďže:

| (1) | Únia musí primerane a komplexne riešiť digitálne riziká, ktorým sú vystavené všetky finančné subjekty v dôsledku toho, že pri poskytovaní a využívaní finančných služieb v zvýšenej miere používajú informačné a komunikačné technológie (IKT), a prispieť tak k realizácii potenciálu digitálnych financií pokiaľ ide o podporu inovácií a hospodárskej súťaže v bezpečnom digitálnom prostredí. |
| --- | --- |

(1)

Únia musí primerane a komplexne riešiť digitálne riziká, ktorým sú vystavené všetky finančné subjekty v dôsledku toho, že pri poskytovaní a využívaní finančných služieb v zvýšenej miere používajú informačné a komunikačné technológie (IKT), a prispieť tak k realizácii potenciálu digitálnych financií pokiaľ ide o podporu inovácií a hospodárskej súťaže v bezpečnom digitálnom prostredí.

| (2) | Finančné subjekty sa pri svojej každodennej činnosti vo veľkej miere spoliehajú na používanie digitálnych technológií. Je preto mimoriadne dôležité zabezpečiť prevádzkovú odolnosť ich digitálnych operácií voči IKT riziku. Táto potreba sa stala ešte naliehavejšou z dôvodu rastu prelomových technológií na trhu, najmä technológií, ktoré umožňujú elektronické prevádzanie a uchovávanie digitálneho vyjadrenia hodnoty alebo práv s použitím technológie distribuovanej databázy transakcií alebo podobnej technológie (kryptoaktíva), ako aj z dôvodu rastu trhu so službami súvisiacimi s týmito aktívami. |
| --- | --- |

(2)

Finančné subjekty sa pri svojej každodennej činnosti vo veľkej miere spoliehajú na používanie digitálnych technológií. Je preto mimoriadne dôležité zabezpečiť prevádzkovú odolnosť ich digitálnych operácií voči IKT riziku. Táto potreba sa stala ešte naliehavejšou z dôvodu rastu prelomových technológií na trhu, najmä technológií, ktoré umožňujú elektronické prevádzanie a uchovávanie digitálneho vyjadrenia hodnoty alebo práv s použitím technológie distribuovanej databázy transakcií alebo podobnej technológie (kryptoaktíva), ako aj z dôvodu rastu trhu so službami súvisiacimi s týmito aktívami.

| (3) | Požiadavky týkajúce sa riadenia IKT rizika vo finančnom sektore sa na úrovni Únie v súčasnosti stanovujú v smerniciach Európskeho parlamentu a Rady 2009/65/ES (4), 2009/138/ES (5), 2011/61/EÚ (6), 2013/36/EÚ (7), 2014/59/EÚ (8), 2014/65/EÚ (9), (EÚ) 2015/2366 (10) a (EÚ) 2016/2341 (11).
  Uvedené požiadavky sa medzi sebou líšia a sú niekedy neúplné. V niektorých prípadoch sa IKT riziko rieši len nepriamo ako súčasť operačného rizika, a v ostatných prípadoch sa nerieši vôbec. Tieto záležitosti sú napravené prijatím nariadenia Európskeho parlamentu a Rady (EÚ) 2022/2554 (12). Uvedené smernice by sa preto mali zmeniť, aby sa zabezpečila konzistentnosť s uvedeným nariadením. V tejto smernici sa stanovuje súbor zmien, ktoré sú potrebné na zabezpečenie právnej zrozumiteľnosti a konzistentnosti v súvislosti s uplatňovaním rôznych požiadaviek na digitálnu prevádzkovú odolnosť finančnými subjektmi, ktorým bolo udelené povolenie a nad ktorými sa vykonáva dohľad v súlade s uvedenými smernicami, pričom ide o požiadavky, ktoré sú nevyhnutné na vykonávanie ich činností a poskytovanie služieb, čím sa zaručí hladké fungovanie vnútorného trhu. Je potrebné zabezpečiť primeranosť týchto požiadaviek vzhľadom na vývoj na trhu a zároveň podporovať proporcionalitu, najmä pokiaľ ide o veľkosť finančných subjektov a osobitné režimy, ktorým podliehajú, s cieľom znížiť náklady na dodržiavanie predpisov. |
| --- | --- |

(3)

Požiadavky týkajúce sa riadenia IKT rizika vo finančnom sektore sa na úrovni Únie v súčasnosti stanovujú v smerniciach Európskeho parlamentu a Rady 2009/65/ES (4), 2009/138/ES (5), 2011/61/EÚ (6), 2013/36/EÚ (7), 2014/59/EÚ (8), 2014/65/EÚ (9), (EÚ) 2015/2366 (10) a (EÚ) 2016/2341 (11).

Uvedené požiadavky sa medzi sebou líšia a sú niekedy neúplné. V niektorých prípadoch sa IKT riziko rieši len nepriamo ako súčasť operačného rizika, a v ostatných prípadoch sa nerieši vôbec. Tieto záležitosti sú napravené prijatím nariadenia Európskeho parlamentu a Rady (EÚ) 2022/2554 (12). Uvedené smernice by sa preto mali zmeniť, aby sa zabezpečila konzistentnosť s uvedeným nariadením. V tejto smernici sa stanovuje súbor zmien, ktoré sú potrebné na zabezpečenie právnej zrozumiteľnosti a konzistentnosti v súvislosti s uplatňovaním rôznych požiadaviek na digitálnu prevádzkovú odolnosť finančnými subjektmi, ktorým bolo udelené povolenie a nad ktorými sa vykonáva dohľad v súlade s uvedenými smernicami, pričom ide o požiadavky, ktoré sú nevyhnutné na vykonávanie ich činností a poskytovanie služieb, čím sa zaručí hladké fungovanie vnútorného trhu. Je potrebné zabezpečiť primeranosť týchto požiadaviek vzhľadom na vývoj na trhu a zároveň podporovať proporcionalitu, najmä pokiaľ ide o veľkosť finančných subjektov a osobitné režimy, ktorým podliehajú, s cieľom znížiť náklady na dodržiavanie predpisov.

| (4) | Pokiaľ ide o oblasť bankových služieb, v smernici 2013/36/EÚ sa v súčasnosti uvádzajú len všeobecné vnútorné pravidlá riadenia a ustanovenia o operačnom riziku, ktoré obsahujú požiadavky na plány pre nepredvídané udalosti a plány na zabezpečenie kontinuity obchodných činností, ktoré nepriamo slúžia ako základ pre riešenie problematiky riadenia IKT rizika. Aby sa však IKT riziko riešilo výslovne a jasne, požiadavky na plány pre nepredvídané udalosti a plány na zabezpečenie kontinuity činností by sa mali zmeniť tak, aby zahŕňali plány na zabezpečenie kontinuity činností a plány reakcie a obnovy aj pre IKT riziko, a to v súlade s požiadavkami stanovenými v nariadení (EÚ) 2022/2554. Okrem toho IKT riziko je len nepriamo zahrnuté, ako súčasť operačného rizika, do postupu preskúmania a hodnotenia orgánmi dohľadu (SREP), ktorý vykonávajú príslušné orgány a kritériá na jeho posúdenie sú v súčasnosti vymedzené v Usmerneniach pre posudzovanie rizika súvisiaceho s informačnými a komunikačnými technológiami v rámci postupu preskúmania a hodnotenia orgánmi dohľadu (SREP), ktoré vydal európsky orgán dohľadu (Európsky orgán pre bankovníctvo) (ďalej len „EBA“) zriadený nariadením Európskeho parlamentu a Rady (EÚ) č. 1093/2010 (13). S cieľom zabezpečiť právnu zrozumiteľnosť a zaistiť, aby orgány bankového dohľadu účinne identifikovali IKT riziko a monitorovali jeho riadenie finančnými subjektmi v súlade s novým rámcom pre digitálnu prevádzkovú odolnosť, by sa mal rozsah postupu preskúmania a hodnotenia orgánmi dohľadu zmeniť tak, aby výslovne odkazoval na požiadavky stanovené v nariadení (EÚ) 2022/2554 a vzťahoval sa najmä na riziká zistené na základe oznámení o závažných incidentoch súvisiacich s IKT a na základe výsledkov testov digitálnej prevádzkovej odolnosti, ktoré finančné subjekty vykonávajú v súlade s uvedeným nariadením. |
| --- | --- |

(4)

Pokiaľ ide o oblasť bankových služieb, v smernici 2013/36/EÚ sa v súčasnosti uvádzajú len všeobecné vnútorné pravidlá riadenia a ustanovenia o operačnom riziku, ktoré obsahujú požiadavky na plány pre nepredvídané udalosti a plány na zabezpečenie kontinuity obchodných činností, ktoré nepriamo slúžia ako základ pre riešenie problematiky riadenia IKT rizika. Aby sa však IKT riziko riešilo výslovne a jasne, požiadavky na plány pre nepredvídané udalosti a plány na zabezpečenie kontinuity činností by sa mali zmeniť tak, aby zahŕňali plány na zabezpečenie kontinuity činností a plány reakcie a obnovy aj pre IKT riziko, a to v súlade s požiadavkami stanovenými v nariadení (EÚ) 2022/2554. Okrem toho IKT riziko je len nepriamo zahrnuté, ako súčasť operačného rizika, do postupu preskúmania a hodnotenia orgánmi dohľadu (SREP), ktorý vykonávajú príslušné orgány a kritériá na jeho posúdenie sú v súčasnosti vymedzené v Usmerneniach pre posudzovanie rizika súvisiaceho s informačnými a komunikačnými technológiami v rámci postupu preskúmania a hodnotenia orgánmi dohľadu (SREP), ktoré vydal európsky orgán dohľadu (Európsky orgán pre bankovníctvo) (ďalej len „EBA“) zriadený nariadením Európskeho parlamentu a Rady (EÚ) č. 1093/2010 (13). S cieľom zabezpečiť právnu zrozumiteľnosť a zaistiť, aby orgány bankového dohľadu účinne identifikovali IKT riziko a monitorovali jeho riadenie finančnými subjektmi v súlade s novým rámcom pre digitálnu prevádzkovú odolnosť, by sa mal rozsah postupu preskúmania a hodnotenia orgánmi dohľadu zmeniť tak, aby výslovne odkazoval na požiadavky stanovené v nariadení (EÚ) 2022/2554 a vzťahoval sa najmä na riziká zistené na základe oznámení o závažných incidentoch súvisiacich s IKT a na základe výsledkov testov digitálnej prevádzkovej odolnosti, ktoré finančné subjekty vykonávajú v súlade s uvedeným nariadením.

| (5) | Digitálna prevádzková odolnosť je základnou podmienkou toho, aby sa v prípade riešenia krízovej situácie finančného subjektu zachovali jeho zásadné funkcie a hlavné oblasti obchodnej činnosti, a tým aby sa zabránilo narušeniu reálnej ekonomiky a finančného systému. Závažné prevádzkové incidenty môžu oslabovať schopnosť finančného subjektu pokračovať v činnosti a môžu ohroziť ciele riešenia krízovej situácie. V prípade riešenia krízovej situácie majú pre zabezpečenie prevádzkovej kontinuity a poskytnutie potrebných údajov zásadný význam aj určité zmluvné dojednania o využívaní IKT služieb. V záujme zosúladenia s cieľmi rámca Únie pre prevádzkovú odolnosť by sa smernica 2014/59/EÚ mala zodpovedajúcim spôsobom zmeniť s cieľom zabezpečiť, aby sa informácie o prevádzkovej odolnosti zohľadňovali v kontexte plánovania riešenia krízovej situácie a posudzovania riešiteľnosti krízovej situácie finančných subjektov. |
| --- | --- |

(5)

Digitálna prevádzková odolnosť je základnou podmienkou toho, aby sa v prípade riešenia krízovej situácie finančného subjektu zachovali jeho zásadné funkcie a hlavné oblasti obchodnej činnosti, a tým aby sa zabránilo narušeniu reálnej ekonomiky a finančného systému. Závažné prevádzkové incidenty môžu oslabovať schopnosť finančného subjektu pokračovať v činnosti a môžu ohroziť ciele riešenia krízovej situácie. V prípade riešenia krízovej situácie majú pre zabezpečenie prevádzkovej kontinuity a poskytnutie potrebných údajov zásadný význam aj určité zmluvné dojednania o využívaní IKT služieb. V záujme zosúladenia s cieľmi rámca Únie pre prevádzkovú odolnosť by sa smernica 2014/59/EÚ mala zodpovedajúcim spôsobom zmeniť s cieľom zabezpečiť, aby sa informácie o prevádzkovej odolnosti zohľadňovali v kontexte plánovania riešenia krízovej situácie a posudzovania riešiteľnosti krízovej situácie finančných subjektov.

| (6) | V smernici 2014/65/EÚ sa stanovujú prísnejšie pravidlá v oblasti IKT rizika pre investičné spoločnosti a obchodné miesta, ktoré vykonávajú algoritmické obchodovanie. Menej podrobné požiadavky sa vzťahujú na služby vykazovania údajov a na archívy obchodných údajov. Smernica 2014/65/EÚ obsahuje takisto len obmedzené odkazy na opatrenia na kontrolu a ochranu systémov spracovania informácií a na používanie vhodných systémov, zdrojov a postupov na zabezpečenie kontinuity a regulárnosti služieb súvisiacich s podnikaním. Uvedená smernica by sa mala ďalej zosúladiť s nariadením (EÚ) 2022/2554, pokiaľ ide o kontinuitu a regulárnosť poskytovania investičných služieb a vykonávania investičných činností, prevádzkovú odolnosť, kapacitu obchodných systémov a účinnosť opatrení na zabezpečenie kontinuity činností a riadenia rizík. |
| --- | --- |

(6)

V smernici 2014/65/EÚ sa stanovujú prísnejšie pravidlá v oblasti IKT rizika pre investičné spoločnosti a obchodné miesta, ktoré vykonávajú algoritmické obchodovanie. Menej podrobné požiadavky sa vzťahujú na služby vykazovania údajov a na archívy obchodných údajov. Smernica 2014/65/EÚ obsahuje takisto len obmedzené odkazy na opatrenia na kontrolu a ochranu systémov spracovania informácií a na používanie vhodných systémov, zdrojov a postupov na zabezpečenie kontinuity a regulárnosti služieb súvisiacich s podnikaním. Uvedená smernica by sa mala ďalej zosúladiť s nariadením (EÚ) 2022/2554, pokiaľ ide o kontinuitu a regulárnosť poskytovania investičných služieb a vykonávania investičných činností, prevádzkovú odolnosť, kapacitu obchodných systémov a účinnosť opatrení na zabezpečenie kontinuity činností a riadenia rizík.

| (7) | V smernici (EÚ) 2015/2366 sa stanovujú osobitné pravidlá týkajúce sa bezpečnostných kontrol IKT a zmierňujúcich prvkov na účely udelenia povolenia na poskytovanie platobných služieb. Uvedené pravidlá udeľovania povolení by sa mali zmeniť s cieľom zosúladiť ich s nariadením (EÚ) 2022/2554. Okrem toho s cieľom znížiť administratívne zaťaženie a vyhnúť sa zložitosti a duplicitným požiadavkám na oznamovanie by sa pravidlá oznamovania incidentov stanovené v uvedenej smernici mali prestať uplatňovať na poskytovateľov platobných služieb, ktorí sú regulovaní podľa uvedenej smernice a na ktorých sa vzťahuje aj nariadenie (EÚ) 2022/2554, čím by sa týmto poskytovateľom platobných služieb umožnilo využívať jednotný, plne harmonizovaný mechanizmus oznamovania incidentov, pokiaľ ide o všetky prevádzkové alebo bezpečnostné incidenty súvisiace s platbami, bez ohľadu na to, či takéto incidenty súvisia s IKT. |
| --- | --- |

(7)

V smernici (EÚ) 2015/2366 sa stanovujú osobitné pravidlá týkajúce sa bezpečnostných kontrol IKT a zmierňujúcich prvkov na účely udelenia povolenia na poskytovanie platobných služieb. Uvedené pravidlá udeľovania povolení by sa mali zmeniť s cieľom zosúladiť ich s nariadením (EÚ) 2022/2554. Okrem toho s cieľom znížiť administratívne zaťaženie a vyhnúť sa zložitosti a duplicitným požiadavkám na oznamovanie by sa pravidlá oznamovania incidentov stanovené v uvedenej smernici mali prestať uplatňovať na poskytovateľov platobných služieb, ktorí sú regulovaní podľa uvedenej smernice a na ktorých sa vzťahuje aj nariadenie (EÚ) 2022/2554, čím by sa týmto poskytovateľom platobných služieb umožnilo využívať jednotný, plne harmonizovaný mechanizmus oznamovania incidentov, pokiaľ ide o všetky prevádzkové alebo bezpečnostné incidenty súvisiace s platbami, bez ohľadu na to, či takéto incidenty súvisia s IKT.

| (8) | Smernice 2009/138/ES a (EÚ) 2016/2341 čiastočne zachytávajú IKT riziko v rámci svojich všeobecných ustanovení o správe a riadení rizík, pričom určité požiadavky sa majú špecifikovať prostredníctvom delegovaných aktov, či už s osobitnými odkazmi na IKT riziko, alebo bez nich. Podobne sa na správcov alternatívnych investičných fondov, ktorí podliehajú smernici 2011/61/EÚ a na správcovské spoločnosti, ktoré podliehajú smernici 2009/65/ES, vzťahujú len veľmi všeobecné pravidlá. Uvedené smernice by sa preto mali zosúladiť s požiadavkami stanovenými v nariadení (EÚ) 2022/2554, pokiaľ ide o riadenie systémov a nástrojov IKT. |
| --- | --- |

(8)

Smernice 2009/138/ES a (EÚ) 2016/2341 čiastočne zachytávajú IKT riziko v rámci svojich všeobecných ustanovení o správe a riadení rizík, pričom určité požiadavky sa majú špecifikovať prostredníctvom delegovaných aktov, či už s osobitnými odkazmi na IKT riziko, alebo bez nich. Podobne sa na správcov alternatívnych investičných fondov, ktorí podliehajú smernici 2011/61/EÚ a na správcovské spoločnosti, ktoré podliehajú smernici 2009/65/ES, vzťahujú len veľmi všeobecné pravidlá. Uvedené smernice by sa preto mali zosúladiť s požiadavkami stanovenými v nariadení (EÚ) 2022/2554, pokiaľ ide o riadenie systémov a nástrojov IKT.

| (9) | Ďalšie požiadavky na IKT riziko už boli v mnohých prípadoch stanovené v delegovaných a vykonávacích aktoch prijatých na základe návrhu regulačných technických predpisov a návrhu vykonávacích technických predpisov vypracovaných príslušným európskym orgánom dohľadu. Keďže ustanovenia nariadenia (EÚ) 2022/2554 predstavujú právny rámec pre IKT riziko vo finančnom sektore, určité splnomocnenia na prijatie delegovaných a vykonávacích aktov v smerniciach 2009/65/ES, 2009/138/ES, 2011/61/EÚ a 2014/65/EÚ by sa mali zmeniť s cieľom odstrániť ustanovenia o IKT riziku z rozsahu pôsobnosti uvedených splnomocnení. |
| --- | --- |

(9)

Ďalšie požiadavky na IKT riziko už boli v mnohých prípadoch stanovené v delegovaných a vykonávacích aktoch prijatých na základe návrhu regulačných technických predpisov a návrhu vykonávacích technických predpisov vypracovaných príslušným európskym orgánom dohľadu. Keďže ustanovenia nariadenia (EÚ) 2022/2554 predstavujú právny rámec pre IKT riziko vo finančnom sektore, určité splnomocnenia na prijatie delegovaných a vykonávacích aktov v smerniciach 2009/65/ES, 2009/138/ES, 2011/61/EÚ a 2014/65/EÚ by sa mali zmeniť s cieľom odstrániť ustanovenia o IKT riziku z rozsahu pôsobnosti uvedených splnomocnení.

| (10) | S cieľom zabezpečiť jednotné vykonávanie nového rámca pre digitálnu prevádzkovú odolnosť finančného sektora, členské štáty by mali uplatňovať ustanovenia vnútroštátneho práva, ktorými sa transponuje táto smernica, od dátumu začatia uplatňovania nariadenia (EÚ) 2022/2554. |
| --- | --- |

(10)

S cieľom zabezpečiť jednotné vykonávanie nového rámca pre digitálnu prevádzkovú odolnosť finančného sektora, členské štáty by mali uplatňovať ustanovenia vnútroštátneho práva, ktorými sa transponuje táto smernica, od dátumu začatia uplatňovania nariadenia (EÚ) 2022/2554.

| (11) | Smernice 2009/65/ES, 2009/138/ES, 2011/61/EÚ, 2013/36/EÚ, 2014/59/EÚ, 2014/65/EÚ, (EÚ) 2015/2366 a (EÚ) 2016/2341 boli prijaté na základe článku 53 ods. 1 alebo článku 114 Zmluvy o fungovaní Európskej únie (ďalej len „ZFEÚ“) alebo oboch. Zmeny v tejto smernici boli zahrnuté do jediného aktu vzhľadom na prepojenosť predmetu úpravy a cieľov zmien. V dôsledku toho by sa táto smernica mala prijať na základe článku 53 ods. 1 aj článku 114 ZFEÚ. |
| --- | --- |

(11)

Smernice 2009/65/ES, 2009/138/ES, 2011/61/EÚ, 2013/36/EÚ, 2014/59/EÚ, 2014/65/EÚ, (EÚ) 2015/2366 a (EÚ) 2016/2341 boli prijaté na základe článku 53 ods. 1 alebo článku 114 Zmluvy o fungovaní Európskej únie (ďalej len „ZFEÚ“) alebo oboch. Zmeny v tejto smernici boli zahrnuté do jediného aktu vzhľadom na prepojenosť predmetu úpravy a cieľov zmien. V dôsledku toho by sa táto smernica mala prijať na základe článku 53 ods. 1 aj článku 114 ZFEÚ.

| (12) | Keďže ciele tejto smernice nie je možné uspokojivo dosiahnuť na úrovni členských štátov, pretože si vyžadujú harmonizáciu požiadaviek, ktoré sú už obsiahnuté v smerniciach, ale z dôvodov rozsahu aj účinkov danej činnosti ich možno lepšie dosiahnuť na úrovni Únie, môže Únia prijať opatrenia v súlade so zásadou subsidiarity podľa článku 5 Zmluvy o Európskej únii. V súlade so zásadou proporcionality podľa uvedeného článku táto smernica neprekračuje rámec nevyhnutný na dosiahnutie týchto cieľov. |
| --- | --- |

(12)

Keďže ciele tejto smernice nie je možné uspokojivo dosiahnuť na úrovni členských štátov, pretože si vyžadujú harmonizáciu požiadaviek, ktoré sú už obsiahnuté v smerniciach, ale z dôvodov rozsahu aj účinkov danej činnosti ich možno lepšie dosiahnuť na úrovni Únie, môže Únia prijať opatrenia v súlade so zásadou subsidiarity podľa článku 5 Zmluvy o Európskej únii. V súlade so zásadou proporcionality podľa uvedeného článku táto smernica neprekračuje rámec nevyhnutný na dosiahnutie týchto cieľov.

| (13) | V súlade so spoločným politickým vyhlásením členských štátov a Komisie z 28. septembra 2011 o vysvetľujúcich dokumentoch (14) sa členské štáty zaviazali, že v odôvodnených prípadoch k svojim oznámeniam o transpozičných opatreniach pripoja jeden alebo viacero dokumentov vysvetľujúcich vzťah medzi prvkami smernice a zodpovedajúcimi časťami vnútroštátnych transpozičných nástrojov. Pokiaľ ide o túto smernicu, zákonodarca považuje predloženie takýchto dokumentov za opodstatnené, |
| --- | --- |

(13)

V súlade so spoločným politickým vyhlásením členských štátov a Komisie z 28. septembra 2011 o vysvetľujúcich dokumentoch (14) sa členské štáty zaviazali, že v odôvodnených prípadoch k svojim oznámeniam o transpozičných opatreniach pripoja jeden alebo viacero dokumentov vysvetľujúcich vzťah medzi prvkami smernice a zodpovedajúcimi časťami vnútroštátnych transpozičných nástrojov. Pokiaľ ide o túto smernicu, zákonodarca považuje predloženie takýchto dokumentov za opodstatnené,

PRIJALI TÚTO SMERNICU:

Článok 1

Zmeny smernice 2009/65/ES

Článok 12 smernice 2009/65/ES sa mení takto:

| 1. | V odseku 1 druhom pododseku sa písmeno a) nahrádza takto:






  „a) | mala riadne administratívne a účtovné postupy, opatrenia kontroly a ochrany pre elektronické spracovanie údajov vrátane pokiaľ ide o siete a informačné systémy, ktoré sú zriadené a spravované v súlade s nariadením Európskeho parlamentu a Rady (EÚ) 2022/2554 (*1), ako aj primerané mechanizmy vnútornej kontroly, ktoré zahŕňajú najmä pravidlá pre osobné transakcie jej zamestnancov alebo pre držbu alebo riadenie investícií do finančných nástrojov s cieľom investovať na vlastný účet a ktoré zabezpečujú minimálne to, aby sa každá transakcia, na ktorej sa PKIPCP zúčastňuje, mohla zrekonštruovať podľa svojho pôvodu, strán transakcie, povahy, času a miesta, na ktorom sa uskutočnila, a aby sa aktíva PKIPCP riadených správcovskou spoločnosťou investovali v súlade s pravidlami alebo zakladajúcimi dokumentmi fondu a platnými právnymi predpismi; |
| --- | --- | --- |

1.

V odseku 1 druhom pododseku sa písmeno a) nahrádza takto:

„a)

mala riadne administratívne a účtovné postupy, opatrenia kontroly a ochrany pre elektronické spracovanie údajov vrátane pokiaľ ide o siete a informačné systémy, ktoré sú zriadené a spravované v súlade s nariadením Európskeho parlamentu a Rady (EÚ) 2022/2554 (*1), ako aj primerané mechanizmy vnútornej kontroly, ktoré zahŕňajú najmä pravidlá pre osobné transakcie jej zamestnancov alebo pre držbu alebo riadenie investícií do finančných nástrojov s cieľom investovať na vlastný účet a ktoré zabezpečujú minimálne to, aby sa každá transakcia, na ktorej sa PKIPCP zúčastňuje, mohla zrekonštruovať podľa svojho pôvodu, strán transakcie, povahy, času a miesta, na ktorom sa uskutočnila, a aby sa aktíva PKIPCP riadených správcovskou spoločnosťou investovali v súlade s pravidlami alebo zakladajúcimi dokumentmi fondu a platnými právnymi predpismi;

*1

(*1)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554 zo 14. decembra 2022 o digitálnej prevádzkovej odolnosti finančného sektora a o zmene nariadení (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014, (EÚ) č. 909/2014 a (EÚ) 2016/1011 (Ú. v. EÚ L 333, 27.12.2022, s. 1).“
  "

*1

| 2. | Odsek 3 sa nahrádza takto:

  „3.   Bez toho, aby bol dotknutý článok 116, Komisia prijme prostredníctvom delegovaných aktov v súlade s článkom 112a opatrenia, v ktorých uvedie:






  a) | postupy a opatrenia uvedené v odseku 1 druhom pododseku písm. a) iné než postupy a mechanizmy, ktoré sa týkajú sietí a informačných systémov; |
| --- | --- | --- |

2.

Odsek 3 sa nahrádza takto:

„3.   Bez toho, aby bol dotknutý článok 116, Komisia prijme prostredníctvom delegovaných aktov v súlade s článkom 112a opatrenia, v ktorých uvedie:

a)

postupy a opatrenia uvedené v odseku 1 druhom pododseku písm. a) iné než postupy a mechanizmy, ktoré sa týkajú sietí a informačných systémov;

| b) | štruktúry a organizačné požiadavky na minimalizáciu konfliktov záujmov uvedených v odseku 1 druhom pododseku písm. b).“ |
| --- | --- |

b)

štruktúry a organizačné požiadavky na minimalizáciu konfliktov záujmov uvedených v odseku 1 druhom pododseku písm. b).“

Článok 2

Zmeny smernice 2009/138/ES

Smernica 2009/138/ES sa mení takto:

| 1. | V článku 41 sa odsek 4 nahrádza takto:

  „4.   Poisťovne a zaisťovne musia prijať všetky náležité opatrenia na zabezpečenie kontinuity a regulárnosti pri výkone svojich činností vrátane vypracovania plánov pre nepredvídané udalosti. Na tento účel podnik využíva vhodné a primerané systémy, zdroje a postupy, a najmä zriadi a spravuje siete a informačné systémy v súlade s nariadením Európskeho parlamentu a Rady (EÚ) 2022/2554 (*2).


  (*2)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554 zo 14. decembra 2022 o digitálnej prevádzkovej odolnosti finančného sektora a o zmene nariadení (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014, (EÚ) č. 909/2014 a (EÚ) 2016/1011 (Ú. v. EÚ L 333, 27. 12.2022, s. 1).“
  " |
| --- | --- |

1.

V článku 41 sa odsek 4 nahrádza takto:

„4.   Poisťovne a zaisťovne musia prijať všetky náležité opatrenia na zabezpečenie kontinuity a regulárnosti pri výkone svojich činností vrátane vypracovania plánov pre nepredvídané udalosti. Na tento účel podnik využíva vhodné a primerané systémy, zdroje a postupy, a najmä zriadi a spravuje siete a informačné systémy v súlade s nariadením Európskeho parlamentu a Rady (EÚ) 2022/2554 (*2).

(*2)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554 zo 14. decembra 2022 o digitálnej prevádzkovej odolnosti finančného sektora a o zmene nariadení (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014, (EÚ) č. 909/2014 a (EÚ) 2016/1011 (Ú. v. EÚ L 333, 27. 12.2022, s. 1).“
  "

*2

| 2. | V článku 50 ods. 1 sa písmená a) a b) nahrádzajú takto:






  „a) | prvky systémov uvedených v článku 41, článku 44, najmä v oblastiach uvedených v článku 44 ods. 2, a článkoch 46 a 47 iné ako prvky týkajúce sa riadenia rizika v oblasti informačných a komunikačných technológií; |
| --- | --- | --- |

2.

V článku 50 ods. 1 sa písmená a) a b) nahrádzajú takto:

„a)

prvky systémov uvedených v článku 41, článku 44, najmä v oblastiach uvedených v článku 44 ods. 2, a článkoch 46 a 47 iné ako prvky týkajúce sa riadenia rizika v oblasti informačných a komunikačných technológií;

| b) | funkcie uvedené v článkoch 44, 46, 47 a 48 iné ako funkcie súvisiace s riadením rizík v oblasti informačných a komunikačných technológií.“ |
| --- | --- |

b)

funkcie uvedené v článkoch 44, 46, 47 a 48 iné ako funkcie súvisiace s riadením rizík v oblasti informačných a komunikačných technológií.“

Článok 3

Zmeny smernice 2011/61/EÚ

Článok 18 smernice 2011/61/EÚ sa nahrádza takto:

„Článok 18

Všeobecné zásady

1.   Členské štáty vyžadujú, aby správcovia AIF vždy používali primerané a vhodné ľudské a technické zdroje, ktoré sú potrebné na náležitú správu AIF.

Príslušné orgány domovského členského štátu správcu AIF aj s prihliadnutím na povahu AIF, ktoré správca AIF spravuje, vyžadujú najmä to, aby správca AIF mal riadne administratívne a účtovné postupy, opatrenia kontroly a ochrany pre elektronické spracovanie údajov, vrátane vzhľadom na siete a informačné systémy zriadené a spravované v súlade s nariadením Európskeho parlamentu a Rady (EÚ) 2022/2554 (*3), ako aj primerané mechanizmy vnútornej kontroly, ktoré zahŕňajú najmä pravidlá pre osobné transakcie jeho zamestnancov alebo pre držbu alebo riadenie investícií s cieľom investovať na vlastný účet a ktoré zabezpečujú minimálne to, aby sa každá transakcia, na ktorej sa AIF zúčastňuje, mohla zrekonštruovať podľa svojho pôvodu, strán transakcie, povahy, času a miesta, na ktorom sa uskutočnila, a aby sa aktíva AIF spravovaných správcom AIF investovali v súlade s pravidlami alebo zakladajúcimi dokumentmi AIF a platnými právnymi predpismi.

2.   Komisia prijme prostredníctvom delegovaných aktov v súlade s článkom 56 a za podmienok stanovených v článkoch 57 a 58 opatrenia, v ktorých upresní postupy a mechanizmy uvedené v odseku 1 tohto článku iné než postupy a mechanizmy, ktoré sa týkajú sietí a informačných systémov.

Článok 4

Zmeny smernice 2013/36/EÚ

Smernica 2013/36/EÚ sa mení takto:

| 1. | V článku 65 ods. 3 písm. a) sa bod vi) nahrádza takto:






  „vi) | tretie strany, ktoré pre subjekty uvedené v bodoch i) až iv) externe vykonávajú funkcie alebo činnosti, vrátane poskytovateľov služieb IKT, ktorí sú treťou stranou, uvedených v kapitole V nariadenia Európskeho parlamentu a Rady (EÚ) 2022/2554 (*4); |
| --- | --- | --- |

1.

V článku 65 ods. 3 písm. a) sa bod vi) nahrádza takto:

„vi)

tretie strany, ktoré pre subjekty uvedené v bodoch i) až iv) externe vykonávajú funkcie alebo činnosti, vrátane poskytovateľov služieb IKT, ktorí sú treťou stranou, uvedených v kapitole V nariadenia Európskeho parlamentu a Rady (EÚ) 2022/2554 (*4);

*4

(*4)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554 zo 14. decembra 2022 o digitálnej prevádzkovej odolnosti finančného sektora a o zmene nariadení (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014, (EÚ) č. 909/2014 a (EÚ) 2016/1011 (Ú. v. EÚ L 333, 27.12.2022, s. 1).“
  "

*4

| 2. | V článku 74 ods. 1 sa prvý pododsek nahrádza takto:

  „Inštitúcie musia mať dôkladné mechanizmy v oblasti riadenia, ktoré zahŕňajú jasnú organizačnú štruktúru s riadne definovanými, transparentnými a konzistentnými líniami zodpovednosti, účinné postupy na identifikáciu, riadenie, monitorovanie a vykazovanie rizík, ktorým sú alebo by mohli byť vystavené, primerané mechanizmy vnútornej kontroly vrátane riadnych administratívnych a účtovných postupov, sietí a informačných systémov, ktoré sú zriadené a spravované v súlade s nariadením (EÚ) 2022/2554, ako aj politiky a postupy odmeňovania, ktoré sú v súlade s riadnym a účinným riadením rizík a podporujú ho.“ |
| --- | --- |

2.

V článku 74 ods. 1 sa prvý pododsek nahrádza takto:

„Inštitúcie musia mať dôkladné mechanizmy v oblasti riadenia, ktoré zahŕňajú jasnú organizačnú štruktúru s riadne definovanými, transparentnými a konzistentnými líniami zodpovednosti, účinné postupy na identifikáciu, riadenie, monitorovanie a vykazovanie rizík, ktorým sú alebo by mohli byť vystavené, primerané mechanizmy vnútornej kontroly vrátane riadnych administratívnych a účtovných postupov, sietí a informačných systémov, ktoré sú zriadené a spravované v súlade s nariadením (EÚ) 2022/2554, ako aj politiky a postupy odmeňovania, ktoré sú v súlade s riadnym a účinným riadením rizík a podporujú ho.“

| 3. | V článku 85 sa odsek 2 nahrádza takto:

  „2.   Príslušné orgány zabezpečia, aby inštitúcie mali primerané politiky a plány pre nepredvídané udalosti a plány na zabezpečenie kontinuity činností vrátane politík a plánov kontinuity činností v oblasti IKT a plánov reakcie a obnovy v oblasti IKT pre technológiu, ktorú používajú na oznamovanie informácií, a aby tieto plány boli vypracované, riadené a testované v súlade s článkom 11 nariadenia (EÚ) 2022/2554, s cieľom umožniť inštitúciám, aby v prípade vážneho narušenia činnosti mohli naďalej fungovať a aby obmedzili straty, ktoré v dôsledku takéhoto narušenia vznikli.“ |
| --- | --- |

3.

V článku 85 sa odsek 2 nahrádza takto:

„2.   Príslušné orgány zabezpečia, aby inštitúcie mali primerané politiky a plány pre nepredvídané udalosti a plány na zabezpečenie kontinuity činností vrátane politík a plánov kontinuity činností v oblasti IKT a plánov reakcie a obnovy v oblasti IKT pre technológiu, ktorú používajú na oznamovanie informácií, a aby tieto plány boli vypracované, riadené a testované v súlade s článkom 11 nariadenia (EÚ) 2022/2554, s cieľom umožniť inštitúciám, aby v prípade vážneho narušenia činnosti mohli naďalej fungovať a aby obmedzili straty, ktoré v dôsledku takéhoto narušenia vznikli.“

| 4. | V článku 97 ods. 1 sa dopĺňa toto písmeno:






  „d) | riziká zistené testovaním digitálnej prevádzkovej odolnosti v súlade s kapitolou IV nariadenia (EÚ) 2022/2554;“ |
| --- | --- | --- |

4.

V článku 97 ods. 1 sa dopĺňa toto písmeno:

„d)

riziká zistené testovaním digitálnej prevádzkovej odolnosti v súlade s kapitolou IV nariadenia (EÚ) 2022/2554;“

Článok 5

Zmeny smernice 2014/59/EÚ

Smernica 2014/59/EÚ sa mení takto:

| 1. | Článok 10 sa mení takto:






  a) | v odseku 7 sa písmeno c) nahrádza takto:






  „c) | ukážku toho, ako by sa zásadné funkcie a hlavné oblasti obchodnej činnosti mohli v potrebnom rozsahu právne a ekonomicky oddeliť od ostatných funkcií, aby sa zabezpečila kontinuita a digitálna prevádzková odolnosť v prípade zlyhania inštitúcie“; |
| --- | --- | --- | --- |

1.

Článok 10 sa mení takto:

a)

v odseku 7 sa písmeno c) nahrádza takto:

„c)

ukážku toho, ako by sa zásadné funkcie a hlavné oblasti obchodnej činnosti mohli v potrebnom rozsahu právne a ekonomicky oddeliť od ostatných funkcií, aby sa zabezpečila kontinuita a digitálna prevádzková odolnosť v prípade zlyhania inštitúcie“;

| b) | v odseku 7 sa písmeno q) nahrádza takto:






  „q) | opis základných činností a systémov na zachovanie nepretržitého fungovania prevádzkových procesov inštitúcie vrátane sietí a informačných systémov uvedených v nariadení Európskeho parlamentu a Rady (EÚ) 2022/2554 (*5); |
| --- | --- | --- |

b)

v odseku 7 sa písmeno q) nahrádza takto:

„q)

opis základných činností a systémov na zachovanie nepretržitého fungovania prevádzkových procesov inštitúcie vrátane sietí a informačných systémov uvedených v nariadení Európskeho parlamentu a Rady (EÚ) 2022/2554 (*5);

*5

(*5)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554 zo 14. decembra 2022 o digitálnej prevádzkovej odolnosti finančného sektora a o zmene nariadení (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014, (EÚ) č. 909/2014 a (EÚ) 2016/1011 (Ú. v. EÚ L 333, 27.12.2022, s. 1).“;"

*5

| c) | v odseku 9 sa dopĺňa tento pododsek:

  „EBA v súlade s článkom 10 nariadenia (EÚ) č. 1093/2010 preskúma a v prípade potreby aktualizuje regulačné technické predpisy, aby sa okrem iného zohľadnili ustanovenia kapitoly II nariadenia (EÚ) 2022/2554.“ |
| --- | --- |

c)

v odseku 9 sa dopĺňa tento pododsek:

„EBA v súlade s článkom 10 nariadenia (EÚ) č. 1093/2010 preskúma a v prípade potreby aktualizuje regulačné technické predpisy, aby sa okrem iného zohľadnili ustanovenia kapitoly II nariadenia (EÚ) 2022/2554.“

| 2. | Príloha sa mení takto:






  a) | v oddiele A sa bod 16 nahrádza takto:






  „16. | mechanizmy a opatrenia potrebné na zachovanie nepretržitého fungovania prevádzkových procesov inštitúcie vrátane sietí a informačných systémov, ktoré sú zriadené a spravované v súlade s nariadením (EÚ) 2022/2554;“; |
| --- | --- | --- | --- |

2.

Príloha sa mení takto:

a)

v oddiele A sa bod 16 nahrádza takto:

„16.

mechanizmy a opatrenia potrebné na zachovanie nepretržitého fungovania prevádzkových procesov inštitúcie vrátane sietí a informačných systémov, ktoré sú zriadené a spravované v súlade s nariadením (EÚ) 2022/2554;“;

| b) | oddiel B sa mení takto:






  i) | bod 14 sa nahrádza takto:






  „14. | identifikácia vlastníkov systémov uvedených v bode 13, s nimi súvisiacich dohôd o úrovni poskytovaných služieb a všetkých softvérov a systémov alebo licencií vrátane priradenia k ich právnickým osobám, kritickým operáciám a hlavným oblastiam obchodnej činnosti, ako aj identifikácia kritických externých poskytovateľov IKT služieb vymedzených v článku 3 bode 23 nariadenia (EÚ) 2022/2554;“; |
| --- | --- | --- | --- |

b)

oddiel B sa mení takto:

i)

bod 14 sa nahrádza takto:

„14.

identifikácia vlastníkov systémov uvedených v bode 13, s nimi súvisiacich dohôd o úrovni poskytovaných služieb a všetkých softvérov a systémov alebo licencií vrátane priradenia k ich právnickým osobám, kritickým operáciám a hlavným oblastiam obchodnej činnosti, ako aj identifikácia kritických externých poskytovateľov IKT služieb vymedzených v článku 3 bode 23 nariadenia (EÚ) 2022/2554;“;

| ii) | vkladá sa tento bod:






  „14a. | výsledky testovania digitálnej prevádzkovej odolnosti inštitúcií podľa nariadenia (EÚ) 2022/2554;“; |
| --- | --- | --- |

ii)

vkladá sa tento bod:

„14a.

výsledky testovania digitálnej prevádzkovej odolnosti inštitúcií podľa nariadenia (EÚ) 2022/2554;“;

| c) | oddiel C sa mení takto:






  i) | bod 4 sa nahrádza takto:






  „4. | rozsah, v ktorom sú dohody o službách vrátane zmluvných dojednaní o využívaní IKT služieb, ktoré inštitúcia uzatvorila, spoľahlivé a plne vymáhateľné v prípade riešenia krízovej situácie inštitúcie;“; |
| --- | --- | --- | --- |

c)

oddiel C sa mení takto:

i)

bod 4 sa nahrádza takto:

„4.

rozsah, v ktorom sú dohody o službách vrátane zmluvných dojednaní o využívaní IKT služieb, ktoré inštitúcia uzatvorila, spoľahlivé a plne vymáhateľné v prípade riešenia krízovej situácie inštitúcie;“;

| ii) | vkladá sa tento bod:






  „4a. | digitálna prevádzková odolnosť sietí a informačných systémov, ktoré podporujú zásadné funkcie a hlavné oblasti obchodnej činnosti inštitúcie, s prihliadnutím na oznámenia o závažných incidentoch súvisiacich s IKT a na výsledky testovania digitálnej prevádzkovej odolnosti podľa nariadenia (EÚ) 2022/2554.“ |
| --- | --- | --- |

ii)

vkladá sa tento bod:

„4a.

digitálna prevádzková odolnosť sietí a informačných systémov, ktoré podporujú zásadné funkcie a hlavné oblasti obchodnej činnosti inštitúcie, s prihliadnutím na oznámenia o závažných incidentoch súvisiacich s IKT a na výsledky testovania digitálnej prevádzkovej odolnosti podľa nariadenia (EÚ) 2022/2554.“

Článok 6

Zmeny smernice 2014/65/EÚ

Smernica 2014/65/EÚ sa mení takto:

| 1. | Článok 16 sa mení takto:






  a) | odsek 4 sa nahrádza takto:

  „4.   Investičná spoločnosť musí prijať všetky náležité opatrenia na zabezpečenie kontinuity a regulárnosti pri výkone investičných služieb a činností. Na tento účel investičná spoločnosť využíva vhodné a primerané systémy vrátane systémov informačných a komunikačných technológií (IKT) zriadených a spravovaných v súlade s článkom 7 nariadenia Európskeho parlamentu a Rady (EÚ) 2022/2554 (*6), ako aj vhodné a primerané zdroje a postupy.


  (*6)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554 zo 14. decembra 2022 o digitálnej prevádzkovej odolnosti finančného sektora a o zmene nariadení (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014, (EÚ) č. 909/2014 a (EÚ) 2016/1011 (Ú. v. EÚ L 333, 27.12.2022, s. 1).“;" |
| --- | --- | --- |

1.

Článok 16 sa mení takto:

a)

odsek 4 sa nahrádza takto:

„4.   Investičná spoločnosť musí prijať všetky náležité opatrenia na zabezpečenie kontinuity a regulárnosti pri výkone investičných služieb a činností. Na tento účel investičná spoločnosť využíva vhodné a primerané systémy vrátane systémov informačných a komunikačných technológií (IKT) zriadených a spravovaných v súlade s článkom 7 nariadenia Európskeho parlamentu a Rady (EÚ) 2022/2554 (*6), ako aj vhodné a primerané zdroje a postupy.

(*6)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554 zo 14. decembra 2022 o digitálnej prevádzkovej odolnosti finančného sektora a o zmene nariadení (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014, (EÚ) č. 909/2014 a (EÚ) 2016/1011 (Ú. v. EÚ L 333, 27.12.2022, s. 1).“;"

*6

| b) | v odseku 5 sa druhý a tretí pododsek nahrádzajú takto:

  „Investičná spoločnosť musí mať spoľahlivé administratívne a účtovné postupy, mechanizmy vnútornej kontroly a účinné postupy na posudzovanie rizík.
  Bez toho, aby bola dotknutá možnosť príslušných orgánov požadovať prístup ku komunikácii v súlade s touto smernicou a nariadením (EÚ) č. 600/2014, investičná spoločnosť musí mať zavedené spoľahlivé bezpečnostné mechanizmy, ktorými sa v súlade s požiadavkami uvedenými v nariadení (EÚ) 2022/2554 zaistí bezpečnosť a overenie prostriedkov na prenos informácií, minimalizuje sa riziko poškodenia údajov a neoprávneného prístupu a predíde sa úniku informácií, pričom sa vždy zachová dôvernosť údajov.“ |
| --- | --- |

b)

v odseku 5 sa druhý a tretí pododsek nahrádzajú takto:

„Investičná spoločnosť musí mať spoľahlivé administratívne a účtovné postupy, mechanizmy vnútornej kontroly a účinné postupy na posudzovanie rizík.

Bez toho, aby bola dotknutá možnosť príslušných orgánov požadovať prístup ku komunikácii v súlade s touto smernicou a nariadením (EÚ) č. 600/2014, investičná spoločnosť musí mať zavedené spoľahlivé bezpečnostné mechanizmy, ktorými sa v súlade s požiadavkami uvedenými v nariadení (EÚ) 2022/2554 zaistí bezpečnosť a overenie prostriedkov na prenos informácií, minimalizuje sa riziko poškodenia údajov a neoprávneného prístupu a predíde sa úniku informácií, pričom sa vždy zachová dôvernosť údajov.“

| 2. | Článok 17 sa mení takto:






  a) | odsek 1 sa nahrádza takto:

  „1.   Investičná spoločnosť, ktorá sa zapája do algoritmického obchodovania, musí mať zavedené účinné systémy a opatrenia na kontrolu rizík vhodné na činnosť, ktorú vykonáva, s cieľom zabezpečiť, aby jej systémy obchodovania boli odolné a mali dostatočnú kapacitu v súlade s požiadavkami uvedenými v kapitole II nariadenia (EÚ) 2022/2554, aby podliehali primeraným prahovým hodnotám obchodovania a limitom a bránili zasielaniu chybných pokynov alebo tomu, aby systém inak fungoval spôsobom, ktorý môže viesť alebo prispieť k narušeniu trhu.
  Takáto spoločnosť musí mať tiež zavedené účinné systémy a opatrenia na kontrolu rizík v snahe zabezpečiť, aby sa systémy obchodovania nemohli použiť na žiadny účel, ktorý je v rozpore s nariadením (EÚ) č. 596/2014 alebo s pravidlami obchodného miesta, s ktorým je spojená.
  Investičná spoločnosť musí mať zavedené účinné opatrenia na zabezpečenie kontinuity činností, aby zvládla akékoľvek zlyhania jej systémov obchodovania, vrátane politiky a plánov kontinuity činností v oblasti IKT a plánov reakcie a obnovy vypracovaných v súlade s článkom 11 nariadenia (EÚ) 2022/2554 a musí zabezpečiť, aby jej systémy boli plne testované a riadne monitorované, aby spĺňali všeobecné požiadavky stanovené v tomto odseku a akékoľvek osobitné požiadavky stanovené v kapitolách II a IV nariadenia (EÚ) 2022/2554.“; |
| --- | --- | --- |

2.

Článok 17 sa mení takto:

a)

odsek 1 sa nahrádza takto:

„1.   Investičná spoločnosť, ktorá sa zapája do algoritmického obchodovania, musí mať zavedené účinné systémy a opatrenia na kontrolu rizík vhodné na činnosť, ktorú vykonáva, s cieľom zabezpečiť, aby jej systémy obchodovania boli odolné a mali dostatočnú kapacitu v súlade s požiadavkami uvedenými v kapitole II nariadenia (EÚ) 2022/2554, aby podliehali primeraným prahovým hodnotám obchodovania a limitom a bránili zasielaniu chybných pokynov alebo tomu, aby systém inak fungoval spôsobom, ktorý môže viesť alebo prispieť k narušeniu trhu.

Takáto spoločnosť musí mať tiež zavedené účinné systémy a opatrenia na kontrolu rizík v snahe zabezpečiť, aby sa systémy obchodovania nemohli použiť na žiadny účel, ktorý je v rozpore s nariadením (EÚ) č. 596/2014 alebo s pravidlami obchodného miesta, s ktorým je spojená.

Investičná spoločnosť musí mať zavedené účinné opatrenia na zabezpečenie kontinuity činností, aby zvládla akékoľvek zlyhania jej systémov obchodovania, vrátane politiky a plánov kontinuity činností v oblasti IKT a plánov reakcie a obnovy vypracovaných v súlade s článkom 11 nariadenia (EÚ) 2022/2554 a musí zabezpečiť, aby jej systémy boli plne testované a riadne monitorované, aby spĺňali všeobecné požiadavky stanovené v tomto odseku a akékoľvek osobitné požiadavky stanovené v kapitolách II a IV nariadenia (EÚ) 2022/2554.“;

| b) | v odseku 7 sa písmeno a) nahrádza takto:






  „a) | podrobností týkajúcich sa organizačných požiadaviek stanovených v odsekoch 1 až 6 iných než v súvislosti s riadením IKT rizika, ktoré sa majú uložiť investičným spoločnostiam, ktoré poskytujú rôzne investičné služby, investičné činnosti a vedľajšie služby alebo ich kombinácie, pričom špecifikácie vo vzťahu k organizačným požiadavkám uvedené v odseku 5 stanovujú osobitné požiadavky pre priamy prístup na trh a pre sponzorovaný prístup tak, aby sa zabezpečilo, že kontroly vykonávané pri sponzorovanom prístupe sú prinajmenšom rovnocenné s tými kontrolami, ktoré platia pre priamy prístup na trh;“ |
| --- | --- | --- |

b)

v odseku 7 sa písmeno a) nahrádza takto:

„a)

podrobností týkajúcich sa organizačných požiadaviek stanovených v odsekoch 1 až 6 iných než v súvislosti s riadením IKT rizika, ktoré sa majú uložiť investičným spoločnostiam, ktoré poskytujú rôzne investičné služby, investičné činnosti a vedľajšie služby alebo ich kombinácie, pričom špecifikácie vo vzťahu k organizačným požiadavkám uvedené v odseku 5 stanovujú osobitné požiadavky pre priamy prístup na trh a pre sponzorovaný prístup tak, aby sa zabezpečilo, že kontroly vykonávané pri sponzorovanom prístupe sú prinajmenšom rovnocenné s tými kontrolami, ktoré platia pre priamy prístup na trh;“

| 3. | V článku 47 sa odsek 1 mení takto:






  a) | písmeno b) sa nahrádza takto:






  „b) | bol primerane vybavený na riadenie rizík, ktorým je vystavený, vrátane riadenia IKT rizika podľa kapitoly II nariadenia (EÚ) 2022/2554, zaviedol vhodné opatrenia a systémy na identifikáciu závažných rizík ohrozujúcich jeho prevádzku a zaviedol účinné opatrenia na zmiernenie týchto rizík.“; |
| --- | --- | --- | --- |

3.

V článku 47 sa odsek 1 mení takto:

a)

písmeno b) sa nahrádza takto:

„b)

bol primerane vybavený na riadenie rizík, ktorým je vystavený, vrátane riadenia IKT rizika podľa kapitoly II nariadenia (EÚ) 2022/2554, zaviedol vhodné opatrenia a systémy na identifikáciu závažných rizík ohrozujúcich jeho prevádzku a zaviedol účinné opatrenia na zmiernenie týchto rizík.“;

| b) | písmeno c) sa vypúšťa. |
| --- | --- |

b)

písmeno c) sa vypúšťa.

| 4. | Článok 48 sa mení takto:






  a) | odsek 1 sa nahrádza takto:

  „1.   Členské štáty vyžadujú, aby si regulované trhy vytvorili a udržiavali prevádzkovú odolnosť v súlade s požiadavkami uvedenými v kapitole II nariadenia (EÚ) 2022/2554 s cieľom zabezpečiť, aby ich systémy obchodovania boli odolné, mali dostatočné kapacity na zvládnutie prudko zvýšeného objemu pokynov a správ, dokázali zaručiť riadne obchodovanie v podmienkach veľmi napätého trhu, boli úplne otestované na zabezpečenie splnenia týchto podmienok a podliehali účinným opatreniam na zaistenie kontinuity činností vrátane politiky a plánov kontinuity činností v oblasti IKT a plánov reakcie a obnovy v oblasti IKT vypracovaných v súlade s článkom 11 nariadenia (EÚ) 2022/2554, s cieľom zabezpečiť kontinuitu svojich služieb, ak dôjde k akémukoľvek zlyhaniu ich systémov obchodovania.“; |
| --- | --- | --- |

4.

Článok 48 sa mení takto:

a)

odsek 1 sa nahrádza takto:

„1.   Členské štáty vyžadujú, aby si regulované trhy vytvorili a udržiavali prevádzkovú odolnosť v súlade s požiadavkami uvedenými v kapitole II nariadenia (EÚ) 2022/2554 s cieľom zabezpečiť, aby ich systémy obchodovania boli odolné, mali dostatočné kapacity na zvládnutie prudko zvýšeného objemu pokynov a správ, dokázali zaručiť riadne obchodovanie v podmienkach veľmi napätého trhu, boli úplne otestované na zabezpečenie splnenia týchto podmienok a podliehali účinným opatreniam na zaistenie kontinuity činností vrátane politiky a plánov kontinuity činností v oblasti IKT a plánov reakcie a obnovy v oblasti IKT vypracovaných v súlade s článkom 11 nariadenia (EÚ) 2022/2554, s cieľom zabezpečiť kontinuitu svojich služieb, ak dôjde k akémukoľvek zlyhaniu ich systémov obchodovania.“;

| b) | odsek 6 sa nahrádza takto:

  „6.   Členské štáty vyžadujú, aby regulovaný trh mal zavedené účinné systémy, postupy a opatrenia vrátane stanovenia povinnosti, aby členovia alebo účastníci vykonávali vhodné testovanie algoritmov, a vytvorenia podmienok, ktoré takéto testovanie v súlade s požiadavkami stanovenými v kapitolách II a IV nariadenia (EÚ) 2022/2554 umožnia, s cieľom zabezpečiť, aby systémy algoritmického obchodovania nemohli viesť alebo prispieť k narušovaniu podmienok obchodovania na danom trhu, a zvládnuť akékoľvek narušenie podmienok obchodovania, ktoré vyplýva z takýchto systémov algoritmického obchodovania, vrátane systémov na obmedzenie podielu nevykonaných pokynov na transakciách, ktoré môže do systému vkladať člen alebo účastník, aby bolo možné spomaliť tok pokynov, ak hrozí dosiahnutie úplnej kapacity systému, a obmedziť a presadiť minimálnu veľkosť tiku, ktorý možno vykonať na trhu.“; |
| --- | --- |

b)

odsek 6 sa nahrádza takto:

„6.   Členské štáty vyžadujú, aby regulovaný trh mal zavedené účinné systémy, postupy a opatrenia vrátane stanovenia povinnosti, aby členovia alebo účastníci vykonávali vhodné testovanie algoritmov, a vytvorenia podmienok, ktoré takéto testovanie v súlade s požiadavkami stanovenými v kapitolách II a IV nariadenia (EÚ) 2022/2554 umožnia, s cieľom zabezpečiť, aby systémy algoritmického obchodovania nemohli viesť alebo prispieť k narušovaniu podmienok obchodovania na danom trhu, a zvládnuť akékoľvek narušenie podmienok obchodovania, ktoré vyplýva z takýchto systémov algoritmického obchodovania, vrátane systémov na obmedzenie podielu nevykonaných pokynov na transakciách, ktoré môže do systému vkladať člen alebo účastník, aby bolo možné spomaliť tok pokynov, ak hrozí dosiahnutie úplnej kapacity systému, a obmedziť a presadiť minimálnu veľkosť tiku, ktorý možno vykonať na trhu.“;

| c) | odsek 12 sa mení takto:






  i) | písmeno a) sa nahrádza takto:






  „a) | požiadavky na zabezpečenie odolnosti a primeranej kapacity systémov obchodovania regulovaných trhov s výnimkou požiadaviek týkajúcich sa digitálnej prevádzkovej odolnosti;“; |
| --- | --- | --- | --- |

c)

odsek 12 sa mení takto:

i)

písmeno a) sa nahrádza takto:

„a)

požiadavky na zabezpečenie odolnosti a primeranej kapacity systémov obchodovania regulovaných trhov s výnimkou požiadaviek týkajúcich sa digitálnej prevádzkovej odolnosti;“;

| ii) | písmeno g) sa nahrádza takto:






  „g) | požiadavky na zaručenie primeraného testovania algoritmov iného než testovanie digitálnej prevádzkovej odolnosti s cieľom zabezpečiť, aby systémy algoritmického obchodovania vrátane systémov vysokofrekvenčného algoritmického obchodovania nemohli viesť alebo prispieť k narušovaniu podmienok obchodovania na danom trhu.“ |
| --- | --- | --- |

ii)

písmeno g) sa nahrádza takto:

„g)

požiadavky na zaručenie primeraného testovania algoritmov iného než testovanie digitálnej prevádzkovej odolnosti s cieľom zabezpečiť, aby systémy algoritmického obchodovania vrátane systémov vysokofrekvenčného algoritmického obchodovania nemohli viesť alebo prispieť k narušovaniu podmienok obchodovania na danom trhu.“

Článok 7

Zmeny smernice (EÚ) 2015/2366

Smernica (EÚ) 2015/2366 sa mení takto:

| 1. | V článku 3 sa písmeno j nahrádza takto:






  „j) | služby zabezpečované poskytovateľmi technických služieb, ktorí podporujú poskytovanie platobných služieb bez toho, aby v ktorejkoľvek fáze mali v držbe finančné prostriedky určené na prevod, vrátane spracovania a uchovávania údajov, ochrany zverených prostriedkov a služieb ochrany súkromia, autentifikácie údajov a totožnosti, zabezpečovania informačných a komunikačných technológií (IKT) a komunikačných sietí, zabezpečovania a údržby terminálov a zariadení používaných pri platobných službách, s výnimkou platobných iniciačných služieb a služieb informovania o účte;“ |
| --- | --- | --- |

1.

V článku 3 sa písmeno j nahrádza takto:

„j)

služby zabezpečované poskytovateľmi technických služieb, ktorí podporujú poskytovanie platobných služieb bez toho, aby v ktorejkoľvek fáze mali v držbe finančné prostriedky určené na prevod, vrátane spracovania a uchovávania údajov, ochrany zverených prostriedkov a služieb ochrany súkromia, autentifikácie údajov a totožnosti, zabezpečovania informačných a komunikačných technológií (IKT) a komunikačných sietí, zabezpečovania a údržby terminálov a zariadení používaných pri platobných službách, s výnimkou platobných iniciačných služieb a služieb informovania o účte;“

| 2. | Článok 5 ods. 1 sa mení takto:






  a) | prvý pododsek sa mení takto:






  i) | písmeno e) sa nahrádza takto:






  „e) | s opisom mechanizmov riadenia a vnútornej kontroly žiadateľa vrátane administratívnych postupov, postupov riadenia rizík a účtovných postupov, ako aj mechanizmov pre využívanie IKT služieb v súlade s nariadením Európskeho parlamentu a Rady (EÚ) 2022/2554 (*7), ktorý preukazuje, že tieto mechanizmy riadenia a vnútornej kontroly sú primerané, riadne, správne a vhodné; |
| --- | --- | --- | --- | --- |

2.

Článok 5 ods. 1 sa mení takto:

a)

prvý pododsek sa mení takto:

i)

písmeno e) sa nahrádza takto:

„e)

s opisom mechanizmov riadenia a vnútornej kontroly žiadateľa vrátane administratívnych postupov, postupov riadenia rizík a účtovných postupov, ako aj mechanizmov pre využívanie IKT služieb v súlade s nariadením Európskeho parlamentu a Rady (EÚ) 2022/2554 (*7), ktorý preukazuje, že tieto mechanizmy riadenia a vnútornej kontroly sú primerané, riadne, správne a vhodné;

*7

(*7)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554 zo 14. decembra 2022 o digitálnej prevádzkovej odolnosti finančného sektora a o zmene nariadení (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014, (EÚ) č. 909/2014 a (EÚ) 2016/1011 (Ú. v. EÚ L 333, 27.12.2022, s. 1).“;"

*7

| ii) | písmeno f) sa nahrádza takto:






  „f) | s opisom zavedeného postupu na monitorovanie, riešenie a sledovanie bezpečnostného incidentu a sťažností zákazníkov týkajúcich sa bezpečnosti, a to vrátane mechanizmu podávania správ o incidente, ktorý zahŕňa oznamovacie povinnosti platobnej inštitúcie stanovené v kapitole III nariadenia (EÚ) 2022/2554;“; |
| --- | --- | --- |

ii)

písmeno f) sa nahrádza takto:

„f)

s opisom zavedeného postupu na monitorovanie, riešenie a sledovanie bezpečnostného incidentu a sťažností zákazníkov týkajúcich sa bezpečnosti, a to vrátane mechanizmu podávania správ o incidente, ktorý zahŕňa oznamovacie povinnosti platobnej inštitúcie stanovené v kapitole III nariadenia (EÚ) 2022/2554;“;

| iii) | písmeno h) sa nahrádza takto:






  „h) | s opisom mechanizmov na zabezpečenie kontinuity činností vrátane jasnej identifikácie kritických operácií, účinných politík a plánov kontinuity činností v oblasti IKT a plánov reakcie a obnovy v oblasti IKT a postupu na pravidelné testovanie a skúmanie vhodnosti a efektívnosti takýchto plánov v súlade s nariadením (EÚ) 2022/2554;“; |
| --- | --- | --- |

iii)

písmeno h) sa nahrádza takto:

„h)

s opisom mechanizmov na zabezpečenie kontinuity činností vrátane jasnej identifikácie kritických operácií, účinných politík a plánov kontinuity činností v oblasti IKT a plánov reakcie a obnovy v oblasti IKT a postupu na pravidelné testovanie a skúmanie vhodnosti a efektívnosti takýchto plánov v súlade s nariadením (EÚ) 2022/2554;“;

| b) | tretí pododsek sa nahrádza takto:

  „Opatrenia týkajúce sa bezpečnostnej kontroly a zmiernenia rizík uvedené prvom pododseku písm. j) obsahujú informácie o tom, ako sa nimi zabezpečuje vysoká úroveň digitálnej prevádzkovej odolnosti v súlade s kapitolou II nariadenia (EÚ) 2022/2554 najmä vo vzťahu k technickej bezpečnosti a ochrane údajov, a to aj vo vzťahu k softvéru a IKT systémom, ktoré používa žiadateľ alebo podniky, ktoré pre neho externe vykonávajú celú činnosť alebo jej časť. Uvedené opatrenia zahŕňajú aj bezpečnostné opatrenia stanovené v článku 95 ods. 1 tejto smernice. V uvedených opatreniach sa zohľadňujú usmernenia orgánu EBA o bezpečnostných opatreniach uvedené v článku 95 ods. 3 tejto smernice, ak sú zavedené.“ |
| --- | --- |

b)

tretí pododsek sa nahrádza takto:

„Opatrenia týkajúce sa bezpečnostnej kontroly a zmiernenia rizík uvedené prvom pododseku písm. j) obsahujú informácie o tom, ako sa nimi zabezpečuje vysoká úroveň digitálnej prevádzkovej odolnosti v súlade s kapitolou II nariadenia (EÚ) 2022/2554 najmä vo vzťahu k technickej bezpečnosti a ochrane údajov, a to aj vo vzťahu k softvéru a IKT systémom, ktoré používa žiadateľ alebo podniky, ktoré pre neho externe vykonávajú celú činnosť alebo jej časť. Uvedené opatrenia zahŕňajú aj bezpečnostné opatrenia stanovené v článku 95 ods. 1 tejto smernice. V uvedených opatreniach sa zohľadňujú usmernenia orgánu EBA o bezpečnostných opatreniach uvedené v článku 95 ods. 3 tejto smernice, ak sú zavedené.“

| 3. | V článku 19 ods. 6 sa druhý pododsek nahrádza takto:

  „Externé vykonávanie činností sa nesmie v prípade významných prevádzkových úloh vrátane IKT systémov uskutočniť spôsobom, ktorým by sa podstatne narušila kvalita vnútornej kontroly platobnej inštitúcie a schopnosť príslušných orgánov monitorovať a vysledovať dodržiavanie všetkých povinností stanovených v tejto smernici zo strany platobnej inštitúcie.“ |
| --- | --- |

3.

V článku 19 ods. 6 sa druhý pododsek nahrádza takto:

„Externé vykonávanie činností sa nesmie v prípade významných prevádzkových úloh vrátane IKT systémov uskutočniť spôsobom, ktorým by sa podstatne narušila kvalita vnútornej kontroly platobnej inštitúcie a schopnosť príslušných orgánov monitorovať a vysledovať dodržiavanie všetkých povinností stanovených v tejto smernici zo strany platobnej inštitúcie.“

| 4. | V článku 95 ods. 1 sa dopĺňa tento pododsek:

  „Povinnosťou uvedenou v prvom pododseku nie je dotknuté uplatňovanie kapitoly II nariadenia (EÚ) 2022/2554 na:






  a) | poskytovateľov platobných služieb uvedených v článku 1 ods. 1 písm. a), b) a d) tejto smernice, |
| --- | --- | --- |

4.

V článku 95 ods. 1 sa dopĺňa tento pododsek:

„Povinnosťou uvedenou v prvom pododseku nie je dotknuté uplatňovanie kapitoly II nariadenia (EÚ) 2022/2554 na:

a)

poskytovateľov platobných služieb uvedených v článku 1 ods. 1 písm. a), b) a d) tejto smernice,

| b) | poskytovateľov služieb informovania o účte uvedených v článku 33 ods. 1 tejto smernice, |
| --- | --- |

b)

poskytovateľov služieb informovania o účte uvedených v článku 33 ods. 1 tejto smernice,

| c) | platobné inštitúcie vyňaté podľa článku 32 ods. 1 tejto smernice a |
| --- | --- |

c)

platobné inštitúcie vyňaté podľa článku 32 ods. 1 tejto smernice a

| d) | inštitúcie elektronického peňažníctva, na ktoré sa vzťahuje výnimka uvedená v článku 9 ods. 1 smernice 2009/110/ES;“ |
| --- | --- |

d)

inštitúcie elektronického peňažníctva, na ktoré sa vzťahuje výnimka uvedená v článku 9 ods. 1 smernice 2009/110/ES;“

| 5. | V článku 96 sa dopĺňa tento odsek:

  „7.   Členské štáty zabezpečia, aby sa odseky 1 až 5 tohto článku neuplatňovali na:






  a) | poskytovateľov platobných služieb uvedených v článku 1 ods. 1 písm. a), b) a d) tejto smernice, |
| --- | --- | --- |

5.

V článku 96 sa dopĺňa tento odsek:

„7.   Členské štáty zabezpečia, aby sa odseky 1 až 5 tohto článku neuplatňovali na:

a)

poskytovateľov platobných služieb uvedených v článku 1 ods. 1 písm. a), b) a d) tejto smernice,

| b) | poskytovateľov služieb informovania o účte uvedených v článku 33 ods. 1 tejto smernice, |
| --- | --- |

b)

poskytovateľov služieb informovania o účte uvedených v článku 33 ods. 1 tejto smernice,

| c) | platobné inštitúcie vyňaté podľa článku 32 ods. 1 tejto smernice a |
| --- | --- |

c)

platobné inštitúcie vyňaté podľa článku 32 ods. 1 tejto smernice a

| d) | inštitúcie elektronického peňažníctva, na ktoré sa vzťahuje výnimka uvedená v článku 9 ods. 1 smernice 2009/110/ES.“ |
| --- | --- |

d)

inštitúcie elektronického peňažníctva, na ktoré sa vzťahuje výnimka uvedená v článku 9 ods. 1 smernice 2009/110/ES.“

| 6. | V článku 98 sa odsek 5 nahrádza takto:

  „5.   EBA v súlade s článkom 10 nariadenia (EÚ) č. 1093/2010 pravidelne preskúmava a v prípade potreby aktualizuje regulačné technické predpisy, aby sa okrem iného zohľadnili inovácie a technologický vývoj a ustanovenia kapitoly II nariadenia (EÚ) 2022/2554.“ |
| --- | --- |

6.

V článku 98 sa odsek 5 nahrádza takto:

„5.   EBA v súlade s článkom 10 nariadenia (EÚ) č. 1093/2010 pravidelne preskúmava a v prípade potreby aktualizuje regulačné technické predpisy, aby sa okrem iného zohľadnili inovácie a technologický vývoj a ustanovenia kapitoly II nariadenia (EÚ) 2022/2554.“

Článok 8

Zmeny smernice (EÚ) 2016/2341

Článok 21 ods. 5 smernice (EÚ) 2016/2341 sa nahrádza takto:

„5.   Členské štáty zabezpečia, aby IZDZ prijali primerané kroky na zabezpečenie kontinuity a regulárnosti výkonu svojich činností vrátane vypracovania záložných plánov. Na uvedený účel IZDZ využíva vhodné a primerané systémy, zdroje a postupy a v príslušných prípadoch najmä zriadi a spravuje siete a informačné systémy v súlade s nariadením Európskeho parlamentu a Rady (EÚ) 2022/2554 (*8)

Článok 9

Transpozícia

1.   Členské štáty prijmú a uverejnia do 17. januára 2025 opatrenia potrebné na dosiahnutie súladu s touto smernicou Bezodkladne o tom informujú Komisiu.

Tieto opatrenia uplatňujú od 17. januára 2025.

Členské štáty uvedú priamo v prijatých opatreniach alebo pri ich úradnom uverejnení odkaz na túto smernicu. Podrobnosti o odkaze upravia členské štáty.

2.   Členské štáty oznámia Komisii znenie hlavných opatrení vnútroštátneho práva, ktoré prijmú v oblasti pôsobnosti tejto smernice.

Článok 10

Nadobudnutie účinnosti

Táto smernica nadobúda účinnosť dvadsiatym dňom po jej uverejnení v Úradnom vestníku Európskej únie.

Úradnom vestníku Európskej únie

Článok 11

Adresáti

Táto smernica je určená členským štátom.

V Štrasburgu 14. decembra 2022

Za Európsky parlament

predsedníčka

R. METSOLA

Za Radu

predseda

M. BEK

---

(1)  
  Ú. v. EÚ C 343, 26.8.2021, s. 1.

1

(2)  
  Ú. v. EÚ C 155, 30.4.2021, s. 38.

2

(3)  Pozícia Európskeho parlamentu z 10. novembra 2022 (zatiaľ neuverejnená v úradnom vestníku) a rozhodnutie Rady z 28. novembra 2022.

3

(4)  Smernica Európskeho parlamentu a Rady 2009/65/ES z 13. júla 2009 o koordinácii zákonov, iných právnych predpisov a správnych opatrení týkajúcich sa podnikov kolektívneho investovania do prevoditeľných cenných papierov (PKIPCP) (Ú. v. EÚ L 302, 17.11.2009, s. 32).

4

(5)  Smernica Európskeho parlamentu a Rady 2009/138/ES z 25. novembra 2009 o začatí a vykonávaní poistenia a zaistenia (Solventnosť II) (Ú. v. EÚ L 335, 17.12.2009, s. 1).

5

(6)  Smernica Európskeho parlamentu a Rady 2011/61/EÚ z 8. júna 2011 o správcoch alternatívnych investičných fondov a o zmene a doplnení smerníc 2003/41/ES a 2009/65/ES a nariadení (ES) č. 1060/2009 a (EÚ) č. 1095/2010 (Ú. v. EÚ L 174, 1.7.2011, s. 1).

6

(7)  Smernica Európskeho parlamentu a Rady 2013/36/EÚ z 26. júna 2013 o prístupe k činnosti úverových inštitúcií a prudenciálnom dohľade nad úverovými inštitúciami, o zmene smernice 2002/87/ES a o zrušení smerníc 2006/48/ES a 2006/49/ES (Ú. v. EÚ L 176, 27.6.2013, s. 338).

7

(8)  Smernica Európskeho parlamentu a Rady 2014/59/EÚ z 15. mája 2014, ktorou sa stanovuje rámec pre ozdravenie a riešenie krízových situácií úverových inštitúcií a investičných spoločností a ktorou sa mení smernica Rady 82/891/EHS a smernice Európskeho parlamentu a Rady 2001/24/ES, 2002/47/ES, 2004/25/ES, 2005/56/ES, 2007/36/ES, 2011/35/EÚ, 2012/30/EÚ a 2013/36/EÚ a nariadenia Európskeho parlamentu a Rady (EÚ) č. 1093/2010 a (EÚ) č. 648/2012 (Ú. v. EÚ L 173, 12.6.2014, s. 190).

8

(9)  Smernica Európskeho parlamentu a Rady 2014/65/EÚ z 15. mája 2014 o trhoch s finančnými nástrojmi, ktorou sa mení smernica 2002/92/ES a smernica 2011/61/EÚ (Ú. v. EÚ L 173, 12.6.2014, s. 349).

9

(10)  Smernica Európskeho parlamentu a Rady (EÚ) 2015/2366 z 25. novembra 2015 o platobných službách na vnútornom trhu, ktorou sa menia smernice 2002/65/ES, 2009/110/ES a 2013/36/EÚ a nariadenie (EÚ) č. 1093/2010, a ktorou sa zrušuje smernica 2007/64/ES (Ú. v. EÚ L 337, 23.12.2015, s. 35).

10

(11)  Smernica Európskeho parlamentu a Rady (EÚ) 2016/2341 zo 14. decembra 2016 o činnostiach inštitúcií zamestnaneckého dôchodkového zabezpečenia (IZDZ) a o dohľade nad nimi (Ú. v. EÚ L 354, 23.12.2016, s. 37).

11

(12)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554 zo 14. decembra 2022 o digitálnej prevádzkovej odolnosti finančného sektora a o zmene nariadení (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014, (EÚ) č. 909/2014 a (EÚ) 2016/1011 (Pozri stranu 1 tohto úradného vestníka).

12

(13)  Nariadenie Európskeho parlamentu a Rady (EÚ) č. 1093/2010 z 24. novembra 2010, ktorým sa zriaďuje Európsky orgán dohľadu (Európsky orgán pre bankovníctvo) a ktorým sa mení a dopĺňa rozhodnutie č. 716/2009/ES a zrušuje rozhodnutie Komisie 2009/78/ES (Ú. v. EÚ L 331, 15.12.2010, s. 12).

13

(14)  
  Ú. v. EÚ C 369, 17.12.2011, s. 14.

14

---

| 27.12.2022 | SK | Úradný vestník Európskej únie | L 333/164 |
| --- | --- | --- | --- |

27.12.2022

SK

Úradný vestník Európskej únie

L 333/164

---

SMERNICA EURÓPSKEHO PARLAMENTU A RADY (EÚ) 2022/2557

zo 14. decembra 2022

o odolnosti kritických subjektov a o zrušení smernice Rady 2008/114/ES

(Text s významom pre EHP)

EURÓPSKY PARLAMENT A RADA EURÓPSKEJ ÚNIE,

so zreteľom na Zmluvu o fungovaní Európskej únie, a najmä na jej článok 114,

so zreteľom na návrh Európskej komisie,

po postúpení návrhu legislatívneho aktu národným parlamentom,

so zreteľom na stanovisko Európskeho hospodárskeho a sociálneho výboru (1),

so zreteľom na stanovisko Výboru regiónov (2),

konajúc v súlade s riadnym legislatívnym postupom (3),

keďže:

| (1) | Kritické subjekty ako poskytovatelia základných služieb zohrávajú nenahraditeľnú úlohu pri udržiavaní životne dôležitých spoločenských funkcií alebo hospodárskych činností na vnútornom trhu v čoraz vzájomne závislejšom hospodárstve Únie. Preto má zásadný význam zriadiť rámec uplatniteľný v Únii, ktorého cieľom je posilnenie odolnosti kritických subjektov na vnútornom trhu ustanovením harmonizovaných minimálnych pravidiel, ako aj poskytovaním pomoci týmto subjektom prostredníctvom koherentných a cielených opatrení v oblasti podpory a dohľadu. |
| --- | --- |

(1)

Kritické subjekty ako poskytovatelia základných služieb zohrávajú nenahraditeľnú úlohu pri udržiavaní životne dôležitých spoločenských funkcií alebo hospodárskych činností na vnútornom trhu v čoraz vzájomne závislejšom hospodárstve Únie. Preto má zásadný význam zriadiť rámec uplatniteľný v Únii, ktorého cieľom je posilnenie odolnosti kritických subjektov na vnútornom trhu ustanovením harmonizovaných minimálnych pravidiel, ako aj poskytovaním pomoci týmto subjektom prostredníctvom koherentných a cielených opatrení v oblasti podpory a dohľadu.

| (2) | V smernici Rady 2008/114/ES (4) sa stanovuje postup na označenie európskej kritickej infraštruktúry v odvetviach energetiky a dopravy, ktorých narušenie alebo zničenie by malo významný cezhraničný vplyv na najmenej dva členské štáty. Uvedená smernica sa zameriava výlučne na ochranu takejto infraštruktúry. Pri hodnotení smernice 2008/114/ES, ktoré sa uskutočnilo v roku 2019, sa však zistilo, že vzhľadom na čoraz prepojenejšiu a cezhraničnú povahu operácií využívajúcich kritickú infraštruktúru nie sú ochranné opatrenia týkajúce sa len jednotlivých aktív dostatočné na to, aby zabránili všetkým narušeniam. Preto je potrebné zmeniť prístup smerom k lepšiemu zohľadňovaniu rizík, lepšie vymedziť a zosúladiť úlohu a povinnosti kritických subjektov ako poskytovateľov služieb nevyhnutných pre fungovanie vnútorného trhu a prijať pravidlá platné v Únii s cieľom zvýšiť odolnosť kritických subjektov. Kritické subjekty by mali byť schopné posilniť svoju schopnosť predchádzať incidentom, ktoré majú potenciál narušiť poskytovanie základných služieb, chrániť sa pred nimi, reagovať na ne, odolávať im, zmierňovať ich, absorbovať ich, prispôsobovať sa im a zotaviť sa z nich. |
| --- | --- |

(2)

V smernici Rady 2008/114/ES (4) sa stanovuje postup na označenie európskej kritickej infraštruktúry v odvetviach energetiky a dopravy, ktorých narušenie alebo zničenie by malo významný cezhraničný vplyv na najmenej dva členské štáty. Uvedená smernica sa zameriava výlučne na ochranu takejto infraštruktúry. Pri hodnotení smernice 2008/114/ES, ktoré sa uskutočnilo v roku 2019, sa však zistilo, že vzhľadom na čoraz prepojenejšiu a cezhraničnú povahu operácií využívajúcich kritickú infraštruktúru nie sú ochranné opatrenia týkajúce sa len jednotlivých aktív dostatočné na to, aby zabránili všetkým narušeniam. Preto je potrebné zmeniť prístup smerom k lepšiemu zohľadňovaniu rizík, lepšie vymedziť a zosúladiť úlohu a povinnosti kritických subjektov ako poskytovateľov služieb nevyhnutných pre fungovanie vnútorného trhu a prijať pravidlá platné v Únii s cieľom zvýšiť odolnosť kritických subjektov. Kritické subjekty by mali byť schopné posilniť svoju schopnosť predchádzať incidentom, ktoré majú potenciál narušiť poskytovanie základných služieb, chrániť sa pred nimi, reagovať na ne, odolávať im, zmierňovať ich, absorbovať ich, prispôsobovať sa im a zotaviť sa z nich.

| (3) | Hoci sa na podporu ochrany kritickej infraštruktúry v Únii zameriava niekoľko opatrení na úrovni Únie, ako je Európsky program na ochranu kritickej infraštruktúry, aj na vnútroštátnej úrovni, malo by sa vyvinúť väčšie úsilie o kvalitnejšie vybavenie subjektov, ktoré takú infraštruktúru prevádzkujú, aby mohli čeliť tým rizikám ohrozujúcim ich prevádzku, ktoré by mohli spôsobiť narušenie poskytovania základných služieb. Viac by sa tiež malo urobiť na zlepšenie vybavenia, pretože dochádza k dynamickej panoráme hrozieb, ktorá zahŕňa vyvíjajúce sa hybridné a teroristické hrozby, a k rastúcej vzájomnej závislosti medzi infraštruktúrou a odvetviami. Okrem toho existuje zvýšené fyzické riziko v dôsledku prírodných katastrof a zmeny klímy, ktorá zintenzívňuje frekvenciu a rozsah extrémnych výkyvov počasia a prináša dlhodobé zmeny priemerných klimatických podmienok, ktoré môžu znížiť kapacitu, efektívnosť a životnosť určitých typov infraštruktúry, ak sa nezavedú opatrenia na adaptáciu na zmenu klímy. Vnútorný trh okrem toho charakterizuje fragmentácia, pokiaľ ide o identifikáciu kritických subjektov, pretože príslušné odvetvia a kategórie subjektov nie sú vo všetkých členských štátoch konzistentne uznávané ako kritické. Touto smernicou by sa preto mala dosiahnuť solídna úroveň harmonizácie, pokiaľ ide o odvetvia a kategórie subjektov, ktoré patria do rozsahu jej pôsobnosti. |
| --- | --- |

(3)

Hoci sa na podporu ochrany kritickej infraštruktúry v Únii zameriava niekoľko opatrení na úrovni Únie, ako je Európsky program na ochranu kritickej infraštruktúry, aj na vnútroštátnej úrovni, malo by sa vyvinúť väčšie úsilie o kvalitnejšie vybavenie subjektov, ktoré takú infraštruktúru prevádzkujú, aby mohli čeliť tým rizikám ohrozujúcim ich prevádzku, ktoré by mohli spôsobiť narušenie poskytovania základných služieb. Viac by sa tiež malo urobiť na zlepšenie vybavenia, pretože dochádza k dynamickej panoráme hrozieb, ktorá zahŕňa vyvíjajúce sa hybridné a teroristické hrozby, a k rastúcej vzájomnej závislosti medzi infraštruktúrou a odvetviami. Okrem toho existuje zvýšené fyzické riziko v dôsledku prírodných katastrof a zmeny klímy, ktorá zintenzívňuje frekvenciu a rozsah extrémnych výkyvov počasia a prináša dlhodobé zmeny priemerných klimatických podmienok, ktoré môžu znížiť kapacitu, efektívnosť a životnosť určitých typov infraštruktúry, ak sa nezavedú opatrenia na adaptáciu na zmenu klímy. Vnútorný trh okrem toho charakterizuje fragmentácia, pokiaľ ide o identifikáciu kritických subjektov, pretože príslušné odvetvia a kategórie subjektov nie sú vo všetkých členských štátoch konzistentne uznávané ako kritické. Touto smernicou by sa preto mala dosiahnuť solídna úroveň harmonizácie, pokiaľ ide o odvetvia a kategórie subjektov, ktoré patria do rozsahu jej pôsobnosti.

| (4) | Hoci určité odvetvia hospodárstva, ako napríklad odvetvia energetiky a dopravy, sú už regulované odvetvovými právnymi aktmi Únie, uvedené právne akty obsahujú pravidlá týkajúce sa len určitých aspektov odolnosti subjektov pôsobiacich v týchto odvetviach. S cieľom komplexne upraviť otázku odolnosti subjektov, ktoré sú kritické pre riadne fungovanie vnútorného trhu, sa touto smernicou vytvára zastrešujúci rámec, ktorým sa upravuje otázka odolnosti kritických subjektov, pokiaľ ide o všetky nebezpečenstvá, či už prírodné alebo spôsobené ľudskou činnosťou, náhodné alebo úmyselné. |
| --- | --- |

(4)

Hoci určité odvetvia hospodárstva, ako napríklad odvetvia energetiky a dopravy, sú už regulované odvetvovými právnymi aktmi Únie, uvedené právne akty obsahujú pravidlá týkajúce sa len určitých aspektov odolnosti subjektov pôsobiacich v týchto odvetviach. S cieľom komplexne upraviť otázku odolnosti subjektov, ktoré sú kritické pre riadne fungovanie vnútorného trhu, sa touto smernicou vytvára zastrešujúci rámec, ktorým sa upravuje otázka odolnosti kritických subjektov, pokiaľ ide o všetky nebezpečenstvá, či už prírodné alebo spôsobené ľudskou činnosťou, náhodné alebo úmyselné.

| (5) | Rastúce vzájomné závislosti medzi infraštruktúrou a odvetviami sú výsledkom čoraz viac cezhraničnej a vzájomne závislej siete poskytovania služieb využívajúcej kľúčovú infraštruktúru v celej Únii v odvetviach energetiky, dopravy, bankovníctva, pitnej vody, odpadovej vody, výroby, spracúvania a distribúcie potravín, zdravotníctva, vesmíru, infraštruktúry finančného trhu a digitálnej infraštruktúry a v určitých aspektoch sektora verejnej správy. Vesmírny sektor patrí do rozsahu pôsobnosti tejto smernice, pokiaľ ide o poskytovanie určitých služieb, ktoré sú závislé od pozemnej infraštruktúry vlastnenej, riadenej a prevádzkovanej členskými štátmi alebo súkromnými subjektmi; preto infraštruktúra, ktorú vlastní, riadi alebo prevádzkuje Únia ako súčasť svojho vesmírneho programu, alebo je vlastnená, riadená alebo prevádzkovaná v jej mene, nepatrí do rozsahu pôsobnosti tejto smernice.
  Čo sa týka odvetvia energetiky a konkrétne metód výroby a prenosu elektrickej energie (pokiaľ ide o dodávku elektrickej energie), rozumie sa, že ak je to vhodné, výroba elektrickej energie môže zahŕňať časti jadrových elektrárni, ktoré slúžia na prenos elektrickej energie, ale výslovne sú z nej vylúčené jadrové prvky, na ktoré sa vzťahujú zmluvy a právo Únie vrátane príslušných právnych aktov Únie týkajúcich sa jadrovej energie. Proces identifikácie kritických subjektov v potravinárskom odvetví by mal primerane odrážať povahu vnútorného trhu v tomto odvetví a rozsiahle pravidlá Únie týkajúce sa všeobecných zásad a požiadaviek potravinového práva a bezpečnosti potravín. S cieľom zabezpečiť primeraný prístup a zodpovedajúco zohľadniť úlohu a význam uvedených subjektov na vnútroštátnej úrovni by sa preto kritické subjekty mali identifikovať len medzi tými potravinárskymi podnikmi, bez ohľadu na to, či ide o ziskové, neziskové, verejné alebo súkromné organizácie, ktoré sa zaoberajú výlučne logistikou a veľkoobchodnou distribúciou a veľkoobjemovou priemyselnou výrobou a spracovaním a majú významný podiel na trhu prejavujúci sa na vnútroštátnej úrovni. Uvedené vzájomné závislosti znamenajú, že akékoľvek narušenie základných služieb, dokonca sprvoti obmedzené na jeden subjekt alebo jedno odvetvie, môže mať kaskádové účinky v širšom meradle, čo môže viesť k ďalekosiahlemu a dlhotrvajúcemu negatívnemu vplyvu na poskytovanie služieb na celom vnútornom trhu. Veľké krízy, ako pandémia ochorenia COVID-19, poukázali na zraniteľnosť našich čoraz prepojenejších spoločností voči rizikám s nízkou pravdepodobnosťou a vysokým vplyvom. |
| --- | --- |

(5)

Rastúce vzájomné závislosti medzi infraštruktúrou a odvetviami sú výsledkom čoraz viac cezhraničnej a vzájomne závislej siete poskytovania služieb využívajúcej kľúčovú infraštruktúru v celej Únii v odvetviach energetiky, dopravy, bankovníctva, pitnej vody, odpadovej vody, výroby, spracúvania a distribúcie potravín, zdravotníctva, vesmíru, infraštruktúry finančného trhu a digitálnej infraštruktúry a v určitých aspektoch sektora verejnej správy. Vesmírny sektor patrí do rozsahu pôsobnosti tejto smernice, pokiaľ ide o poskytovanie určitých služieb, ktoré sú závislé od pozemnej infraštruktúry vlastnenej, riadenej a prevádzkovanej členskými štátmi alebo súkromnými subjektmi; preto infraštruktúra, ktorú vlastní, riadi alebo prevádzkuje Únia ako súčasť svojho vesmírneho programu, alebo je vlastnená, riadená alebo prevádzkovaná v jej mene, nepatrí do rozsahu pôsobnosti tejto smernice.

Čo sa týka odvetvia energetiky a konkrétne metód výroby a prenosu elektrickej energie (pokiaľ ide o dodávku elektrickej energie), rozumie sa, že ak je to vhodné, výroba elektrickej energie môže zahŕňať časti jadrových elektrárni, ktoré slúžia na prenos elektrickej energie, ale výslovne sú z nej vylúčené jadrové prvky, na ktoré sa vzťahujú zmluvy a právo Únie vrátane príslušných právnych aktov Únie týkajúcich sa jadrovej energie. Proces identifikácie kritických subjektov v potravinárskom odvetví by mal primerane odrážať povahu vnútorného trhu v tomto odvetví a rozsiahle pravidlá Únie týkajúce sa všeobecných zásad a požiadaviek potravinového práva a bezpečnosti potravín. S cieľom zabezpečiť primeraný prístup a zodpovedajúco zohľadniť úlohu a význam uvedených subjektov na vnútroštátnej úrovni by sa preto kritické subjekty mali identifikovať len medzi tými potravinárskymi podnikmi, bez ohľadu na to, či ide o ziskové, neziskové, verejné alebo súkromné organizácie, ktoré sa zaoberajú výlučne logistikou a veľkoobchodnou distribúciou a veľkoobjemovou priemyselnou výrobou a spracovaním a majú významný podiel na trhu prejavujúci sa na vnútroštátnej úrovni. Uvedené vzájomné závislosti znamenajú, že akékoľvek narušenie základných služieb, dokonca sprvoti obmedzené na jeden subjekt alebo jedno odvetvie, môže mať kaskádové účinky v širšom meradle, čo môže viesť k ďalekosiahlemu a dlhotrvajúcemu negatívnemu vplyvu na poskytovanie služieb na celom vnútornom trhu. Veľké krízy, ako pandémia ochorenia COVID-19, poukázali na zraniteľnosť našich čoraz prepojenejších spoločností voči rizikám s nízkou pravdepodobnosťou a vysokým vplyvom.

| (6) | Na subjekty zapojené do poskytovania základných služieb sa čoraz viac vzťahujú odlišné požiadavky, ktoré sú im ukladané podľa vnútroštátneho práva. Skutočnosť, že v niektorých členských štátoch sa na tieto subjekty vzťahujú menej prísne bezpečnostné požiadavky, nielenže vedie k odlišným úrovniam odolnosti, ale predstavuje aj riziko negatívne ovplyvňujúce zachovanie životne dôležitých spoločenských funkcií alebo hospodárskych činností v celej Únii a vedie aj k prekážkam riadneho fungovania vnútorného trhu. Investori a podniky sa môžu spoľahnúť na kritické subjekty, ktoré sú odolné, a dôverovať im, a spoľahlivosť a dôvera sú základnými kameňmi dobre fungujúceho vnútorného trhu. Podobné typy subjektov sa v niektorých členských štátoch považujú za kritické a v iných nie, a tie, ktoré sú identifikované ako kritické, podliehajú v rôznych členských štátoch rôznym požiadavkám. To vedie k dodatočnému a zbytočnému administratívnemu zaťaženiu pre spoločnosti, ktoré vykonávajú cezhraničné činnosti, najmä pre spoločnosti pôsobiace v členských štátoch s prísnejšími požiadavkami. Európskym rámcom by sa preto dosiahli aj rovnaké podmienky pre kritické subjekty v celej Únii. |
| --- | --- |

(6)

Na subjekty zapojené do poskytovania základných služieb sa čoraz viac vzťahujú odlišné požiadavky, ktoré sú im ukladané podľa vnútroštátneho práva. Skutočnosť, že v niektorých členských štátoch sa na tieto subjekty vzťahujú menej prísne bezpečnostné požiadavky, nielenže vedie k odlišným úrovniam odolnosti, ale predstavuje aj riziko negatívne ovplyvňujúce zachovanie životne dôležitých spoločenských funkcií alebo hospodárskych činností v celej Únii a vedie aj k prekážkam riadneho fungovania vnútorného trhu. Investori a podniky sa môžu spoľahnúť na kritické subjekty, ktoré sú odolné, a dôverovať im, a spoľahlivosť a dôvera sú základnými kameňmi dobre fungujúceho vnútorného trhu. Podobné typy subjektov sa v niektorých členských štátoch považujú za kritické a v iných nie, a tie, ktoré sú identifikované ako kritické, podliehajú v rôznych členských štátoch rôznym požiadavkám. To vedie k dodatočnému a zbytočnému administratívnemu zaťaženiu pre spoločnosti, ktoré vykonávajú cezhraničné činnosti, najmä pre spoločnosti pôsobiace v členských štátoch s prísnejšími požiadavkami. Európskym rámcom by sa preto dosiahli aj rovnaké podmienky pre kritické subjekty v celej Únii.

| (7) | Je potrebné ustanoviť harmonizované minimálne pravidlá s cieľom zabezpečiť poskytovanie základných služieb na vnútornom trhu, zvýšiť odolnosť kritických subjektov a zlepšiť cezhraničnú spoluprácu príslušných orgánov. Je dôležité, aby tieto pravidlá boli nadčasové, pokiaľ ide o ich povahu a vykonávanie, a zároveň umožňovali potrebnú flexibilitu. Takisto je nevyhnutné zlepšiť schopnosť kritických subjektov poskytovať základné služby v prípade rôznych rizík. |
| --- | --- |

(7)

Je potrebné ustanoviť harmonizované minimálne pravidlá s cieľom zabezpečiť poskytovanie základných služieb na vnútornom trhu, zvýšiť odolnosť kritických subjektov a zlepšiť cezhraničnú spoluprácu príslušných orgánov. Je dôležité, aby tieto pravidlá boli nadčasové, pokiaľ ide o ich povahu a vykonávanie, a zároveň umožňovali potrebnú flexibilitu. Takisto je nevyhnutné zlepšiť schopnosť kritických subjektov poskytovať základné služby v prípade rôznych rizík.

| (8) | Na dosiahnutie vysokej úrovne odolnosti by členské štáty mali identifikovať kritické subjekty, ktoré budú podliehať osobitným požiadavkám a dohľadu a bude im poskytnutá osobitná podpora a poradenstvo v súvislosti so všetkými relevantnými rizikami. |
| --- | --- |

(8)

Na dosiahnutie vysokej úrovne odolnosti by členské štáty mali identifikovať kritické subjekty, ktoré budú podliehať osobitným požiadavkám a dohľadu a bude im poskytnutá osobitná podpora a poradenstvo v súvislosti so všetkými relevantnými rizikami.

| (9) | Vzhľadom na význam kybernetickej bezpečnosti pre odolnosť kritických subjektov a v záujme konzistentnosti by vždy, keď je to možné, mal byť zabezpečený súdržný prístup medzi touto smernicou a smernicou Európskeho parlamentu a Rady (EÚ) 2022/2555 (5). So zreteľom na vyšší výskyt a osobitné črty kybernetických rizík sa smernicou (EÚ) 2022/2555 ukladajú veľkému množstvu subjektov komplexné požiadavky s cieľom zaistiť ich kybernetickú bezpečnosť. Vzhľadom na to, že kybernetická bezpečnosť sa dostatočne upravuje v smernici (EÚ) 2022/2555, záležitosti, na ktoré sa vzťahuje uvedená smernica, by sa mali vylúčiť z rozsahu pôsobnosti tejto smernice, a to bez toho, aby bol dotknutý osobitný režim pre subjekty v odvetví digitálnej infraštruktúry. |
| --- | --- |

(9)

Vzhľadom na význam kybernetickej bezpečnosti pre odolnosť kritických subjektov a v záujme konzistentnosti by vždy, keď je to možné, mal byť zabezpečený súdržný prístup medzi touto smernicou a smernicou Európskeho parlamentu a Rady (EÚ) 2022/2555 (5). So zreteľom na vyšší výskyt a osobitné črty kybernetických rizík sa smernicou (EÚ) 2022/2555 ukladajú veľkému množstvu subjektov komplexné požiadavky s cieľom zaistiť ich kybernetickú bezpečnosť. Vzhľadom na to, že kybernetická bezpečnosť sa dostatočne upravuje v smernici (EÚ) 2022/2555, záležitosti, na ktoré sa vzťahuje uvedená smernica, by sa mali vylúčiť z rozsahu pôsobnosti tejto smernice, a to bez toho, aby bol dotknutý osobitný režim pre subjekty v odvetví digitálnej infraštruktúry.

| (10) | Ak sa v ustanoveniach odvetvových právnych aktov Únie vyžaduje, aby kritické subjekty prijali opatrenia na zvýšenie svojej odolnosti, a ak tieto požiadavky uznali členské štáty za prinajmenšom rovnocenné zodpovedajúcim povinnostiam stanoveným v tejto smernici, príslušné ustanovenia tejto smernice by sa nemali uplatňovať, aby sa zabránilo duplicite a zbytočnému zaťaženiu. V uvedenom prípade by sa mali uplatňovať príslušné ustanovenia takých právnych aktov Únie. Ak sa príslušné ustanovenia tejto smernice neuplatňujú, nemali by sa uplatňovať ani ustanovenia o dohľade a presadzovaní stanovené v tejto smernici. |
| --- | --- |

(10)

Ak sa v ustanoveniach odvetvových právnych aktov Únie vyžaduje, aby kritické subjekty prijali opatrenia na zvýšenie svojej odolnosti, a ak tieto požiadavky uznali členské štáty za prinajmenšom rovnocenné zodpovedajúcim povinnostiam stanoveným v tejto smernici, príslušné ustanovenia tejto smernice by sa nemali uplatňovať, aby sa zabránilo duplicite a zbytočnému zaťaženiu. V uvedenom prípade by sa mali uplatňovať príslušné ustanovenia takých právnych aktov Únie. Ak sa príslušné ustanovenia tejto smernice neuplatňujú, nemali by sa uplatňovať ani ustanovenia o dohľade a presadzovaní stanovené v tejto smernici.

| (11) | Táto smernica nemá vplyv na právomoc členských štátov a ich orgánov, pokiaľ ide o správnu autonómiu alebo ich zodpovednosť za ochranu národnej bezpečnosti a obrany alebo ich právomoc chrániť iné základné funkcie štátu, najmä pokiaľ ide o verejnú bezpečnosť, územnú celistvosť a udržiavanie verejného poriadku. Vylúčenie subjektov verejnej správy z rozsahu pôsobnosti tejto smernice by sa malo vzťahovať na subjekty, ktorých činnosti sa prevažne vykonávajú v oblastiach národnej bezpečnosti, verejnej bezpečnosti, obrany alebo presadzovania práva vrátane vyšetrovania, odhaľovania a stíhania trestných činov. Táto smernica by sa však mala vzťahovať na subjekty verejnej správy, ktorých činnosti s uvedenými oblasťami súvisia len okrajovo. Na účely tejto smernice sa subjekty s regulačnými právomocami nepovažujú za subjekty vykonávajúce činnosti v oblasti presadzovania práva, a preto nie sú na základe uvedeného dôvodu vylúčené z rozsahu pôsobnosti tejto smernice. Subjekty verejnej správy, ktoré sú v súlade s medzinárodnou dohodou zriadené spoločne s treťou krajinou, sú vylúčené z rozsahu pôsobnosti tejto smernice. Táto smernica sa nevzťahuje na diplomatické a konzulárne misie členských štátov v tretích krajinách.
  Určité kritické subjekty vykonávajú činnosti v oblastiach národnej bezpečnosti, verejnej bezpečnosti, obrany alebo presadzovania práva vrátane vyšetrovania, odhaľovania a stíhania trestných činov alebo poskytujú služby výlučne subjektom verejnej správy, ktoré vykonávajú činnosti prevažne v uvedených oblastiach. Vzhľadom na zodpovednosť členských štátov za ochranu národnej bezpečnosti a obrany by členské štáty mali mať možnosť rozhodnúť, že povinnosti kritických subjektov stanovené v tejto smernici sa na tieto kritické subjekty úplne alebo čiastočne neuplatňujú, ak služby, ktoré poskytujú, alebo činnosti, ktoré vykonávajú, súvisia prevažne s oblasťami národnej bezpečnosti, verejnej bezpečnosti, obrany alebo presadzovania práva vrátane vyšetrovania, odhaľovania a stíhania trestných činov. Do rozsahu pôsobnosti tejto smernice by však mali patriť kritické subjekty, ktorých služby alebo činnosti súvisia s uvedenými oblasťami len okrajovo. Od žiadneho členského štátu by sa nemalo požadovať, aby poskytoval informácie, ktorých zverejnenie by odporovalo základným záujmom jeho národnej bezpečnosti. Uplatňujú sa pravidlá Únie alebo vnútroštátne pravidlá na ochranu utajovaných skutočností a dohody o mlčanlivosti. |
| --- | --- |

(11)

Táto smernica nemá vplyv na právomoc členských štátov a ich orgánov, pokiaľ ide o správnu autonómiu alebo ich zodpovednosť za ochranu národnej bezpečnosti a obrany alebo ich právomoc chrániť iné základné funkcie štátu, najmä pokiaľ ide o verejnú bezpečnosť, územnú celistvosť a udržiavanie verejného poriadku. Vylúčenie subjektov verejnej správy z rozsahu pôsobnosti tejto smernice by sa malo vzťahovať na subjekty, ktorých činnosti sa prevažne vykonávajú v oblastiach národnej bezpečnosti, verejnej bezpečnosti, obrany alebo presadzovania práva vrátane vyšetrovania, odhaľovania a stíhania trestných činov. Táto smernica by sa však mala vzťahovať na subjekty verejnej správy, ktorých činnosti s uvedenými oblasťami súvisia len okrajovo. Na účely tejto smernice sa subjekty s regulačnými právomocami nepovažujú za subjekty vykonávajúce činnosti v oblasti presadzovania práva, a preto nie sú na základe uvedeného dôvodu vylúčené z rozsahu pôsobnosti tejto smernice. Subjekty verejnej správy, ktoré sú v súlade s medzinárodnou dohodou zriadené spoločne s treťou krajinou, sú vylúčené z rozsahu pôsobnosti tejto smernice. Táto smernica sa nevzťahuje na diplomatické a konzulárne misie členských štátov v tretích krajinách.

Určité kritické subjekty vykonávajú činnosti v oblastiach národnej bezpečnosti, verejnej bezpečnosti, obrany alebo presadzovania práva vrátane vyšetrovania, odhaľovania a stíhania trestných činov alebo poskytujú služby výlučne subjektom verejnej správy, ktoré vykonávajú činnosti prevažne v uvedených oblastiach. Vzhľadom na zodpovednosť členských štátov za ochranu národnej bezpečnosti a obrany by členské štáty mali mať možnosť rozhodnúť, že povinnosti kritických subjektov stanovené v tejto smernici sa na tieto kritické subjekty úplne alebo čiastočne neuplatňujú, ak služby, ktoré poskytujú, alebo činnosti, ktoré vykonávajú, súvisia prevažne s oblasťami národnej bezpečnosti, verejnej bezpečnosti, obrany alebo presadzovania práva vrátane vyšetrovania, odhaľovania a stíhania trestných činov. Do rozsahu pôsobnosti tejto smernice by však mali patriť kritické subjekty, ktorých služby alebo činnosti súvisia s uvedenými oblasťami len okrajovo. Od žiadneho členského štátu by sa nemalo požadovať, aby poskytoval informácie, ktorých zverejnenie by odporovalo základným záujmom jeho národnej bezpečnosti. Uplatňujú sa pravidlá Únie alebo vnútroštátne pravidlá na ochranu utajovaných skutočností a dohody o mlčanlivosti.

| (12) | S cieľom neohroziť národnú bezpečnosť alebo bezpečnostné a obchodné záujmy kritických subjektov by sa prístup k citlivým informáciám, ich výmena a zaobchádzanie s nimi mali uskutočňovať prezieravo a s osobitnou pozornosťou venovanou použitým prenosovým kanálom a kapacitám uchovávania. |
| --- | --- |

(12)

S cieľom neohroziť národnú bezpečnosť alebo bezpečnostné a obchodné záujmy kritických subjektov by sa prístup k citlivým informáciám, ich výmena a zaobchádzanie s nimi mali uskutočňovať prezieravo a s osobitnou pozornosťou venovanou použitým prenosovým kanálom a kapacitám uchovávania.

| (13) | S cieľom zabezpečiť komplexný prístup k odolnosti kritických subjektov by každý členský štát mal mať zavedenú stratégiu na zvýšenie odolnosti kritických subjektov (ďalej len „stratégia“). Stratégia by mala stanoviť strategické ciele a politické opatrenia, ktoré sa majú vykonať. Stratégia by mala byť v záujme koherentnosti a efektívnosti koncipovaná tak, aby bezproblémovo integrovala existujúce politiky a vždy, keď je to možné, vychádzala z príslušných existujúcich národných a odvetvových stratégií, plánov alebo podobných dokumentov. S cieľom dosiahnuť komplexný prístup by členské štáty mali zabezpečiť, aby sa v ich stratégiách stanovil politický rámec pre posilnenú koordináciu medzi príslušnými orgánmi podľa tejto smernice a príslušnými orgánmi podľa smernice (EÚ) 2022/2555 v kontexte zdieľania informácií o kybernetickobezpečnostných rizikách, kybernetických hrozbách a kybernetických incidentoch a nekybernetických rizikách, hrozbách a incidentoch a v kontexte plnenia úloh v oblasti dohľadu. Pri zavádzaní svojich stratégií by členské štáty mali náležite zohľadniť hybridnú povahu hrozieb pre kritické subjekty. |
| --- | --- |

(13)

S cieľom zabezpečiť komplexný prístup k odolnosti kritických subjektov by každý členský štát mal mať zavedenú stratégiu na zvýšenie odolnosti kritických subjektov (ďalej len „stratégia“). Stratégia by mala stanoviť strategické ciele a politické opatrenia, ktoré sa majú vykonať. Stratégia by mala byť v záujme koherentnosti a efektívnosti koncipovaná tak, aby bezproblémovo integrovala existujúce politiky a vždy, keď je to možné, vychádzala z príslušných existujúcich národných a odvetvových stratégií, plánov alebo podobných dokumentov. S cieľom dosiahnuť komplexný prístup by členské štáty mali zabezpečiť, aby sa v ich stratégiách stanovil politický rámec pre posilnenú koordináciu medzi príslušnými orgánmi podľa tejto smernice a príslušnými orgánmi podľa smernice (EÚ) 2022/2555 v kontexte zdieľania informácií o kybernetickobezpečnostných rizikách, kybernetických hrozbách a kybernetických incidentoch a nekybernetických rizikách, hrozbách a incidentoch a v kontexte plnenia úloh v oblasti dohľadu. Pri zavádzaní svojich stratégií by členské štáty mali náležite zohľadniť hybridnú povahu hrozieb pre kritické subjekty.

| (14) | Členské štáty by mali oznámiť svoje stratégie a ich podstatné aktualizácie Komisii, najmä s cieľom umožniť jej posúdiť správne uplatňovanie tejto smernice, pokiaľ ide o politické prístupy k odolnosti kritických subjektov na vnútroštátnej úrovni. Stratégie by sa v prípade potreby mohli oznamovať ako utajované skutočnosti. Komisia by mala vypracovať súhrnnú správu o stratégiách oznámených členskými štátmi, ktorá by slúžila ako základ pre výmenu informácií s cieľom identifikovať najlepšie postupy a otázky spoločného záujmu v rámci skupiny pre odolnosť kritických subjektov. Vzhľadom na citlivú povahu súhrnných informácií zahrnutých v súhrnnej správe, či už utajenej alebo nie, by Komisia mala pri nakladaní so súhrnnou správou na primeranej úrovni zohľadňovať bezpečnosť kritických subjektov, členských štátov a Únie. Súhrnná správa a stratégie by sa mali chrániť pred protiprávnym alebo zlomyseľným konaním a mali by byť prístupné len oprávneným osobám, aby sa splnili ciele tejto smernice. Oznamovanie stratégií a ich podstatných aktualizácií by takisto malo pomôcť Komisii pochopiť vývoj prístupov k odolnosti kritických subjektov a prispieť k monitorovaniu vplyvu a pridanej hodnoty tejto smernice, ktoré má Komisia pravidelne preskúmavať. |
| --- | --- |

(14)

Členské štáty by mali oznámiť svoje stratégie a ich podstatné aktualizácie Komisii, najmä s cieľom umožniť jej posúdiť správne uplatňovanie tejto smernice, pokiaľ ide o politické prístupy k odolnosti kritických subjektov na vnútroštátnej úrovni. Stratégie by sa v prípade potreby mohli oznamovať ako utajované skutočnosti. Komisia by mala vypracovať súhrnnú správu o stratégiách oznámených členskými štátmi, ktorá by slúžila ako základ pre výmenu informácií s cieľom identifikovať najlepšie postupy a otázky spoločného záujmu v rámci skupiny pre odolnosť kritických subjektov. Vzhľadom na citlivú povahu súhrnných informácií zahrnutých v súhrnnej správe, či už utajenej alebo nie, by Komisia mala pri nakladaní so súhrnnou správou na primeranej úrovni zohľadňovať bezpečnosť kritických subjektov, členských štátov a Únie. Súhrnná správa a stratégie by sa mali chrániť pred protiprávnym alebo zlomyseľným konaním a mali by byť prístupné len oprávneným osobám, aby sa splnili ciele tejto smernice. Oznamovanie stratégií a ich podstatných aktualizácií by takisto malo pomôcť Komisii pochopiť vývoj prístupov k odolnosti kritických subjektov a prispieť k monitorovaniu vplyvu a pridanej hodnoty tejto smernice, ktoré má Komisia pravidelne preskúmavať.

| (15) | Opatrenia členských štátov zamerané na identifikáciu kritických subjektov a pomoc pri zabezpečovaní ich odolnosti by sa mali riadiť prístupom založeným na riziku, ktorý sa zameriava na subjekty, ktoré sú najdôležitejšie z hľadiska výkonu životne dôležitých spoločenských funkcií alebo hospodárskych činností. S cieľom zabezpečiť takýto cielený prístup by mal každý členský štát v harmonizovanom rámci vykonať posúdenie relevantných prírodných a ľudskou činnosťou spôsobených rizík vrátane rizík medziodvetvovej a cezhraničnej povahy, ktoré by mohli ovplyvniť poskytovanie základných služieb, vrátane nehôd, prírodných katastrof, ohrozenia verejného zdravia, ako sú pandémie, a hybridných hrozieb alebo iných antagonistických hrozieb vrátane trestných činov terorizmu, prenikania trestnej činnosti a sabotáže (ďalej len „posúdenie rizika členskými štátmi“). Pri vykonávaní posúdení rizika členskými štátmi by členské štáty mali zohľadniť ďalšie všeobecné alebo odvetvové posúdenia rizika, ktoré sa vykonávajú podľa iných právnych aktov Únie, a mali by zvážiť mieru, v akej odvetvia závisia jedno od druhého, vrátane odvetví v iných členských štátoch a tretích krajinách. Výsledok posúdení rizika členskými štátmi by sa mal použiť na účely identifikácie kritických subjektov a na pomoc uvedeným subjektom pri plnení požiadaviek v oblasti odolnosti, ktoré sa na ne vzťahujú. Táto smernica sa vzťahuje len na členské štáty a kritické subjekty, ktoré pôsobia v Únii. Odborné znalosti a poznatky získané príslušnými orgánmi, najmä prostredníctvom posúdení rizík, a Komisiou, najmä prostredníctvom rôznych foriem podpory a spolupráce, by sa však v prípade potreby a v súlade s uplatniteľnými právnymi nástrojmi mohli využiť v prospech tretích krajín, najmä tých, ktoré sa nachádzajú v priamom susedstve Únie, a to tak, že prispejú k existujúcej spolupráci v oblasti odolnosti. |
| --- | --- |

(15)

Opatrenia členských štátov zamerané na identifikáciu kritických subjektov a pomoc pri zabezpečovaní ich odolnosti by sa mali riadiť prístupom založeným na riziku, ktorý sa zameriava na subjekty, ktoré sú najdôležitejšie z hľadiska výkonu životne dôležitých spoločenských funkcií alebo hospodárskych činností. S cieľom zabezpečiť takýto cielený prístup by mal každý členský štát v harmonizovanom rámci vykonať posúdenie relevantných prírodných a ľudskou činnosťou spôsobených rizík vrátane rizík medziodvetvovej a cezhraničnej povahy, ktoré by mohli ovplyvniť poskytovanie základných služieb, vrátane nehôd, prírodných katastrof, ohrozenia verejného zdravia, ako sú pandémie, a hybridných hrozieb alebo iných antagonistických hrozieb vrátane trestných činov terorizmu, prenikania trestnej činnosti a sabotáže (ďalej len „posúdenie rizika členskými štátmi“). Pri vykonávaní posúdení rizika členskými štátmi by členské štáty mali zohľadniť ďalšie všeobecné alebo odvetvové posúdenia rizika, ktoré sa vykonávajú podľa iných právnych aktov Únie, a mali by zvážiť mieru, v akej odvetvia závisia jedno od druhého, vrátane odvetví v iných členských štátoch a tretích krajinách. Výsledok posúdení rizika členskými štátmi by sa mal použiť na účely identifikácie kritických subjektov a na pomoc uvedeným subjektom pri plnení požiadaviek v oblasti odolnosti, ktoré sa na ne vzťahujú. Táto smernica sa vzťahuje len na členské štáty a kritické subjekty, ktoré pôsobia v Únii. Odborné znalosti a poznatky získané príslušnými orgánmi, najmä prostredníctvom posúdení rizík, a Komisiou, najmä prostredníctvom rôznych foriem podpory a spolupráce, by sa však v prípade potreby a v súlade s uplatniteľnými právnymi nástrojmi mohli využiť v prospech tretích krajín, najmä tých, ktoré sa nachádzajú v priamom susedstve Únie, a to tak, že prispejú k existujúcej spolupráci v oblasti odolnosti.

| (16) | S cieľom zabezpečiť, aby sa na všetky príslušné subjekty vzťahovali požiadavky tejto smernice týkajúce sa odolnosti, a znížiť rozdiely v tejto súvislosti, je dôležité stanoviť harmonizované pravidlá umožňujúce jednotnú identifikáciu kritických subjektov v celej Únii a zároveň umožniť členským štátom primerane zohľadniť úlohu a význam uvedených subjektov na vnútroštátnej úrovni. Pri uplatňovaní kritérií stanovených v tejto smernici by každý členský štát mal identifikovať subjekty, ktoré poskytujú jednu alebo viacero základných služieb a ktoré prevádzkujú a majú kritickú infraštruktúru nachádzajúcu sa na jeho území. Subjekt by sa mal považovať za subjekt pôsobiaci na území toho členského štátu, na území ktorého vykonáva činnosti potrebné pre danú základnú službu alebo služby a na území ktorého sa nachádza kritická infraštruktúra uvedeného subjektu používaná na poskytovanie uvedenej služby alebo služieb. Ak v členskom štáte tieto kritériá nespĺňa žiadny subjekt, tento členský štát by nemal mať povinnosť identifikovať kritický subjekt v príslušnom odvetví alebo pododvetví. V záujme účinnosti, efektívnosti, konzistentnosti a právnej istoty by sa mali stanoviť vhodné pravidlá týkajúce sa oznamovania subjektov, ktoré boli identifikované ako kritické subjekty. |
| --- | --- |

(16)

S cieľom zabezpečiť, aby sa na všetky príslušné subjekty vzťahovali požiadavky tejto smernice týkajúce sa odolnosti, a znížiť rozdiely v tejto súvislosti, je dôležité stanoviť harmonizované pravidlá umožňujúce jednotnú identifikáciu kritických subjektov v celej Únii a zároveň umožniť členským štátom primerane zohľadniť úlohu a význam uvedených subjektov na vnútroštátnej úrovni. Pri uplatňovaní kritérií stanovených v tejto smernici by každý členský štát mal identifikovať subjekty, ktoré poskytujú jednu alebo viacero základných služieb a ktoré prevádzkujú a majú kritickú infraštruktúru nachádzajúcu sa na jeho území. Subjekt by sa mal považovať za subjekt pôsobiaci na území toho členského štátu, na území ktorého vykonáva činnosti potrebné pre danú základnú službu alebo služby a na území ktorého sa nachádza kritická infraštruktúra uvedeného subjektu používaná na poskytovanie uvedenej služby alebo služieb. Ak v členskom štáte tieto kritériá nespĺňa žiadny subjekt, tento členský štát by nemal mať povinnosť identifikovať kritický subjekt v príslušnom odvetví alebo pododvetví. V záujme účinnosti, efektívnosti, konzistentnosti a právnej istoty by sa mali stanoviť vhodné pravidlá týkajúce sa oznamovania subjektov, ktoré boli identifikované ako kritické subjekty.

| (17) | Členské štáty by mali spôsobom, ktorý spĺňa ciele tejto smernice, predložiť Komisii zoznam základných služieb, počet kritických subjektov identifikovaných v súvislosti s každým odvetvím a pododvetvím stanoveným v prílohe a v súvislosti so základnou službou alebo službami, ktoré každý subjekt poskytuje, a prahové hodnoty, ak sa uplatňujú. Malo by byť možné poskytnúť prahové hodnoty ako také alebo v súhrnnej forme, čo znamená, že informácie možno spriemerovať podľa geografických oblastí, rokov, odvetví, pododvetví alebo inými prostriedkami a môžu zahŕňať informácie o rozsahu poskytnutých ukazovateľov. |
| --- | --- |

(17)

Členské štáty by mali spôsobom, ktorý spĺňa ciele tejto smernice, predložiť Komisii zoznam základných služieb, počet kritických subjektov identifikovaných v súvislosti s každým odvetvím a pododvetvím stanoveným v prílohe a v súvislosti so základnou službou alebo službami, ktoré každý subjekt poskytuje, a prahové hodnoty, ak sa uplatňujú. Malo by byť možné poskytnúť prahové hodnoty ako také alebo v súhrnnej forme, čo znamená, že informácie možno spriemerovať podľa geografických oblastí, rokov, odvetví, pododvetví alebo inými prostriedkami a môžu zahŕňať informácie o rozsahu poskytnutých ukazovateľov.

| (18) | Mali by sa stanoviť kritériá na určenie závažnosti rušivého vplyvu vyvolaného incidentom. Uvedené kritériá by mali vychádzať z kritérií stanovených v smernici Európskeho parlamentu a Rady (EÚ) 2016/1148 (6), aby sa využilo úsilie členských štátov pri identifikácii prevádzkovateľov základných služieb vymedzených v uvedenej smernici a skúsenosti získané v uvedenej súvislosti. Veľké krízy, ako je pandémia ochorenia COVID-19, poukázali na význam zaistenia bezpečnosti dodávateľského reťazca a ukázali, ako môže mať jeho narušenie negatívny hospodársky a spoločenský vplyv vo veľkom počte odvetví a naprieč hranicami. Členské štáty by preto mali pri určovaní miery, v akej iné odvetvia a pododvetvia závisia od základnej služby poskytovanej kritickým subjektom, v čo najväčšej možnej miere zvážiť aj účinky na dodávateľský reťazec. |
| --- | --- |

(18)

Mali by sa stanoviť kritériá na určenie závažnosti rušivého vplyvu vyvolaného incidentom. Uvedené kritériá by mali vychádzať z kritérií stanovených v smernici Európskeho parlamentu a Rady (EÚ) 2016/1148 (6), aby sa využilo úsilie členských štátov pri identifikácii prevádzkovateľov základných služieb vymedzených v uvedenej smernici a skúsenosti získané v uvedenej súvislosti. Veľké krízy, ako je pandémia ochorenia COVID-19, poukázali na význam zaistenia bezpečnosti dodávateľského reťazca a ukázali, ako môže mať jeho narušenie negatívny hospodársky a spoločenský vplyv vo veľkom počte odvetví a naprieč hranicami. Členské štáty by preto mali pri určovaní miery, v akej iné odvetvia a pododvetvia závisia od základnej služby poskytovanej kritickým subjektom, v čo najväčšej možnej miere zvážiť aj účinky na dodávateľský reťazec.

| (19) | V súlade s uplatniteľným právom Únie a vnútroštátnym právom vrátane nariadenia Európskeho parlamentu a Rady (EÚ) 2019/4521 (7), ktorým sa ustanovuje rámec na preverovanie priamych zahraničných investícií do Únie, treba uznať potenciálnu hrozbu, ktorú predstavuje zahraničné vlastníctvo kritickej infraštruktúry v Únii, pretože služby, hospodárstvo a voľný pohyb a bezpečnosť občanov Únie závisia od riadneho fungovania kritickej infraštruktúry. |
| --- | --- |

(19)

V súlade s uplatniteľným právom Únie a vnútroštátnym právom vrátane nariadenia Európskeho parlamentu a Rady (EÚ) 2019/4521 (7), ktorým sa ustanovuje rámec na preverovanie priamych zahraničných investícií do Únie, treba uznať potenciálnu hrozbu, ktorú predstavuje zahraničné vlastníctvo kritickej infraštruktúry v Únii, pretože služby, hospodárstvo a voľný pohyb a bezpečnosť občanov Únie závisia od riadneho fungovania kritickej infraštruktúry.

| (20) | V smernici (EÚ) 2022/2555 sa od subjektov patriacich do odvetvia digitálnej infraštruktúry, ktoré by mohli byť podľa tejto smernice identifikované ako kritické subjekty, vyžaduje, aby prijali vhodné a primerané technické, operačné a organizačné opatrenia na riadenie rizík súvisiacich s bezpečnosťou sietí a informačných systémov, a na oznamovanie významných incidentov a kybernetických hrozieb. Keďže hrozby pre bezpečnosť sietí a informačných systémov môžu mať rôzny pôvod, v smernici (EÚ) 2022/2555 sa uplatňuje prístup zohľadňujúci všetky nebezpečenstvá, ktorý zahŕňa odolnosť sietí a informačných systémov, ako aj fyzických komponentov a prostredia uvedených systémov.
  Vzhľadom na to, že požiadavky stanovené v smernici (EÚ) 2022/2555 v uvedenej súvislosti sú prinajmenšom rovnocenné zodpovedajúcim povinnostiam stanoveným v tejto smernici, povinnosti stanovené v článku 11 a kapitolách III, IV a VI tejto smernice by sa na subjekty patriace do odvetvia digitálnej infraštruktúry nemali vzťahovať, aby sa predišlo duplicite a zbytočnému administratívnemu zaťaženiu. Vzhľadom na význam služieb poskytovaných subjektmi patriacimi do odvetvia digitálnej infraštruktúry kritickým subjektom patriacim do všetkých ostatných odvetví, by však členské štáty mali na základe kritérií a s použitím postupu stanoveného v tejto smernici identifikovať subjekty patriace do odvetvia digitálnej infraštruktúry ako kritické subjekty. V dôsledku toho by sa mali uplatňovať stratégie, posúdenia rizík členskými štátmi a podporné opatrenia stanovené v kapitole II tejto smernice. Členské štáty by mali mať možnosť prijať alebo zachovať ustanovenia vnútroštátneho práva na dosiahnutie vyššej úrovne odolnosti týchto kritických subjektov za predpokladu, že uvedené ustanovenia sú v súlade s uplatniteľným právom Únie. |
| --- | --- |

(20)

V smernici (EÚ) 2022/2555 sa od subjektov patriacich do odvetvia digitálnej infraštruktúry, ktoré by mohli byť podľa tejto smernice identifikované ako kritické subjekty, vyžaduje, aby prijali vhodné a primerané technické, operačné a organizačné opatrenia na riadenie rizík súvisiacich s bezpečnosťou sietí a informačných systémov, a na oznamovanie významných incidentov a kybernetických hrozieb. Keďže hrozby pre bezpečnosť sietí a informačných systémov môžu mať rôzny pôvod, v smernici (EÚ) 2022/2555 sa uplatňuje prístup zohľadňujúci všetky nebezpečenstvá, ktorý zahŕňa odolnosť sietí a informačných systémov, ako aj fyzických komponentov a prostredia uvedených systémov.

Vzhľadom na to, že požiadavky stanovené v smernici (EÚ) 2022/2555 v uvedenej súvislosti sú prinajmenšom rovnocenné zodpovedajúcim povinnostiam stanoveným v tejto smernici, povinnosti stanovené v článku 11 a kapitolách III, IV a VI tejto smernice by sa na subjekty patriace do odvetvia digitálnej infraštruktúry nemali vzťahovať, aby sa predišlo duplicite a zbytočnému administratívnemu zaťaženiu. Vzhľadom na význam služieb poskytovaných subjektmi patriacimi do odvetvia digitálnej infraštruktúry kritickým subjektom patriacim do všetkých ostatných odvetví, by však členské štáty mali na základe kritérií a s použitím postupu stanoveného v tejto smernici identifikovať subjekty patriace do odvetvia digitálnej infraštruktúry ako kritické subjekty. V dôsledku toho by sa mali uplatňovať stratégie, posúdenia rizík členskými štátmi a podporné opatrenia stanovené v kapitole II tejto smernice. Členské štáty by mali mať možnosť prijať alebo zachovať ustanovenia vnútroštátneho práva na dosiahnutie vyššej úrovne odolnosti týchto kritických subjektov za predpokladu, že uvedené ustanovenia sú v súlade s uplatniteľným právom Únie.

| (21) | V práve Únie v oblasti finančných služieb sa pre finančné subjekty stanovujú komplexné požiadavky, aby mohli riadiť všetky riziká, ktorým čelia, vrátane operačných rizík a zabezpečiť kontinuitu činností. Takéto právo zahŕňa nariadenia Európskeho parlamentu a Rady (EÚ) č. 648/2012 (8), (EÚ) č. 575/2013 (9) a (EÚ) č. 600/2014 (10) a smernice Európskeho parlamentu a Rady 2013/36/EÚ (11) a 2014/65/EÚ (12). Uvedený právny rámec sa dopĺňa nariadením Európskeho parlamentu a Rady (EÚ) 2022/2554 (13), ktorým sa stanovujú požiadavky vzťahujúce sa na finančné subjekty, pokiaľ ide o riadenie rizík v oblasti informačných a komunikačných technológii (ďalej len „IKT“), a to aj pokiaľ ide o ochranu fyzickej infraštruktúry IKT. Keďže odolnosť uvedených subjektov je teda komplexne upravená, článok 11 a kapitoly III, IV a VI tejto smernice by sa na tieto subjekty nemali vzťahovať, aby sa zabránilo duplicite a zbytočnému administratívnemu zaťaženiu.
  Vzhľadom na význam služieb poskytovaných subjektmi vo finančnom sektore kritickým subjektom, ktoré patria do všetkých ostatných odvetví, by však členské štáty mali na základe kritérií a s použitím postupu stanoveného v tejto smernici identifikovať subjekty patriace do finančného sektora ako kritické subjekty. V dôsledku toho by sa mali uplatňovať stratégie, posúdenia rizík členskými štátmi a podporné opatrenia stanovené v kapitole II tejto smernice. Členské štáty by mali mať možnosť prijať alebo zachovať ustanovenia vnútroštátneho práva na dosiahnutie vyššej úrovne odolnosti týchto kritických subjektov za predpokladu, že uvedené ustanovenia sú v súlade s uplatniteľným právom Únie. |
| --- | --- |

(21)

V práve Únie v oblasti finančných služieb sa pre finančné subjekty stanovujú komplexné požiadavky, aby mohli riadiť všetky riziká, ktorým čelia, vrátane operačných rizík a zabezpečiť kontinuitu činností. Takéto právo zahŕňa nariadenia Európskeho parlamentu a Rady (EÚ) č. 648/2012 (8), (EÚ) č. 575/2013 (9) a (EÚ) č. 600/2014 (10) a smernice Európskeho parlamentu a Rady 2013/36/EÚ (11) a 2014/65/EÚ (12). Uvedený právny rámec sa dopĺňa nariadením Európskeho parlamentu a Rady (EÚ) 2022/2554 (13), ktorým sa stanovujú požiadavky vzťahujúce sa na finančné subjekty, pokiaľ ide o riadenie rizík v oblasti informačných a komunikačných technológii (ďalej len „IKT“), a to aj pokiaľ ide o ochranu fyzickej infraštruktúry IKT. Keďže odolnosť uvedených subjektov je teda komplexne upravená, článok 11 a kapitoly III, IV a VI tejto smernice by sa na tieto subjekty nemali vzťahovať, aby sa zabránilo duplicite a zbytočnému administratívnemu zaťaženiu.

Vzhľadom na význam služieb poskytovaných subjektmi vo finančnom sektore kritickým subjektom, ktoré patria do všetkých ostatných odvetví, by však členské štáty mali na základe kritérií a s použitím postupu stanoveného v tejto smernici identifikovať subjekty patriace do finančného sektora ako kritické subjekty. V dôsledku toho by sa mali uplatňovať stratégie, posúdenia rizík členskými štátmi a podporné opatrenia stanovené v kapitole II tejto smernice. Členské štáty by mali mať možnosť prijať alebo zachovať ustanovenia vnútroštátneho práva na dosiahnutie vyššej úrovne odolnosti týchto kritických subjektov za predpokladu, že uvedené ustanovenia sú v súlade s uplatniteľným právom Únie.

| (22) | Členské štáty by mali určiť alebo zriadiť orgány príslušné na dohľad nad uplatňovaním a v prípade potreby presadzovaním pravidiel tejto smernice a zabezpečiť, aby tieto orgány mali primerané právomoci a zdroje. Vzhľadom na rozdiely vo vnútroštátnych riadiacich štruktúrach, s cieľom chrániť existujúce odvetvové mechanizmy alebo orgány dohľadu a regulačné orgány Únie a zabrániť duplicite by členské štáty mali mať možnosť určiť alebo zriadiť viac ako jeden príslušný orgán. Ak členské štáty určia alebo zriadia viac ako jeden príslušný orgán, mali by jasne vymedziť príslušné úlohy dotknutých orgánov a zabezpečiť ich hladkú a účinnú spoluprácu. Všetky príslušné orgány by mali vo všeobecnosti spolupracovať aj s ostatnými príslušnými orgánmi na úrovni Únie, ako aj na vnútroštátnej úrovni. |
| --- | --- |

(22)

Členské štáty by mali určiť alebo zriadiť orgány príslušné na dohľad nad uplatňovaním a v prípade potreby presadzovaním pravidiel tejto smernice a zabezpečiť, aby tieto orgány mali primerané právomoci a zdroje. Vzhľadom na rozdiely vo vnútroštátnych riadiacich štruktúrach, s cieľom chrániť existujúce odvetvové mechanizmy alebo orgány dohľadu a regulačné orgány Únie a zabrániť duplicite by členské štáty mali mať možnosť určiť alebo zriadiť viac ako jeden príslušný orgán. Ak členské štáty určia alebo zriadia viac ako jeden príslušný orgán, mali by jasne vymedziť príslušné úlohy dotknutých orgánov a zabezpečiť ich hladkú a účinnú spoluprácu. Všetky príslušné orgány by mali vo všeobecnosti spolupracovať aj s ostatnými príslušnými orgánmi na úrovni Únie, ako aj na vnútroštátnej úrovni.

| (23) | S cieľom uľahčiť cezhraničnú spoluprácu a komunikáciu a umožniť účinné vykonávanie tejto smernice by mal každý členský štát bez toho, aby boli dotknuté požiadavky odvetvových právnych aktov Únie, určiť jedno jednotné kontaktné miesto zodpovedné za koordináciu otázok týkajúcich sa odolnosti kritických subjektov a cezhraničnej spolupráce v tejto oblasti na úrovni Únie (ďalej len „jednotné kontaktné miesto“), pokiaľ možno pri príslušnom orgáne. Každé jednotné kontaktné miesto by malo zabezpečovať styk a koordinovať komunikáciu s príslušnými orgánmi svojho členského štátu, s jednotnými kontaktnými miestami iných členských štátov a so skupinou pre odolnosť kritických subjektov. |
| --- | --- |

(23)

S cieľom uľahčiť cezhraničnú spoluprácu a komunikáciu a umožniť účinné vykonávanie tejto smernice by mal každý členský štát bez toho, aby boli dotknuté požiadavky odvetvových právnych aktov Únie, určiť jedno jednotné kontaktné miesto zodpovedné za koordináciu otázok týkajúcich sa odolnosti kritických subjektov a cezhraničnej spolupráce v tejto oblasti na úrovni Únie (ďalej len „jednotné kontaktné miesto“), pokiaľ možno pri príslušnom orgáne. Každé jednotné kontaktné miesto by malo zabezpečovať styk a koordinovať komunikáciu s príslušnými orgánmi svojho členského štátu, s jednotnými kontaktnými miestami iných členských štátov a so skupinou pre odolnosť kritických subjektov.

| (24) | Príslušné orgány podľa tejto smernice a príslušné orgány podľa smernice (EÚ) 2022/2555 by mali spolupracovať a vymieňať si informácie týkajúce sa kybernetickobezpečnostných rizík, kybernetických hrozieb a kybernetických incidentov a nekybernetických rizík, hrozieb a incidentov, ktoré majú vplyv na kritické subjekty, ako aj informácie týkajúce sa relevantných opatrení, ktoré prijali príslušné orgány podľa tejto smernice a príslušné orgány podľa smernice (EÚ) 2022/2555 Je dôležité, aby členské štáty zabezpečili, aby sa požiadavky stanovené v tejto smernici a smernici (EÚ) 2022/2555 vykonávali komplementárnym spôsobom a aby kritické subjekty nepodliehali administratívnemu zaťaženiu nad rámec toho, čo je potrebné na dosiahnutie cieľov tejto smernice a uvedenej smernice. |
| --- | --- |

(24)

Príslušné orgány podľa tejto smernice a príslušné orgány podľa smernice (EÚ) 2022/2555 by mali spolupracovať a vymieňať si informácie týkajúce sa kybernetickobezpečnostných rizík, kybernetických hrozieb a kybernetických incidentov a nekybernetických rizík, hrozieb a incidentov, ktoré majú vplyv na kritické subjekty, ako aj informácie týkajúce sa relevantných opatrení, ktoré prijali príslušné orgány podľa tejto smernice a príslušné orgány podľa smernice (EÚ) 2022/2555 Je dôležité, aby členské štáty zabezpečili, aby sa požiadavky stanovené v tejto smernici a smernici (EÚ) 2022/2555 vykonávali komplementárnym spôsobom a aby kritické subjekty nepodliehali administratívnemu zaťaženiu nad rámec toho, čo je potrebné na dosiahnutie cieľov tejto smernice a uvedenej smernice.

| (25) | Členské štáty by mali podporovať kritické subjekty vrátané tých, ktoré sú kvalifikované ako malé alebo stredné podniky, pri posilňovaní ich odolnosti v súlade s povinnosťami členských štátov stanovenými v tejto smernici bez toho, aby bola dotknutá právna zodpovednosť kritických subjektov za zabezpečenie takéhoto súladu a zároveň predchádzať nadmernému administratívnemu zaťaženiu. Členské štáty by mohli najmä vypracúvať poradenský materiál a metodiky, podporovať organizovanie cvičení na testovanie odolnosti kritických subjektov a poskytovať poradenstvo a odbornú prípravu pracovníkom kritických subjektov. Ak je to potrebné a odôvodnené cieľmi verejného záujmu, členské štáty by mohli poskytovať finančné zdroje a mali by uľahčovať dobrovoľné zdieľanie informácií a výmenu osvedčených postupov medzi kritickými subjektmi bez toho, aby bolo dotknuté uplatňovanie pravidiel hospodárskej súťaže stanovených v Zmluve o fungovaní Európskej únie (ďalej len „ZFEÚ“). |
| --- | --- |

(25)

Členské štáty by mali podporovať kritické subjekty vrátané tých, ktoré sú kvalifikované ako malé alebo stredné podniky, pri posilňovaní ich odolnosti v súlade s povinnosťami členských štátov stanovenými v tejto smernici bez toho, aby bola dotknutá právna zodpovednosť kritických subjektov za zabezpečenie takéhoto súladu a zároveň predchádzať nadmernému administratívnemu zaťaženiu. Členské štáty by mohli najmä vypracúvať poradenský materiál a metodiky, podporovať organizovanie cvičení na testovanie odolnosti kritických subjektov a poskytovať poradenstvo a odbornú prípravu pracovníkom kritických subjektov. Ak je to potrebné a odôvodnené cieľmi verejného záujmu, členské štáty by mohli poskytovať finančné zdroje a mali by uľahčovať dobrovoľné zdieľanie informácií a výmenu osvedčených postupov medzi kritickými subjektmi bez toho, aby bolo dotknuté uplatňovanie pravidiel hospodárskej súťaže stanovených v Zmluve o fungovaní Európskej únie (ďalej len „ZFEÚ“).

| (26) | S cieľom zvýšiť odolnosť kritických subjektov identifikovaných členskými štátmi a znížiť administratívne zaťaženie uvedených kritických subjektov by príslušné orgány mali medzi sebou konzultovať vždy, keď je to vhodné na účely zabezpečenia jednotného uplatňovania tejto smernice. Do týchto konzultácií by sa malo vstupovať na žiadosť ktoréhokoľvek zainteresovaného príslušného orgánu a konzultácie by sa mali zameriavať na zabezpečenie konvergentného prístupu, pokiaľ ide o vzájomne prepojené kritické subjekty, ktoré využívajú kritickú infraštruktúru fyzicky prepojenú medzi dvomi alebo viacerými členskými štátmi a ktoré patria do rovnakých skupín alebo podnikových štruktúr, alebo ktoré boli identifikované v jednom členskom štáte a základné služby poskytujú do iných členských štátov alebo v nich. |
| --- | --- |

(26)

S cieľom zvýšiť odolnosť kritických subjektov identifikovaných členskými štátmi a znížiť administratívne zaťaženie uvedených kritických subjektov by príslušné orgány mali medzi sebou konzultovať vždy, keď je to vhodné na účely zabezpečenia jednotného uplatňovania tejto smernice. Do týchto konzultácií by sa malo vstupovať na žiadosť ktoréhokoľvek zainteresovaného príslušného orgánu a konzultácie by sa mali zameriavať na zabezpečenie konvergentného prístupu, pokiaľ ide o vzájomne prepojené kritické subjekty, ktoré využívajú kritickú infraštruktúru fyzicky prepojenú medzi dvomi alebo viacerými členskými štátmi a ktoré patria do rovnakých skupín alebo podnikových štruktúr, alebo ktoré boli identifikované v jednom členskom štáte a základné služby poskytujú do iných členských štátov alebo v nich.

| (27) | Ak právne predpisy Únie alebo vnútroštátne právne predpisy od kritických subjektov vyžadujú, aby posudzovali riziká relevantné na účely tejto smernice a prijímali opatrenia na zabezpečenie vlastnej odolnosti, tieto požiadavky by mali byť primerane zvážené z hľadiska dohľadu nad tým, či kritické subjekty dodržiavajú ustanovenia tejto smernice. |
| --- | --- |

(27)

Ak právne predpisy Únie alebo vnútroštátne právne predpisy od kritických subjektov vyžadujú, aby posudzovali riziká relevantné na účely tejto smernice a prijímali opatrenia na zabezpečenie vlastnej odolnosti, tieto požiadavky by mali byť primerane zvážené z hľadiska dohľadu nad tým, či kritické subjekty dodržiavajú ustanovenia tejto smernice.

| (28) | Kritické subjekty by mali mať komplexné znalosti o relevantných rizikách, ktorým sú vystavené, a povinnosť tieto riziká analyzovať. Na uvedený účel by mali vykonávať posúdenia rizík vždy, keď je to potrebné vzhľadom na ich konkrétnu situáciu a vývoj predmetných rizík, a v každom prípade každé štyri roky, s cieľom posúdiť všetky relevantné riziká, ktoré by mohli narušiť poskytovanie ich základných služieb (ďalej len „posúdenie rizika kritickými subjektmi“). Ak kritické subjekty vykonali iné posúdenia rizika alebo vypracovali dokumenty podľa povinností stanovených v iných právnych aktoch, ktoré sú relevantné pre posúdenie rizika kritickými subjektmi, mali by mať možnosť použiť uvedené posúdenia a dokumenty na splnenie požiadaviek stanovených v tejto smernici týkajúcich sa posúdení rizika kritickými subjektmi. Príslušný orgán by mal mať možnosť vyhlásiť, že existujúce posúdenie rizika vykonané kritickým subjektom, ktoré rozoberá relevantné riziká a relevantnú mieru závislosti, je úplne alebo čiastočne v súlade s povinnosťami stanovenými v tejto smernici. |
| --- | --- |

(28)

Kritické subjekty by mali mať komplexné znalosti o relevantných rizikách, ktorým sú vystavené, a povinnosť tieto riziká analyzovať. Na uvedený účel by mali vykonávať posúdenia rizík vždy, keď je to potrebné vzhľadom na ich konkrétnu situáciu a vývoj predmetných rizík, a v každom prípade každé štyri roky, s cieľom posúdiť všetky relevantné riziká, ktoré by mohli narušiť poskytovanie ich základných služieb (ďalej len „posúdenie rizika kritickými subjektmi“). Ak kritické subjekty vykonali iné posúdenia rizika alebo vypracovali dokumenty podľa povinností stanovených v iných právnych aktoch, ktoré sú relevantné pre posúdenie rizika kritickými subjektmi, mali by mať možnosť použiť uvedené posúdenia a dokumenty na splnenie požiadaviek stanovených v tejto smernici týkajúcich sa posúdení rizika kritickými subjektmi. Príslušný orgán by mal mať možnosť vyhlásiť, že existujúce posúdenie rizika vykonané kritickým subjektom, ktoré rozoberá relevantné riziká a relevantnú mieru závislosti, je úplne alebo čiastočne v súlade s povinnosťami stanovenými v tejto smernici.

| (29) | Kritické subjekty by mali prijať technické, bezpečnostné a organizačné opatrenia, ktoré sú vhodné a primerané rizikám, ktorým čelia, aby predišli incidentu, chránili sa pred ním, reagovali naň, odolali mu, zmierňovali ho, absorbovali ho, prispôsobili sa mu a zotavili sa z neho. Kritické subjekty by mali prijať uvedené opatrenia v súlade s touto smernicou, pričom podrobnosti a rozsah takýchto opatrení by mali odrážať rôzne riziká, ktoré každý kritický subjekt identifikoval v rámci svojho posúdenia rizika kritickým subjektom, a osobitosti takéhoto subjektu vhodným a primeraným spôsobom. Komisia by s cieľom podporovať súdržný prístup v rámci Únie mala po konzultovaní so skupinou pre odolnosť kritických subjektov prijať nezávislé usmernenia na ďalšie spresnenie týchto technických, bezpečnostných a organizačných opatrení. Členské štáty by mali zabezpečiť, aby každý kritický subjekt určil styčného úradníka alebo rovnocennú osobu pre kontakt s príslušnými orgánmi. |
| --- | --- |

(29)

Kritické subjekty by mali prijať technické, bezpečnostné a organizačné opatrenia, ktoré sú vhodné a primerané rizikám, ktorým čelia, aby predišli incidentu, chránili sa pred ním, reagovali naň, odolali mu, zmierňovali ho, absorbovali ho, prispôsobili sa mu a zotavili sa z neho. Kritické subjekty by mali prijať uvedené opatrenia v súlade s touto smernicou, pričom podrobnosti a rozsah takýchto opatrení by mali odrážať rôzne riziká, ktoré každý kritický subjekt identifikoval v rámci svojho posúdenia rizika kritickým subjektom, a osobitosti takéhoto subjektu vhodným a primeraným spôsobom. Komisia by s cieľom podporovať súdržný prístup v rámci Únie mala po konzultovaní so skupinou pre odolnosť kritických subjektov prijať nezávislé usmernenia na ďalšie spresnenie týchto technických, bezpečnostných a organizačných opatrení. Členské štáty by mali zabezpečiť, aby každý kritický subjekt určil styčného úradníka alebo rovnocennú osobu pre kontakt s príslušnými orgánmi.

| (30) | S cieľom dosiahnuť účinnosť a zodpovednosť by kritické subjekty mali v pláne odolnosti alebo v dokumente či dokumentoch, ktoré sú rovnocenné plánu odolnosti, opísať opatrenia, ktoré prijímajú, a to s mierou podrobnosti postačujúcou na dosiahnutie cieľov účinnosti a zodpovednosti a zreteľom na zistené riziká, pričom by uvedený plán mali uplatňovať v praxi. Ak kritický subjekt už prijal technické, bezpečnostné a organizačné opatrenia a vypracoval dokumenty podľa iných právnych aktov, ktoré sú relevantné pre opatrenia na zabezpečenie odolnosti podľa tejto smernice, mal by mať možnosť tieto opatrenia a dokumenty použiť na splnenie požiadaviek, pokiaľ ide o opatrenia na zabezpečenie odolnosti podľa tejto smernice, s cieľom zabrániť duplicite. S cieľom zabrániť duplicite by príslušný orgán mal mať možnosť vyhlásiť, že existujúce opatrenia na zabezpečenie odolnosti prijaté kritickým subjektom, ktorými sa rieši jeho povinnosť prijať technické, bezpečnostné a organizačné opatrenia podľa tejto smernice, sú úplne alebo čiastočne v súlade s požiadavkami tejto smernice. |
| --- | --- |

(30)

S cieľom dosiahnuť účinnosť a zodpovednosť by kritické subjekty mali v pláne odolnosti alebo v dokumente či dokumentoch, ktoré sú rovnocenné plánu odolnosti, opísať opatrenia, ktoré prijímajú, a to s mierou podrobnosti postačujúcou na dosiahnutie cieľov účinnosti a zodpovednosti a zreteľom na zistené riziká, pričom by uvedený plán mali uplatňovať v praxi. Ak kritický subjekt už prijal technické, bezpečnostné a organizačné opatrenia a vypracoval dokumenty podľa iných právnych aktov, ktoré sú relevantné pre opatrenia na zabezpečenie odolnosti podľa tejto smernice, mal by mať možnosť tieto opatrenia a dokumenty použiť na splnenie požiadaviek, pokiaľ ide o opatrenia na zabezpečenie odolnosti podľa tejto smernice, s cieľom zabrániť duplicite. S cieľom zabrániť duplicite by príslušný orgán mal mať možnosť vyhlásiť, že existujúce opatrenia na zabezpečenie odolnosti prijaté kritickým subjektom, ktorými sa rieši jeho povinnosť prijať technické, bezpečnostné a organizačné opatrenia podľa tejto smernice, sú úplne alebo čiastočne v súlade s požiadavkami tejto smernice.

| (31) | Nariadeniami Európskeho parlamentu a Rady (ES) č. 725/2004 (14) a (ES) č. 300/2008 (15) a smernicou Európskeho parlamentu a Rady 2005/65/ES (16) sa stanovujú požiadavky uplatniteľné na subjekty v odvetviach leteckej a námornej dopravy s cieľom predchádzať incidentom spôsobeným protiprávnymi činmi, odolávať takýmto incidentom a zmierňovať ich následky. Aj keď opatrenia požadované podľa tejto smernice sú širšie, pokiaľ ide o upravované riziká a druhy opatrení, ktoré sa majú prijať, kritické subjekty v uvedených odvetviach by mali vo svojom pláne odolnosti alebo rovnocenných dokumentoch zohľadniť opatrenia prijaté podľa uvedených iných právnych aktov Únie. Je potrebné, aby kritické subjekty zohľadnili aj smernicu Európskeho parlamentu a Rady 2008/96/ES (17), ktorou sa zavádza hodnotenie celej cestnej siete s cieľom zmapovať riziká nehôd a ktorou sa zavádzajú cielené kontroly bezpečnosti ciest s cieľom identifikovať nebezpečný stav, nedostatky a problémy, ktoré zvyšujú riziko nehôd a zranení, založené na obhliadkach existujúcich ciest alebo úsekov ciest. Zaistenie ochrany a odolnosti kritických subjektov je mimoriadne dôležité pre železničnú dopravu a pri vykonávaní opatrení na zabezpečenie odolnosti podľa tejto smernice sa kritické subjekty nabádajú, aby využívali nezáväzné usmernenia a dokumenty o osvedčených postupoch vypracované v rámci odvetvových pracovných tokov, ako je napríklad platforma EÚ pre bezpečnosť cestujúcich v železničnej doprave zriadená rozhodnutím Komisie 2018/C 232/03 (18). |
| --- | --- |

(31)

Nariadeniami Európskeho parlamentu a Rady (ES) č. 725/2004 (14) a (ES) č. 300/2008 (15) a smernicou Európskeho parlamentu a Rady 2005/65/ES (16) sa stanovujú požiadavky uplatniteľné na subjekty v odvetviach leteckej a námornej dopravy s cieľom predchádzať incidentom spôsobeným protiprávnymi činmi, odolávať takýmto incidentom a zmierňovať ich následky. Aj keď opatrenia požadované podľa tejto smernice sú širšie, pokiaľ ide o upravované riziká a druhy opatrení, ktoré sa majú prijať, kritické subjekty v uvedených odvetviach by mali vo svojom pláne odolnosti alebo rovnocenných dokumentoch zohľadniť opatrenia prijaté podľa uvedených iných právnych aktov Únie. Je potrebné, aby kritické subjekty zohľadnili aj smernicu Európskeho parlamentu a Rady 2008/96/ES (17), ktorou sa zavádza hodnotenie celej cestnej siete s cieľom zmapovať riziká nehôd a ktorou sa zavádzajú cielené kontroly bezpečnosti ciest s cieľom identifikovať nebezpečný stav, nedostatky a problémy, ktoré zvyšujú riziko nehôd a zranení, založené na obhliadkach existujúcich ciest alebo úsekov ciest. Zaistenie ochrany a odolnosti kritických subjektov je mimoriadne dôležité pre železničnú dopravu a pri vykonávaní opatrení na zabezpečenie odolnosti podľa tejto smernice sa kritické subjekty nabádajú, aby využívali nezáväzné usmernenia a dokumenty o osvedčených postupoch vypracované v rámci odvetvových pracovných tokov, ako je napríklad platforma EÚ pre bezpečnosť cestujúcich v železničnej doprave zriadená rozhodnutím Komisie 2018/C 232/03 (18).

| (32) | Riziko, že zamestnanci kritických subjektov alebo ich zmluvných dodávateľov zneužijú napríklad svoje prístupové práva v rámci organizácie kritického subjektu na poškodenie a spôsobenie škody, vyvoláva čoraz väčšie obavy. Členské štáty by preto mali stanoviť podmienky, za ktorých sa kritickým subjektom v riadne odôvodnených prípadoch a pri zohľadnení posúdenia rizika členským štátom povoľuje predkladať žiadosti o previerku osôb, ktoré patria do osobitných kategórií pracovníkov. Malo by sa zabezpečiť, aby príslušné orgány posúdili také žiadosti v primeranej lehote a spracúvali ich v súlade s vnútroštátnym právom a postupmi, ako aj s príslušným a uplatniteľným právom Únie vrátane právnych predpisov o ochrane osobných údajov. S cieľom potvrdiť totožnosť osoby, ktorá podlieha previerke, je vhodné, aby členské štáty vyžadovali doklad totožnosti, ako je cestovný pas, občiansky preukaz alebo digitálna forma identifikácie, v súlade s uplatniteľným právom.
  Previerky by mali zahŕňať aj preskúmanie výpisu z registra trestov dotknutej osoby. Členské štáty by mali využívať Európsky informačný systém registrov trestov v súlade s postupmi stanovenými v rámcovom rozhodnutí Rady 2009/315/SVV (19), a ak je to relevantné a uplatniteľné, v nariadení Európskeho parlamentu a Rady (EÚ) 2019/816 (20) na účely získania informácií z registrov trestov vedených inými členskými štátmi. Členské štáty môžu v relevantných a uplatniteľných prípadoch využívať aj Schengenský informačný systém druhej generácie (SIS II) zriadený nariadením Európskeho parlamentu a Rady (EÚ) 2018/1862 (21), spravodajské informácie a akékoľvek iné dostupné objektívne informácie, ktoré môžu byť potrebné na určenie vhodnosti dotknutej osoby pracovať na pozícii, v súvislosti s ktorou kritický subjekt požiadal o previerku osoby. |
| --- | --- |

(32)

Riziko, že zamestnanci kritických subjektov alebo ich zmluvných dodávateľov zneužijú napríklad svoje prístupové práva v rámci organizácie kritického subjektu na poškodenie a spôsobenie škody, vyvoláva čoraz väčšie obavy. Členské štáty by preto mali stanoviť podmienky, za ktorých sa kritickým subjektom v riadne odôvodnených prípadoch a pri zohľadnení posúdenia rizika členským štátom povoľuje predkladať žiadosti o previerku osôb, ktoré patria do osobitných kategórií pracovníkov. Malo by sa zabezpečiť, aby príslušné orgány posúdili také žiadosti v primeranej lehote a spracúvali ich v súlade s vnútroštátnym právom a postupmi, ako aj s príslušným a uplatniteľným právom Únie vrátane právnych predpisov o ochrane osobných údajov. S cieľom potvrdiť totožnosť osoby, ktorá podlieha previerke, je vhodné, aby členské štáty vyžadovali doklad totožnosti, ako je cestovný pas, občiansky preukaz alebo digitálna forma identifikácie, v súlade s uplatniteľným právom.

Previerky by mali zahŕňať aj preskúmanie výpisu z registra trestov dotknutej osoby. Členské štáty by mali využívať Európsky informačný systém registrov trestov v súlade s postupmi stanovenými v rámcovom rozhodnutí Rady 2009/315/SVV (19), a ak je to relevantné a uplatniteľné, v nariadení Európskeho parlamentu a Rady (EÚ) 2019/816 (20) na účely získania informácií z registrov trestov vedených inými členskými štátmi. Členské štáty môžu v relevantných a uplatniteľných prípadoch využívať aj Schengenský informačný systém druhej generácie (SIS II) zriadený nariadením Európskeho parlamentu a Rady (EÚ) 2018/1862 (21), spravodajské informácie a akékoľvek iné dostupné objektívne informácie, ktoré môžu byť potrebné na určenie vhodnosti dotknutej osoby pracovať na pozícii, v súvislosti s ktorou kritický subjekt požiadal o previerku osoby.

| (33) | Mal by sa vytvoriť mechanizmus oznamovania určitých incidentov, ktorý by príslušným orgánom umožnil rýchlo a primerane reagovať na incidenty a získať komplexný prehľad o vplyve, povahe, príčinách a možných dôsledkoch incidentov, ktoré kritické subjekty riešia. Kritické subjekty by mali bez zbytočného odkladu informovať príslušné orgány o incidentoch, ktoré významne narúšajú alebo majú potenciál významne narušiť poskytovanie základných služieb. Pokiaľ to je z prevádzkového hľadiska možné, kritické subjekty by mali predložiť prvé oznámenie najneskôr do 24 hodín po tom, ako nadobudli o incidente vedomosť. Prvotné oznámenie by malo obsahovať len informácie, ktoré sú nevyhnutne potrebné na to, aby príslušné orgány nadobudli o incidente vedomosť a v prípade potreby umožnili kritickému subjektu požiadať o pomoc. Ak je to možné, v takomto oznámení by sa mala uviesť predpokladaná príčina incidentu. Členské štáty by mali zabezpečiť, aby požiadavka na predloženie uvedeného prvotného oznámenia neodklonila zdroje kritického subjektu od činností súvisiacich s riešením incidentu, ktoré by mali byť prioritou. Po prvotnom oznámení by mala v prípade potreby nasledovať podrobná správa najneskôr do jedného mesiaca po incidente. Podrobná správa by mala doplniť pôvodné oznámenie a poskytnúť úplnejší prehľad o incidente. |
| --- | --- |

(33)

Mal by sa vytvoriť mechanizmus oznamovania určitých incidentov, ktorý by príslušným orgánom umožnil rýchlo a primerane reagovať na incidenty a získať komplexný prehľad o vplyve, povahe, príčinách a možných dôsledkoch incidentov, ktoré kritické subjekty riešia. Kritické subjekty by mali bez zbytočného odkladu informovať príslušné orgány o incidentoch, ktoré významne narúšajú alebo majú potenciál významne narušiť poskytovanie základných služieb. Pokiaľ to je z prevádzkového hľadiska možné, kritické subjekty by mali predložiť prvé oznámenie najneskôr do 24 hodín po tom, ako nadobudli o incidente vedomosť. Prvotné oznámenie by malo obsahovať len informácie, ktoré sú nevyhnutne potrebné na to, aby príslušné orgány nadobudli o incidente vedomosť a v prípade potreby umožnili kritickému subjektu požiadať o pomoc. Ak je to možné, v takomto oznámení by sa mala uviesť predpokladaná príčina incidentu. Členské štáty by mali zabezpečiť, aby požiadavka na predloženie uvedeného prvotného oznámenia neodklonila zdroje kritického subjektu od činností súvisiacich s riešením incidentu, ktoré by mali byť prioritou. Po prvotnom oznámení by mala v prípade potreby nasledovať podrobná správa najneskôr do jedného mesiaca po incidente. Podrobná správa by mala doplniť pôvodné oznámenie a poskytnúť úplnejší prehľad o incidente.

| (34) | Normalizácia by mala primárne zostať procesom riadeným trhom. Stále by však mohli nastať situácie, keď je vhodné vyžadovať súlad so špecifikovanými normami. Členské štáty by v užitočných prípadoch mali podporovať používanie európskych a medzinárodných noriem a technických špecifikácií relevantných pre bezpečnostné opatrenia a opatrenia na zabezpečenie odolnosti, ktoré sa vzťahujú na kritické subjekty. |
| --- | --- |

(34)

Normalizácia by mala primárne zostať procesom riadeným trhom. Stále by však mohli nastať situácie, keď je vhodné vyžadovať súlad so špecifikovanými normami. Členské štáty by v užitočných prípadoch mali podporovať používanie európskych a medzinárodných noriem a technických špecifikácií relevantných pre bezpečnostné opatrenia a opatrenia na zabezpečenie odolnosti, ktoré sa vzťahujú na kritické subjekty.

| (35) | Kritické subjekty vo všeobecnosti pôsobia ako súčasť čoraz prepojenejšej siete poskytovania služieb a infraštruktúry a často poskytujú základné služby vo viac ako jednom členskom štáte, pričom niektoré z uvedených kritických subjektov majú pre Úniu a jej vnútorný trh osobitný význam, pretože poskytujú základné služby do šiestich alebo viacerých členských štátov alebo v šiestich alebo viacerých členských štátoch, a preto by mohli profitovať z osobitnej podpory na úrovni Únie. Preto by sa mali ustanoviť pravidlá týkajúce sa poradných misií v súvislosti s takýmito kritickými subjektmi osobitného európskeho významu. Týmito pravidlami nie sú dotknuté pravidlá dohľadu a presadzovania ustanovené v tejto smernici. |
| --- | --- |

(35)

Kritické subjekty vo všeobecnosti pôsobia ako súčasť čoraz prepojenejšej siete poskytovania služieb a infraštruktúry a často poskytujú základné služby vo viac ako jednom členskom štáte, pričom niektoré z uvedených kritických subjektov majú pre Úniu a jej vnútorný trh osobitný význam, pretože poskytujú základné služby do šiestich alebo viacerých členských štátov alebo v šiestich alebo viacerých členských štátoch, a preto by mohli profitovať z osobitnej podpory na úrovni Únie. Preto by sa mali ustanoviť pravidlá týkajúce sa poradných misií v súvislosti s takýmito kritickými subjektmi osobitného európskeho významu. Týmito pravidlami nie sú dotknuté pravidlá dohľadu a presadzovania ustanovené v tejto smernici.

| (36) | Na základe odôvodnenej žiadosti Komisie alebo jedného alebo viacerých členských štátov, do ktorých alebo v ktorých sa základná služba poskytuje, ak sú potrebné dodatočné informácie na to, aby sa mohlo kritickému subjektu poskytnúť poradenstvo pri plnení jeho povinností podľa tejto smernice alebo posúdiť, či kritický subjekt osobitného európskeho významu dodržiava tieto povinnosti, členský štát, ktorý identifikoval kritický subjekt osobitného európskeho významu ako kritický subjekt, by mal poskytnúť Komisii určité informácie stanovené v tejto smernici. Po dohode s členským štátom, ktorý identifikoval kritický subjekt osobitného európskeho významu ako kritický subjekt, by Komisia mala mať možnosť zorganizovať poradnú misiu na posúdenie opatrení zavedených daným subjektom. S cieľom zabezpečiť riadne vykonávanie takýchto poradných misií by sa mali stanoviť doplňujúce pravidlá týkajúce sa najmä organizácie a vedenia poradných misií, následných opatrení, ktoré sa majú prijať, a povinností kritických subjektov osobitného európskeho významu. Poradná misia by sa mala bez toho, aby bola dotknutá povinnosť členského štátu, v ktorom sa poradná misia vedie, a dotknutého kritického subjektu dodržiavať pravidlá stanovené v tejto smernici, vykonávať na základe podrobných pravidiel právnych predpisov daného členského štátu, napríklad pokiaľ ide o presné podmienky, ktoré treba splniť na získanie prístupu do príslušných priestorov alebo k dokumentom, a o prostriedky súdnej nápravy. Osobitné odborné znalosti potrebné na takéto poradné misie by sa v prípade potreby mohli požadovať prostredníctvom Koordinačného centra pre reakcie na núdzové situácie zriadeného rozhodnutím Európskeho parlamentu a Rady č. 1313/2013/EÚ (22). |
| --- | --- |

(36)

Na základe odôvodnenej žiadosti Komisie alebo jedného alebo viacerých členských štátov, do ktorých alebo v ktorých sa základná služba poskytuje, ak sú potrebné dodatočné informácie na to, aby sa mohlo kritickému subjektu poskytnúť poradenstvo pri plnení jeho povinností podľa tejto smernice alebo posúdiť, či kritický subjekt osobitného európskeho významu dodržiava tieto povinnosti, členský štát, ktorý identifikoval kritický subjekt osobitného európskeho významu ako kritický subjekt, by mal poskytnúť Komisii určité informácie stanovené v tejto smernici. Po dohode s členským štátom, ktorý identifikoval kritický subjekt osobitného európskeho významu ako kritický subjekt, by Komisia mala mať možnosť zorganizovať poradnú misiu na posúdenie opatrení zavedených daným subjektom. S cieľom zabezpečiť riadne vykonávanie takýchto poradných misií by sa mali stanoviť doplňujúce pravidlá týkajúce sa najmä organizácie a vedenia poradných misií, následných opatrení, ktoré sa majú prijať, a povinností kritických subjektov osobitného európskeho významu. Poradná misia by sa mala bez toho, aby bola dotknutá povinnosť členského štátu, v ktorom sa poradná misia vedie, a dotknutého kritického subjektu dodržiavať pravidlá stanovené v tejto smernici, vykonávať na základe podrobných pravidiel právnych predpisov daného členského štátu, napríklad pokiaľ ide o presné podmienky, ktoré treba splniť na získanie prístupu do príslušných priestorov alebo k dokumentom, a o prostriedky súdnej nápravy. Osobitné odborné znalosti potrebné na takéto poradné misie by sa v prípade potreby mohli požadovať prostredníctvom Koordinačného centra pre reakcie na núdzové situácie zriadeného rozhodnutím Európskeho parlamentu a Rady č. 1313/2013/EÚ (22).

| (37) | S cieľom podporiť Komisiu a uľahčiť spoluprácu medzi členskými štátmi a výmenu informácií vrátane najlepších postupov v otázkach týkajúcich sa tejto smernice by sa mala zriadiť skupina pre odolnosť kritických subjektov ako expertná skupina Komisie. Členské štáty by sa mali usilovať zabezpečiť, aby určení zástupcovia ich príslušných orgánov v skupine pre odolnosť kritických subjektov účinne a efektívne spolupracovali, podľa vhodnosti aj určením zástupcov s bezpečnostnou previerkou. Skupina pre odolnosť kritických subjektov by mala začať plniť svoje úlohy čo najskôr, aby bola ďalším z prostriedkov na primeranú spoluprácu počas transpozičného obdobia tejto smernice. Skupina pre odolnosť kritických subjektov by mala interagovať s inými relevantnými odvetvovými expertnými pracovnými skupinami. |
| --- | --- |

(37)

S cieľom podporiť Komisiu a uľahčiť spoluprácu medzi členskými štátmi a výmenu informácií vrátane najlepších postupov v otázkach týkajúcich sa tejto smernice by sa mala zriadiť skupina pre odolnosť kritických subjektov ako expertná skupina Komisie. Členské štáty by sa mali usilovať zabezpečiť, aby určení zástupcovia ich príslušných orgánov v skupine pre odolnosť kritických subjektov účinne a efektívne spolupracovali, podľa vhodnosti aj určením zástupcov s bezpečnostnou previerkou. Skupina pre odolnosť kritických subjektov by mala začať plniť svoje úlohy čo najskôr, aby bola ďalším z prostriedkov na primeranú spoluprácu počas transpozičného obdobia tejto smernice. Skupina pre odolnosť kritických subjektov by mala interagovať s inými relevantnými odvetvovými expertnými pracovnými skupinami.

| (38) | Skupina pre odolnosť kritických subjektov by mala spolupracovať so skupinou pre spoluprácu zriadenou podľa smernice (EÚ) 2022/2555 s cieľom podporovať komplexný rámec pre kybernetickú a nekybernetickú odolnosť kritických subjektov. Skupina pre odolnosť kritických subjektov a skupina pre spoluprácu zriadená podľa smernice (EÚ) 2022/2555 by mali viesť pravidelný dialógu s cieľom podporovať spoluprácu medzi príslušnými orgánmi podľa tejto smernice a príslušnými orgánmi podľa smernice (EÚ) 2022/2555 a uľahčovať výmenu informácií, najmä o otázkach, ktoré sú relevantné pre obe skupiny. |
| --- | --- |

(38)

Skupina pre odolnosť kritických subjektov by mala spolupracovať so skupinou pre spoluprácu zriadenou podľa smernice (EÚ) 2022/2555 s cieľom podporovať komplexný rámec pre kybernetickú a nekybernetickú odolnosť kritických subjektov. Skupina pre odolnosť kritických subjektov a skupina pre spoluprácu zriadená podľa smernice (EÚ) 2022/2555 by mali viesť pravidelný dialógu s cieľom podporovať spoluprácu medzi príslušnými orgánmi podľa tejto smernice a príslušnými orgánmi podľa smernice (EÚ) 2022/2555 a uľahčovať výmenu informácií, najmä o otázkach, ktoré sú relevantné pre obe skupiny.

| (39) | V záujme dosiahnutia cieľov tejto smernice a bez toho, aby bola dotknutá právna zodpovednosť členských štátov a kritických subjektov za zabezpečenie dodržiavania ich príslušných povinností, ktoré sú v nej stanovené, by Komisia, ak to považuje za vhodné, mala podporovať príslušné orgány a kritické subjekty s cieľom uľahčiť im dodržiavanie ich príslušných povinností. Pri poskytovaní podpory členským štátom a kritickým subjektom pri plnení povinností podľa tejto smernice by Komisia mala vychádzať z existujúcich štruktúr a nástrojov, napríklad tých v rámci mechanizmu Únie v oblasti civilnej ochrany zriadeného rozhodnutím č. 1313/2013/EÚ a Európskej referenčnej siete na ochranu kritickej infraštruktúry. Okrem toho by mala informovať členské štáty o zdrojoch dostupných na úrovni Únie, napríklad v rámci Fondu pre vnútornú bezpečnosť zriadeného nariadením Európskeho parlamentu a Rady (EÚ) 2021/1149 (23), programu Horizont Európa zriadeného nariadením Európskeho parlamentu a Rady (EÚ) 2021/695 (24) alebo iných nástrojov relevantných pre odolnosť kritických subjektov. |
| --- | --- |

(39)

V záujme dosiahnutia cieľov tejto smernice a bez toho, aby bola dotknutá právna zodpovednosť členských štátov a kritických subjektov za zabezpečenie dodržiavania ich príslušných povinností, ktoré sú v nej stanovené, by Komisia, ak to považuje za vhodné, mala podporovať príslušné orgány a kritické subjekty s cieľom uľahčiť im dodržiavanie ich príslušných povinností. Pri poskytovaní podpory členským štátom a kritickým subjektom pri plnení povinností podľa tejto smernice by Komisia mala vychádzať z existujúcich štruktúr a nástrojov, napríklad tých v rámci mechanizmu Únie v oblasti civilnej ochrany zriadeného rozhodnutím č. 1313/2013/EÚ a Európskej referenčnej siete na ochranu kritickej infraštruktúry. Okrem toho by mala informovať členské štáty o zdrojoch dostupných na úrovni Únie, napríklad v rámci Fondu pre vnútornú bezpečnosť zriadeného nariadením Európskeho parlamentu a Rady (EÚ) 2021/1149 (23), programu Horizont Európa zriadeného nariadením Európskeho parlamentu a Rady (EÚ) 2021/695 (24) alebo iných nástrojov relevantných pre odolnosť kritických subjektov.

| (40) | Členské štáty by mali zabezpečiť, aby ich príslušné orgány mali určité osobitné právomoci na riadne uplatňovanie a presadzovanie tejto smernice vo vzťahu ku kritickým subjektom, ak tieto subjekty patria do ich jurisdikcie, ako sa uvádza v tejto smernici. Tieto právomoci by mali zahŕňať najmä právomoc vykonávať inšpekcie a audity, právomoc vykonávať dohľad, právomoc vyžadovať od kritických subjektov, aby poskytovali informácie a dôkazy týkajúce sa opatrení, ktoré prijali na splnenie svojich povinností, a v prípade potreby právomoc vydávať príkazy na nápravu zistených porušení. Pri vydávaní takýchto príkazov by členské štáty nemali vyžadovať opatrenia, ktoré presahujú rámec toho, čo je nevyhnutné a primerané na zabezpečenie toho, aby dotknutý kritický subjekt dodržiaval povinnosti podľa tejto smernice, a to najmä so zreteľom na závažnosť porušenia a hospodársku kapacitu dotknutého kritického subjektu. Všeobecnejšie by tieto právomoci mali byť sprevádzané primeranými a účinnými zárukami, ktoré sa stanovia vo vnútroštátnom práve v súlade s Chartou základných práv Európskej únie. Pri posudzovaní toho, či kritický subjekt dodržiava svoje povinnosti stanovené v tejto smernici, by príslušné orgány podľa tejto smernice mali mať možnosť požiadať príslušné orgány podľa smernice (EÚ) 2022/2555, aby uplatnili svoje právomoci v oblasti dohľadu a presadzovania v súvislosti so subjektom podľa uvedenej smernice, ktorý bol identifikovaný ako kritický subjekt podľa tejto smernice. Príslušné orgány podľa tejto smernice a príslušné orgány podľa smernice (EÚ) 2022/2555 by mali na uvedený účel spolupracovať a vymieňať si informácie. |
| --- | --- |

(40)

Členské štáty by mali zabezpečiť, aby ich príslušné orgány mali určité osobitné právomoci na riadne uplatňovanie a presadzovanie tejto smernice vo vzťahu ku kritickým subjektom, ak tieto subjekty patria do ich jurisdikcie, ako sa uvádza v tejto smernici. Tieto právomoci by mali zahŕňať najmä právomoc vykonávať inšpekcie a audity, právomoc vykonávať dohľad, právomoc vyžadovať od kritických subjektov, aby poskytovali informácie a dôkazy týkajúce sa opatrení, ktoré prijali na splnenie svojich povinností, a v prípade potreby právomoc vydávať príkazy na nápravu zistených porušení. Pri vydávaní takýchto príkazov by členské štáty nemali vyžadovať opatrenia, ktoré presahujú rámec toho, čo je nevyhnutné a primerané na zabezpečenie toho, aby dotknutý kritický subjekt dodržiaval povinnosti podľa tejto smernice, a to najmä so zreteľom na závažnosť porušenia a hospodársku kapacitu dotknutého kritického subjektu. Všeobecnejšie by tieto právomoci mali byť sprevádzané primeranými a účinnými zárukami, ktoré sa stanovia vo vnútroštátnom práve v súlade s Chartou základných práv Európskej únie. Pri posudzovaní toho, či kritický subjekt dodržiava svoje povinnosti stanovené v tejto smernici, by príslušné orgány podľa tejto smernice mali mať možnosť požiadať príslušné orgány podľa smernice (EÚ) 2022/2555, aby uplatnili svoje právomoci v oblasti dohľadu a presadzovania v súvislosti so subjektom podľa uvedenej smernice, ktorý bol identifikovaný ako kritický subjekt podľa tejto smernice. Príslušné orgány podľa tejto smernice a príslušné orgány podľa smernice (EÚ) 2022/2555 by mali na uvedený účel spolupracovať a vymieňať si informácie.

| (41) | S cieľom uplatňovať túto smernicu účinne a konzistentne by sa mala na Komisiu delegovať právomoc prijímať akty v súlade s článkom 290 ZFEÚ, aby doplnila túto smernicu vypracovaním zoznamu základných služieb. Uvedený zoznam by mali používať príslušné orgány na účely vykonávania posúdení rizika členskými štátmi a identifikovania kritických subjektov podľa tejto smernice. Vzhľadom na prístup minimálnej harmonizácie, ktorý sa uplatňuje v tejto smernici, nie je uvedený zoznam vyčerpávajúci a členské štáty by ho mohli doplniť dodatočnými základnými službami na vnútroštátnej úrovni s cieľom zohľadniť vnútroštátne osobitosti pri poskytovaní základných služieb. Je osobitne dôležité, aby Komisia počas prípravných prác uskutočnila príslušné konzultácie, a to aj na úrovni expertov, a aby tieto konzultácie vykonávala v súlade so zásadami stanovenými v Medziinštitucionálnej dohode z 13. apríla 2016 o lepšej tvorbe práva (25). Predovšetkým, v záujme rovnakého zastúpenia pri príprave delegovaných aktov, sa všetky dokumenty doručujú Európskemu parlamentu a Rade v rovnakom čase ako expertom z členských štátov, a experti Európskeho parlamentu a Rady majú systematický prístup na zasadnutia skupín expertov Komisie, ktoré sa zaoberajú prípravou delegovaných aktov. |
| --- | --- |

(41)

S cieľom uplatňovať túto smernicu účinne a konzistentne by sa mala na Komisiu delegovať právomoc prijímať akty v súlade s článkom 290 ZFEÚ, aby doplnila túto smernicu vypracovaním zoznamu základných služieb. Uvedený zoznam by mali používať príslušné orgány na účely vykonávania posúdení rizika členskými štátmi a identifikovania kritických subjektov podľa tejto smernice. Vzhľadom na prístup minimálnej harmonizácie, ktorý sa uplatňuje v tejto smernici, nie je uvedený zoznam vyčerpávajúci a členské štáty by ho mohli doplniť dodatočnými základnými službami na vnútroštátnej úrovni s cieľom zohľadniť vnútroštátne osobitosti pri poskytovaní základných služieb. Je osobitne dôležité, aby Komisia počas prípravných prác uskutočnila príslušné konzultácie, a to aj na úrovni expertov, a aby tieto konzultácie vykonávala v súlade so zásadami stanovenými v Medziinštitucionálnej dohode z 13. apríla 2016 o lepšej tvorbe práva (25). Predovšetkým, v záujme rovnakého zastúpenia pri príprave delegovaných aktov, sa všetky dokumenty doručujú Európskemu parlamentu a Rade v rovnakom čase ako expertom z členských štátov, a experti Európskeho parlamentu a Rady majú systematický prístup na zasadnutia skupín expertov Komisie, ktoré sa zaoberajú prípravou delegovaných aktov.

| (42) | S cieľom zabezpečiť jednotné podmienky vykonávania tejto smernice by sa mali na Komisiu preniesť vykonávacie právomoci. Uvedené právomoci by sa mali vykonávať v súlade s nariadením Európskeho parlamentu a Rady (EÚ) č. 182/2011 (26). |
| --- | --- |

(42)

S cieľom zabezpečiť jednotné podmienky vykonávania tejto smernice by sa mali na Komisiu preniesť vykonávacie právomoci. Uvedené právomoci by sa mali vykonávať v súlade s nariadením Európskeho parlamentu a Rady (EÚ) č. 182/2011 (26).

| (43) | Keďže ciele tejto smernice, a to zabezpečiť, aby služby nevyhnutné na zachovanie životne dôležitých spoločenských funkcií alebo hospodárskych činností boli poskytované nerušeným spôsobom na vnútornom trhu a zvýšiť odolnosť kritických subjektov poskytujúcich takéto služby, nie je možné uspokojivo dosiahnuť na úrovni členských štátov, ale z dôvodu účinkov tohto opatrenia ich možno lepšie dosiahnuť na úrovni Únie, môže Únia prijať opatrenia v súlade so zásadou subsidiarity podľa článku 5 Zmluvy o Európskej únii. V súlade so zásadou proporcionality podľa uvedeného článku 5 táto smernica neprekračuje rámec nevyhnutný na dosiahnutie týchto cieľov. |
| --- | --- |

(43)

Keďže ciele tejto smernice, a to zabezpečiť, aby služby nevyhnutné na zachovanie životne dôležitých spoločenských funkcií alebo hospodárskych činností boli poskytované nerušeným spôsobom na vnútornom trhu a zvýšiť odolnosť kritických subjektov poskytujúcich takéto služby, nie je možné uspokojivo dosiahnuť na úrovni členských štátov, ale z dôvodu účinkov tohto opatrenia ich možno lepšie dosiahnuť na úrovni Únie, môže Únia prijať opatrenia v súlade so zásadou subsidiarity podľa článku 5 Zmluvy o Európskej únii. V súlade so zásadou proporcionality podľa uvedeného článku 5 táto smernica neprekračuje rámec nevyhnutný na dosiahnutie týchto cieľov.

| (44) | S európskym dozorným úradníkom pre ochranu údajov sa konzultovalo v súlade s článkom 42 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725 (27) a európsky dozorný úradník pre ochranu údajov vydal stanovisko 11. augusta 2021. |
| --- | --- |

(44)

S európskym dozorným úradníkom pre ochranu údajov sa konzultovalo v súlade s článkom 42 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725 (27) a európsky dozorný úradník pre ochranu údajov vydal stanovisko 11. augusta 2021.

| (45) | Smernica 2008/114/ES by sa preto mala zrušiť, |
| --- | --- |

(45)

Smernica 2008/114/ES by sa preto mala zrušiť,

PRIJALI TÚTO SMERNICU:

KAPITOLA I

VŠEOBECNÉ USTANOVENIA

Článok 1

Predmet úpravy a rozsah pôsobnosti

1.   Touto smernicou sa:

| a) | pre členské štáty stanovujú povinnosti prijať osobitné opatrenia s cieľom zabezpečiť, aby služby, ktoré sú nevyhnutné na zachovanie životne dôležitých spoločenských funkcií alebo hospodárskych činností v rámci rozsahu pôsobnosti článku 114 ZFEÚ, boli poskytované nerušeným spôsobom na vnútornom trhu, najmä povinnosti identifikovať kritické subjekty a podporiť kritické subjekty pri plnení povinností, ktoré im boli uložené; |
| --- | --- |

a)

pre členské štáty stanovujú povinnosti prijať osobitné opatrenia s cieľom zabezpečiť, aby služby, ktoré sú nevyhnutné na zachovanie životne dôležitých spoločenských funkcií alebo hospodárskych činností v rámci rozsahu pôsobnosti článku 114 ZFEÚ, boli poskytované nerušeným spôsobom na vnútornom trhu, najmä povinnosti identifikovať kritické subjekty a podporiť kritické subjekty pri plnení povinností, ktoré im boli uložené;

| b) | pre kritické subjekty stanovujú povinnosti zamerané na zvýšenie ich odolnosti a schopnosti poskytovať služby uvedené v písmene a) na vnútornom trhu; |
| --- | --- |

b)

pre kritické subjekty stanovujú povinnosti zamerané na zvýšenie ich odolnosti a schopnosti poskytovať služby uvedené v písmene a) na vnútornom trhu;

| c) | stanovujú pravidlá:






  i) | dohľadu nad kritickými subjektmi; |
| --- | --- | --- |

c)

stanovujú pravidlá:

i)

dohľadu nad kritickými subjektmi;

| ii) | presadzovania; |
| --- | --- |

ii)

presadzovania;

| iii) | pre identifikáciu kritických subjektov osobitného európskeho významu a pre poradné misie na účely posúdenia opatrení, ktoré takéto subjekty zaviedli, aby splnili svoje povinnosti podľa kapitoly III; |
| --- | --- |

iii)

pre identifikáciu kritických subjektov osobitného európskeho významu a pre poradné misie na účely posúdenia opatrení, ktoré takéto subjekty zaviedli, aby splnili svoje povinnosti podľa kapitoly III;

| d) | stanovujú spoločné postupy spolupráce a podávania správ o uplatňovaní tejto smernice; |
| --- | --- |

d)

stanovujú spoločné postupy spolupráce a podávania správ o uplatňovaní tejto smernice;

| e) | stanovujú opatrenia na dosiahnutie vysokej úrovne odolnosti kritických subjektov s cieľom zabezpečiť poskytovanie základných služieb v Únii a zlepšiť fungovanie vnútorného trhu. |
| --- | --- |

e)

stanovujú opatrenia na dosiahnutie vysokej úrovne odolnosti kritických subjektov s cieľom zabezpečiť poskytovanie základných služieb v Únii a zlepšiť fungovanie vnútorného trhu.

2.   Táto smernica sa neuplatňuje na záležitosti, na ktoré sa vzťahuje smernica (EÚ) 2022/2555, bez toho, aby bol dotknutý článok 8 tejto smernice. Vzhľadom na vzťah medzi fyzickou bezpečnosťou a kybernetickou bezpečnosťou kritických subjektov členské štáty zabezpečia, aby táto smernica a smernica (EÚ) 2022/2555 boli implementované koordinovaným spôsobom.

3.   Ak sa v ustanoveniach odvetvových právnych aktov Únie vyžaduje, aby kritické subjekty prijali opatrenia na zvýšenie svojej odolnosti, a ak sú tieto požiadavky uznané členskými štátmi ako aspoň rovnocenné so zodpovedajúcimi povinnosťami stanovenými v tejto smernici, príslušné ustanovenia tejto smernice vrátane ustanovení o dohľade a presadzovaní uvedených v kapitole VI sa neuplatňujú.

4.   Bez toho, aby bol dotknutý článok 346 ZFEÚ, informácie, ktoré sú dôverné podľa predpisov Únie alebo vnútroštátnych predpisov, ako napríklad predpisov o dôverných obchodných informáciách, sa vymieňajú s Komisiou a inými príslušnými orgánmi v súlade s touto smernicou, len ak je táto výmena potrebná na účely uplatňovania tejto smernice. Vymieňané informácie sa obmedzujú na tie informácie, ktoré sú relevantné a primerané účelu danej výmeny. Pri výmene informácií sa zachováva dôvernosť týchto informácií a chránia sa bezpečnostné a obchodné záujmy kritických subjektov, pričom sa dbá na bezpečnosť členských štátov.

5.   Touto smernicou nie je dotknutá zodpovednosť členských štátov chrániť národnú bezpečnosť a zaisťovať obranu ani ich právomoc chrániť iné základné funkcie štátu vrátane zabezpečenia územnej celistvosti štátu a udržiavania verejného poriadku.

6.   Táto smernica sa nevzťahuje na subjekty verejnej správy, ktoré vykonávajú svoju činnosť v oblastiach národnej bezpečnosti, verejnej bezpečnosti, obrany alebo presadzovania práva vrátane vyšetrovania, odhaľovania a stíhania trestných činov.

7.   Členské štáty môžu rozhodnúť, že článok 11 a kapitoly III, IV a VI sa úplne alebo čiastočne neuplatňujú na konkrétne kritické subjekty, ktoré vykonávajú činnosti v oblastiach národnej bezpečnosti, verejnej bezpečnosti, obrany alebo presadzovania práva vrátane vyšetrovania, odhaľovania a stíhania trestných činov alebo ktoré poskytujú služby výlučne subjektom verejnej správy uvedeným v odseku 6 tohto článku.

8.   Povinnosti stanovené v tejto smernici nezahŕňajú poskytovanie informácií, ktorých zverejnenie by bolo v rozpore so základnými záujmami členských štátov v oblasti národnej bezpečnosti, verejnej bezpečnosti alebo obrany.

9.   Touto smernicou nie je dotknuté právo Únie o ochrane osobných údajov, najmä nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 (28) a smernica Európskeho parlamentu a Rady 2002/58/ES (29).

Článok 2

Vymedzenie pojmov

Na účely tejto smernice sa uplatňuje toto vymedzenie pojmov:

| 1. | „kritický subjekt“ je verejný alebo súkromný subjekt, ktorý členský štát v súlade s článkom 6 identifikoval ako subjekt patriaci do jednej z kategórií uvedených v treťom stĺpci tabuľky v prílohe; |
| --- | --- |

1.

„kritický subjekt“ je verejný alebo súkromný subjekt, ktorý členský štát v súlade s článkom 6 identifikoval ako subjekt patriaci do jednej z kategórií uvedených v treťom stĺpci tabuľky v prílohe;

| 2. | „odolnosť“ je schopnosť kritického subjektu predísť incidentu, chrániť sa pred ním, reagovať naň, odolávať mu, zmierňovať ho, absorbovať ho, prispôsobiť sa mu a zotaviť sa z neho; |
| --- | --- |

2.

„odolnosť“ je schopnosť kritického subjektu predísť incidentu, chrániť sa pred ním, reagovať naň, odolávať mu, zmierňovať ho, absorbovať ho, prispôsobiť sa mu a zotaviť sa z neho;

| 3. | „incident“ je udalosť, ktorá môže významne narušiť alebo skutočne narúša poskytovanie základnej služby, a to aj vtedy, keď ovplyvňuje vnútroštátne systémy, ktoré chránia právny štát; |
| --- | --- |

3.

„incident“ je udalosť, ktorá môže významne narušiť alebo skutočne narúša poskytovanie základnej služby, a to aj vtedy, keď ovplyvňuje vnútroštátne systémy, ktoré chránia právny štát;

| 4. | „kritická infraštruktúra“ je aktívum, zariadenie, vybavenie, sieť alebo systém, alebo časť aktíva, zariadenia, vybavenia, siete alebo systému, ktoré sú potrebné na poskytovanie základnej služby; |
| --- | --- |

4.

„kritická infraštruktúra“ je aktívum, zariadenie, vybavenie, sieť alebo systém, alebo časť aktíva, zariadenia, vybavenia, siete alebo systému, ktoré sú potrebné na poskytovanie základnej služby;

| 5. | „základná služba“ je služba, ktorá má zásadný význam z hľadiska zachovania životne dôležitých spoločenských funkcií, hospodárskych činností, verejného zdravia a bezpečnosti alebo životného prostredia; |
| --- | --- |

5.

„základná služba“ je služba, ktorá má zásadný význam z hľadiska zachovania životne dôležitých spoločenských funkcií, hospodárskych činností, verejného zdravia a bezpečnosti alebo životného prostredia;

| 6. | „riziko“ je potenciál straty alebo narušenia v dôsledku incidentu a má byť vyjadrené ako kombinácia rozsahu takejto straty alebo narušenia a pravdepodobnosti výskytu incidentu; |
| --- | --- |

6.

„riziko“ je potenciál straty alebo narušenia v dôsledku incidentu a má byť vyjadrené ako kombinácia rozsahu takejto straty alebo narušenia a pravdepodobnosti výskytu incidentu;

| 7. | „posúdenie rizika “ je celkový proces na určenie povahy a rozsahu rizika identifikáciou a analýzou potenciálnych relevantných hrozieb, zraniteľností a nebezpečenstiev, ktoré by mohli viesť k incidentu, a vyhodnotením potenciálnej straty alebo narušenia poskytovania základnej služby spôsobeného uvedeným incidentom; |
| --- | --- |

7.

„posúdenie rizika “ je celkový proces na určenie povahy a rozsahu rizika identifikáciou a analýzou potenciálnych relevantných hrozieb, zraniteľností a nebezpečenstiev, ktoré by mohli viesť k incidentu, a vyhodnotením potenciálnej straty alebo narušenia poskytovania základnej služby spôsobeného uvedeným incidentom;

| 8. | „norma“ je norma v zmysle článku 2 bodu 1 nariadenia Európskeho parlamentu a Rady (EÚ) č. 1025/2012 (30); |
| --- | --- |

8.

„norma“ je norma v zmysle článku 2 bodu 1 nariadenia Európskeho parlamentu a Rady (EÚ) č. 1025/2012 (30);

30

| 9. | „technická špecifikácia“ je technická špecifikácia v zmysle článku 2 bodu 4 nariadenia (EÚ) č. 1025/2012; |
| --- | --- |

9.

„technická špecifikácia“ je technická špecifikácia v zmysle článku 2 bodu 4 nariadenia (EÚ) č. 1025/2012;

| 10. | „subjekt verejnej správy“ je subjekt, ktorý je ako taký uznaný v členskom štáte v súlade s vnútroštátnym právom, okrem súdnictva, parlamentov a centrálnych bánk, a ktorý spĺňa tieto kritériá:






  a) | je zriadený na účely plnenia potrieb všeobecného záujmu a nemá priemyselný ani obchodný charakter; |
| --- | --- | --- |

10.

„subjekt verejnej správy“ je subjekt, ktorý je ako taký uznaný v členskom štáte v súlade s vnútroštátnym právom, okrem súdnictva, parlamentov a centrálnych bánk, a ktorý spĺňa tieto kritériá:

a)

je zriadený na účely plnenia potrieb všeobecného záujmu a nemá priemyselný ani obchodný charakter;

| b) | má právnu subjektivitu alebo je zo zákona oprávnený konať v mene iného subjektu s právnou subjektivitou; |
| --- | --- |

b)

má právnu subjektivitu alebo je zo zákona oprávnený konať v mene iného subjektu s právnou subjektivitou;

| c) | je z väčšej časti financovaný štátnymi orgánmi alebo inými ústrednými orgánmi, ktoré sa riadia verejným právom, jeho riadenie podlieha dohľadu týchto orgánov, alebo má správnu, riadiacu alebo dozornú radu, v ktorej viac ako polovicu členov vymenúvajú štátne orgány alebo iné ústredné orgány, ktoré sa riadia verejným právom; |
| --- | --- |

c)

je z väčšej časti financovaný štátnymi orgánmi alebo inými ústrednými orgánmi, ktoré sa riadia verejným právom, jeho riadenie podlieha dohľadu týchto orgánov, alebo má správnu, riadiacu alebo dozornú radu, v ktorej viac ako polovicu členov vymenúvajú štátne orgány alebo iné ústredné orgány, ktoré sa riadia verejným právom;

| d) | má právomoc vydávať správne alebo regulačné rozhodnutia určené fyzickým alebo právnickým osobám, ktoré majú vplyv na ich práva pri cezhraničnom pohybe osôb, tovaru, služieb alebo kapitálu. |
| --- | --- |

d)

má právomoc vydávať správne alebo regulačné rozhodnutia určené fyzickým alebo právnickým osobám, ktoré majú vplyv na ich práva pri cezhraničnom pohybe osôb, tovaru, služieb alebo kapitálu.

Článok 3

Minimálna harmonizácia

Táto smernica nebráni členským štátom, aby prijali alebo ponechali v platnosti ustanovenia vnútroštátneho práva, ktorých cieľom je dosiahnuť vyššiu úroveň odolnosti kritických subjektov, ak nie sú takéto ustanovenia v rozpore s povinnosťami členských štátov stanovenými v práve Únie.

KAPITOLA II

VNÚTROŠTÁTNE RÁMCE V OBLASTI ODOLNOSTI KRITICKÝCH SUBJEKTOV

Článok 4

Stratégia v oblasti odolnosti kritických subjektov

1.   Po konzultácii, ktorá je v prakticky možnej miere otvorená pre príslušné zainteresované strany, každý členský štát prijme do 17. januára 2026 stratégiu na zvýšenie odolnosti kritických subjektov (ďalej len „stratégia“). Stratégia stanovuje strategické ciele a politické opatrenia, ktoré vychádzajú z príslušných existujúcich vnútroštátnych a odvetvových stratégií, plánov alebo podobných dokumentov, s cieľom dosiahnuť a udržať vysokú úroveň odolnosti kritických subjektov a pokryť aspoň odvetvia uvedené v prílohe.

2.   Každá stratégia obsahuje minimálne tieto prvky:

| a) | strategické ciele a priority na účely zvýšenia celkovej odolnosti kritických subjektov s prihliadnutím na cezhraničné a medziodvetvové závislosti a vzájomné závislosti; |
| --- | --- |

a)

strategické ciele a priority na účely zvýšenia celkovej odolnosti kritických subjektov s prihliadnutím na cezhraničné a medziodvetvové závislosti a vzájomné závislosti;

| b) | rámec riadenia na dosiahnutie strategických cieľov a priorít vrátane opisu úloh a zodpovedností rôznych orgánov, kritických subjektov a iných strán zapojených do vykonávania stratégie; |
| --- | --- |

b)

rámec riadenia na dosiahnutie strategických cieľov a priorít vrátane opisu úloh a zodpovedností rôznych orgánov, kritických subjektov a iných strán zapojených do vykonávania stratégie;

| c) | opis opatrení potrebných na zvýšenie celkovej odolnosti kritických subjektov vrátane opisu posúdenia rizika podľa článku 5; |
| --- | --- |

c)

opis opatrení potrebných na zvýšenie celkovej odolnosti kritických subjektov vrátane opisu posúdenia rizika podľa článku 5;

| d) | opis procesu, ktorým sa kritické subjekty identifikujú; |
| --- | --- |

d)

opis procesu, ktorým sa kritické subjekty identifikujú;

| e) | opis procesu, ktorým sa podporujú kritické subjekty v súlade s touto kapitolou vrátane opatrení na posilnenie spolupráce medzi verejným sektorom na jednej strane a súkromným sektorom a verejnými a súkromnými subjektmi na strane druhej; |
| --- | --- |

e)

opis procesu, ktorým sa podporujú kritické subjekty v súlade s touto kapitolou vrátane opatrení na posilnenie spolupráce medzi verejným sektorom na jednej strane a súkromným sektorom a verejnými a súkromnými subjektmi na strane druhej;

| f) | zoznam hlavných orgánov a príslušných zainteresovaných strán okrem kritických subjektov zapojených do vykonávania stratégie; |
| --- | --- |

f)

zoznam hlavných orgánov a príslušných zainteresovaných strán okrem kritických subjektov zapojených do vykonávania stratégie;

| g) | politický rámec pre koordináciu medzi príslušnými orgánmi podľa tejto smernice (ďalej len „príslušné orgány“) a príslušnými orgánmi podľa smernice (EÚ) 2022/2555 na účely zdieľania informácií o kybernetickobezpečnostných rizikách, kybernetických hrozbách a kybernetických incidentoch a nekybernetických rizikách, hrozbách a incidentoch a vykonávaní úloh dohľadu; |
| --- | --- |

g)

politický rámec pre koordináciu medzi príslušnými orgánmi podľa tejto smernice (ďalej len „príslušné orgány“) a príslušnými orgánmi podľa smernice (EÚ) 2022/2555 na účely zdieľania informácií o kybernetickobezpečnostných rizikách, kybernetických hrozbách a kybernetických incidentoch a nekybernetických rizikách, hrozbách a incidentoch a vykonávaní úloh dohľadu;

| h) | opis už zavedených opatrení, ktoré sú zamerané na uľahčenie vykonávania povinností podľa kapitoly III tejto smernice malými a strednými podnikmi v zmysle prílohy k odporúčaniu Komisie 2003/361/ES (31), ktoré predmetné členské štáty identifikovali ako kritické subjekty. |
| --- | --- |

h)

opis už zavedených opatrení, ktoré sú zamerané na uľahčenie vykonávania povinností podľa kapitoly III tejto smernice malými a strednými podnikmi v zmysle prílohy k odporúčaniu Komisie 2003/361/ES (31), ktoré predmetné členské štáty identifikovali ako kritické subjekty.

Po konzultácii, ktorá je v prakticky možnej miere otvorená pre príslušné zainteresované strany, členské štáty aktualizujú svoje stratégie aspoň každé štyri roky.

3.   Členské štáty oznámia Komisii svoje stratégie a ich významné aktualizácie do troch mesiacov od ich prijatia.

Článok 5

Posúdenie rizika členskými štátmi

1.   Komisia je splnomocnená prijať delegovaný akt v súlade s článkom 23 do 17. novembra 2023 s cieľom doplniť túto smernicu stanovením nevyčerpávajúceho zoznamu základných služieb v odvetviach a pododvetviach uvedených v prílohe. Príslušné orgány použijú uvedený zoznam základných služieb na účely vykonania posúdenia rizika (ďalej len „posúdenie rizika členskými štátmi) do 17. januára 2026, následne kedykoľvek v prípade potreby a aspoň každé štyri roky. Príslušné orgány použijú posúdenia rizika členskými štátmi na identifikáciu kritických subjektov v súlade s článkom 6 a na pomoc uvedeným kritickým subjektom pri prijímaní opatrení podľa článku 13.

V posúdeniach rizika členskými štátmi sa zohľadňujú všetky relevantné prírodné riziká a riziká spôsobené ľudskou činnosťou vrátane rizík medziodvetvovej alebo cezhraničnej povahy, nehôd, prírodných katastrof, ohrození verejného zdravia a hybridných hrozieb alebo iných antagonistických hrozieb vrátane trestných činov terorizmu, ako sa stanovuje v smernici Európskeho parlamentu a Rady (EÚ) 2017/541 (32).

2.   Pri vykonávaní posúdení rizika členskými štátmi členské štáty zohľadňujú aspoň:

| a) | všeobecné posúdenie rizika vykonané podľa článku 6 ods. 1 rozhodnutia č. 1313/2013/EÚ; |
| --- | --- |

a)

všeobecné posúdenie rizika vykonané podľa článku 6 ods. 1 rozhodnutia č. 1313/2013/EÚ;

| b) | iné relevantné posúdenia rizík vykonané v súlade s požiadavkami príslušných odvetvových právnych aktov Únie vrátane nariadení Európskeho parlamentu a Rady (EÚ) 2017/1938 (33) a (EÚ) 2019/941 (34) a smerníc Európskeho parlamentu a Rady 2007/60/ES (35) a 2012/18/EÚ (36); |
| --- | --- |

b)

iné relevantné posúdenia rizík vykonané v súlade s požiadavkami príslušných odvetvových právnych aktov Únie vrátane nariadení Európskeho parlamentu a Rady (EÚ) 2017/1938 (33) a (EÚ) 2019/941 (34) a smerníc Európskeho parlamentu a Rady 2007/60/ES (35) a 2012/18/EÚ (36);

| c) | relevantné riziká vyplývajúce z miery, v akej odvetvia uvedené v prílohe závisia jedno od druhého, a to aj z miery, v akej závisia od subjektov nachádzajúcich sa v iných členských štátov a tretích krajinách, a vplyv, ktorý môže mať významné narušenie v jednom odvetví na iné odvetvia vrátane akýchkoľvek významných rizík pre občanov a vnútorný trh; |
| --- | --- |

c)

relevantné riziká vyplývajúce z miery, v akej odvetvia uvedené v prílohe závisia jedno od druhého, a to aj z miery, v akej závisia od subjektov nachádzajúcich sa v iných členských štátov a tretích krajinách, a vplyv, ktorý môže mať významné narušenie v jednom odvetví na iné odvetvia vrátane akýchkoľvek významných rizík pre občanov a vnútorný trh;

| d) | akékoľvek informácie o incidentoch oznámených v súlade s článkom 15. |
| --- | --- |

d)

akékoľvek informácie o incidentoch oznámených v súlade s článkom 15.

Na účely prvého pododseku písm. c) členské štáty podľa potreby spolupracujú s príslušnými orgánmi iných členských štátov a s príslušnými orgánmi tretích krajín.

3.   Členské štáty sprístupnia relevantné prvky posúdení rizika členskými štátmi kritickým subjektom, ktoré identifikovali v súlade s článkom 6, prípadne prostredníctvom svojich jednotných kontaktných miest. Členské štáty zabezpečia, aby informácie poskytnuté kritickým subjektom im pomáhali pri vykonávaní ich posúdení rizika podľa článku 12 a pri prijímaní opatrení na zabezpečenie ich odolnosti podľa článku 13.

4.   Do troch mesiacov od vykonania posúdenia rizika členským štátom poskytne členský štát Komisii relevantné informácie o typoch zistených rizík a výsledkoch vyplývajúcich z uvedeného posúdenia rizika členským štátu podľa odvetví a pododvetví uvedených v prílohe.

5.   Komisia v spolupráci s členskými štátmi vypracuje dobrovoľný spoločný vzor na podávanie správ na účely dosiahnutia súladu s odsekom 4.

Článok 6

Identifikácia kritických subjektov

1.   Každý členský štát do 17. júla 2026 identifikujú kritické subjekty pre odvetvia a pododvetvia uvedené v prílohe.

2.   Keď členský štát identifikuje kritické subjekty podľa odseku 1, zohľadňuje výsledky svojho posúdenia rizika členským štátom a svoju stratégiu a uplatňuje všetky z týchto kritérií:

| a) | subjekt poskytuje jednu alebo viac základných služieb; |
| --- | --- |

a)

subjekt poskytuje jednu alebo viac základných služieb;

| b) | subjekt pôsobí a jeho kritická infraštruktúra sa nachádza na území daného členského štátu a |
| --- | --- |

b)

subjekt pôsobí a jeho kritická infraštruktúra sa nachádza na území daného členského štátu a

| c) | incident by mal na základe určenia podľa článku 7 ods. 1 významné rušivé vplyvy na poskytovanie zo strany subjektu jednej alebo viacerých základných služieb alebo na poskytovanie iných základných služieb v odvetviach uvedených v prílohe, ktoré závisia od uvedenej základnej služby alebo od uvedených základných služieb. |
| --- | --- |

c)

incident by mal na základe určenia podľa článku 7 ods. 1 významné rušivé vplyvy na poskytovanie zo strany subjektu jednej alebo viacerých základných služieb alebo na poskytovanie iných základných služieb v odvetviach uvedených v prílohe, ktoré závisia od uvedenej základnej služby alebo od uvedených základných služieb.

3.   Každý členský štát zostaví zoznam identifikovaných kritických subjektov podľa odseku 2 a zabezpečí, aby bolo týmto kritickým subjektom oznámené, že boli identifikované ako kritické subjekty, do jedného mesiaca od tejto identifikácie. Členské štáty informujú tieto kritické subjekty o ich povinnostiach podľa kapitol III a IV a o dátume, od ktorého sa na ne tieto povinnosti vzťahujú, a to bez toho, aby bol dotknutý článok 8. Členské štáty informujú kritické subjekty v odvetviach uvedených v bodoch 3, 4 a 8 tabuľky v prílohe o tom, že nemajú žiadne povinnosti podľa kapitol III a IV, pokiaľ sa vo vnútroštátnych opatreniach nestanovuje inak.

V prípade dotknutých kritických subjektov sa kapitola III uplatňuje po uplynutí 10 mesiacov odo dňa oznámenia uvedeného v prvom pododseku tohto odseku.

4.   Členské štáty zabezpečia, aby ich príslušné orgány podľa tejto smernice oznámili príslušným orgánom podľa smernice (EÚ) 2022/2555 totožnosť subjektov, ktoré identifikovali ako kritické subjekty podľa tohto článku, a to do jedného mesiaca od tejto identifikácie. V uvedenom oznámení sa prípadne uvedie, že dotknuté kritické subjekty sú subjektami v odvetviach uvedených v bodoch 3, 4 a 8 tabuľky v prílohe k tejto smernici a že nemajú žiadne povinnosti podľa jej kapitol III a IV.

5.   Členské štáty v prípade potreby a v každom prípade aspoň každé štyri roky preskúmajú a v náležitých prípadoch aktualizujú zoznam identifikovaných kritických subjektov uvedený v odseku 3. Ak uvedené aktualizácie vedú k identifikácii ďalších kritických subjektov, odseky 3 a 4 sa uplatňujú na tieto ďalšie kritické subjekty. Členské štáty okrem toho zabezpečia, aby subjekty, ktoré už nie sú identifikované ako kritické subjekty na základe akejkoľvek takejto aktualizácie, boli v náležitej lehote informované o uvedenej skutočnosti a o skutočnosti, že odo dňa doručenia tohto oznámenia viac nepodliehajú povinnostiam podľa kapitoly III.

6.   Komisia v spolupráci s členskými štátmi vypracuje odporúčania a nezáväzné usmernenia na podporu členských štátov pri identifikácii kritických subjektov.

Článok 7

Významný rušivý vplyv

1.   Pri určovaní významnosti rušivého vplyvu uvedeného v článku 6 ods. 2 písm. c) členské štáty zohľadňujú tieto kritériá:

| a) | počet používateľov využívajúcich základnú službu, ktorú dotknutý subjekt poskytuje; |
| --- | --- |

a)

počet používateľov využívajúcich základnú službu, ktorú dotknutý subjekt poskytuje;

| b) | mieru, v akej iné odvetvia a pododvetvia uvedené v prílohe závisia od predmetnej základnej služby; |
| --- | --- |

b)

mieru, v akej iné odvetvia a pododvetvia uvedené v prílohe závisia od predmetnej základnej služby;

| c) | vplyv, ktorý by mohli mať incidenty z hľadiska závažnosti a trvania na hospodárske a spoločenské činnosti, životné prostredie, verejnú ochranu a bezpečnosť, alebo zdravie obyvateľstva; |
| --- | --- |

c)

vplyv, ktorý by mohli mať incidenty z hľadiska závažnosti a trvania na hospodárske a spoločenské činnosti, životné prostredie, verejnú ochranu a bezpečnosť, alebo zdravie obyvateľstva;

| d) | trhový podiel subjektu na trhu s dotknutou základnou službou alebo dotknutými základnými službami; |
| --- | --- |

d)

trhový podiel subjektu na trhu s dotknutou základnou službou alebo dotknutými základnými službami;

| e) | geografická oblasť, ktorú by incident mohol ovplyvniť, vrátane akéhokoľvek cezhraničného vplyvu, s prihliadnutím na zraniteľnosť súvisiacu so stupňom izolácie určitých typov geografických oblastí, ako sú ostrovné regióny, vzdialené regióny alebo horské oblasti; |
| --- | --- |

e)

geografická oblasť, ktorú by incident mohol ovplyvniť, vrátane akéhokoľvek cezhraničného vplyvu, s prihliadnutím na zraniteľnosť súvisiacu so stupňom izolácie určitých typov geografických oblastí, ako sú ostrovné regióny, vzdialené regióny alebo horské oblasti;

| f) | význam subjektu z hľadiska zachovania dostatočnej úrovne základnej služby berúc do úvahy dostupnosť alternatívnych spôsobov poskytovania danej základnej služby. |
| --- | --- |

f)

význam subjektu z hľadiska zachovania dostatočnej úrovne základnej služby berúc do úvahy dostupnosť alternatívnych spôsobov poskytovania danej základnej služby.

2.   Po identifikácii kritických subjektov podľa článku 6 ods. 1 každý členský štát bez zbytočného odkladu predloží Komisii tieto informácie:

| a) | zoznam základných služieb v uvedenom členskom štáte, ak existujú akékoľvek ďalšie základné služby v porovnaní so zoznamom základných služieb uvedeným v článku 5 ods. 1; |
| --- | --- |

a)

zoznam základných služieb v uvedenom členskom štáte, ak existujú akékoľvek ďalšie základné služby v porovnaní so zoznamom základných služieb uvedeným v článku 5 ods. 1;

| b) | počet kritických subjektov identifikovaných pre každé odvetvie a pododvetvie uvedené v prílohe a pre každú základnú službu; |
| --- | --- |

b)

počet kritických subjektov identifikovaných pre každé odvetvie a pododvetvie uvedené v prílohe a pre každú základnú službu;

| c) | akékoľvek prahové hodnoty použité na určenie jedného alebo viacerých kritérií uvedených v odseku 1. |
| --- | --- |

c)

akékoľvek prahové hodnoty použité na určenie jedného alebo viacerých kritérií uvedených v odseku 1.

Prahové hodnoty uvedené v prvom pododseku písm. c) sa môžu predložiť ako také alebo v súhrnnej forme.

Členské štáty následne informácie uvedené v prvom pododseku predkladajú kedykoľvek v prípade potreby a aspoň každé štyri roky.

3.   Komisia po konzultácii so skupinou pre odolnosť kritických subjektov uvedenou v článku 19 prijme nezáväzné usmernenia na uľahčenie uplatňovania kritérií uvedených v odseku 1 tohto článku, pričom zohľadní informácie uvedené v odseku 2 tohto článku.

Článok 8

Kritické subjekty v odvetví bankovníctva, infraštruktúry finančného trhu a digitálnej infraštruktúry

Členské štáty zabezpečia, aby sa článok 11 a kapitoly III, IV a VI neuplatňovali v súvislosti s kritickými subjektmi, ktoré identifikovali v odvetviach uvedených v bodoch 3, 4 a 8 tabuľky v prílohe. Členské štáty môžu prijať alebo zachovať ustanovenia vnútroštátneho práva na dosiahnutie vyššej úrovne odolnosti týchto kritických subjektov za predpokladu, že uvedené ustanovenia sú v súlade s uplatniteľným právom Únie.

Článok 9

Príslušné orgány a jednotné kontaktné miesto

1.   Každý členský štát určí alebo zriadi jeden alebo viacero príslušných orgánov zodpovedných za správne uplatňovanie, a v prípade potreby presadzovanie, pravidiel stanovených v tejto smernici na vnútroštátnej úrovni.

Pokiaľ ide o kritické subjekty v odvetviach uvedených v bodoch 3 a 4 tabuľky v prílohe k tejto smernici, príslušné orgány sú v zásade príslušnými orgánmi uvedenými v článku 46 nariadenia (EÚ) 2022/2554 Pokiaľ ide o kritické subjekty v odvetví uvedenom v bode 8 tabuľky v prílohe k tejto smernici, príslušné orgány sú v zásade príslušnými orgánmi podľa smernice (EÚ) 2022/2555 Členské štáty môžu určiť iný príslušný orgán pre odvetvia uvedené v bodoch 3, 4 a 8 tabuľky v prílohe k tejto smernici v súlade s existujúcimi vnútroštátnymi rámcami.

Ak členské štáty určia alebo zriadia viac ako jeden príslušný orgán, jasne stanovia úlohy každého z dotknutých orgánov a zabezpečia ich účinnú spoluprácu pri plnení ich úloh podľa tejto smernice, a to aj pokiaľ ide o určenie a činnosti jednotného kontaktného miesta uvedeného v odseku 2.

2.   Každý členský štát určí alebo zriadi jedno jednotné kontaktné miesto na plnenie styčnej funkcie na účely zabezpečenia cezhraničnej spolupráce s jednotnými kontaktnými miestami iných členských štátov a so skupinou pre odolnosť kritických subjektov uvedenou v článku 19 (ďalej len „jednotné kontaktné miesto“). V prípade potreby členský štát určí svoje jednotné kontaktné miesto v rámci príslušného orgánu. V prípade potreby členský štát môže stanoviť, že jeho jednotné kontaktné miesto tiež vykonáva styčnú funkciu s Komisiou a zabezpečuje spoluprácu s tretími krajinami.

3.   Do 17. júla 2028 a potom každé dva roky predložia jednotné kontaktné miesta Komisii a skupine pre odolnosť kritických subjektov uvedenej v článku 19 súhrnnú správu o prijatých oznámeniach vrátane počtu oznámení, povahy oznámených incidentov a opatrení prijatých v súlade s článkom 15 ods. 3.

Komisia v spolupráci so skupinou pre odolnosť kritických subjektov vypracuje spoločný vzor na podávanie správ. Príslušné orgány môžu dobrovoľne používať uvedený spoločný vzor na podávanie správ na účely predkladania súhrnných správ uvedených v prvom pododseku.

4.   Každý členský štát zabezpečí, aby jeho príslušný orgán a jednotné kontaktné miesto mali právomoci a primerané finančné, ľudské a technické zdroje na účinné a efektívne vykonávanie úloh, ktoré im boli zverené.

5.   Každý členský štát zabezpečí, aby jeho príslušný orgán vždy, keď je to vhodné a v súlade s právom Únie a vnútroštátnym právom, konzultoval a spolupracoval s inými príslušnými vnútroštátnymi orgánmi, vrátane tých, ktoré sú zodpovedné za civilnú ochranu, presadzovanie práva a ochranu osobných údajov, a s kritickými subjektmi a príslušnými zainteresovanými stranami.

6.   Každý členský štát zabezpečí, aby jeho príslušný orgán podľa tejto smernice spolupracoval a vymieňal si informácie s príslušnými orgánmi podľa smernice (EÚ) 2022/2555 v oblasti kybernetickobezpečnostných rizík, kybernetických hrozieb a kybernetických incidentov a nekybernetických rizík, hrozieb a incidentov ovplyvňujúcich kritické subjekty, vrátane informácií o relevantných opatreniach prijatých jeho príslušným orgánom a príslušnými orgánmi podľa smernice (EÚ) 2022/2555.

7.   Do troch mesiacov od určenia alebo zriadenia príslušného orgánu a jednotného kontaktného miesta každý členský štát oznámi Komisii ich identitu a ich úlohy a povinnosti podľa tejto smernice, ich kontaktné údaje a všetky ich následné zmeny. Členské štáty informujú Komisiu, ak sa rozhodnú za príslušné orgány v súvislosti s kritickými subjektmi v odvetviach uvedených v bodoch 3, 4 a 8 tabuľky v prílohe určiť iný orgán, než sú príslušné orgány uvedené v odseku 1 druhom pododseku. Každý členský štát zverejní identitu svojho príslušného orgánu a jednotného kontaktného miesta.

8.   Komisia uverejní zoznam jednotných kontaktných miest.

Článok 10

Podpora členských štátov pre kritické subjekty

1.   Členské štáty podporujú kritické subjekty pri zvyšovaní ich odolnosti. Táto podpora môže zahŕňať vypracúvanie poradenského materiálu a metodiky, podporu v súvislosti s organizovaním cvičení na testovanie ich odolnosti a poskytovanie poradenstva a odbornej prípravy zamestnancom kritických subjektov. Bez toho, aby boli dotknuté uplatniteľné pravidlá štátnej pomoci, členské štáty môžu poskytnúť finančné prostriedky kritickým subjektom, ak je to potrebné a odôvodnené cieľmi verejného záujmu.

2.   Každý členský štát zabezpečí, aby jeho príslušný orgán spolupracoval a vymieňal si informácie a osvedčené postupy s kritickými subjektmi pôsobiacimi v odvetviach uvedených v prílohe.

3.   Členské štáty uľahčujú dobrovoľné zdieľanie informácií medzi kritickými subjektmi v súvislosti so záležitosťami, na ktoré sa vzťahuje táto smernica, a to v súlade s právom Únie a vnútroštátnym právom týkajúcim sa najmä utajovaných skutočností a citlivých informácií, hospodárskej súťaže a ochrany osobných údajov.

Článok 11

Spolupráca členských štátov

1.   Vždy, keď je to vhodné členské štáty vedú vzájomné konzultácie týkajúce sa kritických subjektov s cieľom zabezpečiť jednotné uplatňovanie tejto smernice. Takéto konzultácie sa uskutočnia najmä v súvislosti s kritickými subjektmi, ktoré:

| a) | využívajú kritickú infraštruktúru, ktorá je fyzicky prepojená medzi dvoma alebo viacerými členskými štátmi; |
| --- | --- |

a)

využívajú kritickú infraštruktúru, ktorá je fyzicky prepojená medzi dvoma alebo viacerými členskými štátmi;

| b) | sú súčasťou podnikových štruktúr, ktoré sú prepojené alebo spojené s kritickými subjektmi v iných členských štátoch; |
| --- | --- |

b)

sú súčasťou podnikových štruktúr, ktoré sú prepojené alebo spojené s kritickými subjektmi v iných členských štátoch;

| c) | boli identifikované ako kritické subjekty v jednom členskom štáte a základné služby poskytujú do iných členských štátov alebo v nich. |
| --- | --- |

c)

boli identifikované ako kritické subjekty v jednom členskom štáte a základné služby poskytujú do iných členských štátov alebo v nich.

2.   Cieľom konzultácií podľa odseku 1 je zvýšiť odolnosť kritických subjektov a, ak je to možné, znížiť ich administratívne zaťaženie.

KAPITOLA III

ODOLNOSŤ KRITICKÝCH SUBJEKTOV

Článok 12

Posúdenie rizika kritickými subjektmi

1.   Bez ohľadu na lehotu stanovenú v článku 6 ods. 3 druhom pododseku členské štáty zabezpečia, aby kritické subjekty uskutočnili posúdenie rizika do deviatich mesiacov od doručenia oznámenia uvedeného v článku 6 ods. 3, následne kedykoľvek v prípade potreby a aspoň každé štyri roky na základe posúdení rizika členským štátom a iných relevantných informačných zdrojov s cieľom posúdiť všetky relevantné riziká, ktoré by mohli narušiť poskytovanie ich základných služieb (ďalej len „posúdenie rizika kritickými subjektmi“).

2.   V posúdeniach rizika kritickými subjektmi sa zohľadňujú všetky relevantné prírodné riziká a riziká spôsobené ľudskou činnosťou, ktoré by mohli viesť k incidentu, vrátane rizík medziodvetvovej alebo cezhraničnej povahy, nehôd, prírodných katastrof, ohrození verejného zdravia a hybridných hrozieb a iných antagonistických hrozieb vrátane trestných činov terorizmu, ako sa stanovuje v smernici (EÚ) 2017/541. V posúdení rizika kritickým subjektom sa zohľadňuje miera, v akej iné odvetvia uvedené v prílohe závisia od základnej služby, ktorú poskytuje kritický subjekt, a miera, v akej uvedený kritický subjekt závisí od základnej služby poskytovanej inými subjektmi v takýchto iných odvetviach, v prípade potreby aj v susedných členských štátoch a tretích krajinách.

Ak kritický subjekt uskutočnil iné posúdenia rizika alebo vypracoval dokumenty podľa povinností uvedených v iných právnych aktoch, ktoré sú relevantné pre jeho posúdenie rizika kritickým subjektom, môže tieto posúdenia a dokumenty použiť na splnenie požiadaviek stanovených v tomto článku. Príslušný orgán môže pri výkone svojich funkcií dohľadu vyhlásiť existujúce posúdenie rizika uskutočnené kritickým subjektom, ktoré sa zaoberá rizikami a mierou závislosti uvedenými v prvom pododseku tohto odseku, za úplne alebo čiastočne v súlade s povinnosťami podľa tohto článku.

Článok 13

Opatrenia kritických subjektov na zabezpečenie odolnosti

1.   Členské štáty zabezpečia, aby kritické subjekty na základe relevantných informácií, ktoré im poskytli členské štáty o posúdení rizika členskými štátmi, a na základe výsledkov posúdenia rizika kritickým subjektom prijali vhodné a primerané technické, bezpečnostné a organizačné opatrenia na zaistenie svojej odolnosti vrátane opatrení potrebných na:

| a) | predchádzanie vzniku incidentov s náležitým zohľadnením opatrení na znižovanie rizika katastrof a adaptáciu na zmenu klímy; |
| --- | --- |

a)

predchádzanie vzniku incidentov s náležitým zohľadnením opatrení na znižovanie rizika katastrof a adaptáciu na zmenu klímy;

| b) | zabezpečenie primeranej fyzickej ochrany ich priestorov a kritickej infraštruktúry s náležitým zohľadnením napríklad oplotenia, bariér, nástrojov a postupov monitorovania bezpečnostnej zóny, detekčného vybavenia a kontrol prístupu; |
| --- | --- |

b)

zabezpečenie primeranej fyzickej ochrany ich priestorov a kritickej infraštruktúry s náležitým zohľadnením napríklad oplotenia, bariér, nástrojov a postupov monitorovania bezpečnostnej zóny, detekčného vybavenia a kontrol prístupu;

| c) | reakciu na incidenty, odolávanie incidentom a zmierňovanie ich následkov, s náležitým zohľadnením vykonávania postupov a protokolov riadenia rizík a krízového riadenia a postupov spojených s bezpečnostnými varovaniami; |
| --- | --- |

c)

reakciu na incidenty, odolávanie incidentom a zmierňovanie ich následkov, s náležitým zohľadnením vykonávania postupov a protokolov riadenia rizík a krízového riadenia a postupov spojených s bezpečnostnými varovaniami;

| d) | zotavenie sa z incidentov s náležitým zohľadnením opatrení na zabezpečenie kontinuity činností a identifikácie alternatívnych dodávateľských reťazcov na obnovenie plynulého poskytovania základnej služby; |
| --- | --- |

d)

zotavenie sa z incidentov s náležitým zohľadnením opatrení na zabezpečenie kontinuity činností a identifikácie alternatívnych dodávateľských reťazcov na obnovenie plynulého poskytovania základnej služby;

| e) | zabezpečenie primeraného riadenia bezpečnosti v súvislosti so zamestnancami s náležitým zohľadnením opatrení, ako je stanovenie kategórií pracovníkov vykonávajúcich kritické funkcie, stanovenie prístupových práv do priestorov, kritickej infraštruktúry a k citlivým informáciám, stanovenie previerok v súlade s článkom 14 a určenie kategórii osôb, ktoré sú povinné podrobiť sa takýmto previerkam, a stanovenie primeraných požiadaviek na odbornú prípravu a kvalifikácie; |
| --- | --- |

e)

zabezpečenie primeraného riadenia bezpečnosti v súvislosti so zamestnancami s náležitým zohľadnením opatrení, ako je stanovenie kategórií pracovníkov vykonávajúcich kritické funkcie, stanovenie prístupových práv do priestorov, kritickej infraštruktúry a k citlivým informáciám, stanovenie previerok v súlade s článkom 14 a určenie kategórii osôb, ktoré sú povinné podrobiť sa takýmto previerkam, a stanovenie primeraných požiadaviek na odbornú prípravu a kvalifikácie;

| f) | zvyšovanie informovanosti príslušných pracovníkov o opatreniach uvedených v písmenách a) až e), s náležitým zohľadnením kurzov odbornej prípravy, informačných materiálov a cvičení. |
| --- | --- |

f)

zvyšovanie informovanosti príslušných pracovníkov o opatreniach uvedených v písmenách a) až e), s náležitým zohľadnením kurzov odbornej prípravy, informačných materiálov a cvičení.

Na účely prvého pododseku písm. e) členské štáty zabezpečia, aby kritické subjekty pri stanovovaní kategórií pracovníkov vykonávajúcich kritické funkcie zohľadňovali pracovníkov externých poskytovateľov služieb;

2.   Členské štáty zabezpečia, aby kritické subjekty mali zavedený a uplatňovali plán odolnosti alebo rovnocenný dokument či dokumenty, v ktorých sú opísané opatrenia prijaté podľa odseku 1. Ak kritické subjekty vypracovali dokumenty alebo prijali opatrenia podľa povinností stanovených v iných právnych aktoch, ktoré sú relevantné pre opatrenia uvedené v odseku 1, môžu uvedené dokumenty a opatrenia použiť na splnenie požiadaviek stanovených v tomto článku. Príslušný orgán môže pri výkone svojich funkcií dohľadu vyhlásiť existujúce opatrenia prijaté kritickým subjektom na zvýšenie odolnosti, ktorými sa vhodne a primerane riešia technické, bezpečnostné a organizačné opatrenia uvedené v odseku 1 tohto článku, za úplne alebo čiastočne v súlade s povinnosťami podľa tohto článku.

3.   Členské štáty zabezpečia, aby každý kritický subjekt určil styčného úradníka alebo rovnocennú osobu pre kontakt s príslušnými orgánmi.

4.   Komisia na žiadosť členského štátu, ktorý identifikoval kritický subjekt, a so súhlasom dotknutého kritického subjektu organizuje poradné misie v súlade s mechanizmami stanovenými v článku 18 ods. 6, 8 a 9 s cieľom poskytovať poradenstvo dotknutému kritickému subjektu pri plnení jeho povinností podľa kapitoly III. Poradná misia podáva správy o svojich zisteniach Komisii, uvedenému členskému štátu a dotknutému kritickému subjektu.

5.   Komisia po konzultácii so skupinou pre odolnosť kritických subjektov uvedenou v článku 19 prijme nezáväzné usmernenia s cieľom upresniť technické, bezpečnostné a organizačné opatrenia, ktoré možno prijať podľa odseku 1 tohto článku.

6.   Komisia prijme vykonávacie akty s cieľom stanoviť potrebné technické a metodické špecifikácie týkajúce sa uplatňovania opatrení uvedených v odseku 1 tohto článku. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 24 ods. 2.

Článok 14

Previerky osôb

1.   Členské štáty stanovia podmienky, za ktorých sa kritickému subjektu v riadne odôvodnených prípadoch a pri zohľadnení posúdenia rizika členským štátom povoľuje predkladať žiadosti o previerku osôb:

| a) | ktoré plnia citlivé úlohy v kritickom subjekte alebo v jeho prospech, najmä v súvislosti s odolnosťou kritického subjektu; |
| --- | --- |

a)

ktoré plnia citlivé úlohy v kritickom subjekte alebo v jeho prospech, najmä v súvislosti s odolnosťou kritického subjektu;

| b) | ktorým bol povolený priamy alebo diaľkový prístup do jeho priestorov, k jeho informáciám alebo kontrolným systémom, a to aj v súvislosti s bezpečnosťou kritického subjektu; |
| --- | --- |

b)

ktorým bol povolený priamy alebo diaľkový prístup do jeho priestorov, k jeho informáciám alebo kontrolným systémom, a to aj v súvislosti s bezpečnosťou kritického subjektu;

| c) | v prípade ktorých sa zvažuje nábor na pozície, na ktoré sa vzťahujú kritériá uvedené v písmene a) alebo b). |
| --- | --- |

c)

v prípade ktorých sa zvažuje nábor na pozície, na ktoré sa vzťahujú kritériá uvedené v písmene a) alebo b).

2.   Žiadosti uvedené v odseku 1 tohto článku sa posúdia v primeranej lehote a spracujú v súlade s vnútroštátnymi právnym právom a postupmi, ako aj s príslušným a uplatniteľným právom Únie vrátane nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 a smernice Európskeho parlamentu a Rady (EÚ) 2016/680 (37). Previerky osôb musia byť primerané a prísne obmedzené na to, čo je nevyhnutné. Vykonávajú sa výlučne na účely hodnotenia potenciálneho bezpečnostného rizika pre dotknutý kritický subjekt.

3.   Previerkou uvedenou v odseku 1 sa musí aspoň:

| a) | potvrdiť totožnosť osoby, ktorá je predmetom previerky; |
| --- | --- |

a)

potvrdiť totožnosť osoby, ktorá je predmetom previerky;

| b) | vykonať kontrola záznamov v registroch trestov uvedenej osoby, pokiaľ ide o trestné činy, ktoré by boli relevantné pre konkrétnu pozíciu; |
| --- | --- |

b)

vykonať kontrola záznamov v registroch trestov uvedenej osoby, pokiaľ ide o trestné činy, ktoré by boli relevantné pre konkrétnu pozíciu;

Členské štáty pri vykonávaní previerok využívajú Európsky informačný systém registrov trestov v súlade s postupmi stanovenými v rámcovom rozhodnutí 2009/315/SVV a, ak je to relevantné a uplatniteľné, v nariadení (EÚ) 2019/816 na účely získania informácií zo záznamov v registroch trestov vedených inými členskými štátmi. Ústredné orgány uvedené v článku 3 ods. 1 uvedeného rámcového rozhodnutia 2009/315/SVV a v článku 3 bode 5 nariadenia (EÚ) 2019/816 poskytnú odpovede na žiadosti o takéto informácie do 10 pracovných dní odo dňa doručenia žiadosti v súlade s článkom 8 ods. 1 rámcového rozhodnutia 2009/315/SVV.

Článok 15

Oznamovanie incidentov

1.   Členské štáty zabezpečia, aby kritické subjekty bez zbytočného odkladu oznamovali príslušnému orgánu incidenty, ktoré významne narúšajú alebo majú potenciál významne narušiť poskytovanie základných služieb. Členské štáty zabezpečia, aby s výnimkou prípadov, keď to nie je z operačných dôvodov možné, kritické subjekty predložili prvé oznámenie najneskôr do 24 hodín po tom, ako nadobudnú vedomosť o incidente, pričom v relevantných prípadoch najneskôr do jedného mesiaca po oznámení nasleduje podrobná správa. S cieľom stanoviť významnosť narušenia sa zohľadnia najmä tieto parametre:

| a) | počet a podiel používateľov dotknutých narušením; |
| --- | --- |

a)

počet a podiel používateľov dotknutých narušením;

| b) | trvanie narušenia; |
| --- | --- |

b)

trvanie narušenia;

| c) | geografické územie dotknuté narušením s prihliadnutím na to, či je toto územie geograficky izolované. |
| --- | --- |

c)

geografické územie dotknuté narušením s prihliadnutím na to, či je toto územie geograficky izolované.

Ak incident má alebo môže mať významný vplyv na kontinuitu poskytovania základných služieb do šiestich alebo viacerých členských štátov alebo v šiestich alebo viacerých členských štátoch, príslušné orgány členských štátov dotknutých incidentom oznámia Komisii uvedený incident.

2.   Oznámenia uvedené v odseku 1 prvom pododseku musia obsahovať všetky dostupné informácie potrebné na to, aby príslušný orgán mohol pochopiť povahu, príčinu a možné dôsledky incidentu, vrátane akýchkoľvek dostupných informácií potrebných na určenie akéhokoľvek cezhraničného vplyvu incidentu. Takéto oznámenia nesmú mať pre kritický subjekt za následok vyššiu zodpovednosť.

3.   Na základe informácií poskytnutých kritickým subjektom v oznámení uvedenom v odseku 1 relevantný príslušný orgán prostredníctvom jednotného kontaktného miesta informuje jednotné kontaktné miesto ostatných dotknutých členských štátov, ak incident má alebo by mohol mať významný vplyv na kritické subjekty a kontinuitu poskytovania základných služieb do jedného alebo viacerých iných členských štátov alebo v nich.

Jednotné kontaktné miesta posielajúce a prijímajúce informácie podľa prvého pododseku zaobchádzajú s uvedenými informáciami v súlade s právom Únie alebo vnútroštátnym právom spôsobom, ktorý rešpektuje ich dôvernosť a chráni bezpečnosť a obchodné záujmy dotknutého kritického subjektu.

4.   Dotknutý príslušný orgán čo najskôr po doručení oznámenia uvedeného v odseku 1 poskytne dotknutému kritickému subjektu relevantné nadväzujúce informácie vrátane informácií, ktoré by mohli podporiť účinnú reakciu uvedeného kritického subjektu na predmetný incident. Členské štáty informujú verejnosť, ak usúdia, že by to bolo vo verejnom záujme.

Článok 16

Normy

S cieľom podporiť čo najjednotnejšie vykonávanie tejto smernice členské štáty v prípadoch, keď je to užitočné, a bez toho, aby ukladali povinnosť používať konkrétny typ technológie alebo diskriminovali v jeho prospech, nabádajú na používanie európskych a medzinárodných noriem a technických špecifikácií relevantných pre bezpečnostné opatrenia a opatrenia na zabezpečenie odolnosti, ktoré sa vzťahujú na kritické subjekty.

KAPITOLA IV

KRITICKÉ SUBJEKTY OSOBITNÉHO EURÓPSKEHO VÝZNAMU

Článok 17

Identifikácia kritických subjektov osobitného európskeho významu

1.   Subjekt sa považuje za kritický subjekt osobitného európskeho významu, ak:

| a) | bol identifikovaný ako kritický subjekt podľa článku 6 ods. 1; |
| --- | --- |

a)

bol identifikovaný ako kritický subjekt podľa článku 6 ods. 1;

| b) | poskytuje rovnaké alebo podobné základné služby do šiestich alebo viacerých členských štátov alebo v šiestich alebo viacerých členských štátoch, a |
| --- | --- |

b)

poskytuje rovnaké alebo podobné základné služby do šiestich alebo viacerých členských štátov alebo v šiestich alebo viacerých členských štátoch, a

| c) | táto skutočnosť mu bola oznámená podľa odseku 3 tohto článku. |
| --- | --- |

c)

táto skutočnosť mu bola oznámená podľa odseku 3 tohto článku.

2.   Členské štáty zabezpečia, aby kritický subjekt po oznámení uvedenom v článku 6 ods. 3 informoval svoj príslušný orgán, ak poskytuje základné služby do šiestich alebo viacerých členských štátov alebo v šiestich alebo viacerých členských štátoch. V takom prípade členské štáty zabezpečia, aby kritický subjekt informoval svoj príslušný orgán o základných službách, ktoré poskytuje do alebo v uvedených členských štátoch a o členských štátoch, do ktorých alebo v ktorých poskytuje také základné služby. Členské štáty bez zbytočného odkladu oznámia Komisii identitu takých kritických subjektov a informácie, ktoré poskytujú podľa tohto odseku.

Komisia vedie konzultácie s príslušným orgánom členského štátu, ktorý identifikoval kritický subjekt uvedený v prvom pododseku, s príslušným orgánom ostatných dotknutých členských štátov a s predmetným kritickým subjektom. Počas uvedených konzultácií každý členský štát informuje Komisiu, či považuje služby, ktoré mu kritický subjekt poskytuje, za základné služby.

3.   Ak Komisia na základe konzultácii uvedených v odseku 2 tohto článku dospeje k záveru, že dotknutý kritický subjekt poskytuje základné služby do šiestich alebo viacerých členských štátov alebo v šiestich alebo viacerých členských štátoch, Komisia oznámi uvedenému kritickému subjektu prostredníctvom jeho príslušného orgánu, že je považovaný za kritický subjekt osobitného európskeho významu, a informuje uvedený kritický subjekt o jeho povinnostiach podľa tejto kapitoly a o dátume, od ktorého sa na neho tieto povinnosti vzťahujú. Po tom, ako Komisia informuje príslušný orgán o svojom rozhodnutí považovať kritický subjekt za kritický subjekt osobitného európskeho významu, príslušný orgán bez zbytočného odkladu postúpi uvedené oznámenie uvedenému kritickému subjektu.

4.   Táto kapitola sa uplatňuje na kritický subjekt osobitného európskeho významu odo dňa doručenia oznámenia uvedeného v odseku 3 tohto článku.

Článok 18

Poradné misie

1.   Na žiadosť členského štátu, ktorý identifikoval kritický subjekt osobitného európskeho významu ako kritický subjekt podľa článku 6 ods. 1, Komisia zorganizuje poradnú misiu s cieľom posúdiť opatrenia, ktoré uvedený kritický subjekt zaviedol na splnenie svojich povinností podľa kapitoly III.

2.   Komisia z vlastnej iniciatívy alebo na žiadosť jedného alebo viacerých členských štátov, do ktorých alebo v ktorých sa základná služba poskytuje, a za predpokladu, že členský štát, ktorý identifikoval kritický subjekt osobitného európskeho významu ako kritický subjekt podľa článku 6 ods. 1 s tým súhlasí, zorganizuje poradnú misiu uvedenú v odseku 1 tohto článku.

3.   Na základe odôvodnenej žiadosti Komisie alebo jedného alebo viacerých členských štátov, do ktorých alebo v ktorých sa základná služba poskytuje, členský štát, ktorý identifikoval kritický subjekt osobitného európskeho významu ako kritický subjekt podľa článku 6 ods. 1, Komisii poskytne:

| a) | relevantné časti posúdenia rizika kritickým subjektom; |
| --- | --- |

a)

relevantné časti posúdenia rizika kritickým subjektom;

| b) | zoznam relevantných opatrení prijatých v súlade s článkom 13; |
| --- | --- |

b)

zoznam relevantných opatrení prijatých v súlade s článkom 13;

| c) | opatrenia v oblasti dohľadu alebo presadzovania vrátane posúdení súladu alebo vydaných príkazov, ktoré jeho príslušný orgán prijal v súvislosti s daným kritickým subjektom podľa článkov 21 a 22. |
| --- | --- |

c)

opatrenia v oblasti dohľadu alebo presadzovania vrátane posúdení súladu alebo vydaných príkazov, ktoré jeho príslušný orgán prijal v súvislosti s daným kritickým subjektom podľa článkov 21 a 22.

4.   Poradná misia oznámi svoje zistenia Komisii, členskému štátu, ktorý identifikoval kritický subjekt osobitného európskeho významu ako kritický subjekt podľa článku 6 ods. 1, členským štátom, do ktorých alebo v ktorých sa základná služba poskytuje, a dotknutému kritickému subjektu do troch mesiacov od ukončenia poradnej misie.

Členské štáty, do ktorých alebo v ktorých sa základná služba poskytuje, správu uvedenú v prvom pododseku analyzujú a v prípade potreby poskytujú Komisii poradenstvo o tom, či si dotknutý kritický subjekt osobitného európskeho významu plní svoje povinnosti podľa kapitoly III, a ak je to vhodné, o opatreniach, ktoré by sa mohli prijať na zlepšenie odolnosti uvedeného kritického subjektu.

Komisia na základe poradenstva uvedeného v druhom pododseku tohto odseku oznámi svoje stanovisko členskému štátu, ktorý identifikoval kritický subjekt osobitného európskeho významu ako kritický subjekt podľa článku 6 ods. 1, členským štátom, do ktorých alebo v ktorých sa základná služba poskytuje, a uvedenému kritickému subjektu pokiaľ ide o to, či si kritický subjekt plní svoje povinnosti podľa kapitoly III, a ak je to vhodné, o tom, aké opatrenia by sa mohli prijať na zlepšenie odolnosti uvedeného kritického subjektu.

Členský štát, ktorý identifikoval kritický subjekt osobitného európskeho významu ako kritický subjekt podľa článku 6 ods. 1, zabezpečí, aby jeho príslušný orgán a dotknutý kritický subjekt náležite zohľadnili stanovisko uvedené v treťom pododseku tohto odseku a poskytne Komisii a členským štátom, do ktorých alebo v ktorých sa základná služba poskytuje, informácie o opatreniach, ktoré prijal na základe uvedeného stanoviska.

5.   Každá poradná misia pozostáva z expertov z členského štátu, v ktorom sa kritický subjekt osobitného európskeho významu nachádza, expertov z členských štátov, do ktorých alebo v ktorých sa základná služba poskytuje, a zo zástupcov Komisie. Tieto členské štáty môžu navrhnúť kandidátov, ktorí majú byť súčasťou poradnej misie. Komisia po konzultácii s členským štátom, ktorý identifikoval kritický subjekt osobitného európskeho významu ako kritický subjekt podľa článku 6 ods. 1, vyberá a vymenúva členov každej poradnej misie podľa ich odbornej spôsobilosti a zabezpečuje, ak je to možné, geograficky vyvážené zastúpenie zo všetkých uvedených členských štátov. V prípade potreby musia mať členovia poradnej misie platnú a náležitú bezpečnostnú previerku. Náklady spojené s účasťou na poradných misiách znáša Komisia.

Komisia organizuje program každej poradnej misie po konzultácii s členmi predmetnej poradnej misie a po dohode s členským štátom, ktorý identifikoval kritický subjekt osobitného európskeho významu ako kritický subjekt podľa článku 6 ods. 1.

6.   Komisia prijme vykonávací akt, v ktorom stanoví pravidlá týkajúce sa procedurálnych mechanizmov v súvislosti so žiadosťami o zorganizovanie poradných misií, s vybavovaním takých žiadostí, realizáciou poradných misií a podávaním správ o nich a s oznamovaním stanoviska Komisie uvedeného v odseku 4 treťom pododseku tohto článku a prijatých opatrení, pričom náležite zohľadní dôvernosť a obchodnú citlivosť príslušných informácií. Uvedený vykonávací akt sa prijme v súlade s postupom preskúmania uvedeným v článku 24 ods. 2.

7.   Členské štáty zabezpečia, aby kritické subjekty osobitného európskeho významu poskytli poradným misiám prístup k informáciám, systémom a zariadeniam súvisiacim s poskytovaním ich základných služieb potrebným na vykonanie dotknutej poradnej misie.

8.   Poradné misie sa vykonávajú v súlade s uplatniteľným vnútroštátnym právom členského štátu, v ktorom sa uskutočňujú, pričom sa rešpektuje zodpovednosť uvedeného členského za národnú bezpečnosť a ochranu jeho bezpečnostných záujmov.

9.   Pri organizovaní poradných misií Komisia zohľadní správy o všetkých inšpekciách vykonaných Komisiou podľa nariadenia (ES) č. 725/2004 a nariadenia (ES) č. 300/2008 a správy o akomkoľvek monitorovaní vykonanom Komisiou podľa smernice 2005/65/ES, pokiaľ ide o dotknutý kritický subjekt.

10.   Komisia informuje skupinu pre odolnosť kritických subjektov uvedenú v článku 19 vždy, keď sa organizuje poradná misia. Členský štát, v ktorom sa uskutočnila poradná misia, a Komisia informujú tiež skupinu pre odolnosť kritických subjektov o hlavných zisteniach poradnej misie a získaných skúsenostiach v záujme podpory vzájomného učenia.

KAPITOLA V

SPOLUPRÁCA A PODÁVANIE SPRÁV

Článok 19

Skupina pre odolnosť kritických subjektov

1.   Týmto sa zriaďuje skupina pre odolnosť kritických subjektov. Skupina pre odolnosť kritických subjektov podporuje Komisiu a uľahčuje spoluprácu a výmenu informácií medzi členskými štátmi o otázkach týkajúcich sa tejto smernice.

2.   Skupina pre odolnosť kritických subjektov sa skladá zo zástupcov členských štátov a Komisie, ktorí musia mať v náležitých prípadoch bezpečnostnú previerku. Ak je to relevantné pre plnenie úloh skupiny pre odolnosť kritických subjektov, môže vyzvať zainteresované strany, aby sa zúčastnili na jej práci. Ak o to Európsky parlament požiada, Komisia môže prizývať na zasadnutia skupiny pre odolnosť kritických subjektov expertov Európskeho parlamentu.

Skupine pre odolnosť kritických subjektov predsedá zástupca Komisie.

3.   Skupina pre odolnosť kritických subjektov má tieto úlohy:

| a) | podporovať Komisiu v rámci pomoci členským štátom pri posilňovaní ich schopnosti prispievať k zabezpečeniu odolnosti kritických subjektov v súlade s touto smernicou; |
| --- | --- |

a)

podporovať Komisiu v rámci pomoci členským štátom pri posilňovaní ich schopnosti prispievať k zabezpečeniu odolnosti kritických subjektov v súlade s touto smernicou;

| b) | analyzovať stratégie s cieľom identifikovať najlepšie postupy v súvislosti so stratégiami; |
| --- | --- |

b)

analyzovať stratégie s cieľom identifikovať najlepšie postupy v súvislosti so stratégiami;

| c) | uľahčiť výmenu najlepších postupov, pokiaľ ide o identifikáciu kritických subjektov členskými štátmi podľa článku 6 ods. 1, a to aj pokiaľ ide o cezhraničné a medziodvetvové závislosti a v súvislosti s rizikami a incidentmi; |
| --- | --- |

c)

uľahčiť výmenu najlepších postupov, pokiaľ ide o identifikáciu kritických subjektov členskými štátmi podľa článku 6 ods. 1, a to aj pokiaľ ide o cezhraničné a medziodvetvové závislosti a v súvislosti s rizikami a incidentmi;

| d) | v prípade potreby prispievať v oblastiach týkajúcich sa tejto smernice k dokumentom týkajúcim sa odolnosti na úrovni Únie; |
| --- | --- |

d)

v prípade potreby prispievať v oblastiach týkajúcich sa tejto smernice k dokumentom týkajúcim sa odolnosti na úrovni Únie;

| e) | prispievať k príprave usmernení uvedených v článku 7 ods. 3 a článku 13 ods. 5 a na žiadosť aj k akýmkoľvek delegovaným alebo vykonávacím aktom prijatým podľa tejto smernice; |
| --- | --- |

e)

prispievať k príprave usmernení uvedených v článku 7 ods. 3 a článku 13 ods. 5 a na žiadosť aj k akýmkoľvek delegovaným alebo vykonávacím aktom prijatým podľa tejto smernice;

| f) | analyzovať súhrnné správy uvedené v článku 9 ods. 3 s cieľom podporiť výmenu najlepších postupov týkajúcich sa opatrení prijatých v súlade s článkom 15 ods. 3; |
| --- | --- |

f)

analyzovať súhrnné správy uvedené v článku 9 ods. 3 s cieľom podporiť výmenu najlepších postupov týkajúcich sa opatrení prijatých v súlade s článkom 15 ods. 3;

| g) | uskutočňovať výmenu najlepších postupov týkajúcich sa oznamovania incidentov podľa článku 15; |
| --- | --- |

g)

uskutočňovať výmenu najlepších postupov týkajúcich sa oznamovania incidentov podľa článku 15;

| h) | diskutovať o súhrnných správach poradných misií a získaných skúsenostiach v súlade s článkom 18 ods. 10; |
| --- | --- |

h)

diskutovať o súhrnných správach poradných misií a získaných skúsenostiach v súlade s článkom 18 ods. 10;

| i) | uskutočňovať výmenu informácií a najlepších postupov v oblasti inovácie a výskumu a vývoja v súvislosti s odolnosťou kritických subjektov v súlade s touto smernicou; |
| --- | --- |

i)

uskutočňovať výmenu informácií a najlepších postupov v oblasti inovácie a výskumu a vývoja v súvislosti s odolnosťou kritických subjektov v súlade s touto smernicou;

| j) | vo vhodných prípadoch uskutočňovať výmenu informácií v otázkach týkajúcich sa odolnosti kritických subjektov s príslušnými inštitúciami, orgánmi, úradmi a agentúrami Únie. |
| --- | --- |

j)

vo vhodných prípadoch uskutočňovať výmenu informácií v otázkach týkajúcich sa odolnosti kritických subjektov s príslušnými inštitúciami, orgánmi, úradmi a agentúrami Únie.

4.   Skupina pre odolnosť kritických subjektov do 17. januára 2025 a potom každé dva roky vypracuje pracovný program obsahujúci opatrenia, ktoré sa majú realizovať na účely vykonávania jej cieľov a úloh. Uvedený pracovný program musí byť v súlade s požiadavkami a cieľmi tejto smernice.

5.   Skupina pre odolnosť kritických subjektov zasadá pravidelne a v každom prípade aspoň raz ročne sa schádza so skupinou pre spoluprácu zriadenou podľa smernice (EÚ) 2022/2555 s cieľom podporovať a uľahčovať spoluprácu a výmenu informácií.

6.   Komisia môže prijať vykonávacie akty stanovujúce procesné mechanizmy potrebné na fungovanie skupiny pre odolnosť kritických subjektov, pričom musí dodržať článok 1 ods. 4. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 24 ods. 2.

7.   Komisia poskytne skupine pre odolnosť kritických subjektov súhrnnú správu o informáciách poskytnutých členskými štátmi podľa článku 4 ods. 3 a článku 5 ods. 4 do 17. januára 2027, následne kedykoľvek v prípade potreby a aspoň každé štyri roky.

Článok 20

Podpora Komisie príslušným orgánom a kritickým subjektom

1.   Komisia v prípade potreby podporuje členské štáty a kritické subjekty pri plnení ich povinností podľa tejto smernice. Komisia vypracuje prehľad na úrovni Únie, pokiaľ ide o cezhraničné a medziodvetvové riziká spojené s poskytovaním základných služieb, organizuje poradné misie uvedené v článku 13 ods. 4 a v článku 18 a uľahčuje výmenu informácií medzi členskými štátmi a expertmi v celej Únii.

2.   Komisia dopĺňa činnosti členských štátov uvedené v článku 10 vypracúvaním najlepších postupov, usmerňujúcich materiálov a metodík a cezhraničných činností a cvičení odbornej prípravy s cieľom otestovať odolnosť kritických subjektov.

3.   Komisia informuje členské štáty o finančných zdrojoch na úrovni Únie, ktoré majú členské štáty k dispozícii na zvýšenie odolnosti kritických subjektov.

KAPITOLA VI

DOHĽAD A PRESADZOVANIE

Článok 21

Dohľad a presadzovanie

1.   Členské štáty s cieľom posúdiť, či subjekty, ktoré identifikovali ako kritické subjekty podľa článku 6 ods. 1, dodržiavajú povinnosti stanovené v tejto smernici, zabezpečia, aby príslušné orgány mali právomoci a prostriedky na:

| a) | uskutočňovanie inšpekcií kritickej infraštruktúry na mieste a v priestoroch, ktoré kritický subjekt využíva na poskytovanie jeho základných služieb, a na dohľad na diaľku nad opatreniami prijatými kritickými subjektmi podľa článku 13; |
| --- | --- |

a)

uskutočňovanie inšpekcií kritickej infraštruktúry na mieste a v priestoroch, ktoré kritický subjekt využíva na poskytovanie jeho základných služieb, a na dohľad na diaľku nad opatreniami prijatými kritickými subjektmi podľa článku 13;

| b) | vykonávanie alebo nariaďovanie auditov vo vzťahu ku kritickým subjektom. |
| --- | --- |

b)

vykonávanie alebo nariaďovanie auditov vo vzťahu ku kritickým subjektom.

2.   Členské štáty zabezpečia, aby príslušné orgány mali právomoci a prostriedky, ktoré im umožnia požadovať, ak je to potrebné na plnenie ich úloh podľa tejto smernice, aby subjekty podľa smernice (EÚ) 2022/2555, ktoré členské štáty identifikovali ako kritické subjekty podľa tejto smernice, v primeranej lehote stanovenej uvedenými orgánmi poskytli:

| a) | informácie potrebné na posúdenie toho, či opatrenia prijaté uvedenými subjektmi na zabezpečenie ich odolnosti spĺňajú požiadavky stanovené v článku 13; |
| --- | --- |

a)

informácie potrebné na posúdenie toho, či opatrenia prijaté uvedenými subjektmi na zabezpečenie ich odolnosti spĺňajú požiadavky stanovené v článku 13;

| b) | dôkazy o účinnom vykonávaní týchto opatrení vrátane výsledkov auditu vykonaného nezávislým a kvalifikovaným audítorom vybraným týmto subjektom a vykonaným na jeho náklady. |
| --- | --- |

b)

dôkazy o účinnom vykonávaní týchto opatrení vrátane výsledkov auditu vykonaného nezávislým a kvalifikovaným audítorom vybraným týmto subjektom a vykonaným na jeho náklady.

Pri požadovaní týchto informácií príslušný orgán uvedie účel požiadavky a druh informácií, ktoré sa požadujú.

3.   Bez toho, aby bola dotknutá možnosť uložiť sankcie v súlade s článkom 22, príslušné orgány môžu na základe opatrení dohľadu uvedených v odseku 1 tohto článku alebo na základe posúdenia informácií uvedených v odseku 2 tohto článku nariadiť dotknutým kritickým subjektom, aby v primeranej lehote stanovenej týmito orgánmi prijali potrebné a primerané opatrenia na nápravu akéhokoľvek zisteného porušenia tejto smernice a aby uvedeným orgánom poskytli informácie o prijatých opatreniach. V týchto príkazoch sa zohľadní najmä závažnosť porušenia.

4.   Členský štát zabezpečí, aby sa právomoci stanovené v odsekoch 1, 2 a 3 mohli vykonávať len pod podmienkou primeraných záruk. Tieto záruky zaručujú najmä to, aby sa vykonávanie právomocí uskutočňovalo objektívnym, transparentným a primeraným spôsobom a aby boli riadne chránené práva a oprávnené záujmy dotknutých kritických subjektov, ako je napríklad ochrana obchodného tajomstva, vrátane práva na vypočutie, práva na obhajobu a práva na účinný prostriedok nápravy pred nezávislým súdom.

5.   Členské štáty zabezpečia, aby príslušný orgán podľa tejto smernice, keď posudzuje, či kritický subjekt dodržiava povinnosti podľa tohto článku, o tom informoval príslušné orgány dotknutých členských štátov podľa smernice (EÚ) 2022/2555 Na uvedený účel členské štáty zabezpečia, aby príslušné orgány podľa tejto smernice mohli požiadať príslušné orgány podľa smernice (EÚ) 2022/2555 o vykonanie ich právomocí v oblasti dohľadu a presadzovania v súvislosti so subjektom podľa uvedenej smernice, ktorý bol identifikovaný ako kritický subjekt podľa tejto smernice. Na uvedený účel členské štáty zabezpečia, aby príslušné orgány podľa tejto smernice spolupracovali a vymieňali si informácie s príslušnými orgánmi podľa smernice (EÚ) 2022/2555

Článok 22

Sankcie

Členské štáty ustanovia pravidlá, pokiaľ ide o sankcie uplatniteľné pri porušení vnútroštátnych opatrení prijatých podľa tejto smernice, a prijmú všetky opatrenia potrebné na zabezpečenie ich uplatňovania. Stanovené sankcie musia byť účinné, primerané a odrádzajúce. Členské štáty do 17. októbra 2024 informujú Komisiu o týchto pravidlách a opatreniach a bezodkladne jej oznamujú akékoľvek následné zmeny, ktoré na ne majú vplyv.

KAPITOLA VII

DELEGOVANÉ AKTY A VYKONÁVACIE AKTY

Článok 23

Vykonávanie delegovania právomoci

1.   Komisii sa udeľuje právomoc prijímať delegované akty za podmienok stanovených v tomto článku.

2.   Právomoc prijímať delegované akty uvedené v článku 5 ods. 1 sa Komisii udeľuje na obdobie piatich rokov od 16. januára 2023.

3.   Delegovanie právomoci uvedené v článku 5 ods. 1 môže Európsky parlament alebo Rada kedykoľvek odvolať. Rozhodnutím o odvolaní sa ukončuje delegovanie právomoci, ktoré sa v ňom uvádza. Rozhodnutie nadobúda účinnosť dňom nasledujúcim po jeho uverejnení v Úradnom vestníku Európskej únie alebo k neskoršiemu dátumu, ktorý je v ňom určený. Nie je ním dotknutá platnosť delegovaných aktov, ktoré už nadobudli účinnosť.

4.   Komisia pred prijatím delegovaného aktu konzultuje s expertmi určenými jednotlivými členskými štátmi v súlade so zásadami stanovenými v Medziinštitucionálnej dohode z 13. apríla 2016 o lepšej tvorbe práva.

5.   Komisia oznamuje delegovaný akt hneď po jeho prijatí súčasne Európskemu parlamentu a Rade.

6.   Delegovaný akt prijatý podľa článku 5 ods. 1 nadobudne účinnosť, len ak Európsky parlament alebo Rada voči nemu nevzniesli námietku v lehote dvoch mesiacov odo dňa oznámenia uvedeného aktu Európskemu parlamentu a Rade alebo ak pred uplynutím uvedenej lehoty Európsky parlament a Rada informovali Komisiu o svojom rozhodnutí nevzniesť námietku. Na podnet Európskeho parlamentu alebo Rady sa táto lehota predĺži o dva mesiace.

Článok 24

Postup výboru

1.   Komisii pomáha výbor. Uvedený výbor je výborom v zmysle nariadenia (EÚ) č. 182/2011.

2.   Ak sa odkazuje na tento odsek, uplatňuje sa článok 5 nariadenia (EÚ) č. 182/2011.

KAPITOLA VIII

ZÁVEREČNÉ USTANOVENIA

Článok 25

Podávanie správ a preskúmanie

Komisia do 17. júla 2027 predloží Európskemu parlamentu a Rade správu, v ktorej sa posúdi rozsah, v akom jednotlivé členské štáty prijali opatrenia potrebné na dosiahnutie súladu s touto smernicou.

Komisia pravidelne skúma fungovanie tejto smernice a podáva o tom správu Európskemu parlamentu a Rade. V uvedenej správe sa posúdi najmä pridaná hodnota tejto smernice, jej vplyv na zabezpečenie odolnosti kritických subjektov a to, či by sa príloha k tejto smernici nemala upraviť. Komisia predloží prvú takúto správu do 17. júna 2029. Na účel podávania správ podľa tohto článku Komisia zohľadní príslušné dokumenty skupiny pre odolnosť kritických subjektov.

Článok 26

Transpozícia

1.   Členské štáty prijmú a uverejnia do 17. októbra 2024 opatrenia potrebné na dosiahnutie súladu s touto smernicou. Bezodkladne o tom informujú Komisiu.

Tieto opatrenia sa uplatňujú od 18. októbra 2024.

2.   Členské štáty uvedú priamo v prijatých opatreniach uvedených v odseku 1 alebo pri ich úradnom uverejnení odkaz na túto smernicu. Podrobnosti o odkaze upravia členské štáty.

Článok 27

Zrušenie smernice 2008/114/ES

Smernica 2008/114/ES sa zrušuje s účinnosťou od 18. októbra 2024.

Odkazy na zrušenú smernicu sa považujú za odkazy na túto smernicu.

Článok 28

Nadobudnutie účinnosti

Táto smernica nadobúda účinnosť dvadsiatym dňom nasledujúcim po jej uverejnení v Úradnom vestníku Európskej únie.

Úradnom vestníku Európskej únie

Článok 29

Adresáti

Táto smernica je určená členským štátom.

V Štrasburgu 14. decembra 2022

Za Európsky parlament

predsedníčka

R. METSOLA

Za Radu

predseda

M. BEK

---

(1)  
  Ú. v. EÚ C 286, 16.7.2021, s. 170.

1

(2)  
  Ú. v. EÚ C 440, 29.10.2021, s. 99.

2

(3)  Pozícia Európskeho parlamentu z 22. novembra 2022 (zatiaľ neuverejnená v úradnom vestníku) a rozhodnutie Rady z 8. decembra 2022.

3

(4)  Smernica Rady 2008/114/ES z 8. decembra 2008 o identifikácii a označení európskych kritických infraštruktúr a zhodnotení potreby zlepšiť ich ochranu (Ú. v. EÚ L 345, 23.12.2008, s. 75).

4

(5)  Smernica Európskeho parlamentu a Rady (EÚ) 2022/2555 zo 14. decembra 2022 o opatreniach na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v Únii, ktorou sa mení nariadenie (EÚ) č. 910/2014 a smernica (EÚ) 2018/1972 a zrušuje smernica (EÚ) 2016/1148 (smernica NIS 2) (pozri stranu 80 tohto úradného vestníka).

5

(6)  Smernica Európskeho parlamentu a Rady (EÚ) 2016/1148 zo 6. júla 2016 o opatreniach na zabezpečenie vysokej spoločnej úrovne bezpečnosti sietí a informačných systémov v Únii (Ú. v. EÚ L 194, 19.7.2016, s. 1).

6

(7)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2019/452 z 19. marca 2019, ktorým sa ustanovuje rámec na preverovanie priamych zahraničných investícií do Únie (Ú. v. EÚ L 79I, 21.3.2019, s. 1).

7

(8)  Nariadenie Európskeho parlamentu a Rady (EÚ) č. 648/2012 zo 4. júla 2012 o mimoburzových derivátoch, centrálnych protistranách a archívoch obchodných údajov (Ú. v. EÚ L 201, 27.7.2012, s. 1).

8

(9)  Nariadenie Európskeho parlamentu a Rady (EÚ) č. 575/2013 z 26. júna 2013 o prudenciálnych požiadavkách na úverové inštitúcie a o zmene nariadenia (EÚ) č. 648/2012 (Ú. v. EÚ L 176, 27.6.2013, s. 1).

9

(10)  Nariadenie Európskeho parlamentu a Rady (EÚ) č. 600/2014 z 15. mája 2014 o trhoch s finančnými nástrojmi, ktorým sa mení nariadenie (EÚ) č. 648/2012 (Ú. v. EÚ L 173, 12.6.2014, s. 84).

10

(11)  Smernica Európskeho parlamentu a Rady 2013/36/EÚ z 26. júna 2013 o prístupe k činnosti úverových inštitúcií a prudenciálnom dohľade nad úverovými inštitúciami a investičnými spoločnosťami, o zmene smernice 2002/87/ES a o zrušení smerníc 2006/48/ES a 2006/49/ES (Ú. v. EÚ L 176, 27.6.2013, s. 338).

11

(12)  Smernica Európskeho parlamentu a Rady 2014/65/EÚ z 15. mája 2014 o trhoch s finančnými nástrojmi, ktorou sa mení smernica 2002/92/ES a smernica 2011/61/EÚ (Ú. v. EÚ L 173, 12.6.2014, s. 349).

12

(13)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554 zo 14. decembra 2022 o digitálnej prevádzkovej odolnosti finančného sektora a o zmene nariadení (ES) č. 1060/2009, (EÚ) č. 648/2012, (EÚ) č. 600/2014, (EÚ) č. 909/2014 a (EÚ) 2016/1011 (pozri stranu 1 tohto úradného vestníka).

13

(14)  Nariadenie Európskeho parlamentu a Rady (ES) č. 725/2004 z 31. marca 2004 o zvýšení bezpečnosti lodí a prístavných zariadení (Ú. v. EÚ L 129, 29.4.2004, s. 6).

14

(15)  Nariadenie Európskeho parlamentu a Rady (ES) č. 300/2008 z 11. marca 2008 o spoločných pravidlách v oblasti bezpečnostnej ochrany civilného letectva a o zrušení nariadenia (ES) č. 2320/2002 (Ú. v. EÚ L 97, 9.4.2008, s. 72).

15

(16)  Smernica Európskeho parlamentu a Rady 2005/65/ES z 26. októbra 2005 o zvýšení bezpečnosti prístavov (Ú. v. EÚ L 310, 25.11.2005, s. 28).

16

(17)  Smernica Európskeho parlamentu a Rady 2008/96/ES z 19. novembra 2008 o riadení bezpečnosti cestnej infraštruktúry (Ú. v. EÚ L 319, 29.11.2008, s. 59).

17

(18)  Rozhodnutie Komisie 2018/C 232/03 z 29. júna 2018, ktorým sa zriaďuje platforma EÚ pre bezpečnosť cestujúcich v železničnej doprave (Ú. v. EÚ C 232, 3.7.2018, s. 10).

18

(19)  Rámcové rozhodnutie Rady 2009/315/SVV z 26. februára 2009 o organizácii a obsahu výmeny informácií z registra trestov medzi členskými štátmi (Ú. v. EÚ L 93, 7.4.2009, s. 23).

19

(20)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2019/816 zo 17. apríla 2019, ktorým sa zriaďuje centralizovaný systém na identifikáciu členských štátov, ktoré majú informácie o odsúdeniach štátnych príslušníkov tretích krajín a osôb bez štátnej príslušnosti (ECRIS-TCN), s cieľom doplniť Európsky informačný systém registrov trestov, a ktorým sa mení nariadenie (EÚ) 2018/1726 (Ú. v. EÚ L 135, 22.5.2019, s. 1).

20

(21)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2018/1862 z 28. novembra 2018 o zriadení, prevádzke a využívaní Schengenského informačného systému (SIS) v oblasti policajnej spolupráce a justičnej spolupráce v trestných veciach, o zmene a zrušení rozhodnutia Rady 2007/533/SVV a o zrušení nariadenia Európskeho parlamentu a Rady (ES) č. 1986/2006 a rozhodnutia Komisie 2010/261/EÚ (Ú. v. EÚ L 312, 7.12.2018, s. 56).

21

(22)  Rozhodnutie Európskeho parlamentu a Rady č. 1313/2013/EÚ zo 17. decembra 2013 o mechanizme Únie v oblasti civilnej ochrany (Ú. v. EÚ L 347, 20.12.2013, s. 924).

22

(23)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2021/1149 zo 7. júla 2021, ktorým sa zriaďuje Fond pre vnútornú bezpečnosť (Ú. v. EÚ L 251, 15.7.2021, s. 94).

23

(24)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2021/695 z 28. apríla 2021, ktorým sa zriaďuje Horizont Európa – rámcový program pre výskum a inovácie, stanovujú jeho pravidlá účasti a šírenia a zrušujú nariadenia (EÚ) č. 1290/2013 a (EÚ) č. 1291/2013 (Ú. v. EÚ L 170, 12.5.2021, s. 1).

24

(25)  
  Ú. v. EÚ L 123, 12.5.2016, s. 1.

25

(26)  Nariadenie Európskeho parlamentu a Rady (EÚ) č. 182/2011 zo 16. februára 2011, ktorým sa ustanovujú pravidlá a všeobecné zásady mechanizmu, na základe ktorého členské štáty kontrolujú vykonávanie vykonávacích právomocí Komisie (Ú. v. EÚ L 55, 28.2.2011, s. 13).

26

(27)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2018/1725 z 23. októbra 2018 o ochrane fyzických osôb pri spracúvaní osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie a o voľnom pohybe takýchto údajov, ktorým sa zrušuje nariadenie (ES) č. 45/2001 a rozhodnutie č. 1247/2002/ES (Ú. v. EÚ L 295, 21.11.2018, s. 39).

27

(28)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 4.5.2016, s. 1).

28

(29)  Smernica Európskeho parlamentu a Rady 2002/58/ES z 12. júla 2002 týkajúca sa spracovávania osobných údajov a ochrany súkromia v sektore elektronických komunikácií (smernica o súkromí a elektronických komunikáciách) (Ú. v. ES L 201, 31.7.2002, s. 37).

29

(30)  Nariadenie Európskeho parlamentu a Rady (EÚ) č. 1025/2012 z 25. októbra 2012 o európskej normalizácii, ktorým sa menia a dopĺňajú smernice Rady 89/686/EHS a 93/15/EHS a smernice Európskeho parlamentu a Rady 94/9/ES, 94/25/ES, 95/16/ES, 97/23/ES, 98/34/ES, 2004/22/ES, 2007/23/ES, 2009/23/ES a 2009/105/ES a ktorým sa zrušuje rozhodnutie Rady 87/95/EHS a rozhodnutie Európskeho parlamentu a Rady č. 1673/2006/ES (Ú. v. EÚ L 316, 14.11.2012, s. 12).

30

(31)  Odporúčanie Komisie 2003/361/ES zo 6. mája 2003 o vymedzení pojmov mikro, malé a stredné podniky (Ú. v. EÚ L 124, 20.5.2003, s. 36).

31

(32)  Smernica Európskeho parlamentu a Rady (EÚ) 2017/541 z 15. marca 2017 o boji proti terorizmu, ktorou sa nahrádza rámcové rozhodnutie Rady 2002/475/SVV a mení rozhodnutie Rady 2005/671/SVV (Ú. v. EÚ L 88, 31.3.2017, s. 6).

32

(33)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2017/1938 z 25. októbra 2017 o opatreniach na zaistenie bezpečnosti dodávok plynu a o zrušení nariadenia (EÚ) č. 994/2010 (Ú. v. EÚ L 280, 28.10.2017, s. 1).

33

(34)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2019/941 z 5. júna 2019 o pripravenosti na riziká v sektore elektrickej energie a o zrušení smernice 2005/89/ES (Ú. v. EÚ L 158, 14.6.2019, s. 1).

34

(35)  Smernica Európskeho parlamentu a Rady 2007/60/ES z 23. októbra 2007 o hodnotení a manažmente povodňových rizík (Ú. v. EÚ L 288, 6.11.2007, s. 27).

35

(36)  Smernica Európskeho parlamentu a Rady 2012/18/EÚ zo 4. júla 2012 o kontrole nebezpečenstiev závažných havárií s prítomnosťou nebezpečných látok, ktorou sa mení a dopĺňa a následne zrušuje smernica Rady 96/82/ES (Ú. v. EÚ L 197, 24.7.2012, s. 1).

36

(37)  Smernica Európskeho parlamentu a Rady (EÚ) 2016/680 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií a o voľnom pohybe takýchto údajov a o zrušení rámcového rozhodnutia Rady 2008/977/SVV (Ú. v. EÚ L 119, 4.5.2016, s. 89).

37

---

PRÍLOHA

ODVETVIA, PODODVETVIA A KATEGÓRIE SUBJEKTOV

| Odvetvia | Pododvetvia | Kategórie subjektov |
| --- | --- | --- |
| 1. | Energetika |

Odvetvia

Pododvetvia

Kategórie subjektov

1.

Energetika

| a) | Elektrická energia |
| --- | --- |

a)

Elektrická energia

| — | Elektroenergetické podniky, ako sú vymedzené v článku 2 bode 57 smernice Európskeho parlamentu a Rady (EÚ) 2019/944 (1), ktoré vykonávajú funkciu „dodávky“, ako je vymedzená v článku 2 bode 12 uvedenej smernice |
| --- | --- |

—

Elektroenergetické podniky, ako sú vymedzené v článku 2 bode 57 smernice Európskeho parlamentu a Rady (EÚ) 2019/944 (1), ktoré vykonávajú funkciu „dodávky“, ako je vymedzená v článku 2 bode 12 uvedenej smernice

| — | Prevádzkovatelia distribučnej sústavy, ako sú vymedzení v článku 2 bode 29 smernice (EÚ) 2019/944 |
| --- | --- |

—

Prevádzkovatelia distribučnej sústavy, ako sú vymedzení v článku 2 bode 29 smernice (EÚ) 2019/944

| — | Prevádzkovatelia prenosovej sústavy, ako sú vymedzení v článku 2 bode 35 smernice (EÚ) 2019/944 |
| --- | --- |

—

Prevádzkovatelia prenosovej sústavy, ako sú vymedzení v článku 2 bode 35 smernice (EÚ) 2019/944

| — | Výrobcovia, ako sú vymedzení v článku 2 bode 38 smernice (EÚ) 2019/944 |
| --- | --- |

—

Výrobcovia, ako sú vymedzení v článku 2 bode 38 smernice (EÚ) 2019/944

| — | Nominovaní organizátori trhu s elektrinou, ako sú vymedzení v článku 2 bode 8 nariadenia Európskeho parlamentu a Rady (EÚ) 2019/943 (2) |
| --- | --- |

—

Nominovaní organizátori trhu s elektrinou, ako sú vymedzení v článku 2 bode 8 nariadenia Európskeho parlamentu a Rady (EÚ) 2019/943 (2)

| — | Účastníci trhu, ako sú vymedzení v článku 2 bode 25 nariadenia (EÚ) 2019/943, ktorí poskytujú služby agregácie, riadenia odberu alebo uskladňovania energie, ako sú vymedzené v článku 2 bodoch 18, 20 a 59 smernice (EÚ) 2019/944 |
| --- | --- |

—

Účastníci trhu, ako sú vymedzení v článku 2 bode 25 nariadenia (EÚ) 2019/943, ktorí poskytujú služby agregácie, riadenia odberu alebo uskladňovania energie, ako sú vymedzené v článku 2 bodoch 18, 20 a 59 smernice (EÚ) 2019/944

| b) | Diaľkové vykurovanie a chladenie |
| --- | --- |

b)

Diaľkové vykurovanie a chladenie

| — | Prevádzkovatelia diaľkového vykurovania alebo diaľkového chladenia, ako sú vymedzení v článku 2 bode 19 smernice Európskeho parlamentu a Rady (EÚ) 2018/2001 (3) |
| --- | --- |

—

Prevádzkovatelia diaľkového vykurovania alebo diaľkového chladenia, ako sú vymedzení v článku 2 bode 19 smernice Európskeho parlamentu a Rady (EÚ) 2018/2001 (3)

| c) | Ropa |
| --- | --- |

c)

Ropa

| — | Prevádzkovatelia ropovodov |
| --- | --- |

—

Prevádzkovatelia ropovodov

| — | Prevádzkovatelia zariadení na ťažbu, rafinovanie a spracovanie ropy, jej skladovanie a prepravu |
| --- | --- |

—

Prevádzkovatelia zariadení na ťažbu, rafinovanie a spracovanie ropy, jej skladovanie a prepravu

| — | Ústredné subjekty správy zásob, ako sú vymedzené v článku 2 písm. f) smernice Rady 2009/119/ES (4) |
| --- | --- |

—

Ústredné subjekty správy zásob, ako sú vymedzené v článku 2 písm. f) smernice Rady 2009/119/ES (4)

| d) | Plyn |
| --- | --- |

d)

Plyn

| — | Dodávateľské podniky, ako sú vymedzení v článku 2 bode 8 smernice Európskeho parlamentu a Rady č. 2009/73/ES (5) |
| --- | --- |

—

Dodávateľské podniky, ako sú vymedzení v článku 2 bode 8 smernice Európskeho parlamentu a Rady č. 2009/73/ES (5)

| — | Prevádzkovatelia distribučnej siete, ako sú vymedzení v článku 2 bode 6 smernice 2009/73/ES |
| --- | --- |

—

Prevádzkovatelia distribučnej siete, ako sú vymedzení v článku 2 bode 6 smernice 2009/73/ES

| — | Prevádzkovatelia prepravnej siete, ako sú vymedzení v článku 2 bode 4 smernice 2009/73/ES |
| --- | --- |

—

Prevádzkovatelia prepravnej siete, ako sú vymedzení v článku 2 bode 4 smernice 2009/73/ES

| — | Prevádzkovatelia zásobníkov, ako sú vymedzení v článku 2 bode 10 smernice 2009/73/ES |
| --- | --- |

—

Prevádzkovatelia zásobníkov, ako sú vymedzení v článku 2 bode 10 smernice 2009/73/ES

| — | Prevádzkovatelia zariadení LNG, ako sú vymedzení v článku 2 bode 12 smernice 2009/73/ES |
| --- | --- |

—

Prevádzkovatelia zariadení LNG, ako sú vymedzení v článku 2 bode 12 smernice 2009/73/ES

| — | Plynárenské podniky, ako sú vymedzené v článku 2 bode 1 smernice 2009/73/ES |
| --- | --- |

—

Plynárenské podniky, ako sú vymedzené v článku 2 bode 1 smernice 2009/73/ES

| — | Prevádzkovatelia zariadení na rafinovanie a spracovanie zemného plynu |
| --- | --- |

—

Prevádzkovatelia zariadení na rafinovanie a spracovanie zemného plynu

| e) | Vodík |
| --- | --- |

e)

Vodík

| — | Prevádzkovatelia zariadení na výrobu, skladovanie a prepravu vodíka |
| --- | --- |

—

Prevádzkovatelia zariadení na výrobu, skladovanie a prepravu vodíka

| 2. | Doprava |
| --- | --- |

2.

Doprava

| a) | Letecká doprava |
| --- | --- |

a)

Letecká doprava

| — | Leteckí dopravcovia, ako sú vymedzení v článku 3 bode 4 nariadenia (ES) č. 300/2008 využívaní na obchodné účely |
| --- | --- |

—

Leteckí dopravcovia, ako sú vymedzení v článku 3 bode 4 nariadenia (ES) č. 300/2008 využívaní na obchodné účely

| — | Riadiace orgány letiska, ako sú vymedzené v článku 2 bode 2 smernice Európskeho parlamentu a Rady 2009/12/ES (6), letiská, ako sú vymedzené v článku 2 bode 1 uvedenej smernice, vrátane hlavných letísk uvedených v oddiele 2 prílohy II k nariadeniu Európskeho parlamentu a Rady (EÚ) č. 1315/2013 (7), a subjekty prevádzkujúce pomocné zariadenia nachádzajúce sa na letiskách |
| --- | --- |

—

Riadiace orgány letiska, ako sú vymedzené v článku 2 bode 2 smernice Európskeho parlamentu a Rady 2009/12/ES (6), letiská, ako sú vymedzené v článku 2 bode 1 uvedenej smernice, vrátane hlavných letísk uvedených v oddiele 2 prílohy II k nariadeniu Európskeho parlamentu a Rady (EÚ) č. 1315/2013 (7), a subjekty prevádzkujúce pomocné zariadenia nachádzajúce sa na letiskách

| — | Prevádzkovatelia kontroly riadenia dopravy poskytujúci služby riadenia letovej prevádzky (ATC), ako sú vymedzení v článku 2 bode 1 nariadenia Európskeho parlamentu a Rady (ES) č. 549/2004 (8) |
| --- | --- |

—

Prevádzkovatelia kontroly riadenia dopravy poskytujúci služby riadenia letovej prevádzky (ATC), ako sú vymedzení v článku 2 bode 1 nariadenia Európskeho parlamentu a Rady (ES) č. 549/2004 (8)

| b) | Železničná doprava |
| --- | --- |

b)

Železničná doprava

| — | Manažéri infraštruktúry, ako sú vymedzení v článku 3 bode 2 smernice Európskeho parlamentu a Rady 2012/34/EÚ (9) |
| --- | --- |

—

Manažéri infraštruktúry, ako sú vymedzení v článku 3 bode 2 smernice Európskeho parlamentu a Rady 2012/34/EÚ (9)

| — | Železničné podniky, ako sú vymedzené v článku 3 bode 1 smernice 2012/34/EÚ a prevádzkovatelia servisných zariadení, ako sú vymedzení v článku 3 bode 12 uvedenej smernice |
| --- | --- |

—

Železničné podniky, ako sú vymedzené v článku 3 bode 1 smernice 2012/34/EÚ a prevádzkovatelia servisných zariadení, ako sú vymedzení v článku 3 bode 12 uvedenej smernice

| c) | Vodná doprava |
| --- | --- |

c)

Vodná doprava

| — | Spoločnosti prevádzkujúce vnútrozemskú, námornú a pobrežnú osobnú a nákladnú vodnú dopravu, ako sú vymedzené pre námornú dopravu v prílohe I k nariadeniu (ES) č. 725/2004, bez jednotlivých plavidiel, ktoré tieto spoločnosti prevádzkujú |
| --- | --- |

—

Spoločnosti prevádzkujúce vnútrozemskú, námornú a pobrežnú osobnú a nákladnú vodnú dopravu, ako sú vymedzené pre námornú dopravu v prílohe I k nariadeniu (ES) č. 725/2004, bez jednotlivých plavidiel, ktoré tieto spoločnosti prevádzkujú

| — | riadiace orgány prístavov, ako sú vymedzené v článku 3 bode 1 smernice 2005/65/ES, vrátane ich prístavných zariadení, ako sú vymedzené v článku 2 bode 11 nariadenia (ES) č. 725/2004, a subjekty prevádzkujúce činnosti a zariadenia v rámci prístavu |
| --- | --- |

—

riadiace orgány prístavov, ako sú vymedzené v článku 3 bode 1 smernice 2005/65/ES, vrátane ich prístavných zariadení, ako sú vymedzené v článku 2 bode 11 nariadenia (ES) č. 725/2004, a subjekty prevádzkujúce činnosti a zariadenia v rámci prístavu

| — | Prevádzkovatelia plavebno-prevádzkových služieb (VTS), ako sú vymedzené v článku 3 bode o) smernice Európskeho parlamentu a Rady 2002/59/ES (10) |
| --- | --- |

—

Prevádzkovatelia plavebno-prevádzkových služieb (VTS), ako sú vymedzené v článku 3 bode o) smernice Európskeho parlamentu a Rady 2002/59/ES (10)

| d) | Cestná doprava |
| --- | --- |

d)

Cestná doprava

| — | Cestné orgány, ako sú vymedzené v článku 2 bode 12 delegovaného nariadenia Komisie (EÚ) 2015/962 (11), zodpovedné za kontrolu riadenia dopravy s výnimkou verejných subjektov, v prípade ktorých je riadenie dopravy alebo prevádzkovanie inteligentných dopravných systémov nepodstatnou súčasťou ich celkovej činnosti |
| --- | --- |

—

Cestné orgány, ako sú vymedzené v článku 2 bode 12 delegovaného nariadenia Komisie (EÚ) 2015/962 (11), zodpovedné za kontrolu riadenia dopravy s výnimkou verejných subjektov, v prípade ktorých je riadenie dopravy alebo prevádzkovanie inteligentných dopravných systémov nepodstatnou súčasťou ich celkovej činnosti

| — | Prevádzkovatelia inteligentných dopravných systémov, ako sú vymedzené v článku 4 bode 1 smernice Európskeho parlamentu a Rady 2010/40/EÚ (12) |
| --- | --- |

—

Prevádzkovatelia inteligentných dopravných systémov, ako sú vymedzené v článku 4 bode 1 smernice Európskeho parlamentu a Rady 2010/40/EÚ (12)

| e) | Verejná doprava |
| --- | --- |

e)

Verejná doprava

| — | Poskytovatelia služieb vo verejnom záujme, ako sú vymedzení v článku 2 písm. d) nariadenia Európskeho parlamentu a Rady (ES) č. 1370/2007 (13) |
| --- | --- |

—

Poskytovatelia služieb vo verejnom záujme, ako sú vymedzení v článku 2 písm. d) nariadenia Európskeho parlamentu a Rady (ES) č. 1370/2007 (13)

| 3. | Bankovníctvo |
| --- | --- |

3.

Bankovníctvo

| — | Úverové inštitúcie, ako sú vymedzené v článku 4 bode 1 nariadenia (EÚ) č. 575/2013 |
| --- | --- |

—

Úverové inštitúcie, ako sú vymedzené v článku 4 bode 1 nariadenia (EÚ) č. 575/2013

| 4. | Infraštruktúry finančných trhov |
| --- | --- |

4.

Infraštruktúry finančných trhov

| — | Prevádzkovatelia obchodných miest, ako sú vymedzení v článku 4 bode 24 smernice 2014/65/EÚ |
| --- | --- |

—

Prevádzkovatelia obchodných miest, ako sú vymedzení v článku 4 bode 24 smernice 2014/65/EÚ

| — | Centrálne protistrany (CCP), ako sú vymedzené v článku 2 bode 1 nariadenia (EÚ) č. 648/2012 |
| --- | --- |

—

Centrálne protistrany (CCP), ako sú vymedzené v článku 2 bode 1 nariadenia (EÚ) č. 648/2012

| 5. | Zdravotníctvo |
| --- | --- |

5.

Zdravotníctvo

| — | Poskytovatelia zdravotnej starostlivosti, ako sú vymedzení v článku 3 písm. g) smernice Európskeho parlamentu a Rady (EÚ) 2011/24/EÚ (14) |
| --- | --- |

—

Poskytovatelia zdravotnej starostlivosti, ako sú vymedzení v článku 3 písm. g) smernice Európskeho parlamentu a Rady (EÚ) 2011/24/EÚ (14)

| — | Referenčné laboratóriá EÚ uvedené v článku 15 nariadenia Európskeho parlamentu a Rady (EÚ) 2022/2371 (15) |
| --- | --- |

—

Referenčné laboratóriá EÚ uvedené v článku 15 nariadenia Európskeho parlamentu a Rady (EÚ) 2022/2371 (15)

| — | Subjekty vykonávajúce činnosti vo výskume a vývoji liekov, ako sú vymedzené v článku 1 bode 2 smernice Európskeho parlamentu a Rady 2001/83/ES (16) |
| --- | --- |

—

Subjekty vykonávajúce činnosti vo výskume a vývoji liekov, ako sú vymedzené v článku 1 bode 2 smernice Európskeho parlamentu a Rady 2001/83/ES (16)

| — | Subjekty vyrábajúce základné farmaceutické výrobky a farmaceutické prípravky uvedené v sekcii C divízii 21 NACE Rev. 2 |
| --- | --- |

—

Subjekty vyrábajúce základné farmaceutické výrobky a farmaceutické prípravky uvedené v sekcii C divízii 21 NACE Rev. 2

| — | Subjekty vyrábajúce zdravotnícke pomôcky považované za kritické v núdzovej situácii v oblasti verejného zdravia (ďalej len „zoznam kritických pomôcok v núdzovej situácii v oblasti verejného zdravia“) v zmysle článku 22 nariadenia Európskeho parlamentu a Rady (EÚ) 2022/123 (17) |
| --- | --- |

—

Subjekty vyrábajúce zdravotnícke pomôcky považované za kritické v núdzovej situácii v oblasti verejného zdravia (ďalej len „zoznam kritických pomôcok v núdzovej situácii v oblasti verejného zdravia“) v zmysle článku 22 nariadenia Európskeho parlamentu a Rady (EÚ) 2022/123 (17)

| — | Subjekty, ktoré sú držiteľmi povolenia na distribúciu podľa článku 79 smernice 2001/83/ES |
| --- | --- |

—

Subjekty, ktoré sú držiteľmi povolenia na distribúciu podľa článku 79 smernice 2001/83/ES

| 6. | Pitná voda |
| --- | --- |

6.

Pitná voda

| — | Dodávatelia a distribútori vody určenej na ľudskú spotrebu, ako je vymedzená v článku 2 bode 1 písm. a) smernice Európskeho parlamentu a Rady (EÚ) 2020/2184 (18) s výnimkou distribútorov, pre ktorých je distribúcia vody na ľudskú spotrebu nepodstatnou súčasťou ich celkovej činnosti v oblasti distribúcie iných komodít a tovaru |
| --- | --- |

—

Dodávatelia a distribútori vody určenej na ľudskú spotrebu, ako je vymedzená v článku 2 bode 1 písm. a) smernice Európskeho parlamentu a Rady (EÚ) 2020/2184 (18) s výnimkou distribútorov, pre ktorých je distribúcia vody na ľudskú spotrebu nepodstatnou súčasťou ich celkovej činnosti v oblasti distribúcie iných komodít a tovaru

| 7. | Odpadová voda |
| --- | --- |

7.

Odpadová voda

| — | Podniky zaoberajúce sa zberom, likvidáciou alebo úpravou komunálnych odpadových vôd, odpadových vôd z domácností alebo priemyselných odpadových vôd, ako sú vymedzené v článku 2 bodoch 1, 2 a 3 smernice Rady 91/271/EHS (19), s výnimkou podnikov, pre ktoré je zber, likvidácia alebo úprava komunálnych odpadových vôd, odpadových vôd z domácností alebo priemyselných odpadových vôd nepodstatnou súčasťou ich celkovej činnosti |
| --- | --- |

—

Podniky zaoberajúce sa zberom, likvidáciou alebo úpravou komunálnych odpadových vôd, odpadových vôd z domácností alebo priemyselných odpadových vôd, ako sú vymedzené v článku 2 bodoch 1, 2 a 3 smernice Rady 91/271/EHS (19), s výnimkou podnikov, pre ktoré je zber, likvidácia alebo úprava komunálnych odpadových vôd, odpadových vôd z domácností alebo priemyselných odpadových vôd nepodstatnou súčasťou ich celkovej činnosti

| 8. | Digitálna infraštruktúra |
| --- | --- |

8.

Digitálna infraštruktúra

| — | Poskytovatelia internetových prepojovacích uzlov, ako sú vymedzené v článku 6 bode 18 smernice (EÚ) 2022/2555 |
| --- | --- |

—

Poskytovatelia internetových prepojovacích uzlov, ako sú vymedzené v článku 6 bode 18 smernice (EÚ) 2022/2555

| — | Poskytovatelia služieb DNS, ako sú vymedzení v článku 6 bode 20 smernice (EÚ) 2022/2555, s výnimkou prevádzkovateľov koreňových názvových serverov |
| --- | --- |

—

Poskytovatelia služieb DNS, ako sú vymedzení v článku 6 bode 20 smernice (EÚ) 2022/2555, s výnimkou prevádzkovateľov koreňových názvových serverov

| — | Správcovia názvov domén najvyššej úrovne, ako sú vymedzení v článku 6 bode 21 smernice (EÚ) 2022/2555 |
| --- | --- |

—

Správcovia názvov domén najvyššej úrovne, ako sú vymedzení v článku 6 bode 21 smernice (EÚ) 2022/2555

| — | Poskytovatelia služieb cloud computingu, ako sú vymedzené v článku 6 bode 30 smernice (EÚ) 2022/2555 |
| --- | --- |

—

Poskytovatelia služieb cloud computingu, ako sú vymedzené v článku 6 bode 30 smernice (EÚ) 2022/2555

| — | Poskytovatelia služieb dátového centra, ako sú vymedzené v článku 6 bode 31 smernice (EÚ) 2022/2555 |
| --- | --- |

—

Poskytovatelia služieb dátového centra, ako sú vymedzené v článku 6 bode 31 smernice (EÚ) 2022/2555

| — | Poskytovatelia sietí na sprístupňovanie obsahu, ako sú vymedzené v článku 6 bode 32 smernice (EÚ) 2022/2555 |
| --- | --- |

—

Poskytovatelia sietí na sprístupňovanie obsahu, ako sú vymedzené v článku 6 bode 32 smernice (EÚ) 2022/2555

| — | Poskytovatelia dôveryhodných služieb, ako sú vymedzení v článku 3 bode 19 nariadenia Európskeho parlamentu a Rady (EÚ) č. 910/2014 (20) |
| --- | --- |

—

Poskytovatelia dôveryhodných služieb, ako sú vymedzení v článku 3 bode 19 nariadenia Európskeho parlamentu a Rady (EÚ) č. 910/2014 (20)

| — | Poskytovatelia verejných elektronických komunikačných sietí, ako sú vymedzené v článku 2 bode 8 smernice Európskeho parlamentu a Rady (EÚ) 2018/1972 (21) |
| --- | --- |

—

Poskytovatelia verejných elektronických komunikačných sietí, ako sú vymedzené v článku 2 bode 8 smernice Európskeho parlamentu a Rady (EÚ) 2018/1972 (21)

| — | Poskytovatelia elektronických komunikačných služieb, ako sú vymedzené v článku 2 bodu 4 smernice (EÚ) 2018/1972, pokiaľ sú ich služby verejne dostupné |
| --- | --- |

—

Poskytovatelia elektronických komunikačných služieb, ako sú vymedzené v článku 2 bodu 4 smernice (EÚ) 2018/1972, pokiaľ sú ich služby verejne dostupné

| 9. | Verejná správa |
| --- | --- |

9.

Verejná správa

| — | Subjekty verejnej správy na úrovni ústrednej štátnej správy, ako ich vymedzuje členský štát v súlade s vnútroštátnym právom |
| --- | --- |

—

Subjekty verejnej správy na úrovni ústrednej štátnej správy, ako ich vymedzuje členský štát v súlade s vnútroštátnym právom

| 10. | Vesmír |
| --- | --- |

10.

Vesmír

| — | Prevádzkovatelia pozemnej infraštruktúry, ktorú vlastnia, riadia a prevádzkujú členské štáty alebo súkromné subjekty, ktorí prispievajú k poskytovaniu vesmírnych služieb, s výnimkou poskytovateľov verejných elektronických komunikačných sietí, ako sú vymedzené v článku 2 bodu 8 smernice (EÚ) 2018/1972 |
| --- | --- |

—

Prevádzkovatelia pozemnej infraštruktúry, ktorú vlastnia, riadia a prevádzkujú členské štáty alebo súkromné subjekty, ktorí prispievajú k poskytovaniu vesmírnych služieb, s výnimkou poskytovateľov verejných elektronických komunikačných sietí, ako sú vymedzené v článku 2 bodu 8 smernice (EÚ) 2018/1972

| 11. | Výroba, spracovanie a distribúcia potravín |
| --- | --- |

11.

Výroba, spracovanie a distribúcia potravín

| — | Potravinárske podniky, ako sú vymedzené v článku 3 bode 2 nariadenia Európskeho parlamentu a Rady (ES) č. 178/2002 (22), ktoré sa zaoberajú výlučne logistikou a veľkoobchodnou distribúciou a veľkoobjemovou priemyselnou výrobou a spracovaním |
| --- | --- |

—

Potravinárske podniky, ako sú vymedzené v článku 3 bode 2 nariadenia Európskeho parlamentu a Rady (ES) č. 178/2002 (22), ktoré sa zaoberajú výlučne logistikou a veľkoobchodnou distribúciou a veľkoobjemovou priemyselnou výrobou a spracovaním

---

(1)  Smernica Európskeho parlamentu a Rady (EÚ) 2019/944 z 5. júna 2019 o spoločných pravidlách pre vnútorný trh s elektrinou a o zmene smernice 2012/27/EÚ (Ú. v. EÚ L 158, 14.6.2019, s. 125).

(2)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2019/943 z 5. júna 2019 o vnútornom trhu s elektrinou (Ú. v. EÚ L 158, 14.6.2019, s. 54).

(3)  Smernica Európskeho parlamentu a Rady (EÚ) 2018/2001 z 11. decembra 2018 o podpore využívania energie z obnoviteľných zdrojov (Ú. v. EÚ L 328, 21.12.2018, s. 82).

(4)  Smernica Rady 2009/119/ES zo 14. septembra 2009, ktorou sa členským štátom ukladá povinnosť udržiavať minimálne zásoby ropy a/alebo ropných výrobkov (Ú. v. EÚ L 265, 9.10.2009, s. 9).

(5)  Smernica Európskeho parlamentu a Rady 2009/73/ES z 13. júla 2009 o spoločných pravidlách pre vnútorný trh so zemným plynom, ktorou sa zrušuje smernica 2003/55/ES (Ú. v. EÚ L 211, 14.8.2009, s. 94).

(6)  Smernica Európskeho parlamentu a Rady 2009/12/ES z 11. marca 2009 o letiskových poplatkoch (Ú. v. EÚ L 70, 14.3.2009, s. 11).

(7)  Nariadenie Európskeho parlamentu a Rady (EÚ) č. 1315/2013 z 11. decembra 2013 o usmerneniach Únie pre rozvoj transeurópskej dopravnej siete a o zrušení rozhodnutia č. 661/2010/EÚ (Ú. v. EÚ L 348, 20.12.2013, s. 1).

(8)  Nariadenie Európskeho parlamentu a Rady (ES) č. 549/2004 z 10. marca 2004, ktorým sa stanovuje rámec na vytvorenie jednotného európskeho neba (rámcové nariadenie) (Ú. v. EÚ L 96, 31.3.2004, s. 1).

(9)  Smernica Európskeho parlamentu a Rady 2012/34/EÚ z 21. novembra 2012, ktorou sa zriaďuje jednotný európsky železničný priestor (Ú. v. EÚ L 343, 14.12.2012, s. 32).

(10)  Smernica Európskeho parlamentu a Rady 2002/59/ES z 27. júna 2002, ktorou sa zriaďuje monitorovací a informačný systém Spoločenstva pre lodnú dopravu a ktorou sa zrušuje smernica Rady 93/75/EHS (Ú. v. ES L 208, 5.8.2002, s. 10).

(11)  Delegované nariadenie Komisie (EÚ) 2015/962 z 18. decembra 2014, ktorým sa dopĺňa smernica Európskeho parlamentu a Rady 2010/40/EÚ, pokiaľ ide o poskytovanie informačných služieb o doprave v reálnom čase v celej EÚ (Ú. v. EÚ L 157, 23.6.2015, s. 21).

(12)  Smernica Európskeho parlamentu a Rady 2010/40/EÚ zo 7. júla 2010 o rámci na zavedenie inteligentných dopravných systémov v oblasti cestnej dopravy a na rozhrania s inými druhmi dopravy (Ú. v. EÚ L 207, 6.8.2010, s. 1).

(13)  Nariadenie Európskeho parlamentu a Rady (ES) č. 1370/2007 z 23. októbra 2007 o službách vo verejnom záujme v železničnej a cestnej osobnej doprave, ktorým sa zrušujú nariadenia Rady (EHS) č. 1191/69 a (EHS) č. 1107/70 (Ú. v. EÚ L 315, 3.12.2007, s. 1).

(14)  Smernica Európskeho parlamentu a Rady 2011/24/EÚ z 9. marca 2011 o uplatňovaní práv pacientov pri cezhraničnej zdravotnej starostlivosti (Ú. v. EÚ L 88, 4.4.2011, s. 45).

(15)  Nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2371 z 23. novembra 2022 o závažných cezhraničných ohrozeniach zdravia, ktorým sa zrušuje rozhodnutie č. 1082/2013/EÚ (Ú. v. EÚ L 314, 6.12.2022, s. 26).

(16)  Smernica Európskeho parlamentu a Rady 2001/83/ES zo 6. novembra 2001, ktorou sa ustanovuje zákonník Spoločenstva o humánnych liekoch (Ú. v. ES L 311, 28.11.2001, s. 67).

(17)  Nariadenie Európskeho parlamentu a Rady (EÚ)2022/123 z 25. januára 2022 o posilnenej úlohe Európskej agentúry pre lieky z hľadiska pripravenosti na krízy a krízového riadenia v oblasti liekov a zdravotníckych pomôcok (Ú. v. EÚ L 20, 31.1.2022, s. 1).

(18)  Smernica Európskeho parlamentu a Rady (EÚ) 2020/2184 zo 16. decembra 2020 o kvalite vody určenej na ľudskú spotrebu (Ú. v. EÚ L 435, 23.12.2020, s. 1).

(19)  Smernica Rady 91/271/EHS z 21. mája 1991 o čistení komunálnych odpadových vôd (Ú. v. ES L 135, 30.5.1991, s.40).

(20)  Nariadenie Európskeho parlamentu a Rady (EÚ) č. 910/2014 z 23. júla 2014 o elektronickej identifikácii a dôveryhodných službách pre elektronické transakcie na vnútornom trhu a o zrušení smernice 1999/93/ES (Ú. v. EÚ L 257, 28.8.2014, s. 73).

(21)  Smernica Európskeho parlamentu a Rady (EÚ) 2018/1972 z 11. decembra 2018, ktorou sa stanovuje európsky kódex elektronických komunikácií (Ú. v. EÚ L 321, 17.12.2018, s. 36).

(22)  Nariadenie Európskeho parlamentu a Rady (ES) č. 178/2002 z 28. januára 2002, ktorým sa ustanovujú všeobecné zásady a požiadavky potravinového práva, zriaďuje Európsky úrad pre bezpečnosť potravín a stanovujú postupy v záležitostiach bezpečnosti potravín (Ú. v. ES L 31, 1.2.2002, s. 1).

---