# Službeni list L 333/2022

| | ISSN 1977-0847 |
| --- | --- |
| Službeni list
  Europske unije | L 333 |
| | |
| Hrvatsko izdanje | Zakonodavstvo | Godište 65.27. prosinca 2022. |

ISSN 1977-0847

Službeni list

Europske unije

L 333

Hrvatsko izdanje

Zakonodavstvo

Godište 65.27. prosinca 2022.

---

| Sadržaj | | I.   Zakonodavni akti | Stranica |
| --- | --- | --- | --- |
| | | UREDBE |
| | * | Uredba (EU) 2022/2554 Europskog parlamenta i Vijeća od 14. prosinca 2022. o digitalnoj operativnoj otpornosti za financijski sektor i izmjeni uredbi (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014, (EU) br. 909/2014 i (EU) 2016/1011 (
  1
  ) | 1 |
| | | DIREKTIVE |
| | * | Direktiva (EU) 2022/2555 Europskog parlamenta i Vijeća od 14. prosinca 2022. o mjerama za visoku zajedničku razinu kibersigurnosti širom Unije, izmjeni Uredbe (EU) br. 910/2014 i Direktive (EU) 2018/1972 i stavljanju izvan snage Direktive (EU) 2016/1148 (Direktiva NIS 2) (
  1
  ) | 80 |
| | * | Direktiva (EU) 2022/2556 Europskog parlamenta i Vijeća od 14. prosinca 2022. o izmjeni direktiva 2009/65/EZ, 2009/138/EZ, 2011/61/EU, 2013/36/EU, 2014/59/EU, 2014/65/EU, (EU) 2015/2366 i (EU) 2016/2341 u pogledu digitalne operativne otpornosti za financijski sektor (
  1
  ) | 153 |
| | * | Direktiva (EU) 2022/2557 Europskog parlamenta i Vijeća od 14. prosinca 2022. o otpornosti kritičnih subjekata i o stavljanju izvan snage Direktive Vijeća 2008/114/EZ (
  1
  ) | 164 |

Sadržaj

I.   Zakonodavni akti

Stranica

UREDBE

*

Uredba (EU) 2022/2554 Europskog parlamenta i Vijeća od 14. prosinca 2022. o digitalnoj operativnoj otpornosti za financijski sektor i izmjeni uredbi (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014, (EU) br. 909/2014 i (EU) 2016/1011 (
  1
  )

1

1

DIREKTIVE

*

Direktiva (EU) 2022/2555 Europskog parlamenta i Vijeća od 14. prosinca 2022. o mjerama za visoku zajedničku razinu kibersigurnosti širom Unije, izmjeni Uredbe (EU) br. 910/2014 i Direktive (EU) 2018/1972 i stavljanju izvan snage Direktive (EU) 2016/1148 (Direktiva NIS 2) (
  1
  )

1

80

*

Direktiva (EU) 2022/2556 Europskog parlamenta i Vijeća od 14. prosinca 2022. o izmjeni direktiva 2009/65/EZ, 2009/138/EZ, 2011/61/EU, 2013/36/EU, 2014/59/EU, 2014/65/EU, (EU) 2015/2366 i (EU) 2016/2341 u pogledu digitalne operativne otpornosti za financijski sektor (
  1
  )

1

153

*

Direktiva (EU) 2022/2557 Europskog parlamenta i Vijeća od 14. prosinca 2022. o otpornosti kritičnih subjekata i o stavljanju izvan snage Direktive Vijeća 2008/114/EZ (
  1
  )

1

164

| | |
| --- | --- |
| | (1)   Tekst značajan za EGP. |

---

(1)   Tekst značajan za EGP.

1

| HR | Akti čiji su naslovi tiskani običnim slovima su oni koji se odnose na svakodnevno upravljanje poljoprivrednim pitanjima, a općenito vrijede ograničeno razdoblje.
  Naslovi svih drugih akata tiskani su masnim slovima, a prethodi im zvjezdica. |
| --- | --- |

HR

Akti čiji su naslovi tiskani običnim slovima su oni koji se odnose na svakodnevno upravljanje poljoprivrednim pitanjima, a općenito vrijede ograničeno razdoblje.

Naslovi svih drugih akata tiskani su masnim slovima, a prethodi im zvjezdica.

---

I. Zakonodavni akti

UREDBE

| 27.12.2022 | HR | Službeni list Europske unije | L 333/1 |
| --- | --- | --- | --- |

27.12.2022

HR

Službeni list Europske unije

L 333/1

---

UREDBA (EU) 2022/2554 EUROPSKOG PARLAMENTA I VIJEĆA

od 14. prosinca 2022.

o digitalnoj operativnoj otpornosti za financijski sektor i izmjeni uredbi (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014, (EU) br. 909/2014 i (EU) 2016/1011

(Tekst značajan za EGP)

EUROPSKI PARLAMENT I VIJEĆE EUROPSKE UNIJE,

uzimajući u obzir Ugovor o funkcioniranju Europske unije, a posebno njegov članak 114.,

uzimajući u obzir prijedlog Europske komisije,

nakon prosljeđivanja nacrta zakonodavnog akta nacionalnim parlamentima,

uzimajući u obzir mišljenje Europske središnje banke (1),

uzimajući u obzir mišljenje Europskoga gospodarskog i socijalnog odbora (2),

u skladu s redovnim zakonodavnim postupkom (3),

budući da:

| (1) | U digitalnom se dobu složeni sustavi koji služe svakodnevnim aktivnostima temelje na informacijskoj i komunikacijskoj tehnologiji (IKT). Ona je zaslužna za funkcioniranje naših gospodarstava u ključnim sektorima, uključujući financijski sektor, i unapređuje funkcioniranja unutarnjeg tržišta. Sve veća digitalizacija i međusobna povezanost povećavaju i IKT rizik, što društvo u cjelini, a posebno financijski sustav, čini osjetljivijim na kiberprijetnje ili poremećaje u području IKT-a. Iako su sveprisutna upotreba sustava IKT-a i visok stupanj digitalizacije i povezivosti u današnje vrijeme ključne značajke aktivnosti financijskih subjekata u Uniji, njihovu digitalnu otpornost tek treba ojačati i integrirati u njihove šire operativne okvire. |
| --- | --- |

(1)

U digitalnom se dobu složeni sustavi koji služe svakodnevnim aktivnostima temelje na informacijskoj i komunikacijskoj tehnologiji (IKT). Ona je zaslužna za funkcioniranje naših gospodarstava u ključnim sektorima, uključujući financijski sektor, i unapređuje funkcioniranja unutarnjeg tržišta. Sve veća digitalizacija i međusobna povezanost povećavaju i IKT rizik, što društvo u cjelini, a posebno financijski sustav, čini osjetljivijim na kiberprijetnje ili poremećaje u području IKT-a. Iako su sveprisutna upotreba sustava IKT-a i visok stupanj digitalizacije i povezivosti u današnje vrijeme ključne značajke aktivnosti financijskih subjekata u Uniji, njihovu digitalnu otpornost tek treba ojačati i integrirati u njihove šire operativne okvire.

| (2) | Upotreba IKT-a posljednjih je desetljeća u toj mjeri stekla središnju ulogu u pružanju financijskih usluga da je sada izuzetno važna za uobičajeno dnevno poslovanje svih financijskih subjekata. Digitalizacijom su sada obuhvaćena, na primjer, plaćanja, čiji se gotovinski ili papirnati oblik sve više zamjenjuje digitalnim rješenjima, te poravnanje i namira vrijednosnih papira, elektroničko i algoritamsko trgovanje, poslovi kreditiranja i financiranja, uzajamno kreditiranje, kreditni rejting, upravljanje potraživanjima i poslovi pozadinskih ureda. Upotreba IKT-a preobrazila je i sektor osiguranja, od pojave posrednika u osiguranju koji na temelju tehnologija u sektoru osiguranja (InsurTech) nude svoje usluge putem interneta do digitalnog preuzimanja rizika u osiguranju. Ne samo da su financije postale uglavnom digitalne u cijelom sektoru, nego je digitalizacija produbila i međusobne povezanosti i ovisnosti unutar financijskog sektora te u odnosu na infrastrukture trećih strana i treće strane koje su pružatelji usluga. |
| --- | --- |

(2)

Upotreba IKT-a posljednjih je desetljeća u toj mjeri stekla središnju ulogu u pružanju financijskih usluga da je sada izuzetno važna za uobičajeno dnevno poslovanje svih financijskih subjekata. Digitalizacijom su sada obuhvaćena, na primjer, plaćanja, čiji se gotovinski ili papirnati oblik sve više zamjenjuje digitalnim rješenjima, te poravnanje i namira vrijednosnih papira, elektroničko i algoritamsko trgovanje, poslovi kreditiranja i financiranja, uzajamno kreditiranje, kreditni rejting, upravljanje potraživanjima i poslovi pozadinskih ureda. Upotreba IKT-a preobrazila je i sektor osiguranja, od pojave posrednika u osiguranju koji na temelju tehnologija u sektoru osiguranja (InsurTech) nude svoje usluge putem interneta do digitalnog preuzimanja rizika u osiguranju. Ne samo da su financije postale uglavnom digitalne u cijelom sektoru, nego je digitalizacija produbila i međusobne povezanosti i ovisnosti unutar financijskog sektora te u odnosu na infrastrukture trećih strana i treće strane koje su pružatelji usluga.

| (3) | U izvješću o sistemskom kiberriziku (2020.) Europski odbor za sistemske rizike (ESRB) potvrdio je da bi postojeći visoki stupanj međusobne povezanosti financijskih subjekata, financijskih tržišta i infrastruktura financijskog tržišta, a osobito međuovisnosti njihovih sustava IKT-a, mogao predstavljati sistemsku ranjivost jer bi se kiberincidenti mogli brzo proširiti s bilo kojeg od oko 22 000 financijskih subjekata u Uniji na cijeli financijski sustav, neovisno o zemljopisnim granicama. Ozbiljne povrede koje se dogode u području IKT-a u financijskom sektoru ne utječu samo na izolirane financijske subjekte. One olakšavaju i širenje lokaliziranih ranjivosti po svim kanalima financijskog prijenosa i mogle bi imati negativne posljedice na stabilnost financijskog sustava Unije, kao što su pad likvidnosti i opći gubitak povjerenja i pouzdanja u financijska tržišta. |
| --- | --- |

(3)

U izvješću o sistemskom kiberriziku (2020.) Europski odbor za sistemske rizike (ESRB) potvrdio je da bi postojeći visoki stupanj međusobne povezanosti financijskih subjekata, financijskih tržišta i infrastruktura financijskog tržišta, a osobito međuovisnosti njihovih sustava IKT-a, mogao predstavljati sistemsku ranjivost jer bi se kiberincidenti mogli brzo proširiti s bilo kojeg od oko 22 000 financijskih subjekata u Uniji na cijeli financijski sustav, neovisno o zemljopisnim granicama. Ozbiljne povrede koje se dogode u području IKT-a u financijskom sektoru ne utječu samo na izolirane financijske subjekte. One olakšavaju i širenje lokaliziranih ranjivosti po svim kanalima financijskog prijenosa i mogle bi imati negativne posljedice na stabilnost financijskog sustava Unije, kao što su pad likvidnosti i opći gubitak povjerenja i pouzdanja u financijska tržišta.

| (4) | U proteklih nekoliko godina IKT rizik privlači pozornost međunarodnih, Unijinih i nacionalnih oblikovatelja politika, regulatornih tijela i tijela za normizaciju koji nastoje unaprijediti digitalnu otpornost, utvrditi standarde i koordinirati regulatorni ili nadzorni rad. Na međunarodnoj razini cilj je Bazelskog odbora za nadzor banaka, Odbora za platne i tržišne infrastrukture, Odbora za financijsku stabilnost, Instituta za financijsku stabilnost te skupina G-7 i G-20 pružiti nadležnim tijelima i tržišnim operaterima u različitim jurisdikcijama alate za poboljšanje otpornosti njihovih financijskih sustava. Taj se rad temelji i na potrebi za uzimanjem u obzir IKT rizika u kontekstu snažno povezanog globalnog financijskog sustava i postizanja veće usklađenosti relevantnih najboljih praksi. |
| --- | --- |

(4)

U proteklih nekoliko godina IKT rizik privlači pozornost međunarodnih, Unijinih i nacionalnih oblikovatelja politika, regulatornih tijela i tijela za normizaciju koji nastoje unaprijediti digitalnu otpornost, utvrditi standarde i koordinirati regulatorni ili nadzorni rad. Na međunarodnoj razini cilj je Bazelskog odbora za nadzor banaka, Odbora za platne i tržišne infrastrukture, Odbora za financijsku stabilnost, Instituta za financijsku stabilnost te skupina G-7 i G-20 pružiti nadležnim tijelima i tržišnim operaterima u različitim jurisdikcijama alate za poboljšanje otpornosti njihovih financijskih sustava. Taj se rad temelji i na potrebi za uzimanjem u obzir IKT rizika u kontekstu snažno povezanog globalnog financijskog sustava i postizanja veće usklađenosti relevantnih najboljih praksi.

| (5) | Unatoč Unijinim i nacionalnim ciljanim politikama i zakonodavnim inicijativama IKT rizik i dalje je problem za operativnu otpornost, uspješnost i stabilnost financijskog sustava Unije. Reformama koje su uslijedile nakon financijske krize iz 2008. prvenstveno je povećana financijska otpornost financijskog sektora Unije, a njihov cilj bile su zaštita konkurentnosti i stabilnosti Unije s gospodarskog i bonitetnog aspekta te aspekta ponašanja na tržištu. Iako su sigurnost IKT-a i digitalna otpornost dio operativnog rizika, nakon financijske krize nije im posvećena prevelika pozornost u regulatornim planovima pa su se razvile samo u nekim područjima političkog i regulatornog okruženja Unije za financijske usluge ili samo u nekoliko država članica. |
| --- | --- |

(5)

Unatoč Unijinim i nacionalnim ciljanim politikama i zakonodavnim inicijativama IKT rizik i dalje je problem za operativnu otpornost, uspješnost i stabilnost financijskog sustava Unije. Reformama koje su uslijedile nakon financijske krize iz 2008. prvenstveno je povećana financijska otpornost financijskog sektora Unije, a njihov cilj bile su zaštita konkurentnosti i stabilnosti Unije s gospodarskog i bonitetnog aspekta te aspekta ponašanja na tržištu. Iako su sigurnost IKT-a i digitalna otpornost dio operativnog rizika, nakon financijske krize nije im posvećena prevelika pozornost u regulatornim planovima pa su se razvile samo u nekim područjima političkog i regulatornog okruženja Unije za financijske usluge ili samo u nekoliko država članica.

| (6) | U Komunikaciji od 8. ožujka 2018. pod naslovom „Akcijski plan za financijske tehnologije: za konkurentniji i inovativniji europski financijski sektor” Komisija je istaknula da je izuzetno važno jačati otpornost financijskog sektora Unije, među ostalim i u operativnom smislu, kako bi se osigurali njegova tehnološka sigurnost i dobro funkcioniranje, brz oporavak od povreda i incidenata u području IKT-a, a time u konačnici omogućilo djelotvorno i neometano pružanje financijskih usluga u cijeloj Uniji, među ostalim i u stresnim okolnostima, uz istodobno očuvanje povjerenja potrošača i povjerenja u tržište. |
| --- | --- |

(6)

U Komunikaciji od 8. ožujka 2018. pod naslovom „Akcijski plan za financijske tehnologije: za konkurentniji i inovativniji europski financijski sektor” Komisija je istaknula da je izuzetno važno jačati otpornost financijskog sektora Unije, među ostalim i u operativnom smislu, kako bi se osigurali njegova tehnološka sigurnost i dobro funkcioniranje, brz oporavak od povreda i incidenata u području IKT-a, a time u konačnici omogućilo djelotvorno i neometano pružanje financijskih usluga u cijeloj Uniji, među ostalim i u stresnim okolnostima, uz istodobno očuvanje povjerenja potrošača i povjerenja u tržište.

| (7) | U travnju 2019. europsko nadzorno tijelo (Europsko nadzorno tijelo za bankarstvo, EBA) osnovano Uredbom (EU) br. 1093/2010 Europskog parlamenta i Vijeća (4), europsko nadzorno tijelo (Europsko nadzorno tijelo za osiguranje i strukovno mirovinsko osiguranje), („EIOPA”) osnovano Uredbom (EU) br. 1094/2010 Europskog parlamenta i Vijeća (5) i Europsko nadzorno tijelo (Europsko nadzorno tijelo za vrijednosne papire i tržišta kapitala, „ESMA”) osnovano Uredbom (EU) br. 1095/2010 Europskog parlamenta i Vijeća (6) (zajedno poznata kao „europska nadzorna tijela”) zajednički su objavili tehnički savjet u kojem se poziva na usklađen pristup IKT riziku u području financija i preporučuje razmjerno jačanje digitalne operativne otpornosti industrije financijskih usluga putem sektorske inicijative Unije. |
| --- | --- |

(7)

U travnju 2019. europsko nadzorno tijelo (Europsko nadzorno tijelo za bankarstvo, EBA) osnovano Uredbom (EU) br. 1093/2010 Europskog parlamenta i Vijeća (4), europsko nadzorno tijelo (Europsko nadzorno tijelo za osiguranje i strukovno mirovinsko osiguranje), („EIOPA”) osnovano Uredbom (EU) br. 1094/2010 Europskog parlamenta i Vijeća (5) i Europsko nadzorno tijelo (Europsko nadzorno tijelo za vrijednosne papire i tržišta kapitala, „ESMA”) osnovano Uredbom (EU) br. 1095/2010 Europskog parlamenta i Vijeća (6) (zajedno poznata kao „europska nadzorna tijela”) zajednički su objavili tehnički savjet u kojem se poziva na usklađen pristup IKT riziku u području financija i preporučuje razmjerno jačanje digitalne operativne otpornosti industrije financijskih usluga putem sektorske inicijative Unije.

| (8) | Financijski sektor Unije uređen je jedinstvenim pravilima i Europskim sustavom financijskog nadzora. Unatoč tome, odredbe o digitalnoj operativnoj otpornosti i sigurnosti IKT-a još nisu potpuno i dosljedno usklađene iako je digitalna operativna otpornost ključna za financijsku stabilnost i cjelovitost tržišta u digitalnom dobu i nije manje važna od, na primjer, zajedničkih bonitetnih standarda ili standarda ponašanja na tržištu. Stoga bi trebalo razviti jedinstvena pravila i sustav nadzora kako bi se njima obuhvatila i digitalna operativna otpornost, i to jačanjem mandata nadležnih tijela kako bi mogla nadzirati upravljanje IKT rizikom u financijskom sektoru radi zaštite cjelovitosti i učinkovitosti unutarnjeg tržišta i olakšavanja njegova urednog funkcioniranja. |
| --- | --- |

(8)

Financijski sektor Unije uređen je jedinstvenim pravilima i Europskim sustavom financijskog nadzora. Unatoč tome, odredbe o digitalnoj operativnoj otpornosti i sigurnosti IKT-a još nisu potpuno i dosljedno usklađene iako je digitalna operativna otpornost ključna za financijsku stabilnost i cjelovitost tržišta u digitalnom dobu i nije manje važna od, na primjer, zajedničkih bonitetnih standarda ili standarda ponašanja na tržištu. Stoga bi trebalo razviti jedinstvena pravila i sustav nadzora kako bi se njima obuhvatila i digitalna operativna otpornost, i to jačanjem mandata nadležnih tijela kako bi mogla nadzirati upravljanje IKT rizikom u financijskom sektoru radi zaštite cjelovitosti i učinkovitosti unutarnjeg tržišta i olakšavanja njegova urednog funkcioniranja.

| (9) | Zakonodavne neusklađenosti i neujednačeni nacionalni regulatorni ili nadzorni pristupi u pogledu IKT rizika prepreka su funkcioniranju unutarnjeg tržišta za financijske usluge i onemogućavaju neometano ostvarivanje slobode poslovnog nastana i pružanje usluga za financijske subjekte koji posluju prekogranično. Tržišno natjecanje među financijskim subjektima iste vrste koji posluju u različitim državama članicama moglo bi također biti narušeno. To je posebno slučaj u područjima u kojima je usklađivanje na razini Unije vrlo ograničeno, kao što je testiranje digitalne operativne otpornosti, ili ne postoji, kao što je praćenje IKT rizika povezanog s trećim stranama. Neusklađenosti koje proizlaze iz predviđenih kretanja na nacionalnoj razini mogle bi stvoriti dodatne prepreke funkcioniranju unutarnjeg tržišta na štetu sudionika na tržištu i financijske stabilnosti. |
| --- | --- |

(9)

Zakonodavne neusklađenosti i neujednačeni nacionalni regulatorni ili nadzorni pristupi u pogledu IKT rizika prepreka su funkcioniranju unutarnjeg tržišta za financijske usluge i onemogućavaju neometano ostvarivanje slobode poslovnog nastana i pružanje usluga za financijske subjekte koji posluju prekogranično. Tržišno natjecanje među financijskim subjektima iste vrste koji posluju u različitim državama članicama moglo bi također biti narušeno. To je posebno slučaj u područjima u kojima je usklađivanje na razini Unije vrlo ograničeno, kao što je testiranje digitalne operativne otpornosti, ili ne postoji, kao što je praćenje IKT rizika povezanog s trećim stranama. Neusklađenosti koje proizlaze iz predviđenih kretanja na nacionalnoj razini mogle bi stvoriti dodatne prepreke funkcioniranju unutarnjeg tržišta na štetu sudionika na tržištu i financijske stabilnosti.

| (10) | Budući da se odredbe povezane s IKT rizicima do današnjeg vremena samo djelomično razmatralo na razini Unije, postoje praznine ili preklapanja u važnim područjima, kao što su izvješćivanje o IKT incidentima i testiranje digitalne operativne otpornosti, te nedosljednosti koje proizlaze iz novih međusobno različitih nacionalnih pravila ili troškovno neučinkovite primjene preklapajućih pravila. To osobito šteti korisnicima koji se intenzivno koriste IKT-om, poput financijskog sektora, jer tehnološki rizici ne poznaju granice, a financijski sektor nudi širok spektar prekograničnih usluga unutar i izvan Unije. Pojedinačni financijski subjekti koji posluju prekogranično ili imaju nekoliko odobrenja za rad (npr. financijski subjekt može imati odobrenje za rad kao banka, kao investicijsko društvo i kao institucija za platni promet, pri čemu svako odobrenje izdaje drugo nadležno tijelo u jednoj ili više država članica) izloženi su operativnim rizicima pri samostalnom i dosljednom troškovno učinkovitom nošenju s IKT rizikom i ublažavanju negativnih učinaka IKT incidenata. |
| --- | --- |

(10)

Budući da se odredbe povezane s IKT rizicima do današnjeg vremena samo djelomično razmatralo na razini Unije, postoje praznine ili preklapanja u važnim područjima, kao što su izvješćivanje o IKT incidentima i testiranje digitalne operativne otpornosti, te nedosljednosti koje proizlaze iz novih međusobno različitih nacionalnih pravila ili troškovno neučinkovite primjene preklapajućih pravila. To osobito šteti korisnicima koji se intenzivno koriste IKT-om, poput financijskog sektora, jer tehnološki rizici ne poznaju granice, a financijski sektor nudi širok spektar prekograničnih usluga unutar i izvan Unije. Pojedinačni financijski subjekti koji posluju prekogranično ili imaju nekoliko odobrenja za rad (npr. financijski subjekt može imati odobrenje za rad kao banka, kao investicijsko društvo i kao institucija za platni promet, pri čemu svako odobrenje izdaje drugo nadležno tijelo u jednoj ili više država članica) izloženi su operativnim rizicima pri samostalnom i dosljednom troškovno učinkovitom nošenju s IKT rizikom i ublažavanju negativnih učinaka IKT incidenata.

| (11) | Budući da jedinstvena pravila nisu popraćena sveobuhvatnim okvirom za IKT ili operativne rizike, potrebno je dodatno uskladiti ključne zahtjeve u pogledu digitalne operativne otpornosti za sve financijske subjekte. Razvoj sposobnosti u području IKT-a i ukupna otpornost financijskih subjekata, na temelju tih ključnih zahtjeva, s ciljem postizanja otpornosti na operativne ispade, pomogli bi očuvanju stabilnosti i cjelovitosti financijskih tržišta u Uniji, te bi tako doprinijeli osiguranju visoke razine zaštite ulagatelja i potrošača u Uniji. Budući da je cilj ove Uredbe doprinos neometanom funkcioniranju unutarnjeg tržišta, ona bi se trebala temeljiti na odredbama članka 114. Ugovora o funkcioniranju Europske unije (UFEU) kako se tumače u skladu s dosljednom sudskom praksom Suda Europske unije (Sud). |
| --- | --- |

(11)

Budući da jedinstvena pravila nisu popraćena sveobuhvatnim okvirom za IKT ili operativne rizike, potrebno je dodatno uskladiti ključne zahtjeve u pogledu digitalne operativne otpornosti za sve financijske subjekte. Razvoj sposobnosti u području IKT-a i ukupna otpornost financijskih subjekata, na temelju tih ključnih zahtjeva, s ciljem postizanja otpornosti na operativne ispade, pomogli bi očuvanju stabilnosti i cjelovitosti financijskih tržišta u Uniji, te bi tako doprinijeli osiguranju visoke razine zaštite ulagatelja i potrošača u Uniji. Budući da je cilj ove Uredbe doprinos neometanom funkcioniranju unutarnjeg tržišta, ona bi se trebala temeljiti na odredbama članka 114. Ugovora o funkcioniranju Europske unije (UFEU) kako se tumače u skladu s dosljednom sudskom praksom Suda Europske unije (Sud).

| (12) | Cilj je ove Uredbe konsolidirati i unaprijediti zahtjeve u pogledu IKT rizika kao dio zahtjeva u pogledu operativnog rizika koji su se dosad zasebno razmatrali u različitim pravnim aktima Unije. Iako su tim aktima obuhvaćene glavne kategorije financijskih rizika (npr. kreditni rizik, tržišni rizik, kreditni rizik druge ugovorne strane i rizik likvidnosti, rizik ponašanja na tržištu), njima u vrijeme njihova donošenja nisu sveobuhvatno obrađene sve komponente operativne otpornosti. Pravila za operativne rizike koja su dodatno razrađena u tim pravnim aktima Unije često su se temeljila na tradicionalnom kvantitativnom pristupu nošenja s rizikom (to jest određivanje kapitalnog zahtjeva za pokrivanje IKT rizika) te nisu bila ciljana kvalitativna pravila za sposobnosti za zaštitu, otkrivanje, ograničenje, oporavak i popravak u slučaju IKT incidenata ili za sposobnosti za izvješćivanje i digitalno testiranje. Ti akti prvenstveno su se odnosili na temeljna pravila o bonitetnom nadzoru, cjelovitosti tržišta ili ponašanju na njemu te na ažuriranje tih pravila. Konsolidiranjem i ažuriranjem različitih pravila o IKT rizicima, sve odredbe koje se odnose na digitalne rizike u financijskom sektoru trebale bi se prvi put dosljedno objediniti u jedinstveni zakonodavni akt. Stoga se ovom Uredbom popunjavaju praznine ili uklanjaju nedosljednosti u nekim prethodnim pravnim aktima, među ostalim u vezi s terminologijom koja se u njima upotrebljava, te se izričito upućuje na IKT rizik putem ciljanih pravila o sposobnostima za upravljanje IKT rizicima, izvješćivanju o incidentima, testiranju operativne otpornosti i praćenju IKT rizika povezanog s trećim stranama. Ovom bi se Uredbom stoga trebala podići i svijest o IKT rizicima i uvažiti činjenica da IKT incidenti i pomanjkanje operativne otpornosti mogu ugroziti stabilnost financijskih subjekata. Konsolidiranjem i ažuriranjem različitih pravila o IKT rizicima, sve odredbe koje se odnose na digitalne rizike u financijskom sektoru trebale bi se prvi put dosljedno objediniti u jedinstveni zakonodavni akt. Stoga se ovom Uredbom popunjavaju praznine ili uklanjaju nedosljednosti u nekim prethodnim pravnim aktima, među ostalim u vezi s terminologijom koja se u njima upotrebljava, te se izričito upućuje na IKT rizik putem ciljanih pravila o sposobnostima za upravljanje IKT rizicima, izvješćivanju o incidentima, testiranju operativne otpornosti i praćenju IKT rizika povezanog s trećim stranama. Ovom bi se Uredbom stoga trebala podići i svijest o IKT rizicima i uvažiti činjenica da IKT incidenti i pomanjkanje operativne otpornosti mogu ugroziti stabilnost financijskih subjekata. |
| --- | --- |

(12)

Cilj je ove Uredbe konsolidirati i unaprijediti zahtjeve u pogledu IKT rizika kao dio zahtjeva u pogledu operativnog rizika koji su se dosad zasebno razmatrali u različitim pravnim aktima Unije. Iako su tim aktima obuhvaćene glavne kategorije financijskih rizika (npr. kreditni rizik, tržišni rizik, kreditni rizik druge ugovorne strane i rizik likvidnosti, rizik ponašanja na tržištu), njima u vrijeme njihova donošenja nisu sveobuhvatno obrađene sve komponente operativne otpornosti. Pravila za operativne rizike koja su dodatno razrađena u tim pravnim aktima Unije često su se temeljila na tradicionalnom kvantitativnom pristupu nošenja s rizikom (to jest određivanje kapitalnog zahtjeva za pokrivanje IKT rizika) te nisu bila ciljana kvalitativna pravila za sposobnosti za zaštitu, otkrivanje, ograničenje, oporavak i popravak u slučaju IKT incidenata ili za sposobnosti za izvješćivanje i digitalno testiranje. Ti akti prvenstveno su se odnosili na temeljna pravila o bonitetnom nadzoru, cjelovitosti tržišta ili ponašanju na njemu te na ažuriranje tih pravila. Konsolidiranjem i ažuriranjem različitih pravila o IKT rizicima, sve odredbe koje se odnose na digitalne rizike u financijskom sektoru trebale bi se prvi put dosljedno objediniti u jedinstveni zakonodavni akt. Stoga se ovom Uredbom popunjavaju praznine ili uklanjaju nedosljednosti u nekim prethodnim pravnim aktima, među ostalim u vezi s terminologijom koja se u njima upotrebljava, te se izričito upućuje na IKT rizik putem ciljanih pravila o sposobnostima za upravljanje IKT rizicima, izvješćivanju o incidentima, testiranju operativne otpornosti i praćenju IKT rizika povezanog s trećim stranama. Ovom bi se Uredbom stoga trebala podići i svijest o IKT rizicima i uvažiti činjenica da IKT incidenti i pomanjkanje operativne otpornosti mogu ugroziti stabilnost financijskih subjekata. Konsolidiranjem i ažuriranjem različitih pravila o IKT rizicima, sve odredbe koje se odnose na digitalne rizike u financijskom sektoru trebale bi se prvi put dosljedno objediniti u jedinstveni zakonodavni akt. Stoga se ovom Uredbom popunjavaju praznine ili uklanjaju nedosljednosti u nekim prethodnim pravnim aktima, među ostalim u vezi s terminologijom koja se u njima upotrebljava, te se izričito upućuje na IKT rizik putem ciljanih pravila o sposobnostima za upravljanje IKT rizicima, izvješćivanju o incidentima, testiranju operativne otpornosti i praćenju IKT rizika povezanog s trećim stranama. Ovom bi se Uredbom stoga trebala podići i svijest o IKT rizicima i uvažiti činjenica da IKT incidenti i pomanjkanje operativne otpornosti mogu ugroziti stabilnost financijskih subjekata.

| (13) | Financijski subjekti trebali bi u nošenju s IKT rizikom slijediti isti pristup i ista pravila koja se temelje na načelima, pri čemu bi uzimali u obzir njihovu veličinu i ukupni profil rizičnosti te prirodu, opseg i složenost svojih usluga, aktivnosti i poslovanja. Dosljednost doprinosi povećanju povjerenja u financijski sustav te očuvanju njegove stabilnosti, osobito u razdoblju izrazitog oslanjanja na sustave, platforme i infrastrukture IKT-a, što podrazumijeva povećani digitalni rizik. Pridržavanjem osnovne kiberhigijene trebalo bi se ujedno izbjeći nastajanje velikih troškova za gospodarstvo svođenjem učinka i troškova poremećaja u radu IKT-a na najmanju moguću mjeru. |
| --- | --- |

(13)

Financijski subjekti trebali bi u nošenju s IKT rizikom slijediti isti pristup i ista pravila koja se temelje na načelima, pri čemu bi uzimali u obzir njihovu veličinu i ukupni profil rizičnosti te prirodu, opseg i složenost svojih usluga, aktivnosti i poslovanja. Dosljednost doprinosi povećanju povjerenja u financijski sustav te očuvanju njegove stabilnosti, osobito u razdoblju izrazitog oslanjanja na sustave, platforme i infrastrukture IKT-a, što podrazumijeva povećani digitalni rizik. Pridržavanjem osnovne kiberhigijene trebalo bi se ujedno izbjeći nastajanje velikih troškova za gospodarstvo svođenjem učinka i troškova poremećaja u radu IKT-a na najmanju moguću mjeru.

| (14) | Uredbom se doprinosi smanjenju regulatorne složenosti, promiče konvergencija nadzora, povećava pravna sigurnost i istodobno doprinosi ograničavanju troškova osiguravanja usklađenosti, osobito financijskih subjekata koji posluju prekogranično, te smanjenju narušavanja tržišnog natjecanja. Odabir uredbe za uspostavu zajedničkog okvira za digitalnu operativnu otpornost financijskih subjekata stoga je najprimjereniji način za jamčenje homogene i dosljedne primjene svih komponenti upravljanja IKT rizicima u financijskom sektoru Unije. |
| --- | --- |

(14)

Uredbom se doprinosi smanjenju regulatorne složenosti, promiče konvergencija nadzora, povećava pravna sigurnost i istodobno doprinosi ograničavanju troškova osiguravanja usklađenosti, osobito financijskih subjekata koji posluju prekogranično, te smanjenju narušavanja tržišnog natjecanja. Odabir uredbe za uspostavu zajedničkog okvira za digitalnu operativnu otpornost financijskih subjekata stoga je najprimjereniji način za jamčenje homogene i dosljedne primjene svih komponenti upravljanja IKT rizicima u financijskom sektoru Unije.

| (15) | Direktiva (EU) 2016/1148 Europskog parlamenta i Vijeća (7) bila je prvi horizontalni okvir za kibersigurnost donesen na razini Unije, koji se primjenjuje i na tri vrste financijskih subjekata, to jest kreditne institucije, mjesta trgovanja i središnje druge ugovorne strane. Međutim, s obzirom na to da se Direktivom (EU) 2016/1148 utvrđuje mehanizam identifikacije operatora ključnih usluga na nacionalnoj razini, države članice identificirale su samo određene kreditne institucije, mjesta trgovanja i središnje druge ugovorne strane koje su u praksi obuhvaćene njezinim područjem primjene i stoga su dužne ispunjavati zahtjeve u pogledu sigurnosti IKT-a i obavješćivanja o incidentima koji su u njoj utvrđeni. Direktivom (EU) 2022/2555 Europskog parlamenta i Vijeća (8) utvrđuje se jedinstveni kriterij za određivanje subjekata koji su obuhvaćeni njezinim područjem primjene (pravilo o maksimalnoj veličini), dok su tri vrste financijskih subjekata i dalje zadržane u području njezine primjene. |
| --- | --- |

(15)

Direktiva (EU) 2016/1148 Europskog parlamenta i Vijeća (7) bila je prvi horizontalni okvir za kibersigurnost donesen na razini Unije, koji se primjenjuje i na tri vrste financijskih subjekata, to jest kreditne institucije, mjesta trgovanja i središnje druge ugovorne strane. Međutim, s obzirom na to da se Direktivom (EU) 2016/1148 utvrđuje mehanizam identifikacije operatora ključnih usluga na nacionalnoj razini, države članice identificirale su samo određene kreditne institucije, mjesta trgovanja i središnje druge ugovorne strane koje su u praksi obuhvaćene njezinim područjem primjene i stoga su dužne ispunjavati zahtjeve u pogledu sigurnosti IKT-a i obavješćivanja o incidentima koji su u njoj utvrđeni. Direktivom (EU) 2022/2555 Europskog parlamenta i Vijeća (8) utvrđuje se jedinstveni kriterij za određivanje subjekata koji su obuhvaćeni njezinim područjem primjene (pravilo o maksimalnoj veličini), dok su tri vrste financijskih subjekata i dalje zadržane u području njezine primjene.

| (16) | Međutim, budući da se ovom Uredbom podiže razina usklađenosti različitih komponenti digitalne otpornosti tako što se uvode zahtjevi u pogledu upravljanja IKT rizicima i izvješćivanja o IKT incidentima koji su stroži od onih utvrđenih u postojećem pravu Unije o financijskim uslugama, tom višom razinom poboljšava se i usklađenost u usporedbi sa zahtjevima utvrđenima u Direktivi (EU) 2022/2555 Stoga je ova Uredba lex specialis u odnosu na Direktivu (EU) 2022/2555. Istodobno je iznimno važno očuvati čvrstu vezu između financijskog sektora i horizontalnog okvira Unije za kibersigurnost, kako je trenutačno utvrđen u Direktivi (EU) 2022/2555, kako bi se osigurala dosljednost sa strategijama kibersigurnosti koje su države članice donijele i omogućilo informiranje financijskih nadzornih tijela o kiberincidentima koji utječu na druge sektore obuhvaćene tom direktivom. |
| --- | --- |

(16)

Međutim, budući da se ovom Uredbom podiže razina usklađenosti različitih komponenti digitalne otpornosti tako što se uvode zahtjevi u pogledu upravljanja IKT rizicima i izvješćivanja o IKT incidentima koji su stroži od onih utvrđenih u postojećem pravu Unije o financijskim uslugama, tom višom razinom poboljšava se i usklađenost u usporedbi sa zahtjevima utvrđenima u Direktivi (EU) 2022/2555 Stoga je ova Uredba lex specialis u odnosu na Direktivu (EU) 2022/2555. Istodobno je iznimno važno očuvati čvrstu vezu između financijskog sektora i horizontalnog okvira Unije za kibersigurnost, kako je trenutačno utvrđen u Direktivi (EU) 2022/2555, kako bi se osigurala dosljednost sa strategijama kibersigurnosti koje su države članice donijele i omogućilo informiranje financijskih nadzornih tijela o kiberincidentima koji utječu na druge sektore obuhvaćene tom direktivom.

| (17) | U skladu s člankom 4. stavkom 2. Ugovora o Europskoj uniji i ne dovodeći u pitanje sudsko preispitivanje koje provodi Sud, ova Uredba ne bi trebala utjecati na odgovornost država članica u pogledu temeljnih državnih funkcija koje se odnose na javnu sigurnost, obranu i zaštitu nacionalne sigurnosti, na primjer u pogledu pružanja informacija koje bi bilo protivno zaštiti nacionalne sigurnosti. |
| --- | --- |

(17)

U skladu s člankom 4. stavkom 2. Ugovora o Europskoj uniji i ne dovodeći u pitanje sudsko preispitivanje koje provodi Sud, ova Uredba ne bi trebala utjecati na odgovornost država članica u pogledu temeljnih državnih funkcija koje se odnose na javnu sigurnost, obranu i zaštitu nacionalne sigurnosti, na primjer u pogledu pružanja informacija koje bi bilo protivno zaštiti nacionalne sigurnosti.

| (18) | Kako bi se omogućilo međusektorsko učenje i djelotvorno iskoristila iskustva iz drugih sektora pri suočavanju s kiberprijetnjama, financijski subjekti iz Direktive (EU) 2022/2555 trebali bi ostati dio „ekosustava” te direktive (na primjer skupina za suradnju i timovi za odgovor na računalne sigurnosne incidente (CSIRT-ovi)). Europska nadzorna tijela i nacionalna nadležna tijela trebala bi moći sudjelovati u raspravama o strateškim politikama i tehničkom radu Skupine za suradnju iz te direktive, razmjenjivati informacije i dodatno surađivati s jedinstvenim kontaktnim točkama imenovanima ili uspostavljenima u skladu s tom direktivom. Nadležna tijela iz ove Uredbe trebala bi se također savjetovati i surađivati s CSIRT-ovima. Nadležna tijela trebala bi također moći zatražiti tehničke savjete od nadležnih tijela imenovanih ili uspostavljenih u skladu s Direktivom (EU) 2022/2555 i uspostaviti aranžmane za suradnju kojima se nastoje osigurati djelotvorni i brzi koordinacijski mehanizmi. |
| --- | --- |

(18)

Kako bi se omogućilo međusektorsko učenje i djelotvorno iskoristila iskustva iz drugih sektora pri suočavanju s kiberprijetnjama, financijski subjekti iz Direktive (EU) 2022/2555 trebali bi ostati dio „ekosustava” te direktive (na primjer skupina za suradnju i timovi za odgovor na računalne sigurnosne incidente (CSIRT-ovi)). Europska nadzorna tijela i nacionalna nadležna tijela trebala bi moći sudjelovati u raspravama o strateškim politikama i tehničkom radu Skupine za suradnju iz te direktive, razmjenjivati informacije i dodatno surađivati s jedinstvenim kontaktnim točkama imenovanima ili uspostavljenima u skladu s tom direktivom. Nadležna tijela iz ove Uredbe trebala bi se također savjetovati i surađivati s CSIRT-ovima. Nadležna tijela trebala bi također moći zatražiti tehničke savjete od nadležnih tijela imenovanih ili uspostavljenih u skladu s Direktivom (EU) 2022/2555 i uspostaviti aranžmane za suradnju kojima se nastoje osigurati djelotvorni i brzi koordinacijski mehanizmi.

| (19) | S obzirom na snažnu povezanost digitalne i fizičke otpornosti financijskih subjekata, u ovoj Uredbi i u Direktivi (EU) 2022/2557 Europskog parlamenta i Vijeća (9) potreban je dosljedan pristup u pogledu otpornosti kritičnih subjekata. S obzirom na to da se obvezama upravljanja IKT rizicima i obvezama izvješćivanja o IKT rizicima koje su obuhvaćene ovom Uredbom na sveobuhvatan način pristupa fizičkoj otpornosti financijskih subjekata, obveze utvrđene u poglavljima III. i IV. Direktive (EU) 2022/2557 ne bi se trebale primjenjivati na financijske subjekte obuhvaćene područjem primjene te direktive. |
| --- | --- |

(19)

S obzirom na snažnu povezanost digitalne i fizičke otpornosti financijskih subjekata, u ovoj Uredbi i u Direktivi (EU) 2022/2557 Europskog parlamenta i Vijeća (9) potreban je dosljedan pristup u pogledu otpornosti kritičnih subjekata. S obzirom na to da se obvezama upravljanja IKT rizicima i obvezama izvješćivanja o IKT rizicima koje su obuhvaćene ovom Uredbom na sveobuhvatan način pristupa fizičkoj otpornosti financijskih subjekata, obveze utvrđene u poglavljima III. i IV. Direktive (EU) 2022/2557 ne bi se trebale primjenjivati na financijske subjekte obuhvaćene područjem primjene te direktive.

| (20) | Pružatelji usluga računalstva u oblaku jedna su od kategorija digitalne infrastrukture obuhvaćene Direktivom (EU) 2022/2555. Nadzorni okvir Unije („nadzorni okvir”) uspostavljen ovom Uredbom primjenjuje se na sve ključne treće strane pružatelje IKT usluga, uključujući pružatelje usluga računalstva u oblaku koji financijskim subjektima pružaju IKT usluge, te bi ga trebalo smatrati dopunom nadzoru koji se provodi na temelju Direktive (EU) 2022/2555. Osim toga, nadzornim okvirom uspostavljenim ovom Uredbom trebalo bi obuhvatiti pružatelje usluga računalstva u oblaku jer ne postoji horizontalni okvir Unije o uspostavi tijela za digitalni nadzor. |
| --- | --- |

(20)

Pružatelji usluga računalstva u oblaku jedna su od kategorija digitalne infrastrukture obuhvaćene Direktivom (EU) 2022/2555. Nadzorni okvir Unije („nadzorni okvir”) uspostavljen ovom Uredbom primjenjuje se na sve ključne treće strane pružatelje IKT usluga, uključujući pružatelje usluga računalstva u oblaku koji financijskim subjektima pružaju IKT usluge, te bi ga trebalo smatrati dopunom nadzoru koji se provodi na temelju Direktive (EU) 2022/2555. Osim toga, nadzornim okvirom uspostavljenim ovom Uredbom trebalo bi obuhvatiti pružatelje usluga računalstva u oblaku jer ne postoji horizontalni okvir Unije o uspostavi tijela za digitalni nadzor.

| (21) | Kako bi se očuvala potpuna kontrola nad IKT rizikom, financijski subjekti moraju imati sveobuhvatne kapacitete kojima se omogućuje snažno i djelotvorno upravljanje IKT rizicima, kao i posebne mehanizme i politike za postupanje u vezi sa svim IKT incidentima i izvješćivanje o značajnim IKT incidentima. Isto tako, financijski subjekti trebali bi uspostaviti politike za testiranje sustava, kontrola i procesa u području IKT-a, kao i za upravljanje IKT rizikom povezanim s trećim stranama. Trebalo bi povećati polaznu digitalnu operativnu otpornost financijskih subjekata te istodobno također omogućiti razmjernu primjenu zahtjevâ za određene financijske subjekte, posebno mikropoduzeća, kao i za financijske subjekte koji podliježu pojednostavnjenom okviru za upravljanje IKT rizicima. Kako bi se olakšao učinkovit nadzor institucija za strukovno mirovinsko osiguranje koji je razmjeran i kojim se pristupa rješavanju potrebe za smanjenjem administrativnog opterećenja nadležnih tijela, relevantnim nacionalnim nadzornim aranžmanima u pogledu takvih financijskih subjekata trebalo bi uzeti u obzir njihovu veličinu i ukupni profil rizičnosti te prirodu, opseg i složenost njihovih usluga, aktivnosti i poslovanja, čak i ako su premašeni relevantni pragovi utvrđeni u članku 5. Direktive (EU) 2016/2341 Europskog parlamenta i Vijeća (10). Posebno, aktivnosti nadzora trebale bi se u prvom redu usredotočiti na potrebu za nošenjem s ozbiljnim rizicima povezanima s upravljanjem IKT rizicima određenog subjekta.
  Nadležna tijela također bi trebala zadržati oprezan, ali razmjeran pristup u vezi s nadzorom institucija za strukovno mirovinsko osiguranje koje, u skladu s člankom 31. Direktive 2016/2341, eksternaliziraju znatan dio svojih osnovnih aktivnosti, kao što su upravljanje imovinom, aktuarski izračuni, računovodstvo i upravljanje podacima. |
| --- | --- |

(21)

Kako bi se očuvala potpuna kontrola nad IKT rizikom, financijski subjekti moraju imati sveobuhvatne kapacitete kojima se omogućuje snažno i djelotvorno upravljanje IKT rizicima, kao i posebne mehanizme i politike za postupanje u vezi sa svim IKT incidentima i izvješćivanje o značajnim IKT incidentima. Isto tako, financijski subjekti trebali bi uspostaviti politike za testiranje sustava, kontrola i procesa u području IKT-a, kao i za upravljanje IKT rizikom povezanim s trećim stranama. Trebalo bi povećati polaznu digitalnu operativnu otpornost financijskih subjekata te istodobno također omogućiti razmjernu primjenu zahtjevâ za određene financijske subjekte, posebno mikropoduzeća, kao i za financijske subjekte koji podliježu pojednostavnjenom okviru za upravljanje IKT rizicima. Kako bi se olakšao učinkovit nadzor institucija za strukovno mirovinsko osiguranje koji je razmjeran i kojim se pristupa rješavanju potrebe za smanjenjem administrativnog opterećenja nadležnih tijela, relevantnim nacionalnim nadzornim aranžmanima u pogledu takvih financijskih subjekata trebalo bi uzeti u obzir njihovu veličinu i ukupni profil rizičnosti te prirodu, opseg i složenost njihovih usluga, aktivnosti i poslovanja, čak i ako su premašeni relevantni pragovi utvrđeni u članku 5. Direktive (EU) 2016/2341 Europskog parlamenta i Vijeća (10). Posebno, aktivnosti nadzora trebale bi se u prvom redu usredotočiti na potrebu za nošenjem s ozbiljnim rizicima povezanima s upravljanjem IKT rizicima određenog subjekta.

Nadležna tijela također bi trebala zadržati oprezan, ali razmjeran pristup u vezi s nadzorom institucija za strukovno mirovinsko osiguranje koje, u skladu s člankom 31. Direktive 2016/2341, eksternaliziraju znatan dio svojih osnovnih aktivnosti, kao što su upravljanje imovinom, aktuarski izračuni, računovodstvo i upravljanje podacima.

| (22) | Pragovi i taksonomije za izvješćivanje o IKT incidentima znatno se razlikuju na nacionalnoj razini. Iako bi se zajednički dogovor mogao postići na temelju relevantnog rada Agencije Europske unije za kibersigurnost (ENISA) osnovane Uredbom (EU) 2019/881 Europskog parlamenta i Vijeća (11) i Skupine za suradnju iz Direktive (EU) 2022/2555, i dalje postoje ili se mogu pojaviti različiti pristupi utvrđivanju pragova i primjeni taksonomija za preostale financijske subjekte. Zbog tih razlika financijski subjekti moraju ispuniti višestruke zahtjeve, osobito kad posluju u nekoliko država članica i kad su dio financijske grupe. Štoviše, takve razlike mogu ometati izradu dodatnih ujednačenih ili centraliziranih mehanizama Unije kojima bi se ubrzao proces izvješćivanja te podržala brza i neometana razmjena informacija među nadležnim tijelima, što je ključno za nošenje s IKT rizikom u slučaju opsežnih napada s mogućim sistemskim posljedicama. |
| --- | --- |

(22)

Pragovi i taksonomije za izvješćivanje o IKT incidentima znatno se razlikuju na nacionalnoj razini. Iako bi se zajednički dogovor mogao postići na temelju relevantnog rada Agencije Europske unije za kibersigurnost (ENISA) osnovane Uredbom (EU) 2019/881 Europskog parlamenta i Vijeća (11) i Skupine za suradnju iz Direktive (EU) 2022/2555, i dalje postoje ili se mogu pojaviti različiti pristupi utvrđivanju pragova i primjeni taksonomija za preostale financijske subjekte. Zbog tih razlika financijski subjekti moraju ispuniti višestruke zahtjeve, osobito kad posluju u nekoliko država članica i kad su dio financijske grupe. Štoviše, takve razlike mogu ometati izradu dodatnih ujednačenih ili centraliziranih mehanizama Unije kojima bi se ubrzao proces izvješćivanja te podržala brza i neometana razmjena informacija među nadležnim tijelima, što je ključno za nošenje s IKT rizikom u slučaju opsežnih napada s mogućim sistemskim posljedicama.

| (23) | Kako bi se smanjilo administrativno opterećenje i moguće udvostručivanje obveza izvješćivanja za određene financijske subjekte, zahtjev u vezi s izvješćivanjem o incidentima na temelju Direktive (EU) 2015/2366 Europskog parlamenta i Vijeća (12) trebao bi se prestati primjenjivati na pružatelje platnih usluga koji su obuhvaćeni područjem primjene ove Uredbe. Slijedom toga, kreditne institucije, institucije za elektronički novac, institucije za platni promet i pružatelji usluga pružanja informacija o računu, kako je navedeno u članku 33. stavku 1. te direktive, trebali bi od datuma primjene ove Uredbe izvješćivati, na temelju ove Uredbe, o svim operativnim ili sigurnosnim incidentima povezanima s plaćanjem o kojima se prethodno izvješćivalo na temelju te direktive, neovisno o tome jesu li takvi incidenti povezani s IKT-om. |
| --- | --- |

(23)

Kako bi se smanjilo administrativno opterećenje i moguće udvostručivanje obveza izvješćivanja za određene financijske subjekte, zahtjev u vezi s izvješćivanjem o incidentima na temelju Direktive (EU) 2015/2366 Europskog parlamenta i Vijeća (12) trebao bi se prestati primjenjivati na pružatelje platnih usluga koji su obuhvaćeni područjem primjene ove Uredbe. Slijedom toga, kreditne institucije, institucije za elektronički novac, institucije za platni promet i pružatelji usluga pružanja informacija o računu, kako je navedeno u članku 33. stavku 1. te direktive, trebali bi od datuma primjene ove Uredbe izvješćivati, na temelju ove Uredbe, o svim operativnim ili sigurnosnim incidentima povezanima s plaćanjem o kojima se prethodno izvješćivalo na temelju te direktive, neovisno o tome jesu li takvi incidenti povezani s IKT-om.

| (24) | Kako bi se nadležnim tijelima omogućilo da ispune nadzorne zadaće dobivanjem potpunog uvida u prirodu, učestalost, značaj i učinak IKT incidenata i da bi se unaprijedila razmjena informacija među relevantnim tijelima javne vlasti, uključujući tijela za izvršavanje zakonodavstva i sanacijska tijela, ovom Uredbom trebalo bi utvrditi pouzdan sustav izvješćivanja o IKT incidentima, pri čemu se relevantnim zahtjevima popunjavaju postojeće praznine u pravu o financijskim uslugama i uklanjaju postojeća preklapanja i udvostručavanja radi smanjenja troškova. Neophodno je uskladiti sustav izvješćivanja o IKT incidentima tako da se sve financijske subjekte obveže da svojim nadležnim tijelima podnose izvješća putem jedinstvenog racionaliziranog okvira kako je utvrđen u ovoj Uredbi. Osim toga, europska nadzorna tijela trebalo bi ovlastiti za daljnju razradu relevantnih elemenata okvira za izvješćivanje o IKT incidentima, kao što su taksonomija, rokovi, skupovi podataka, obrasci i primjenjivi pragovi. Kako bi se osigurala potpuna usklađenost s Direktivom (EU) 2022/2555, financijskim subjektima trebalo bi omogućiti da na dobrovoljnoj osnovi obavijeste relevantno nadležno tijelo o ozbiljnim kiberprijetnjama kad smatraju da je kiberprijetnja relevantna za financijski sustav, korisnike usluga ili klijente. |
| --- | --- |

(24)

Kako bi se nadležnim tijelima omogućilo da ispune nadzorne zadaće dobivanjem potpunog uvida u prirodu, učestalost, značaj i učinak IKT incidenata i da bi se unaprijedila razmjena informacija među relevantnim tijelima javne vlasti, uključujući tijela za izvršavanje zakonodavstva i sanacijska tijela, ovom Uredbom trebalo bi utvrditi pouzdan sustav izvješćivanja o IKT incidentima, pri čemu se relevantnim zahtjevima popunjavaju postojeće praznine u pravu o financijskim uslugama i uklanjaju postojeća preklapanja i udvostručavanja radi smanjenja troškova. Neophodno je uskladiti sustav izvješćivanja o IKT incidentima tako da se sve financijske subjekte obveže da svojim nadležnim tijelima podnose izvješća putem jedinstvenog racionaliziranog okvira kako je utvrđen u ovoj Uredbi. Osim toga, europska nadzorna tijela trebalo bi ovlastiti za daljnju razradu relevantnih elemenata okvira za izvješćivanje o IKT incidentima, kao što su taksonomija, rokovi, skupovi podataka, obrasci i primjenjivi pragovi. Kako bi se osigurala potpuna usklađenost s Direktivom (EU) 2022/2555, financijskim subjektima trebalo bi omogućiti da na dobrovoljnoj osnovi obavijeste relevantno nadležno tijelo o ozbiljnim kiberprijetnjama kad smatraju da je kiberprijetnja relevantna za financijski sustav, korisnike usluga ili klijente.

| (25) | U određenim financijskim podsektorima razvijeni su zahtjevi za testiranje digitalne operativne otpornosti kojima se utvrđuju okviri koji nisu uvijek potpuno usklađeni. To dovodi do mogućeg udvostručavanja troškova za prekogranične financijske subjekte, a uzajamno priznavanje rezultata testiranja digitalne operativne otpornosti čini složenim, što pak može dovesti do fragmentiranja unutarnjeg tržišta. |
| --- | --- |

(25)

U određenim financijskim podsektorima razvijeni su zahtjevi za testiranje digitalne operativne otpornosti kojima se utvrđuju okviri koji nisu uvijek potpuno usklađeni. To dovodi do mogućeg udvostručavanja troškova za prekogranične financijske subjekte, a uzajamno priznavanje rezultata testiranja digitalne operativne otpornosti čini složenim, što pak može dovesti do fragmentiranja unutarnjeg tržišta.

| (26) | Osim toga, ako testiranje IKT-a nije propisano, ranjivosti ostaju neotkrivene i imaju za posljedicu izlaganje financijskog subjekta IKT riziku te, u konačnici, dovode do većeg rizika za stabilnost i cjelovitost financijskog sektora. Bez intervencije Unije testiranje digitalne operativne otpornosti i dalje bi bilo neujednačeno i ne bi bilo sustava uzajamnog priznavanja rezultata testiranja IKT-a u različitim jurisdikcijama. Osim toga, s obzirom na to da nije vjerojatno da bi drugi financijski podsektori u relevantnom opsegu usvojili programe testiranja, propustili bi potencijalne koristi okvira za testiranje, kao što su otkrivanje ranjivosti i rizika u području IKT-a i testiranje obrambenih sposobnosti i kontinuiteta poslovanja, kojim se doprinosi povećanju povjerenja potrošača, dobavljača i poslovnih partnera. Kako bi se ta preklapanja, razlike i odstupanja uklonili, potrebno je utvrditi pravila za koordinirani režim testiranja i time olakšati uzajamno priznavanje naprednog testiranja za financijske subjekte koji ispunjavaju kriterije utvrđene u ovoj Uredbi. |
| --- | --- |

(26)

Osim toga, ako testiranje IKT-a nije propisano, ranjivosti ostaju neotkrivene i imaju za posljedicu izlaganje financijskog subjekta IKT riziku te, u konačnici, dovode do većeg rizika za stabilnost i cjelovitost financijskog sektora. Bez intervencije Unije testiranje digitalne operativne otpornosti i dalje bi bilo neujednačeno i ne bi bilo sustava uzajamnog priznavanja rezultata testiranja IKT-a u različitim jurisdikcijama. Osim toga, s obzirom na to da nije vjerojatno da bi drugi financijski podsektori u relevantnom opsegu usvojili programe testiranja, propustili bi potencijalne koristi okvira za testiranje, kao što su otkrivanje ranjivosti i rizika u području IKT-a i testiranje obrambenih sposobnosti i kontinuiteta poslovanja, kojim se doprinosi povećanju povjerenja potrošača, dobavljača i poslovnih partnera. Kako bi se ta preklapanja, razlike i odstupanja uklonili, potrebno je utvrditi pravila za koordinirani režim testiranja i time olakšati uzajamno priznavanje naprednog testiranja za financijske subjekte koji ispunjavaju kriterije utvrđene u ovoj Uredbi.

| (27) | Oslanjanje financijskih subjekata na upotrebu IKT usluga djelomično je potaknuto njihovom potrebom da se prilagode novom konkurentnom digitalnom globalnom gospodarstvu, da povećaju učinkovitost svojeg poslovanja i odgovore na potražnju potrošača. Priroda i opseg tog oslanjanja neprestano su se mijenjali proteklih godina, što je dovelo do smanjenja troškova financijskog posredovanja te omogućilo širenje i skalabilnost poslovanja pri uvođenju financijskih aktivnosti, ali i ponudu širokog spektra alata IKT-a za upravljanje složenim unutarnjim procesima. |
| --- | --- |

(27)

Oslanjanje financijskih subjekata na upotrebu IKT usluga djelomično je potaknuto njihovom potrebom da se prilagode novom konkurentnom digitalnom globalnom gospodarstvu, da povećaju učinkovitost svojeg poslovanja i odgovore na potražnju potrošača. Priroda i opseg tog oslanjanja neprestano su se mijenjali proteklih godina, što je dovelo do smanjenja troškova financijskog posredovanja te omogućilo širenje i skalabilnost poslovanja pri uvođenju financijskih aktivnosti, ali i ponudu širokog spektra alata IKT-a za upravljanje složenim unutarnjim procesima.

| (28) | Široka upotreba IKT usluga očituje se u složenim ugovornim aranžmanima, pri čemu financijski subjekti često nailaze na poteškoće u postizanju dogovora prilikom pregovaranja o ugovornim uvjetima koji su prilagođeni bonitetnim standardima ili drugim regulatornim zahtjevima kojima financijski subjekti podliježu, ili u ostvarivanju određenih prava, kao što su prava pristupa ili revizije, čak i kad su ta prava dio njihovih ugovornih aranžmana. Štoviše, mnogim se od tih ugovornih aranžmana ne predviđaju dostatne mjere zaštite kojima bi se omogućilo cjelovito praćenje podugovaranja, čime se financijskom subjektu uskraćuje mogućnost procjene povezanih rizika. Osim toga, s obzirom na to da treće strane pružatelji IKT usluga često pružaju standardizirane usluge različitim vrstama klijenata, takvi ugovorni aranžmani nisu uvijek odgovarajuće prilagođeni pojedinačnim ili posebnim potrebama subjekata u financijskom sektoru. |
| --- | --- |

(28)

Široka upotreba IKT usluga očituje se u složenim ugovornim aranžmanima, pri čemu financijski subjekti često nailaze na poteškoće u postizanju dogovora prilikom pregovaranja o ugovornim uvjetima koji su prilagođeni bonitetnim standardima ili drugim regulatornim zahtjevima kojima financijski subjekti podliježu, ili u ostvarivanju određenih prava, kao što su prava pristupa ili revizije, čak i kad su ta prava dio njihovih ugovornih aranžmana. Štoviše, mnogim se od tih ugovornih aranžmana ne predviđaju dostatne mjere zaštite kojima bi se omogućilo cjelovito praćenje podugovaranja, čime se financijskom subjektu uskraćuje mogućnost procjene povezanih rizika. Osim toga, s obzirom na to da treće strane pružatelji IKT usluga često pružaju standardizirane usluge različitim vrstama klijenata, takvi ugovorni aranžmani nisu uvijek odgovarajuće prilagođeni pojedinačnim ili posebnim potrebama subjekata u financijskom sektoru.

| (29) | Iako pravo Unije o financijskim uslugama sadržava određena opća pravila o eksternalizaciji, praćenje ugovorne dimenzije nije u potpunosti ugrađeno u pravo Unije. Budući da ne postoje jasni i specijalizirani standardi Unije koji bi se primjenjivali na ugovorne aranžmane sklopljene s trećim stranama pružateljima IKT usluga, vanjski izvor IKT rizika nije sveobuhvatno obrađen. Stoga je potrebno utvrditi određena ključna načela za usmjeravanje financijskih subjekata u upravljanju IKT rizikom povezanim s trećim stranama, koja su od posebne važnosti kad se financijski subjekti oslanjaju na treće strane pružatelje IKT usluga kako bi poduprli svoje ključne ili važne funkcije. Ta bi načela trebala biti popraćena skupom temeljnih ugovornih prava u odnosu na nekoliko elemenata u izvršenju i raskidu ugovornih aranžmana s ciljem pružanja određenih minimalnih zaštitnih mjera kojima bi se ojačala sposobnost financijskih subjekata da djelotvorno prate svaki IKT rizik koji se pojavljuje na razini trećih strana pružatelja usluga. Tim se načelima nadopunjuje sektorsko pravo koje se primjenjuje na eksternalizaciju. |
| --- | --- |

(29)

Iako pravo Unije o financijskim uslugama sadržava određena opća pravila o eksternalizaciji, praćenje ugovorne dimenzije nije u potpunosti ugrađeno u pravo Unije. Budući da ne postoje jasni i specijalizirani standardi Unije koji bi se primjenjivali na ugovorne aranžmane sklopljene s trećim stranama pružateljima IKT usluga, vanjski izvor IKT rizika nije sveobuhvatno obrađen. Stoga je potrebno utvrditi određena ključna načela za usmjeravanje financijskih subjekata u upravljanju IKT rizikom povezanim s trećim stranama, koja su od posebne važnosti kad se financijski subjekti oslanjaju na treće strane pružatelje IKT usluga kako bi poduprli svoje ključne ili važne funkcije. Ta bi načela trebala biti popraćena skupom temeljnih ugovornih prava u odnosu na nekoliko elemenata u izvršenju i raskidu ugovornih aranžmana s ciljem pružanja određenih minimalnih zaštitnih mjera kojima bi se ojačala sposobnost financijskih subjekata da djelotvorno prate svaki IKT rizik koji se pojavljuje na razini trećih strana pružatelja usluga. Tim se načelima nadopunjuje sektorsko pravo koje se primjenjuje na eksternalizaciju.

| (30) | Trenutačno je očito određeno pomanjkanje homogenosti i konvergencije u pogledu praćenja IKT rizika povezanog s trećim stranama i ovisnosti o trećim stranama u području IKT-a. Unatoč- naporima za rješavanje pitanja eksternalizacije, kao što su Smjernice EBA-e o eksternalizaciji iz 2019. i Smjernice ESMA-e za eksternalizaciju usluga računalstva u oblaku iz 2021., šire pitanje sprečavanja sistemskog rizika koji bi se mogao pojaviti zbog izloženosti financijskog sektora ograničenom broju ključnih trećih strana pružatelja IKT usluga nije dostatno obrađeno u pravu Unije. Pomanjkanje pravila na razini Unije dodatno je naglašeno nepostojanjem nacionalnih pravila o ovlastima i alatima koji bi financijskim nadzornim tijelima omogućili bolje razumijevanje ovisnosti o trećim stranama u području IKT-a i primjereno praćenje rizika koji proizlaze iz koncentracije ovisnosti o trećim stranama u području IKT-a. |
| --- | --- |

(30)

Trenutačno je očito određeno pomanjkanje homogenosti i konvergencije u pogledu praćenja IKT rizika povezanog s trećim stranama i ovisnosti o trećim stranama u području IKT-a. Unatoč- naporima za rješavanje pitanja eksternalizacije, kao što su Smjernice EBA-e o eksternalizaciji iz 2019. i Smjernice ESMA-e za eksternalizaciju usluga računalstva u oblaku iz 2021., šire pitanje sprečavanja sistemskog rizika koji bi se mogao pojaviti zbog izloženosti financijskog sektora ograničenom broju ključnih trećih strana pružatelja IKT usluga nije dostatno obrađeno u pravu Unije. Pomanjkanje pravila na razini Unije dodatno je naglašeno nepostojanjem nacionalnih pravila o ovlastima i alatima koji bi financijskim nadzornim tijelima omogućili bolje razumijevanje ovisnosti o trećim stranama u području IKT-a i primjereno praćenje rizika koji proizlaze iz koncentracije ovisnosti o trećim stranama u području IKT-a.

| (31) | Uzimajući u obzir mogući sistemski rizik koji prati sve češću praksu eksternalizacije poslova i koncentraciju IKT usluga trećih strana te vodeći računa o nedostatnosti nacionalnih mehanizama u osiguravanju odgovarajućih alata financijskim nadzornim tijelima za kvantificiranje, kvalificiranje i otklanjanje posljedica IKT rizika koji nastaje kod ključnih trećih strana pružatelja IKT usluga, potrebno je uspostaviti odgovarajući nadzorni okvir kojim se omogućuje kontinuirano praćenje aktivnosti trećih strana pružatelja IKT usluga koji su ključne treće strane pružatelji IKT usluga financijskim subjektima, osiguravajući pritom povjerljivost i sigurnost klijenata koji nisu financijski subjekti. Iako pružanje IKT usluga unutar grupe podrazumijeva posebne rizike i koristi, ono se ne bi trebalo automatski smatrati manje rizičnim od pružanja IKT usluga od strane pružatelja izvan financijske grupe te bi stoga trebalo podlijegati istom regulatornom okviru. Međutim, ako se IKT usluge pružaju unutar iste financijske grupe, financijski subjekti mogli bi imati višu razinu kontrole nad pružateljima unutar grupe, što bi trebalo uzeti u obzir u ukupnoj procjeni rizika. |
| --- | --- |

(31)

Uzimajući u obzir mogući sistemski rizik koji prati sve češću praksu eksternalizacije poslova i koncentraciju IKT usluga trećih strana te vodeći računa o nedostatnosti nacionalnih mehanizama u osiguravanju odgovarajućih alata financijskim nadzornim tijelima za kvantificiranje, kvalificiranje i otklanjanje posljedica IKT rizika koji nastaje kod ključnih trećih strana pružatelja IKT usluga, potrebno je uspostaviti odgovarajući nadzorni okvir kojim se omogućuje kontinuirano praćenje aktivnosti trećih strana pružatelja IKT usluga koji su ključne treće strane pružatelji IKT usluga financijskim subjektima, osiguravajući pritom povjerljivost i sigurnost klijenata koji nisu financijski subjekti. Iako pružanje IKT usluga unutar grupe podrazumijeva posebne rizike i koristi, ono se ne bi trebalo automatski smatrati manje rizičnim od pružanja IKT usluga od strane pružatelja izvan financijske grupe te bi stoga trebalo podlijegati istom regulatornom okviru. Međutim, ako se IKT usluge pružaju unutar iste financijske grupe, financijski subjekti mogli bi imati višu razinu kontrole nad pružateljima unutar grupe, što bi trebalo uzeti u obzir u ukupnoj procjeni rizika.

| (32) | Budući da rizik IKT-a postaje sve složeniji i sofisticiraniji, dobre mjere za otkrivanje i sprečavanje IKT rizika u velikoj mjeri ovise o redovitoj razmjeni saznanja o prijetnjama i ranjivostima među financijskim subjektima. Razmjenom informacija doprinosi se jačanju svijesti o kiberprijetnjama. Time se pak povećava kapacitet financijskih subjekata da spriječe da kiberprijetnje postanu stvarni IKT incidenti te se financijskim subjektima omogućuje da djelotvornije ograniče učinak IKT incidenata i brže se oporave. U nedostatku smjernica na razini Unije čini se da nekoliko čimbenika sprečava takvu razmjenu saznanja, osobito nesigurnost u pogledu usklađenosti s pravilima o zaštiti podataka, zaštiti od monopola i odgovornosti. |
| --- | --- |

(32)

Budući da rizik IKT-a postaje sve složeniji i sofisticiraniji, dobre mjere za otkrivanje i sprečavanje IKT rizika u velikoj mjeri ovise o redovitoj razmjeni saznanja o prijetnjama i ranjivostima među financijskim subjektima. Razmjenom informacija doprinosi se jačanju svijesti o kiberprijetnjama. Time se pak povećava kapacitet financijskih subjekata da spriječe da kiberprijetnje postanu stvarni IKT incidenti te se financijskim subjektima omogućuje da djelotvornije ograniče učinak IKT incidenata i brže se oporave. U nedostatku smjernica na razini Unije čini se da nekoliko čimbenika sprečava takvu razmjenu saznanja, osobito nesigurnost u pogledu usklađenosti s pravilima o zaštiti podataka, zaštiti od monopola i odgovornosti.

| (33) | Osim toga, zbog nedoumica u vezi s vrstama informacija koje se smiju dijeliti s drugim sudionicima na tržištu ili s nenadzornim tijelima (kao što je ENISA u analitičke svrhe ili Europol u svrhu kaznenog progona) uskraćuju se korisne informacije. Stoga su opseg i kvaliteta razmjene informacija trenutačno i dalje ograničeni i rascjepkani, a relevantne razmjene odvijaju se uglavnom na lokalnoj razini (u okviru nacionalnih inicijativa) te ne postoje dosljedni mehanizmi razmjene informacija na razini Unije koji su prilagođeni potrebama integriranog financijskog sustava. Stoga je važno ojačati te komunikacijske kanale. |
| --- | --- |

(33)

Osim toga, zbog nedoumica u vezi s vrstama informacija koje se smiju dijeliti s drugim sudionicima na tržištu ili s nenadzornim tijelima (kao što je ENISA u analitičke svrhe ili Europol u svrhu kaznenog progona) uskraćuju se korisne informacije. Stoga su opseg i kvaliteta razmjene informacija trenutačno i dalje ograničeni i rascjepkani, a relevantne razmjene odvijaju se uglavnom na lokalnoj razini (u okviru nacionalnih inicijativa) te ne postoje dosljedni mehanizmi razmjene informacija na razini Unije koji su prilagođeni potrebama integriranog financijskog sustava. Stoga je važno ojačati te komunikacijske kanale.

| (34) | Financijske subjekte trebalo bi poticati na međusobnu razmjenu informacija i saznanja o kiberprijetnjama te na zajedničko iskorištavanje znanja i praktičnog iskustva svakog od njih na strateškoj, taktičkoj i operativnoj razini s ciljem unapređenja njihovih sposobnosti za odgovarajuću procjenu, praćenje, obranu i odgovor u pogledu kiberprijetnji, sudjelovanjem u aranžmanima za razmjenu informacija. Stoga je potrebno omogućiti uspostavu mehanizama dobrovoljne razmjene informacija na razini Unije koji bi, kad djeluju u pouzdanim okruženjima, pomogli zajednici financijske industrije da spriječi i zajednički odgovori na kiberprijetnje brzim ograničenjem širenja IKT rizika i onemogućivanjem eventualnog širenja zaraze putem financijskih kanala. Ti bi mehanizmi trebali biti usklađeni s primjenjivim pravilima prava tržišnog natjecanja Unije navedenima u Komunikaciji Komisije od 14. siječnja 2011. pod naslovom „Smjernice o primjenjivosti članka 101. Ugovora o funkcioniranju Europske unije na sporazume o horizontalnoj suradnji” i pravilima Unije o zaštiti podataka, osobito s Uredbom (EU) 2016/679 Europskog parlamenta i Vijeća (13). Trebali bi djelovati na temelju primjene jedne ili više pravnih osnova utvrđenih u članku 6. te uredbe, na primjer u kontekstu obrade osobnih podataka za potrebe legitimnog interesa voditelja obrade ili treće strane, kako je navedeno u članku 6. stavku 1. točki (f) te uredbe, kao i u kontekstu obrade osobnih podataka koja je nužna radi poštovanja pravne obveze voditelja obrade, koja je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade, kako je navedeno u članku 6. stavku 1. točki (c) odnosno točki (e) te uredbe. |
| --- | --- |

(34)

Financijske subjekte trebalo bi poticati na međusobnu razmjenu informacija i saznanja o kiberprijetnjama te na zajedničko iskorištavanje znanja i praktičnog iskustva svakog od njih na strateškoj, taktičkoj i operativnoj razini s ciljem unapređenja njihovih sposobnosti za odgovarajuću procjenu, praćenje, obranu i odgovor u pogledu kiberprijetnji, sudjelovanjem u aranžmanima za razmjenu informacija. Stoga je potrebno omogućiti uspostavu mehanizama dobrovoljne razmjene informacija na razini Unije koji bi, kad djeluju u pouzdanim okruženjima, pomogli zajednici financijske industrije da spriječi i zajednički odgovori na kiberprijetnje brzim ograničenjem širenja IKT rizika i onemogućivanjem eventualnog širenja zaraze putem financijskih kanala. Ti bi mehanizmi trebali biti usklađeni s primjenjivim pravilima prava tržišnog natjecanja Unije navedenima u Komunikaciji Komisije od 14. siječnja 2011. pod naslovom „Smjernice o primjenjivosti članka 101. Ugovora o funkcioniranju Europske unije na sporazume o horizontalnoj suradnji” i pravilima Unije o zaštiti podataka, osobito s Uredbom (EU) 2016/679 Europskog parlamenta i Vijeća (13). Trebali bi djelovati na temelju primjene jedne ili više pravnih osnova utvrđenih u članku 6. te uredbe, na primjer u kontekstu obrade osobnih podataka za potrebe legitimnog interesa voditelja obrade ili treće strane, kako je navedeno u članku 6. stavku 1. točki (f) te uredbe, kao i u kontekstu obrade osobnih podataka koja je nužna radi poštovanja pravne obveze voditelja obrade, koja je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade, kako je navedeno u članku 6. stavku 1. točki (c) odnosno točki (e) te uredbe.

| (35) | Kako bi se održala visoka razina digitalne operativne otpornosti za cijeli financijski sektor i istodobno održao korak s tehnološkim razvojem, ovom bi se Uredbom trebalo nositi s rizicima koji proizlaze iz svih vrsta IKT usluga. U tu bi svrhu definiciju IKT usluga u kontekstu ove Uredbe trebalo tumačiti u širem smislu, tako da obuhvaća digitalne i podatkovne usluge koje se putem sustavâ IKT-a pružaju jednom ili više unutarnjih ili vanjskih korisnika na trajnoj osnovi. Ta bi definicija, na primjer, trebala uključivati takozvane OTT usluge („over the top” services), koje pripadaju kategoriji elektroničkih komunikacijskih usluga. Njome se ne bi trebala obuhvatiti samo ograničena kategorija tradicionalnih analognih telefonskih usluga, odnosno usluge javne komutirane telefonske mreže (PSTN), usluge zemaljske linije, usluge koje se pružaju putem analognog (POTS) priključka, ili telefonske usluge fiksne linije. |
| --- | --- |

(35)

Kako bi se održala visoka razina digitalne operativne otpornosti za cijeli financijski sektor i istodobno održao korak s tehnološkim razvojem, ovom bi se Uredbom trebalo nositi s rizicima koji proizlaze iz svih vrsta IKT usluga. U tu bi svrhu definiciju IKT usluga u kontekstu ove Uredbe trebalo tumačiti u širem smislu, tako da obuhvaća digitalne i podatkovne usluge koje se putem sustavâ IKT-a pružaju jednom ili više unutarnjih ili vanjskih korisnika na trajnoj osnovi. Ta bi definicija, na primjer, trebala uključivati takozvane OTT usluge („over the top” services), koje pripadaju kategoriji elektroničkih komunikacijskih usluga. Njome se ne bi trebala obuhvatiti samo ograničena kategorija tradicionalnih analognih telefonskih usluga, odnosno usluge javne komutirane telefonske mreže (PSTN), usluge zemaljske linije, usluge koje se pružaju putem analognog (POTS) priključka, ili telefonske usluge fiksne linije.

| (36) | Iako je obuhvat predviđen ovom Uredbom doista širok, pri primjeni pravila o digitalnoj operativnoj otpornosti trebalo bi uzeti u obzir znatne razlike među financijskim subjektima u pogledu njihove veličine i ukupnog profila rizičnosti. Opće je načelo da bi financijski subjekti pri distribuiranju resursa i sposobnosti na provedbu okvira za upravljanje IKT rizicima trebali propisno uskladiti svoje potrebe u području IKT-a sa svojom veličinom i ukupnim profilom rizičnosti te prirodom, opsegom i složenošću svojih usluga, aktivnosti i poslovanja, a nadležna bi tijela pristup takvom distribuiranju i dalje trebala procjenjivati i preispitivati. |
| --- | --- |

(36)

Iako je obuhvat predviđen ovom Uredbom doista širok, pri primjeni pravila o digitalnoj operativnoj otpornosti trebalo bi uzeti u obzir znatne razlike među financijskim subjektima u pogledu njihove veličine i ukupnog profila rizičnosti. Opće je načelo da bi financijski subjekti pri distribuiranju resursa i sposobnosti na provedbu okvira za upravljanje IKT rizicima trebali propisno uskladiti svoje potrebe u području IKT-a sa svojom veličinom i ukupnim profilom rizičnosti te prirodom, opsegom i složenošću svojih usluga, aktivnosti i poslovanja, a nadležna bi tijela pristup takvom distribuiranju i dalje trebala procjenjivati i preispitivati.

| (37) | Pružatelji usluga pružanja informacija o računu iz članka 33. stavka 1. Direktive (EU) 2015/2366 izričito su uključeni u područje primjene ove Uredbe, uzimajući u obzir specifičnu prirodu njihovih aktivnosti i rizike koji iz njih proizlaze. Osim toga, institucije za elektronički novac i institucije za platni promet izuzete na temelju članka 9. stavka 1. Direktive 2009/110/EZ Europskog parlamenta i Vijeća (14) i članka 32. stavka 1. Direktive (EU) 2015/2366 uključene su u područje primjene ove Uredbe čak i ako im nije izdano odobrenje za izdavanje elektroničkog novca u skladu s Direktivom 2009/110/EZ ili ako im nije izdano odobrenje za pružanje i izvršavanje platnih usluga u skladu s Direktivom (EU) 2015/2366. Međutim, poštanske žiro institucije iz članka 2. stavka 5. točke 3. Direktive 2013/36/EU Europskog parlamenta i Vijeća (15) isključene su iz područja primjene ove Uredbe. Nadležno tijelo za institucije za platni promet izuzeto na temelju Direktive (EU) 2015/2366, institucije za elektronički novac izuzete na temelju Direktive 2009/110/EZ i pružatelji usluga pružanja informacija o računu iz članka 33. stavka 1. Direktive (EU) 2015/2366 trebali bi biti nadležno tijelo imenovano u skladu s člankom 22. Direktive (EU) 2015/2366. |
| --- | --- |

(37)

Pružatelji usluga pružanja informacija o računu iz članka 33. stavka 1. Direktive (EU) 2015/2366 izričito su uključeni u područje primjene ove Uredbe, uzimajući u obzir specifičnu prirodu njihovih aktivnosti i rizike koji iz njih proizlaze. Osim toga, institucije za elektronički novac i institucije za platni promet izuzete na temelju članka 9. stavka 1. Direktive 2009/110/EZ Europskog parlamenta i Vijeća (14) i članka 32. stavka 1. Direktive (EU) 2015/2366 uključene su u područje primjene ove Uredbe čak i ako im nije izdano odobrenje za izdavanje elektroničkog novca u skladu s Direktivom 2009/110/EZ ili ako im nije izdano odobrenje za pružanje i izvršavanje platnih usluga u skladu s Direktivom (EU) 2015/2366. Međutim, poštanske žiro institucije iz članka 2. stavka 5. točke 3. Direktive 2013/36/EU Europskog parlamenta i Vijeća (15) isključene su iz područja primjene ove Uredbe. Nadležno tijelo za institucije za platni promet izuzeto na temelju Direktive (EU) 2015/2366, institucije za elektronički novac izuzete na temelju Direktive 2009/110/EZ i pružatelji usluga pružanja informacija o računu iz članka 33. stavka 1. Direktive (EU) 2015/2366 trebali bi biti nadležno tijelo imenovano u skladu s člankom 22. Direktive (EU) 2015/2366.

| (38) | Budući da bi veći financijski subjekti mogli imati na raspolaganju više resursa i da mogu brzo preusmjeriti sredstva na razvoj upravljačkih struktura i uspostavu različitih korporativnih strategija, samo bi financijske subjekte koji nisu mikropoduzeća u smislu ove Uredbe trebalo obvezati na uvođenje složenijih aranžmana za upravljanje. Takvi su subjekti bolje opremljeni osobito za uspostavu namjenskih upravljačkih funkcija za nadzor aranžmana s trećim stranama pružateljima IKT usluga ili upravljanje krizama, organizaciju svojeg upravljanja IKT rizicima u skladu s modelom „triju crta obrane”, ili za uspostavu internog modela upravljanja rizicima i kontrole nad njima, te za podnošenje okvira za upravljanje IKT rizicima radi unutarnjih revizija. |
| --- | --- |

(38)

Budući da bi veći financijski subjekti mogli imati na raspolaganju više resursa i da mogu brzo preusmjeriti sredstva na razvoj upravljačkih struktura i uspostavu različitih korporativnih strategija, samo bi financijske subjekte koji nisu mikropoduzeća u smislu ove Uredbe trebalo obvezati na uvođenje složenijih aranžmana za upravljanje. Takvi su subjekti bolje opremljeni osobito za uspostavu namjenskih upravljačkih funkcija za nadzor aranžmana s trećim stranama pružateljima IKT usluga ili upravljanje krizama, organizaciju svojeg upravljanja IKT rizicima u skladu s modelom „triju crta obrane”, ili za uspostavu internog modela upravljanja rizicima i kontrole nad njima, te za podnošenje okvira za upravljanje IKT rizicima radi unutarnjih revizija.

| (39) | Na neke financijske subjekte primjenjuju se izuzeća ili oni podliježu vrlo blagom regulatornom okviru u sklopu relevantnog sektorskog prava Unije. Među takvim su financijskim subjektima upravitelji alternativnih investicijskih fondova iz članka 3. stavka 2. Direktive 2011/61/EU Europskog parlamenta i Vijeća (16), društva za osiguranje i društva za reosiguranje iz članka 4. Direktive 2009/138/EZ Europskog parlamenta i Vijeća (17) te institucije za strukovno mirovinsko osiguranje koje upravljaju mirovinskim programima koji zajedno nemaju više od ukupno 15 članova. S obzirom na ta izuzeća ne bi bilo razmjerno uključiti takve financijske subjekte u područje primjene ove Uredbe. Osim toga, ovom se Uredbom uvažavaju posebnosti strukture tržišta posredovanja u osiguranju, zbog čega posrednici u osiguranju, posrednici u reosiguranju i sporedni posrednici u osiguranju koji se smatraju mikropoduzećima ili malim ili srednjim poduzećima ne bi trebali podlijegati ovoj Uredbi. |
| --- | --- |

(39)

Na neke financijske subjekte primjenjuju se izuzeća ili oni podliježu vrlo blagom regulatornom okviru u sklopu relevantnog sektorskog prava Unije. Među takvim su financijskim subjektima upravitelji alternativnih investicijskih fondova iz članka 3. stavka 2. Direktive 2011/61/EU Europskog parlamenta i Vijeća (16), društva za osiguranje i društva za reosiguranje iz članka 4. Direktive 2009/138/EZ Europskog parlamenta i Vijeća (17) te institucije za strukovno mirovinsko osiguranje koje upravljaju mirovinskim programima koji zajedno nemaju više od ukupno 15 članova. S obzirom na ta izuzeća ne bi bilo razmjerno uključiti takve financijske subjekte u područje primjene ove Uredbe. Osim toga, ovom se Uredbom uvažavaju posebnosti strukture tržišta posredovanja u osiguranju, zbog čega posrednici u osiguranju, posrednici u reosiguranju i sporedni posrednici u osiguranju koji se smatraju mikropoduzećima ili malim ili srednjim poduzećima ne bi trebali podlijegati ovoj Uredbi.

| (40) | Budući da su subjekti iz članka 2. stavka 5. točaka od 4. do 23. Direktive 2013/36/EU isključeni iz područja primjene te direktive, države članice trebale bi stoga moći odlučiti iz primjene ove Uredbe izuzeti takve subjekte koji se nalaze na njihovu državnom području. |
| --- | --- |

(40)

Budući da su subjekti iz članka 2. stavka 5. točaka od 4. do 23. Direktive 2013/36/EU isključeni iz područja primjene te direktive, države članice trebale bi stoga moći odlučiti iz primjene ove Uredbe izuzeti takve subjekte koji se nalaze na njihovu državnom području.

| (41) | Slično tome, kako bi se ova Uredba uskladila s područjem primjene Direktive 2014/65/EU Europskog parlamenta i Vijeća (18), također je primjereno iz područja primjene ove Uredbe isključiti fizičke i pravne osobe iz članaka 2. i 3. te direktive kojima je dopušteno pružanje investicijskih usluga bez obveze pribavljanja odobrenja za rad na temelju Direktive 2014/65/EU. Međutim, člankom 2. Direktive 2014/65/EU iz područja primjene te direktive isključuju se i subjekti koji se smatraju financijskim subjektima za potrebe ove Uredbe, kao što su središnji depozitoriji vrijednosnih papira, subjekti za zajednička ulaganja ili društva za osiguranje i društva za reosiguranje. Isključenje iz područja primjene ove Uredbe osoba i subjekata iz članaka 2. i 3. te direktive ne bi trebalo obuhvaćati navedene središnje depozitorije vrijednosnih papira, subjekte za zajednička ulaganja ili društva za osiguranje i društva za reosiguranje. |
| --- | --- |

(41)

Slično tome, kako bi se ova Uredba uskladila s područjem primjene Direktive 2014/65/EU Europskog parlamenta i Vijeća (18), također je primjereno iz područja primjene ove Uredbe isključiti fizičke i pravne osobe iz članaka 2. i 3. te direktive kojima je dopušteno pružanje investicijskih usluga bez obveze pribavljanja odobrenja za rad na temelju Direktive 2014/65/EU. Međutim, člankom 2. Direktive 2014/65/EU iz područja primjene te direktive isključuju se i subjekti koji se smatraju financijskim subjektima za potrebe ove Uredbe, kao što su središnji depozitoriji vrijednosnih papira, subjekti za zajednička ulaganja ili društva za osiguranje i društva za reosiguranje. Isključenje iz područja primjene ove Uredbe osoba i subjekata iz članaka 2. i 3. te direktive ne bi trebalo obuhvaćati navedene središnje depozitorije vrijednosnih papira, subjekte za zajednička ulaganja ili društva za osiguranje i društva za reosiguranje.

| (42) | Prema sektorskom pravu Unije neki financijski subjekti podliježu blažim zahtjevima ili izuzećima zbog razloga povezanih s njihovom veličinom ili uslugama koje pružaju. Ta kategorija financijskih subjekata uključuje mala i nepovezana investicijska društva, male institucije za strukovno mirovinsko osiguranje koje dotična država članica može isključiti iz područja primjene Direktive (EU) 2016/2341 pod uvjetima utvrđenima u članku 5. te direktive i koje upravljaju mirovinskim programima koji nemaju više od ukupno 100 članova, kao i institucije izuzete na temelju Direktive 2013/36/EU. Stoga je, u skladu s načelom proporcionalnosti i kako bi se očuvao duh sektorskog prava Unije, primjereno i da se na te financijske subjekte primjenjuje pojednostavnjeni okvir za upravljanje IKT rizicima na temelju ove Uredbe. Proporcionalnost okvira za upravljanje IKT rizicima kojim su obuhvaćeni ti financijski subjekti ne bi se trebala mijenjati regulatornim tehničkim standardima koje trebaju razviti europska nadzorna tijela. Nadalje, u skladu s načelom proporcionalnosti, primjereno je da i institucije za platni promet iz članka 32. stavka 1. Direktive (EU) 2015/2366 i institucije za elektronički novac iz članka 9. Direktive 2009/110/EZ izuzete u skladu s nacionalnim pravom kojim se prenose ti pravni akti Unije podliježu pojednostavnjenom okviru za upravljanje IKT rizicima na temelju ove Uredbe, dok bi institucije za platni promet i institucije za elektronički novac koje nisu izuzete u skladu s odgovarajućim nacionalnim pravom kojim se prenosi sektorsko pravo Unije trebale biti usklađene s općim okvirom utvrđenim ovom Uredbom. |
| --- | --- |

(42)

Prema sektorskom pravu Unije neki financijski subjekti podliježu blažim zahtjevima ili izuzećima zbog razloga povezanih s njihovom veličinom ili uslugama koje pružaju. Ta kategorija financijskih subjekata uključuje mala i nepovezana investicijska društva, male institucije za strukovno mirovinsko osiguranje koje dotična država članica može isključiti iz područja primjene Direktive (EU) 2016/2341 pod uvjetima utvrđenima u članku 5. te direktive i koje upravljaju mirovinskim programima koji nemaju više od ukupno 100 članova, kao i institucije izuzete na temelju Direktive 2013/36/EU. Stoga je, u skladu s načelom proporcionalnosti i kako bi se očuvao duh sektorskog prava Unije, primjereno i da se na te financijske subjekte primjenjuje pojednostavnjeni okvir za upravljanje IKT rizicima na temelju ove Uredbe. Proporcionalnost okvira za upravljanje IKT rizicima kojim su obuhvaćeni ti financijski subjekti ne bi se trebala mijenjati regulatornim tehničkim standardima koje trebaju razviti europska nadzorna tijela. Nadalje, u skladu s načelom proporcionalnosti, primjereno je da i institucije za platni promet iz članka 32. stavka 1. Direktive (EU) 2015/2366 i institucije za elektronički novac iz članka 9. Direktive 2009/110/EZ izuzete u skladu s nacionalnim pravom kojim se prenose ti pravni akti Unije podliježu pojednostavnjenom okviru za upravljanje IKT rizicima na temelju ove Uredbe, dok bi institucije za platni promet i institucije za elektronički novac koje nisu izuzete u skladu s odgovarajućim nacionalnim pravom kojim se prenosi sektorsko pravo Unije trebale biti usklađene s općim okvirom utvrđenim ovom Uredbom.

| (43) | Slično tome, od financijskih subjekata koji se smatraju mikropoduzećima ili koji podliježu pojednostavnjenom okviru za upravljanje IKT rizicima na temelju ove Uredbe ne bi trebalo zahtijevati da uspostave funkciju za praćenje svojih aranžmana o upotrebi IKT usluga sklopljenih s trećim stranama pružateljima IKT usluga ili imenuju člana višeg rukovodstva koji bi bio odgovoran za nadzor nad povezanim izloženostima rizicima i relevantnom dokumentacijom, da odgovornost za upravljanje IKT rizicima i nadzor nad njima dodijele kontrolnoj funkciji i osiguraju odgovarajuću razinu neovisnosti takve kontrolne funkcije kako bi se izbjegli sukobi interesa, da najmanje jednom godišnje dokumentiraju i preispitaju okvir za upravljanje IKT rizicima, da okvir za upravljanje IKT rizicima redovito podvrgavaju unutarnjoj reviziji, da nakon velikih promjena u infrastrukturama i procesima svojih mrežnih i informacijskih sustava provode dubinske procjene, da redovito provode analize rizika u zastarjelim IKT sustavima, da provedbu planova odgovora i oporavka u području IKT-a podvrgavaju neovisnom unutarnjem revizijskom pregledu, da imaju funkciju za upravljanje krizama, da prošire testiranje kontinuiteta poslovanja i planove odgovora i oporavka tako da njima obuhvate i scenarije prebacivanja s primarne infrastrukture IKT-a na redundantnu infrastrukturu i obrnuto, da nadležnim tijelima na njihov zahtjev dostavljaju procjenu agregiranih godišnjih troškova i gubitaka prouzročenih značajnim IKT incidentima, da održavaju redundantne kapacitete IKT-a, da obavješćuju nacionalna nadležna tijela o promjenama koje su provedene slijedom preispitivanja nakon IKT incidenata, da kontinuirano prate relevantna tehnološka dostignuća, da uspostave sveobuhvatan program testiranja digitalne operativne otpornosti kao sastavni dio okvira za upravljanje IKT rizicima predviđenog u ovoj Uredbi, ili da donesu i redovito preispituju strategiju o IKT riziku povezanom s trećim stranama. Uz navedeno, mikropoduzeća bi trebala imati obvezu procijeniti potrebu za očuvanjem takvih redundantnih kapaciteta IKT-a samo na temelju svojeg profila rizičnosti. Mikropoduzeća bi trebala imati pravo na fleksibilniji režim u pogledu programâ testiranja digitalne operativne otpornosti. Pri razmatranju vrste i učestalosti testiranja koje treba provesti, trebala bi na odgovarajući način postići ravnotežu između cilja očuvanja visoke digitalne operativne otpornosti, dostupnih resursa i njihova ukupnog profila rizičnosti. Mikropoduzeća i financijske subjekte na koje se primjenjuje pojednostavnjeni okvir za upravljanje IKT rizicima na temelju ove Uredbe trebalo bi izuzeti od zahtjeva da provode napredno testiranje IKT alata, sustava i procesa putem penetracijskog testiranja vođenog prijetnjama (TLPT) jer bi samo financijski subjekti koji ispunjavaju kriterije utvrđene u ovoj Uredbi trebali biti obvezni provoditi takvo testiranje. S obzirom na njihove ograničene sposobnosti mikropoduzeća bi se trebala moći dogovoriti s trećom stranom pružateljem IKT usluga o delegiranju prava financijskog subjekta na pristup, inspekcijski nadzor i reviziju neovisnoj trećoj strani koju treba imenovati treća strana pružatelj IKT usluga, pod uvjetom da financijski subjekt u svakom trenutku od odgovarajuće neovisne treće strane može zatražiti sve relevantne informacije i jamstva o radu treće strane pružatelja IKT usluga. |
| --- | --- |

(43)

Slično tome, od financijskih subjekata koji se smatraju mikropoduzećima ili koji podliježu pojednostavnjenom okviru za upravljanje IKT rizicima na temelju ove Uredbe ne bi trebalo zahtijevati da uspostave funkciju za praćenje svojih aranžmana o upotrebi IKT usluga sklopljenih s trećim stranama pružateljima IKT usluga ili imenuju člana višeg rukovodstva koji bi bio odgovoran za nadzor nad povezanim izloženostima rizicima i relevantnom dokumentacijom, da odgovornost za upravljanje IKT rizicima i nadzor nad njima dodijele kontrolnoj funkciji i osiguraju odgovarajuću razinu neovisnosti takve kontrolne funkcije kako bi se izbjegli sukobi interesa, da najmanje jednom godišnje dokumentiraju i preispitaju okvir za upravljanje IKT rizicima, da okvir za upravljanje IKT rizicima redovito podvrgavaju unutarnjoj reviziji, da nakon velikih promjena u infrastrukturama i procesima svojih mrežnih i informacijskih sustava provode dubinske procjene, da redovito provode analize rizika u zastarjelim IKT sustavima, da provedbu planova odgovora i oporavka u području IKT-a podvrgavaju neovisnom unutarnjem revizijskom pregledu, da imaju funkciju za upravljanje krizama, da prošire testiranje kontinuiteta poslovanja i planove odgovora i oporavka tako da njima obuhvate i scenarije prebacivanja s primarne infrastrukture IKT-a na redundantnu infrastrukturu i obrnuto, da nadležnim tijelima na njihov zahtjev dostavljaju procjenu agregiranih godišnjih troškova i gubitaka prouzročenih značajnim IKT incidentima, da održavaju redundantne kapacitete IKT-a, da obavješćuju nacionalna nadležna tijela o promjenama koje su provedene slijedom preispitivanja nakon IKT incidenata, da kontinuirano prate relevantna tehnološka dostignuća, da uspostave sveobuhvatan program testiranja digitalne operativne otpornosti kao sastavni dio okvira za upravljanje IKT rizicima predviđenog u ovoj Uredbi, ili da donesu i redovito preispituju strategiju o IKT riziku povezanom s trećim stranama. Uz navedeno, mikropoduzeća bi trebala imati obvezu procijeniti potrebu za očuvanjem takvih redundantnih kapaciteta IKT-a samo na temelju svojeg profila rizičnosti. Mikropoduzeća bi trebala imati pravo na fleksibilniji režim u pogledu programâ testiranja digitalne operativne otpornosti. Pri razmatranju vrste i učestalosti testiranja koje treba provesti, trebala bi na odgovarajući način postići ravnotežu između cilja očuvanja visoke digitalne operativne otpornosti, dostupnih resursa i njihova ukupnog profila rizičnosti. Mikropoduzeća i financijske subjekte na koje se primjenjuje pojednostavnjeni okvir za upravljanje IKT rizicima na temelju ove Uredbe trebalo bi izuzeti od zahtjeva da provode napredno testiranje IKT alata, sustava i procesa putem penetracijskog testiranja vođenog prijetnjama (TLPT) jer bi samo financijski subjekti koji ispunjavaju kriterije utvrđene u ovoj Uredbi trebali biti obvezni provoditi takvo testiranje. S obzirom na njihove ograničene sposobnosti mikropoduzeća bi se trebala moći dogovoriti s trećom stranom pružateljem IKT usluga o delegiranju prava financijskog subjekta na pristup, inspekcijski nadzor i reviziju neovisnoj trećoj strani koju treba imenovati treća strana pružatelj IKT usluga, pod uvjetom da financijski subjekt u svakom trenutku od odgovarajuće neovisne treće strane može zatražiti sve relevantne informacije i jamstva o radu treće strane pružatelja IKT usluga.

| (44) | Budući da bi samo oni financijski subjekti koji su identificirani za potrebe naprednog testiranja digitalne otpornosti trebali biti obvezni provoditi penetracijska testiranja vođena prijetnjama, administrativne postupke i financijske troškove povezane s provedbom takvih testova trebao bi snositi mali postotak financijskih subjekata. |
| --- | --- |

(44)

Budući da bi samo oni financijski subjekti koji su identificirani za potrebe naprednog testiranja digitalne otpornosti trebali biti obvezni provoditi penetracijska testiranja vođena prijetnjama, administrativne postupke i financijske troškove povezane s provedbom takvih testova trebao bi snositi mali postotak financijskih subjekata.

| (45) | Kako bi se osigurala potpuna usklađenost i opća dosljednost poslovnih strategija financijskih subjekata s jedne strane te upravljanja IKT rizicima s druge strane, upravljačka tijela financijskih subjekata trebala bi obvezno imati središnju i aktivnu ulogu u usmjeravanju i prilagodbi okvira za upravljanje IKT rizicima i opće strategije digitalne operativne otpornosti. Pristup koji trebaju primijeniti upravljačka tijela ne bi se trebao usmjeriti samo na sredstva za osiguravanje otpornosti sustavâ IKT-a, nego bi također trebao obuhvaćati osoblje i procese politikama kojima se na svakoj razini poduzeća i među svim članovima osoblja podupire snažna osviještenost o kiberrizicima i obveza poštovanja stroge kiberhigijene na svim razinama. Krajnja odgovornost upravljačkog tijela za upravljanje IKT rizicima financijskog subjekta trebala bi biti glavno načelo tog sveobuhvatnog pristupa koje se pretače u kontinuiran angažman upravljačkog tijela u kontroli praćenja upravljanja IKT rizicima. |
| --- | --- |

(45)

Kako bi se osigurala potpuna usklađenost i opća dosljednost poslovnih strategija financijskih subjekata s jedne strane te upravljanja IKT rizicima s druge strane, upravljačka tijela financijskih subjekata trebala bi obvezno imati središnju i aktivnu ulogu u usmjeravanju i prilagodbi okvira za upravljanje IKT rizicima i opće strategije digitalne operativne otpornosti. Pristup koji trebaju primijeniti upravljačka tijela ne bi se trebao usmjeriti samo na sredstva za osiguravanje otpornosti sustavâ IKT-a, nego bi također trebao obuhvaćati osoblje i procese politikama kojima se na svakoj razini poduzeća i među svim članovima osoblja podupire snažna osviještenost o kiberrizicima i obveza poštovanja stroge kiberhigijene na svim razinama. Krajnja odgovornost upravljačkog tijela za upravljanje IKT rizicima financijskog subjekta trebala bi biti glavno načelo tog sveobuhvatnog pristupa koje se pretače u kontinuiran angažman upravljačkog tijela u kontroli praćenja upravljanja IKT rizicima.

| (46) | Nadalje, načelo potpune i konačne odgovornosti upravljačkog tijela za upravljanje IKT rizicima financijskog subjekta usko je povezano s potrebom za osiguravanjem razine ulaganja povezanih s IKT-om i ukupnog proračuna za financijski subjekt, kojima bi se financijskom subjektu omogućilo da postigne visoku razinu digitalne operativne otpornosti. |
| --- | --- |

(46)

Nadalje, načelo potpune i konačne odgovornosti upravljačkog tijela za upravljanje IKT rizicima financijskog subjekta usko je povezano s potrebom za osiguravanjem razine ulaganja povezanih s IKT-om i ukupnog proračuna za financijski subjekt, kojima bi se financijskom subjektu omogućilo da postigne visoku razinu digitalne operativne otpornosti.

| (47) | Ovom Uredbom, nadahnutom relevantnim međunarodnim, nacionalnim i industrijskim najboljim praksama, smjernicama, preporukama i pristupima za upravljanje kiberrizicima, promiče se niz načela koja olakšavaju cjelokupnu strukturu upravljanja IKT rizicima. Posljedično, dok god glavne sposobnosti koje su uspostavili financijski subjekti ispunjavaju različite funkcije u upravljanju IKT rizicima (utvrđivanje, zaštita i sprečavanje, otkrivanje, odgovor i oporavak, učenje i razvoj te komunikacija) utvrđene u ovoj Uredbi, financijski subjekti trebali bi se i dalje moći koristiti drukčije oblikovanim ili kategoriziranim modelima upravljanja IKT rizicima. |
| --- | --- |

(47)

Ovom Uredbom, nadahnutom relevantnim međunarodnim, nacionalnim i industrijskim najboljim praksama, smjernicama, preporukama i pristupima za upravljanje kiberrizicima, promiče se niz načela koja olakšavaju cjelokupnu strukturu upravljanja IKT rizicima. Posljedično, dok god glavne sposobnosti koje su uspostavili financijski subjekti ispunjavaju različite funkcije u upravljanju IKT rizicima (utvrđivanje, zaštita i sprečavanje, otkrivanje, odgovor i oporavak, učenje i razvoj te komunikacija) utvrđene u ovoj Uredbi, financijski subjekti trebali bi se i dalje moći koristiti drukčije oblikovanim ili kategoriziranim modelima upravljanja IKT rizicima.

| (48) | Kako bi održali korak s novim kiberprijetnjama, financijski subjekti trebali bi održavati ažurirane i pouzdane sustave IKT-a koji su sposobni osigurati ne samo obradu podataka potrebnih za pružanje njihovih usluga, nego i dostatnu tehnološku otpornost da na odgovarajući način mogu odgovoriti na dodatne potrebe za obradom zbog stresnih okolnosti na tržištu ili drugih nepovoljnih situacija. |
| --- | --- |

(48)

Kako bi održali korak s novim kiberprijetnjama, financijski subjekti trebali bi održavati ažurirane i pouzdane sustave IKT-a koji su sposobni osigurati ne samo obradu podataka potrebnih za pružanje njihovih usluga, nego i dostatnu tehnološku otpornost da na odgovarajući način mogu odgovoriti na dodatne potrebe za obradom zbog stresnih okolnosti na tržištu ili drugih nepovoljnih situacija.

| (49) | Učinkoviti planovi kontinuiteta poslovanja i planovi oporavka potrebni su kako bi se financijskim subjektima omogućilo da odmah i brzo riješe IKT incidente, osobito kibernapade, ograničavanjem štete i davanjem prednosti nastavku obavljanja aktivnosti i mjerama oporavka u skladu s njihovim politikama za izradu sigurnosnih kopija. Međutim, takvim nastavkom ni na koji se način ne bi smjela ugroziti cjelovitost i sigurnost mrežnih i informacijskih sustava ili dostupnost, vjerodostojnost, cjelovitost ili povjerljivost podataka. |
| --- | --- |

(49)

Učinkoviti planovi kontinuiteta poslovanja i planovi oporavka potrebni su kako bi se financijskim subjektima omogućilo da odmah i brzo riješe IKT incidente, osobito kibernapade, ograničavanjem štete i davanjem prednosti nastavku obavljanja aktivnosti i mjerama oporavka u skladu s njihovim politikama za izradu sigurnosnih kopija. Međutim, takvim nastavkom ni na koji se način ne bi smjela ugroziti cjelovitost i sigurnost mrežnih i informacijskih sustava ili dostupnost, vjerodostojnost, cjelovitost ili povjerljivost podataka.

| (50) | Iako se ovom Uredbom financijskim subjektima daje fleksibilnost pri utvrđivanju njihovih ciljeva u pogledu vremena i točke oporavka i, posljedično, da utvrde te ciljeve vodeći u punoj mjeri računa o prirodi i ključnosti relevantnih funkcija i svim specifičnim poslovnim potrebama, njome bi se ipak trebala propisati obveza financijskih subjekata da pri utvrđivanju takvih ciljeva provedu procjenu mogućeg sveukupnog učinka na učinkovitost tržišta. |
| --- | --- |

(50)

Iako se ovom Uredbom financijskim subjektima daje fleksibilnost pri utvrđivanju njihovih ciljeva u pogledu vremena i točke oporavka i, posljedično, da utvrde te ciljeve vodeći u punoj mjeri računa o prirodi i ključnosti relevantnih funkcija i svim specifičnim poslovnim potrebama, njome bi se ipak trebala propisati obveza financijskih subjekata da pri utvrđivanju takvih ciljeva provedu procjenu mogućeg sveukupnog učinka na učinkovitost tržišta.

| (51) | Širitelji kibernapada obično nastoje ostvariti financijsku dobit izravno na izvoru, čime financijske subjekte izlažu znatnim posljedicama. Kako bi se spriječio gubitak cjelovitosti sustava IKT-a ili kako bi se spriječila njihova nedostupnost, a time i izbjegle povrede podataka i šteta na fizičkoj infrastrukturi IKT-a, trebalo bi znatno poboljšati i racionalizirati izvješćivanje financijskih subjekata o velikim IKT incidentima. Izvješćivanje o IKT incidentima trebalo bi uskladiti uvođenjem zahtjeva za sve financijske subjekte da izravno izvješćuju svoja relevantna nadležna tijela. Ako financijski subjekt podliježe nadzoru više nacionalnih nadležnih tijela, države članice trebale bi imenovati jedinstveno nadležno tijelo kao adresata takvog izvješćivanja. Kreditne institucije klasificirane kao značajne u skladu s člankom 6. stavkom 4. Uredbe Vijeća (EU) br. 1024/2013 (19) trebale bi podnijeti takvo izvješće nacionalnim nadležnim tijelima, koja bi izvješće naknadno trebala proslijediti Europskoj središnjoj banci (ESB). |
| --- | --- |

(51)

Širitelji kibernapada obično nastoje ostvariti financijsku dobit izravno na izvoru, čime financijske subjekte izlažu znatnim posljedicama. Kako bi se spriječio gubitak cjelovitosti sustava IKT-a ili kako bi se spriječila njihova nedostupnost, a time i izbjegle povrede podataka i šteta na fizičkoj infrastrukturi IKT-a, trebalo bi znatno poboljšati i racionalizirati izvješćivanje financijskih subjekata o velikim IKT incidentima. Izvješćivanje o IKT incidentima trebalo bi uskladiti uvođenjem zahtjeva za sve financijske subjekte da izravno izvješćuju svoja relevantna nadležna tijela. Ako financijski subjekt podliježe nadzoru više nacionalnih nadležnih tijela, države članice trebale bi imenovati jedinstveno nadležno tijelo kao adresata takvog izvješćivanja. Kreditne institucije klasificirane kao značajne u skladu s člankom 6. stavkom 4. Uredbe Vijeća (EU) br. 1024/2013 (19) trebale bi podnijeti takvo izvješće nacionalnim nadležnim tijelima, koja bi izvješće naknadno trebala proslijediti Europskoj središnjoj banci (ESB).

| (52) | Izravno izvješćivanje trebalo bi omogućiti financijskim nadzornim tijelima izravan pristup informacijama o značajnim IKT incidentima. Financijska nadzorna tijela trebala bi pak prosljeđivati pojedinosti o značajnim IKT incidentima javnim nefinancijskim tijelima (kao što su nadležna tijela i jedinstvene kontaktne točke iz Direktive (EU) 2022/2555, nacionalna tijela za zaštitu podataka i tijela za izvršavanje zakonodavstva za značajne IKT incidente kaznene prirode) kako bi se povećala svijest takvih tijela o takvim incidentima i, u slučaju CSIRT-ova, olakšala brza pomoć koja se, prema potrebi, može pružiti financijskim subjektima. Uz navedeno, države članice trebale bi moći utvrditi da bi sami financijski subjekti trebali pružiti takve informacije tijelima javne vlasti izvan područja financijskih usluga. Tim bi se tokovima informacija trebalo omogućiti financijskim subjektima da brzo iskoriste sve relevantne tehničke doprinose, savjete o korektivnim mjerama i naknadno praćenje koje osiguravaju takva tijela. Informacije o značajnim IKT incidentima trebale bi teći u oba smjera: financijska nadzorna tijela trebala bi financijskim subjektima dostaviti sve potrebne povratne informacije ili smjernice, dok bi europska nadzorna tijela trebala dijeliti anonimizirane podatke o kiberprijetnjama i ranjivostima povezanima s određenim incidentom kako bi doprinijela široj zajedničkoj obrani. |
| --- | --- |

(52)

Izravno izvješćivanje trebalo bi omogućiti financijskim nadzornim tijelima izravan pristup informacijama o značajnim IKT incidentima. Financijska nadzorna tijela trebala bi pak prosljeđivati pojedinosti o značajnim IKT incidentima javnim nefinancijskim tijelima (kao što su nadležna tijela i jedinstvene kontaktne točke iz Direktive (EU) 2022/2555, nacionalna tijela za zaštitu podataka i tijela za izvršavanje zakonodavstva za značajne IKT incidente kaznene prirode) kako bi se povećala svijest takvih tijela o takvim incidentima i, u slučaju CSIRT-ova, olakšala brza pomoć koja se, prema potrebi, može pružiti financijskim subjektima. Uz navedeno, države članice trebale bi moći utvrditi da bi sami financijski subjekti trebali pružiti takve informacije tijelima javne vlasti izvan područja financijskih usluga. Tim bi se tokovima informacija trebalo omogućiti financijskim subjektima da brzo iskoriste sve relevantne tehničke doprinose, savjete o korektivnim mjerama i naknadno praćenje koje osiguravaju takva tijela. Informacije o značajnim IKT incidentima trebale bi teći u oba smjera: financijska nadzorna tijela trebala bi financijskim subjektima dostaviti sve potrebne povratne informacije ili smjernice, dok bi europska nadzorna tijela trebala dijeliti anonimizirane podatke o kiberprijetnjama i ranjivostima povezanima s određenim incidentom kako bi doprinijela široj zajedničkoj obrani.

| (53) | Iako bi svi financijski subjekti trebali biti obvezni izvješćivati o incidentima, taj zahtjev ne bi na njih sve trebao utjecati na isti način. Stoga bi relevantne pragove značajnosti, kao i rokove izvješćivanja, trebalo na odgovarajući način prilagoditi, u kontekstu delegiranih akata koji se temelje na regulatornim tehničkim standardima koje trebaju razviti europska nadzorna tijela, kako bi se obuhvatili samo značajni IKT incidenti. Uz navedeno, pri određivanju rokova za obveze izvješćivanja trebalo bi uzeti u obzir posebnosti financijskih subjekata. |
| --- | --- |

(53)

Iako bi svi financijski subjekti trebali biti obvezni izvješćivati o incidentima, taj zahtjev ne bi na njih sve trebao utjecati na isti način. Stoga bi relevantne pragove značajnosti, kao i rokove izvješćivanja, trebalo na odgovarajući način prilagoditi, u kontekstu delegiranih akata koji se temelje na regulatornim tehničkim standardima koje trebaju razviti europska nadzorna tijela, kako bi se obuhvatili samo značajni IKT incidenti. Uz navedeno, pri određivanju rokova za obveze izvješćivanja trebalo bi uzeti u obzir posebnosti financijskih subjekata.

| (54) | Ovom bi se Uredbom od kreditnih institucija, institucija za platni promet, pružatelja usluga pružanja informacija o računu i institucija za elektronički novac trebalo zahtijevati da izvješćuju o svim operativnim ili sigurnosnim incidentima povezanima s plaćanjem, o kojima se prethodno izvješćivalo na temelju Direktive (EU) 2015/2366, neovisno o IKT aspektu incidenta. |
| --- | --- |

(54)

Ovom bi se Uredbom od kreditnih institucija, institucija za platni promet, pružatelja usluga pružanja informacija o računu i institucija za elektronički novac trebalo zahtijevati da izvješćuju o svim operativnim ili sigurnosnim incidentima povezanima s plaćanjem, o kojima se prethodno izvješćivalo na temelju Direktive (EU) 2015/2366, neovisno o IKT aspektu incidenta.

| (55) | Europska nadzorna tijela trebala bi imati zadaću procjene izvedivosti i uvjeta za moguću centralizaciju izvješćâ o IKT incidentima na razini Unije. Takva centralizacija mogla bi se sastojati od jedinstvenog EU-ova centra za izvješćivanje o značajnim IKT incidentima koji izravno prima relevantna izvješća i automatski obavješćuje nacionalna nadležna tijela, ili samo centralizira relevantna izvješća koja dostavljaju nacionalna nadležna tijela i time ispunjava koordinacijsku ulogu. Europska nadzorna tijela trebala bi imati zadaću pripreme, uz savjetovanje s ESB-om i ENISA-om, zajedničkog izvješća u kojem se razmatra izvedivost uspostave jedinstvenog EU-ova centra. |
| --- | --- |

(55)

Europska nadzorna tijela trebala bi imati zadaću procjene izvedivosti i uvjeta za moguću centralizaciju izvješćâ o IKT incidentima na razini Unije. Takva centralizacija mogla bi se sastojati od jedinstvenog EU-ova centra za izvješćivanje o značajnim IKT incidentima koji izravno prima relevantna izvješća i automatski obavješćuje nacionalna nadležna tijela, ili samo centralizira relevantna izvješća koja dostavljaju nacionalna nadležna tijela i time ispunjava koordinacijsku ulogu. Europska nadzorna tijela trebala bi imati zadaću pripreme, uz savjetovanje s ESB-om i ENISA-om, zajedničkog izvješća u kojem se razmatra izvedivost uspostave jedinstvenog EU-ova centra.

| (56) | Kako bi postigli visoku razinu digitalne operativne otpornosti te u skladu i s relevantnim međunarodnim standardima (npr. dokument skupine G-7 „Fundamental Elements for Threat-Led Penetration Testing” (Temeljni elementi za penetracijska testiranja vođena prijetnjama)) i s okvirima koji se primjenjuju u Uniji, kao što je TIBER-EU, financijski subjekti trebali bi redovito testirati svoje sustave IKT-a i osoblje koje ima odgovornosti u pogledu IKT-a s obzirom na djelotvornost njihovih sposobnosti za sprečavanje, otkrivanje, odgovor i oporavak radi otkrivanja i uklanjanja mogućih ranjivosti u području IKT-a. Kako bi se odrazile razlike koje postoje u pogledu razine pripravnosti financijskih subjekata u području kibersigurnosti među različitim financijskim podsektorima, i unutar njih, testiranje bi trebalo uključivati širok raspon alata i mjera, koji se proteže od procjene osnovnih zahtjeva (npr. procjene i skeniranja ranjivosti, analize javno dostupnih izvora, procjene mrežne sigurnosti, analize odstupanja, preispitivanja fizičke sigurnosti, upitnici i softverska rješenja za skeniranje, preispitivanja izvornog koda ako je to izvedivo, testiranja na temelju scenarija, testiranja kompatibilnosti, testiranja performansi ili integralno testiranje) do naprednijeg testiranja na temelju penetracijskog testiranja vođenog prijetnjama (TLPT). Takvo napredno testiranje trebalo bi zahtijevati samo od financijskih subjekata koji su iz perspektive IKT-a dostatno zreli da ga u razumnoj mjeri mogu provesti. Testiranje digitalne operativne otpornosti koje se zahtijeva ovom Uredbom trebalo bi tako biti zahtjevnije za one financijske subjekte koji ispunjavaju kriterije utvrđene u ovoj Uredbi (na primjer kreditne institucije koje su velike, sistemski značajne i zrele kad je riječ o IKT-u, burze, središnji depozitoriji vrijednosnih papira i središnje druge ugovorne strane) nego za druge financijske subjekte. Istodobno bi testiranje digitalne operativne otpornosti na temelju TLPT-a trebalo biti relevantnije za financijske subjekte koji posluju u podsektorima ključnih financijskih usluga i imaju sistemsku ulogu (na primjer plaćanja, bankarstvo te kliring i namira), a manje relevantno za druge podsektore (na primjer upravitelji imovine i agencije za kreditni rejting). |
| --- | --- |

(56)

Kako bi postigli visoku razinu digitalne operativne otpornosti te u skladu i s relevantnim međunarodnim standardima (npr. dokument skupine G-7 „Fundamental Elements for Threat-Led Penetration Testing” (Temeljni elementi za penetracijska testiranja vođena prijetnjama)) i s okvirima koji se primjenjuju u Uniji, kao što je TIBER-EU, financijski subjekti trebali bi redovito testirati svoje sustave IKT-a i osoblje koje ima odgovornosti u pogledu IKT-a s obzirom na djelotvornost njihovih sposobnosti za sprečavanje, otkrivanje, odgovor i oporavak radi otkrivanja i uklanjanja mogućih ranjivosti u području IKT-a. Kako bi se odrazile razlike koje postoje u pogledu razine pripravnosti financijskih subjekata u području kibersigurnosti među različitim financijskim podsektorima, i unutar njih, testiranje bi trebalo uključivati širok raspon alata i mjera, koji se proteže od procjene osnovnih zahtjeva (npr. procjene i skeniranja ranjivosti, analize javno dostupnih izvora, procjene mrežne sigurnosti, analize odstupanja, preispitivanja fizičke sigurnosti, upitnici i softverska rješenja za skeniranje, preispitivanja izvornog koda ako je to izvedivo, testiranja na temelju scenarija, testiranja kompatibilnosti, testiranja performansi ili integralno testiranje) do naprednijeg testiranja na temelju penetracijskog testiranja vođenog prijetnjama (TLPT). Takvo napredno testiranje trebalo bi zahtijevati samo od financijskih subjekata koji su iz perspektive IKT-a dostatno zreli da ga u razumnoj mjeri mogu provesti. Testiranje digitalne operativne otpornosti koje se zahtijeva ovom Uredbom trebalo bi tako biti zahtjevnije za one financijske subjekte koji ispunjavaju kriterije utvrđene u ovoj Uredbi (na primjer kreditne institucije koje su velike, sistemski značajne i zrele kad je riječ o IKT-u, burze, središnji depozitoriji vrijednosnih papira i središnje druge ugovorne strane) nego za druge financijske subjekte. Istodobno bi testiranje digitalne operativne otpornosti na temelju TLPT-a trebalo biti relevantnije za financijske subjekte koji posluju u podsektorima ključnih financijskih usluga i imaju sistemsku ulogu (na primjer plaćanja, bankarstvo te kliring i namira), a manje relevantno za druge podsektore (na primjer upravitelji imovine i agencije za kreditni rejting).

| (57) | Financijski subjekti koji su uključeni u prekogranične aktivnosti i ostvaruju slobodu poslovnog nastana, ili slobodu pružanja usluga u Uniji, trebali bi ispunjavati jedinstvene zahtjeve naprednog testiranja (npr. TLPT) u svojoj matičnoj državi članici, koje bi trebalo uključivati infrastrukture IKT-a u svim jurisdikcijama u kojima prekogranična financijska grupa posluje u Uniji, čime bi se takvim prekograničnim financijskim grupama omogućilo da troškove testiranja povezane s IKT-om snose samo u jednoj jurisdikciji. |
| --- | --- |

(57)

Financijski subjekti koji su uključeni u prekogranične aktivnosti i ostvaruju slobodu poslovnog nastana, ili slobodu pružanja usluga u Uniji, trebali bi ispunjavati jedinstvene zahtjeve naprednog testiranja (npr. TLPT) u svojoj matičnoj državi članici, koje bi trebalo uključivati infrastrukture IKT-a u svim jurisdikcijama u kojima prekogranična financijska grupa posluje u Uniji, čime bi se takvim prekograničnim financijskim grupama omogućilo da troškove testiranja povezane s IKT-om snose samo u jednoj jurisdikciji.

| (58) | Kako bi se iskoristilo stručno znanje koje su stekla određena nadležna tijela, osobito u pogledu provedbe okvira TIBER–EU, ovom bi se Uredbom državama članicama trebalo omogućiti da imenuju jedinstveno tijelo javne vlasti koje je na nacionalnoj razini u financijskom sektoru odgovorno za sva pitanja povezana s TLPT-om, ili nadležna tijela, koja, u slučaju da takvo imenovanje nije provedeno, delegiraju izvršavanje zadaća povezanih s TLPT-om drugom nacionalnom financijskom nadležnom tijelu. |
| --- | --- |

(58)

Kako bi se iskoristilo stručno znanje koje su stekla određena nadležna tijela, osobito u pogledu provedbe okvira TIBER–EU, ovom bi se Uredbom državama članicama trebalo omogućiti da imenuju jedinstveno tijelo javne vlasti koje je na nacionalnoj razini u financijskom sektoru odgovorno za sva pitanja povezana s TLPT-om, ili nadležna tijela, koja, u slučaju da takvo imenovanje nije provedeno, delegiraju izvršavanje zadaća povezanih s TLPT-om drugom nacionalnom financijskom nadležnom tijelu.

| (59) | Budući da se ovom Uredbom od financijskih subjekata ne zahtijeva da sve ključne ili važne funkcije obuhvate jedinstvenim penetracijskim testom vođenim prijetnjama, financijski subjekti trebali bi moći slobodno odrediti koje bi i koliko ključnih ili važnih funkcija trebalo obuhvatiti takvim testom. |
| --- | --- |

(59)

Budući da se ovom Uredbom od financijskih subjekata ne zahtijeva da sve ključne ili važne funkcije obuhvate jedinstvenim penetracijskim testom vođenim prijetnjama, financijski subjekti trebali bi moći slobodno odrediti koje bi i koliko ključnih ili važnih funkcija trebalo obuhvatiti takvim testom.

| (60) | Skupno testiranje u smislu ove Uredbe, koje uključuje sudjelovanje nekoliko financijskih subjekata u TLPT-u i za koje treća strana pružatelj IKT usluga može izravno sklopiti ugovorne aranžmane s vanjskim provoditeljem testiranja, trebalo bi biti dopušteno samo ako se očekuje negativan utjecaj na kvalitetu ili sigurnost usluga koje treća strana pružatelj IKT usluga pruža klijentima koji su subjekti koji nisu obuhvaćeni područjem primjene ove Uredbe ili povjerljivost podataka povezanih s takvim uslugama. Skupno testiranje trebalo bi podlijegati i zaštitnim mjerama (pod vodstvom jednog imenovanog financijskog subjekta i uz utvrđivanje broja financijskih subjekata sudionika) kako bi se osigurao rigorozan postupak testiranja za uključene financijske subjekte koji ispunjavaju ciljeve TLPT-a na temelju ove Uredbe. |
| --- | --- |

(60)

Skupno testiranje u smislu ove Uredbe, koje uključuje sudjelovanje nekoliko financijskih subjekata u TLPT-u i za koje treća strana pružatelj IKT usluga može izravno sklopiti ugovorne aranžmane s vanjskim provoditeljem testiranja, trebalo bi biti dopušteno samo ako se očekuje negativan utjecaj na kvalitetu ili sigurnost usluga koje treća strana pružatelj IKT usluga pruža klijentima koji su subjekti koji nisu obuhvaćeni područjem primjene ove Uredbe ili povjerljivost podataka povezanih s takvim uslugama. Skupno testiranje trebalo bi podlijegati i zaštitnim mjerama (pod vodstvom jednog imenovanog financijskog subjekta i uz utvrđivanje broja financijskih subjekata sudionika) kako bi se osigurao rigorozan postupak testiranja za uključene financijske subjekte koji ispunjavaju ciljeve TLPT-a na temelju ove Uredbe.

| (61) | Kako bi se iskoristili unutarnji resursi dostupni na korporativnoj razini, ovom bi se Uredbom trebala omogućiti upotreba unutarnjih provoditelja testiranja za potrebe provedbe TLPT-a, pod uvjetom da postoji odobrenje nadzornih tijela, da nema sukoba interesa i da se provode periodične izmjene upotrebe unutarnjih i vanjskih provoditelja testiranja (svaka tri testa), pri čemu se zahtijeva da pružatelj saznanja o prijetnjama u TLPT-u nikad ne smije biti dio financijskog subjekta. Financijski subjekt trebao bi u punoj mjeri ostati odgovoran za provedbu TLPT-a. Potvrde koje izdaju tijela trebale bi služiti isključivo u svrhu uzajamnog priznavanja te se njima ne bi smjelo isključivati eventualne daljnje mjere potrebne za nošenje s IKT rizikom kojem je financijski subjekt izložen niti bi ih trebalo smatrati odobrenjem nadzornih tijela u pogledu sposobnosti financijskog subjekta za upravljanje IKT rizicima i njihovo ublažavanje. |
| --- | --- |

(61)

Kako bi se iskoristili unutarnji resursi dostupni na korporativnoj razini, ovom bi se Uredbom trebala omogućiti upotreba unutarnjih provoditelja testiranja za potrebe provedbe TLPT-a, pod uvjetom da postoji odobrenje nadzornih tijela, da nema sukoba interesa i da se provode periodične izmjene upotrebe unutarnjih i vanjskih provoditelja testiranja (svaka tri testa), pri čemu se zahtijeva da pružatelj saznanja o prijetnjama u TLPT-u nikad ne smije biti dio financijskog subjekta. Financijski subjekt trebao bi u punoj mjeri ostati odgovoran za provedbu TLPT-a. Potvrde koje izdaju tijela trebale bi služiti isključivo u svrhu uzajamnog priznavanja te se njima ne bi smjelo isključivati eventualne daljnje mjere potrebne za nošenje s IKT rizikom kojem je financijski subjekt izložen niti bi ih trebalo smatrati odobrenjem nadzornih tijela u pogledu sposobnosti financijskog subjekta za upravljanje IKT rizicima i njihovo ublažavanje.

| (62) | Kako bi se u financijskom sektoru osiguralo pouzdano praćenje IKT rizika povezanog s trećim stranama, potrebno je utvrditi skup pravila utemeljenih na načelima radi pružanja smjernica financijskim subjektima pri praćenju rizika koji nastaje u kontekstu funkcija eksternaliziranih trećim stranama pružateljima IKT usluga, osobito za IKT usluge kojima se podupiru ključne ili važne funkcije, kao i općenitije u kontekstu svih ovisnosti o trećim stranama u području IKT-a. |
| --- | --- |

(62)

Kako bi se u financijskom sektoru osiguralo pouzdano praćenje IKT rizika povezanog s trećim stranama, potrebno je utvrditi skup pravila utemeljenih na načelima radi pružanja smjernica financijskim subjektima pri praćenju rizika koji nastaje u kontekstu funkcija eksternaliziranih trećim stranama pružateljima IKT usluga, osobito za IKT usluge kojima se podupiru ključne ili važne funkcije, kao i općenitije u kontekstu svih ovisnosti o trećim stranama u području IKT-a.

| (63) | Kako bi se uvažila složenost različitih izvora IKT rizika, uzimajući u obzir brojnost i raznolikost pružatelja tehnoloških rješenja koja omogućuju neometano pružanje financijskih usluga, ovom bi Uredbom trebalo obuhvatiti širok raspon trećih strana pružatelja IKT usluga, uključujući pružatelje usluga računalstva u oblaku, softvera, usluga analize podataka i pružatelje usluga podatkovnog centra. Slično tome, budući da bi financijski subjekti trebali djelotvorno i dosljedno utvrđivati sve vrste rizika i upravljati njima, među ostalim i u kontekstu IKT usluga nabavljenih unutar financijske grupe, trebalo bi pojasniti da bi se društva koja su dio financijske grupe te pružaju IKT usluge uglavnom svojem matičnom društvu ili društvima kćerima ili podružnicama svojeg matičnog društva, kao i financijski subjekti koji pružaju IKT usluge drugim financijskim subjektima, također trebala smatrati pružateljima IKT usluga na temelju ove Uredbe. Naposljetku, s obzirom na to da evoluirajuće tržište platnih usluga postaje sve ovisnije o složenim tehničkim rješenjima te s obzirom na nove vrste platnih usluga i rješenja povezanih s plaćanjem, sudionike u ekosustavu platnih usluga, koji osiguravaju aktivnosti obrade plaćanja ili upravljaju infrastrukturama platnog prometa, također bi trebalo smatrati trećim stranama pružateljima IKT usluga na temelju ove Uredbe, uz iznimku središnjih banaka kad upravljaju platnim sustavima ili sustavima namire vrijednosnih papira te tijela javne vlasti kad pružaju IKT usluge u kontekstu izvršavanja državnih funkcija. |
| --- | --- |

(63)

Kako bi se uvažila složenost različitih izvora IKT rizika, uzimajući u obzir brojnost i raznolikost pružatelja tehnoloških rješenja koja omogućuju neometano pružanje financijskih usluga, ovom bi Uredbom trebalo obuhvatiti širok raspon trećih strana pružatelja IKT usluga, uključujući pružatelje usluga računalstva u oblaku, softvera, usluga analize podataka i pružatelje usluga podatkovnog centra. Slično tome, budući da bi financijski subjekti trebali djelotvorno i dosljedno utvrđivati sve vrste rizika i upravljati njima, među ostalim i u kontekstu IKT usluga nabavljenih unutar financijske grupe, trebalo bi pojasniti da bi se društva koja su dio financijske grupe te pružaju IKT usluge uglavnom svojem matičnom društvu ili društvima kćerima ili podružnicama svojeg matičnog društva, kao i financijski subjekti koji pružaju IKT usluge drugim financijskim subjektima, također trebala smatrati pružateljima IKT usluga na temelju ove Uredbe. Naposljetku, s obzirom na to da evoluirajuće tržište platnih usluga postaje sve ovisnije o složenim tehničkim rješenjima te s obzirom na nove vrste platnih usluga i rješenja povezanih s plaćanjem, sudionike u ekosustavu platnih usluga, koji osiguravaju aktivnosti obrade plaćanja ili upravljaju infrastrukturama platnog prometa, također bi trebalo smatrati trećim stranama pružateljima IKT usluga na temelju ove Uredbe, uz iznimku središnjih banaka kad upravljaju platnim sustavima ili sustavima namire vrijednosnih papira te tijela javne vlasti kad pružaju IKT usluge u kontekstu izvršavanja državnih funkcija.

| (64) | Financijski subjekt trebao bi u svakom trenutku ostati potpuno odgovoran za ispunjenje svojih obveza utvrđenih u ovoj Uredbi. Financijski subjekti trebali bi primijeniti proporcionalan pristup praćenju rizika koji se javljaju na razini trećih strana pružatelja IKT usluga, vodeći računa o prirodi, opsegu, složenosti i važnosti svojih ovisnosti u području IKT-a, ključnosti ili važnosti usluga, procesa ili funkcija koje podliježu ugovornim aranžmanima i, u konačnici, na temelju detaljne procjene mogućeg učinka na kontinuitet i kvalitetu financijskih usluga na pojedinačnoj razini i na razini grupe, ovisno o slučaju. |
| --- | --- |

(64)

Financijski subjekt trebao bi u svakom trenutku ostati potpuno odgovoran za ispunjenje svojih obveza utvrđenih u ovoj Uredbi. Financijski subjekti trebali bi primijeniti proporcionalan pristup praćenju rizika koji se javljaju na razini trećih strana pružatelja IKT usluga, vodeći računa o prirodi, opsegu, složenosti i važnosti svojih ovisnosti u području IKT-a, ključnosti ili važnosti usluga, procesa ili funkcija koje podliježu ugovornim aranžmanima i, u konačnici, na temelju detaljne procjene mogućeg učinka na kontinuitet i kvalitetu financijskih usluga na pojedinačnoj razini i na razini grupe, ovisno o slučaju.

| (65) | Provedba takvog praćenja trebala bi se odvijati u skladu sa strateškim pristupom IKT riziku povezanom s trećim stranama koji je upravljačko tijelo financijskog subjekta formaliziralo donošenjem namjenske strategije o IKT riziku povezanom s trećim stranama, a koja se temelji na kontinuiranoj dubinskoj analizi svih ovisnosti o trećim stranama u području IKT-a. Kako bi se unaprijedila razina osviještenosti nadzornih tijela o ovisnostima o trećim stranama u području IKT-a te dodatno podupro rad u kontekstu nadzornog okvira uspostavljenog ovom Uredbom, trebalo bi zahtijevati od svih financijskih subjekata da vode registar informacija o svim ugovornim aranžmanima za upotrebu IKT usluga koje pružaju treće strane pružatelji IKT usluga. Financijska nadzorna tijela trebala bi moći zatražiti cijeli registar ili određene dijelove tog registra te tako dobiti ključne informacije za stjecanje šireg razumijevanja ovisnosti koje financijski subjekti imaju u području IKT-a. |
| --- | --- |

(65)

Provedba takvog praćenja trebala bi se odvijati u skladu sa strateškim pristupom IKT riziku povezanom s trećim stranama koji je upravljačko tijelo financijskog subjekta formaliziralo donošenjem namjenske strategije o IKT riziku povezanom s trećim stranama, a koja se temelji na kontinuiranoj dubinskoj analizi svih ovisnosti o trećim stranama u području IKT-a. Kako bi se unaprijedila razina osviještenosti nadzornih tijela o ovisnostima o trećim stranama u području IKT-a te dodatno podupro rad u kontekstu nadzornog okvira uspostavljenog ovom Uredbom, trebalo bi zahtijevati od svih financijskih subjekata da vode registar informacija o svim ugovornim aranžmanima za upotrebu IKT usluga koje pružaju treće strane pružatelji IKT usluga. Financijska nadzorna tijela trebala bi moći zatražiti cijeli registar ili određene dijelove tog registra te tako dobiti ključne informacije za stjecanje šireg razumijevanja ovisnosti koje financijski subjekti imaju u području IKT-a.

| (66) | Formalno sklapanje ugovornih aranžmana trebalo bi se temeljiti na detaljnoj prethodnoj predugovornoj analizi, osobito usmjeravanjem na elemente kao što su ključnost ili važnost usluga koje se podupiru predviđenim ugovorom o IKT-u, potrebna odobrenja nadzornih tijela ili drugi uvjeti, mogući povezani koncentracijski rizik, te primjenom dubinske analize u postupku odabira i procjene trećih strana pružatelja IKT usluga i procjenom potencijalnih sukoba interesa. Kad je riječ o ugovornim aranžmanima koji se odnose na ključne ili važne funkcije, financijski subjekti trebali bi razmotriti upotrebljavaju li treće strane pružatelji IKT usluga najnovije i najviše standarde informacijske sigurnosti. Raskid ugovornih aranžmana mogao bi nastupiti barem zbog niza okolnosti koje ukazuju na nedostatke na razini treće strane pružatelja IKT usluga, osobito u smislu znatnih kršenja zakona ili ugovornih uvjeta, okolnosti koje ukazuju na moguću promjenu u obavljanju funkcija predviđenih u ugovornim aranžmanima, dokaza o slabostima treće strane pružatelja IKT usluga u općem upravljanju IKT rizicima, ili okolnosti koje upućuju na nemogućnost relevantnog nadležnog tijela da djelotvorno nadzire financijski subjekt. |
| --- | --- |

(66)

Formalno sklapanje ugovornih aranžmana trebalo bi se temeljiti na detaljnoj prethodnoj predugovornoj analizi, osobito usmjeravanjem na elemente kao što su ključnost ili važnost usluga koje se podupiru predviđenim ugovorom o IKT-u, potrebna odobrenja nadzornih tijela ili drugi uvjeti, mogući povezani koncentracijski rizik, te primjenom dubinske analize u postupku odabira i procjene trećih strana pružatelja IKT usluga i procjenom potencijalnih sukoba interesa. Kad je riječ o ugovornim aranžmanima koji se odnose na ključne ili važne funkcije, financijski subjekti trebali bi razmotriti upotrebljavaju li treće strane pružatelji IKT usluga najnovije i najviše standarde informacijske sigurnosti. Raskid ugovornih aranžmana mogao bi nastupiti barem zbog niza okolnosti koje ukazuju na nedostatke na razini treće strane pružatelja IKT usluga, osobito u smislu znatnih kršenja zakona ili ugovornih uvjeta, okolnosti koje ukazuju na moguću promjenu u obavljanju funkcija predviđenih u ugovornim aranžmanima, dokaza o slabostima treće strane pružatelja IKT usluga u općem upravljanju IKT rizicima, ili okolnosti koje upućuju na nemogućnost relevantnog nadležnog tijela da djelotvorno nadzire financijski subjekt.

| (67) | Kako bi se ublažio sistemski učinak koncentracijskog IKT rizika povezanog s trećim stranama, ovom se Uredbom promiče uravnoteženo rješenje primjenom fleksibilnog i postupnog pristupa takvom koncentracijskom riziku jer bi nametanje bilo kakvih strogih gornjih vrijednosti ili strogih ograničenja moglo ometati poslovanje i ograničiti ugovornu slobodu. Financijski subjekti trebali bi temeljito procijeniti svoje predviđene ugovorne aranžmane kako bi utvrdili vjerojatnost pojave takvog rizika, među ostalim i s pomoću dubinskih analiza podugovornih aranžmana, osobito kad se sklapaju s trećim stranama pružateljima IKT usluga s poslovnim nastanom u trećoj zemlji. U toj fazi i u cilju postizanja pravedne ravnoteže između nužnog očuvanja ugovorne slobode i jamčenja financijske stabilnosti smatra se da nije primjereno utvrditi pravila o strogim gornjim vrijednostima i ograničenja za izloženosti trećim stranama u području IKT-a. U kontekstu nadzornog okvira glavno nadzorno tijelo imenovano na temelju ove Uredbe trebalo bi, u pogledu ključnih trećih strana pružatelja IKT usluga, posebnu pozornost posvetiti potpunom razumijevanju razmjera međuovisnosti, otkriti konkretne slučajeve u kojima je vjerojatno da će visok stupanj koncentracije ključnih trećih strana pružatelja IKT usluga opteretiti stabilnost i cjelovitost financijskog sustava Unije te održavati dijalog s ključnim trećim stranama pružateljima IKT usluga kad se taj konkretan rizik utvrdi. |
| --- | --- |

(67)

Kako bi se ublažio sistemski učinak koncentracijskog IKT rizika povezanog s trećim stranama, ovom se Uredbom promiče uravnoteženo rješenje primjenom fleksibilnog i postupnog pristupa takvom koncentracijskom riziku jer bi nametanje bilo kakvih strogih gornjih vrijednosti ili strogih ograničenja moglo ometati poslovanje i ograničiti ugovornu slobodu. Financijski subjekti trebali bi temeljito procijeniti svoje predviđene ugovorne aranžmane kako bi utvrdili vjerojatnost pojave takvog rizika, među ostalim i s pomoću dubinskih analiza podugovornih aranžmana, osobito kad se sklapaju s trećim stranama pružateljima IKT usluga s poslovnim nastanom u trećoj zemlji. U toj fazi i u cilju postizanja pravedne ravnoteže između nužnog očuvanja ugovorne slobode i jamčenja financijske stabilnosti smatra se da nije primjereno utvrditi pravila o strogim gornjim vrijednostima i ograničenja za izloženosti trećim stranama u području IKT-a. U kontekstu nadzornog okvira glavno nadzorno tijelo imenovano na temelju ove Uredbe trebalo bi, u pogledu ključnih trećih strana pružatelja IKT usluga, posebnu pozornost posvetiti potpunom razumijevanju razmjera međuovisnosti, otkriti konkretne slučajeve u kojima je vjerojatno da će visok stupanj koncentracije ključnih trećih strana pružatelja IKT usluga opteretiti stabilnost i cjelovitost financijskog sustava Unije te održavati dijalog s ključnim trećim stranama pružateljima IKT usluga kad se taj konkretan rizik utvrdi.

| (68) | Kako bi se redovito evaluirala i pratila sposobnost treće strane pružatelja IKT usluga da sigurno pruža usluge financijskom subjektu bez negativnih učinaka na digitalnu operativnu otpornost financijskog subjekta, trebalo bi uskladiti nekoliko ključnih ugovornih elemenata s trećim stranama pružateljima IKT usluga. Takvim usklađivanjem trebalo bi obuhvatiti minimalna područja koja su ključna kako bi se financijskom subjektu omogućilo potpuno praćenje rizika koji bi mogli nastati od treće strane pružatelja IKT usluga, iz perspektive potrebe financijskog subjekta da osigura svoju digitalnu otpornost jer uvelike ovisi o stabilnosti, funkcionalnosti, dostupnosti i sigurnosti IKT usluga koje prima. |
| --- | --- |

(68)

Kako bi se redovito evaluirala i pratila sposobnost treće strane pružatelja IKT usluga da sigurno pruža usluge financijskom subjektu bez negativnih učinaka na digitalnu operativnu otpornost financijskog subjekta, trebalo bi uskladiti nekoliko ključnih ugovornih elemenata s trećim stranama pružateljima IKT usluga. Takvim usklađivanjem trebalo bi obuhvatiti minimalna područja koja su ključna kako bi se financijskom subjektu omogućilo potpuno praćenje rizika koji bi mogli nastati od treće strane pružatelja IKT usluga, iz perspektive potrebe financijskog subjekta da osigura svoju digitalnu otpornost jer uvelike ovisi o stabilnosti, funkcionalnosti, dostupnosti i sigurnosti IKT usluga koje prima.

| (69) | Pri ponovnom pregovaranju o ugovornim aranžmanima radi usklađivanja sa zahtjevima iz ove Uredbe, financijski subjekti i treće strane pružatelji IKT usluga trebali bi osigurati da budu obuhvaćene ključne ugovorne odredbe kako je predviđeno u ovoj Uredbi. |
| --- | --- |

(69)

Pri ponovnom pregovaranju o ugovornim aranžmanima radi usklađivanja sa zahtjevima iz ove Uredbe, financijski subjekti i treće strane pružatelji IKT usluga trebali bi osigurati da budu obuhvaćene ključne ugovorne odredbe kako je predviđeno u ovoj Uredbi.

| (70) | Definicija „ključne ili važne funkcije” predviđena u ovoj Uredbi obuhvaća „ključne funkcije” kako su definirane u članku 2. stavku 1. točki 35. Direktive 2014/59/EU Europskog parlamenta i Vijeća (20). U skladu s tim, funkcije koje se smatraju ključnima na temelju Direktive 2014/59/EU uključene su u definiciju ključnih funkcija u smislu ove Uredbe. |
| --- | --- |

(70)

Definicija „ključne ili važne funkcije” predviđena u ovoj Uredbi obuhvaća „ključne funkcije” kako su definirane u članku 2. stavku 1. točki 35. Direktive 2014/59/EU Europskog parlamenta i Vijeća (20). U skladu s tim, funkcije koje se smatraju ključnima na temelju Direktive 2014/59/EU uključene su u definiciju ključnih funkcija u smislu ove Uredbe.

| (71) | Neovisno o ključnosti ili važnosti funkcije koja se podupire IKT uslugama, ugovornim aranžmanima posebno bi trebalo predvidjeti specifikaciju potpunih opisa funkcija i usluga, lokacija na kojima se takve funkcije pružaju i na kojima treba obrađivati podatke, kao i navođenje opisa razina usluge. Drugi ključni elementi za omogućavanje financijskom subjektu da prati IKT rizik povezan s trećim stranama su: ugovorne odredbe kojima se propisuje način na koji treća strana pružatelj IKT usluga treba osigurati pristupačnost, dostupnost, cjelovitost, sigurnost i zaštitu osobnih podataka; odredbe kojima se utvrđuju relevantna jamstva za omogućivanje pristupa, oporavka i povrata podataka u slučaju nesolventnosti, sanacije ili prekida poslovanja treće strane pružatelja IKT usluga, kao i odredbe kojima se od treće strane pružatelja IKT usluga zahtijeva da pruži pomoć u slučaju IKT incidenata povezanih s pruženim uslugama, bez dodatnih troškova ili uz ex ante utvrđene troškove; odredbe o obvezi treće strane pružatelja IKT usluga da u potpunosti surađuje s nadležnim i sanacijskim tijelima zaduženima za financijski subjekt; i odredbe o pravima raskida i povezanim minimalnim rokovima za prethodnu obavijest u vezi s raskidom ugovornih aranžmana, u skladu s očekivanjima nadležnih tijela i sanacijskih tijela. |
| --- | --- |

(71)

Neovisno o ključnosti ili važnosti funkcije koja se podupire IKT uslugama, ugovornim aranžmanima posebno bi trebalo predvidjeti specifikaciju potpunih opisa funkcija i usluga, lokacija na kojima se takve funkcije pružaju i na kojima treba obrađivati podatke, kao i navođenje opisa razina usluge. Drugi ključni elementi za omogućavanje financijskom subjektu da prati IKT rizik povezan s trećim stranama su: ugovorne odredbe kojima se propisuje način na koji treća strana pružatelj IKT usluga treba osigurati pristupačnost, dostupnost, cjelovitost, sigurnost i zaštitu osobnih podataka; odredbe kojima se utvrđuju relevantna jamstva za omogućivanje pristupa, oporavka i povrata podataka u slučaju nesolventnosti, sanacije ili prekida poslovanja treće strane pružatelja IKT usluga, kao i odredbe kojima se od treće strane pružatelja IKT usluga zahtijeva da pruži pomoć u slučaju IKT incidenata povezanih s pruženim uslugama, bez dodatnih troškova ili uz ex ante utvrđene troškove; odredbe o obvezi treće strane pružatelja IKT usluga da u potpunosti surađuje s nadležnim i sanacijskim tijelima zaduženima za financijski subjekt; i odredbe o pravima raskida i povezanim minimalnim rokovima za prethodnu obavijest u vezi s raskidom ugovornih aranžmana, u skladu s očekivanjima nadležnih tijela i sanacijskih tijela.

| (72) | Uz takve ugovorne odredbe i kako bi se osiguralo da financijski subjekti zadrže potpunu kontrolu nad svim događajima na razini trećih strana koji bi mogli narušiti njihovu sigurnost u području IKT-a, ugovorima o pružanju IKT usluga kojima se podupiru ključne ili važne funkcije trebalo bi predvidjeti i sljedeće: specifikaciju cjelovitih opisa razina usluge, s preciznim kvantitativnim i kvalitativnim ciljevima uspješnosti, kako bi se bez nepotrebne odgode omogućile odgovarajuće korektivne mjere kad dogovorene razine usluge nisu ispunjene; relevantne rokove za prethodne obavijesti i obveze izvješćivanja koje ima treća strana pružatelj IKT usluga u slučaju razvoja događaja koji bi mogli bitno utjecati na sposobnost treće strane pružatelja IKT usluga da učinkovito pruža svoje dotične IKT usluge; zahtjev da treća strana pružatelj IKT usluga provede i testira planove za nepredvidive situacije u poslovanju i da ima sigurnosne mjere, alate i politike u području IKT-a kojima se omogućuje sigurno pružanje usluga te da sudjeluje i u potpunosti surađuje u TLPT-u koji provodi financijski subjekt. |
| --- | --- |

(72)

Uz takve ugovorne odredbe i kako bi se osiguralo da financijski subjekti zadrže potpunu kontrolu nad svim događajima na razini trećih strana koji bi mogli narušiti njihovu sigurnost u području IKT-a, ugovorima o pružanju IKT usluga kojima se podupiru ključne ili važne funkcije trebalo bi predvidjeti i sljedeće: specifikaciju cjelovitih opisa razina usluge, s preciznim kvantitativnim i kvalitativnim ciljevima uspješnosti, kako bi se bez nepotrebne odgode omogućile odgovarajuće korektivne mjere kad dogovorene razine usluge nisu ispunjene; relevantne rokove za prethodne obavijesti i obveze izvješćivanja koje ima treća strana pružatelj IKT usluga u slučaju razvoja događaja koji bi mogli bitno utjecati na sposobnost treće strane pružatelja IKT usluga da učinkovito pruža svoje dotične IKT usluge; zahtjev da treća strana pružatelj IKT usluga provede i testira planove za nepredvidive situacije u poslovanju i da ima sigurnosne mjere, alate i politike u području IKT-a kojima se omogućuje sigurno pružanje usluga te da sudjeluje i u potpunosti surađuje u TLPT-u koji provodi financijski subjekt.

| (73) | Takvi ugovori o pružanju IKT usluga kojima se podupiru ključne ili važne funkcije trebali bi također sadržavati odredbe kojima se financijskom subjektu ili imenovanoj trećoj strani omogućuje pravo pristupa, pravo inspekcijskog nadzora i pravo revizije te pravo na izradu kopija kao ključnih instrumenata u okviru kontinuiranog praćenja rada treće strane pružatelja IKT usluga od strane financijskih subjekata, kao i potpuna suradnja pružatelja usluga tijekom inspekcijskog nadzora. Slično tome, nadležno tijelo zaduženo za financijski subjekt trebalo bi, na temelju prethodnih obavijesti, imati prava inspekcijskog nadzora i revizije treće strane pružatelja IKT usluga, uz uvažavanje zaštite povjerljivih informacija. |
| --- | --- |

(73)

Takvi ugovori o pružanju IKT usluga kojima se podupiru ključne ili važne funkcije trebali bi također sadržavati odredbe kojima se financijskom subjektu ili imenovanoj trećoj strani omogućuje pravo pristupa, pravo inspekcijskog nadzora i pravo revizije te pravo na izradu kopija kao ključnih instrumenata u okviru kontinuiranog praćenja rada treće strane pružatelja IKT usluga od strane financijskih subjekata, kao i potpuna suradnja pružatelja usluga tijekom inspekcijskog nadzora. Slično tome, nadležno tijelo zaduženo za financijski subjekt trebalo bi, na temelju prethodnih obavijesti, imati prava inspekcijskog nadzora i revizije treće strane pružatelja IKT usluga, uz uvažavanje zaštite povjerljivih informacija.

| (74) | Takvim ugovornim aranžmanima trebale bi se predvidjeti i namjenske izlazne strategije kako bi se osobito omogućila obvezna prijelazna razdoblja tijekom kojih bi treće strane pružatelji IKT usluga trebale nastaviti pružati relevantne usluge u cilju smanjenja rizika od poremećaja na razini financijskog subjekta ili kako bi se tom subjektu omogućilo da se djelotvorno započne koristiti uslugama nekih drugih trećih strana pružatelja IKT usluga ili da se, alternativno, prebaci na interna rješenja, ovisno o složenosti pružene IKT usluge. Nadalje, financijski subjekti obuhvaćeni područjem primjene Direktive 2014/59/EU trebali bi osigurati da relevantni ugovori o IKT uslugama budu pouzdani i u potpunosti izvršivi u slučaju sanacije tih financijskih subjekata. Stoga bi, u skladu s očekivanjima sanacijskih tijela, ti financijski subjekti trebali osigurati otpornost relevantnih ugovora o IKT uslugama u slučaju sanacije. Dok god i dalje ispunjavaju svoje obveze u pogledu plaćanja, ti bi financijski subjekti, uz ostale zahtjeve, trebali osigurati da relevantni ugovori za IKT usluge sadržavaju odredbe prema kojima se ne mogu raskinuti, suspendirati niti izmijeniti zbog restrukturiranja ili sanacije. |
| --- | --- |

(74)

Takvim ugovornim aranžmanima trebale bi se predvidjeti i namjenske izlazne strategije kako bi se osobito omogućila obvezna prijelazna razdoblja tijekom kojih bi treće strane pružatelji IKT usluga trebale nastaviti pružati relevantne usluge u cilju smanjenja rizika od poremećaja na razini financijskog subjekta ili kako bi se tom subjektu omogućilo da se djelotvorno započne koristiti uslugama nekih drugih trećih strana pružatelja IKT usluga ili da se, alternativno, prebaci na interna rješenja, ovisno o složenosti pružene IKT usluge. Nadalje, financijski subjekti obuhvaćeni područjem primjene Direktive 2014/59/EU trebali bi osigurati da relevantni ugovori o IKT uslugama budu pouzdani i u potpunosti izvršivi u slučaju sanacije tih financijskih subjekata. Stoga bi, u skladu s očekivanjima sanacijskih tijela, ti financijski subjekti trebali osigurati otpornost relevantnih ugovora o IKT uslugama u slučaju sanacije. Dok god i dalje ispunjavaju svoje obveze u pogledu plaćanja, ti bi financijski subjekti, uz ostale zahtjeve, trebali osigurati da relevantni ugovori za IKT usluge sadržavaju odredbe prema kojima se ne mogu raskinuti, suspendirati niti izmijeniti zbog restrukturiranja ili sanacije.

| (75) | Nadalje, dobrovoljnom primjenom standardnih ugovornih klauzula koje su razvila tijela javne vlasti ili institucije Unije, posebno upotrebom ugovornih klauzula koje je Komisija razvila za usluge računalstva u oblaku, moglo bi se dodatno ojačati povjerenje financijskih subjekata i trećih strana pružatelja IKT usluga jer bi se povećao stupanj pravne sigurnosti u pogledu upotrebe usluga računalstva u oblaku u financijskom sektoru, što je u potpunosti u skladu sa zahtjevima i očekivanjima utvrđenima pravom Unije o financijskim uslugama. Razvoj standardnih ugovornih klauzula temelji se na mjerama koje su već predviđene Akcijskim planom za financijske tehnologije (2018.) u kojem je najavljeno da Komisija namjerava poticati i olakšati izradu standardnih ugovornih odredbi za financijske subjekte koji eksternaliziraju poslove pružateljima usluga računalstva u oblaku, oslanjajući se pritom na međusektorske napore dionika u području usluga računalstva u oblaku, uz posredovanje Komisije i sudjelovanje financijskog sektora. |
| --- | --- |

(75)

Nadalje, dobrovoljnom primjenom standardnih ugovornih klauzula koje su razvila tijela javne vlasti ili institucije Unije, posebno upotrebom ugovornih klauzula koje je Komisija razvila za usluge računalstva u oblaku, moglo bi se dodatno ojačati povjerenje financijskih subjekata i trećih strana pružatelja IKT usluga jer bi se povećao stupanj pravne sigurnosti u pogledu upotrebe usluga računalstva u oblaku u financijskom sektoru, što je u potpunosti u skladu sa zahtjevima i očekivanjima utvrđenima pravom Unije o financijskim uslugama. Razvoj standardnih ugovornih klauzula temelji se na mjerama koje su već predviđene Akcijskim planom za financijske tehnologije (2018.) u kojem je najavljeno da Komisija namjerava poticati i olakšati izradu standardnih ugovornih odredbi za financijske subjekte koji eksternaliziraju poslove pružateljima usluga računalstva u oblaku, oslanjajući se pritom na međusektorske napore dionika u području usluga računalstva u oblaku, uz posredovanje Komisije i sudjelovanje financijskog sektora.

| (76) | Ključne treće strane pružatelje IKT usluga trebalo bi obuhvatiti nadzornim okvirom Unije kako bi se promicali konvergencija i učinkovitost u pogledu pristupa nadzornih tijela u nošenju s IKT rizikom povezanim s trećim stranama u financijskom sektoru te jačala digitalna operativna otpornost financijskih subjekata koji se za IKT usluge kojima se podupire pružanje financijskih usluga oslanjaju na ključne treće strane pružatelje IKT usluga i kako bi se time doprinijelo očuvanju stabilnosti financijskog sustava Unije i cjelovitosti unutarnjeg tržišta za financijske usluge. Iako opravdanost uspostave nadzornog okvira proizlazi iz dodane vrijednosti poduzimanja mjera na razini Unije i suštinske uloge i posebnosti upotrebe IKT usluga u pružanju financijskih usluga, istodobno bi trebalo podsjetiti da se to rješenje čini prikladnim samo u kontekstu ove Uredbe koja se konkretno odnosi na digitalnu operativnu otpornost u financijskom sektoru. Međutim, takav nadzorni okvir ne bi se trebao smatrati novim modelom nadzora na razini Unije u drugim područjima financijskih usluga i aktivnosti. |
| --- | --- |

(76)

Ključne treće strane pružatelje IKT usluga trebalo bi obuhvatiti nadzornim okvirom Unije kako bi se promicali konvergencija i učinkovitost u pogledu pristupa nadzornih tijela u nošenju s IKT rizikom povezanim s trećim stranama u financijskom sektoru te jačala digitalna operativna otpornost financijskih subjekata koji se za IKT usluge kojima se podupire pružanje financijskih usluga oslanjaju na ključne treće strane pružatelje IKT usluga i kako bi se time doprinijelo očuvanju stabilnosti financijskog sustava Unije i cjelovitosti unutarnjeg tržišta za financijske usluge. Iako opravdanost uspostave nadzornog okvira proizlazi iz dodane vrijednosti poduzimanja mjera na razini Unije i suštinske uloge i posebnosti upotrebe IKT usluga u pružanju financijskih usluga, istodobno bi trebalo podsjetiti da se to rješenje čini prikladnim samo u kontekstu ove Uredbe koja se konkretno odnosi na digitalnu operativnu otpornost u financijskom sektoru. Međutim, takav nadzorni okvir ne bi se trebao smatrati novim modelom nadzora na razini Unije u drugim područjima financijskih usluga i aktivnosti.

| (77) | Nadzorni okvir trebao bi se primjenjivati samo na ključne treće strane pružatelje IKT usluga. Stoga bi trebao postojati mehanizam imenovanja kako bi se u obzir uzeli dimenzija i priroda oslanjanja financijskog sektora na takve treće strane pružatelje IKT usluga. Taj mehanizam trebao bi obuhvaćati skup kvantitativnih i kvalitativnih kriterija za utvrđivanje parametara ključnosti kao osnove za uključivanje u nadzorni okvir. Kako bi se osigurala točnost te procjene i neovisno o korporativnoj strukturi treće strane pružatelja IKT usluga, takvim bi se kriterijima, u slučaju treće strane pružatelja IKT usluga koja je dio šire grupe, trebala uzeti u obzir cjelokupna struktura grupe u kojoj je treća strana pružatelja IKT usluga. S jedne strane, ključne treće strane pružatelji IKT usluga koje nisu automatski određene na temelju primjene tih kriterija trebale bi imati mogućnost dobrovoljnog sudjelovanja u nadzornom okviru, dok bi, s druge strane, treće strane pružatelji IKT usluga koje već podliježu okvirima nadzornog mehanizma kojima se podupire ispunjavanje zadaća Europskog sustava središnjih banaka, kako je navedeno u članku 127. stavku 2. UFEU-a, trebale biti izuzete. |
| --- | --- |

(77)

Nadzorni okvir trebao bi se primjenjivati samo na ključne treće strane pružatelje IKT usluga. Stoga bi trebao postojati mehanizam imenovanja kako bi se u obzir uzeli dimenzija i priroda oslanjanja financijskog sektora na takve treće strane pružatelje IKT usluga. Taj mehanizam trebao bi obuhvaćati skup kvantitativnih i kvalitativnih kriterija za utvrđivanje parametara ključnosti kao osnove za uključivanje u nadzorni okvir. Kako bi se osigurala točnost te procjene i neovisno o korporativnoj strukturi treće strane pružatelja IKT usluga, takvim bi se kriterijima, u slučaju treće strane pružatelja IKT usluga koja je dio šire grupe, trebala uzeti u obzir cjelokupna struktura grupe u kojoj je treća strana pružatelja IKT usluga. S jedne strane, ključne treće strane pružatelji IKT usluga koje nisu automatski određene na temelju primjene tih kriterija trebale bi imati mogućnost dobrovoljnog sudjelovanja u nadzornom okviru, dok bi, s druge strane, treće strane pružatelji IKT usluga koje već podliježu okvirima nadzornog mehanizma kojima se podupire ispunjavanje zadaća Europskog sustava središnjih banaka, kako je navedeno u članku 127. stavku 2. UFEU-a, trebale biti izuzete.

| (78) | Slično tome, financijski subjekti koji pružaju IKT usluge drugim financijskim subjektima, iako pripadaju kategoriji trećih strana pružatelja IKT usluga na temelju ove Uredbe, također bi trebali biti izuzeti iz nadzornog okvira jer već podliježu nadzornim mehanizmima uspostavljenima relevantnim pravom Unije o financijskim uslugama. Ako je to primjenjivo, nadležna tijela trebala bi u kontekstu svojih nadzornih aktivnosti uzeti u obzir IKT rizik koji financijski subjekti koji pružaju IKT usluge predstavljaju za financijske subjekte. Isto tako, zbog postojećih mehanizama za praćenje rizika na razini grupe isto bi izuzeće trebalo uvesti za treće strane pružatelje IKT usluga koji uglavnom pružaju usluge subjektima iz svoje grupe. Treće strane pružatelji IKT usluga koje IKT usluge pružaju isključivo u jednoj državi članici financijskim subjektima koji posluju samo u toj državi članici također bi zbog svojih ograničenih aktivnosti i izostanka prekograničnog učinka trebali biti izuzeti od mehanizma imenovanja. |
| --- | --- |

(78)

Slično tome, financijski subjekti koji pružaju IKT usluge drugim financijskim subjektima, iako pripadaju kategoriji trećih strana pružatelja IKT usluga na temelju ove Uredbe, također bi trebali biti izuzeti iz nadzornog okvira jer već podliježu nadzornim mehanizmima uspostavljenima relevantnim pravom Unije o financijskim uslugama. Ako je to primjenjivo, nadležna tijela trebala bi u kontekstu svojih nadzornih aktivnosti uzeti u obzir IKT rizik koji financijski subjekti koji pružaju IKT usluge predstavljaju za financijske subjekte. Isto tako, zbog postojećih mehanizama za praćenje rizika na razini grupe isto bi izuzeće trebalo uvesti za treće strane pružatelje IKT usluga koji uglavnom pružaju usluge subjektima iz svoje grupe. Treće strane pružatelji IKT usluga koje IKT usluge pružaju isključivo u jednoj državi članici financijskim subjektima koji posluju samo u toj državi članici također bi zbog svojih ograničenih aktivnosti i izostanka prekograničnog učinka trebali biti izuzeti od mehanizma imenovanja.

| (79) | Digitalna transformacija u području financijskih usluga dovela je do nezapamćenih razmjera upotrebe IKT usluga i oslanjanja na njih. Budući da je pružanje financijskih usluga bez upotrebe usluga računalstva u oblaku, softverskih rješenja i usluga povezanih s podacima postalo nezamislivo, financijski ekosustav Unije postao je suštinski ovisan o određenim IKT uslugama koje pružaju pružatelji IKT usluga. Neki od tih pružatelja inovatori su u razvoju i primjeni tehnologija temeljenih na IKT-u i imaju važnu ulogu u pružanju financijskih usluga ili su se integrirali u vrijednosni lanac financijskih usluga. Time su postali ključni za stabilnost i cjelovitost financijskog sustava Unije. To široko oslanjanje na usluge koje pružaju ključne treće strane pružatelji IKT usluga, u kombinaciji s međuovisnošću informacijskih sustava različitih tržišnih subjekata, stvara izravan i potencijalno ozbiljan rizik za sustav financijskih usluga Unije i kontinuitet pružanja financijskih usluga ako na ključne treće strane pružatelje IKT usluga utječu operativni poremećaji ili značajni kiberincidenti. Kiberincidenti se u financijskom sustavu mogu umnožavati i širiti znatno brže od drugih vrsta rizika koji se prate u financijskom sektoru te se mogu proširiti među sektorima i preko zemljopisnih granica. Mogu prerasti u sistemsku krizu koja narušava povjerenje u financijski sustav zbog poremećaja u funkcijama kojima se podupire realno gospodarstvo ili zbog znatnih financijskih gubitaka na razini koju financijski sustav ne može podnijeti ili koja zahtijeva uvođenje mjera za ublažavanje teških šokova. Kako bi se spriječilo ostvarivanje tih scenarija i ugrožavanje financijske stabilnosti i cjelovitosti Unije, izuzetno je važno osigurati konvergenciju nadzornih praksi u vezi s IKT rizikom povezanim s trećim stranama u području financija, osobito s pomoću novih pravila kojima se omogućuje nadzor Unije nad ključnim trećim stranama pružateljima IKT usluga. |
| --- | --- |

(79)

Digitalna transformacija u području financijskih usluga dovela je do nezapamćenih razmjera upotrebe IKT usluga i oslanjanja na njih. Budući da je pružanje financijskih usluga bez upotrebe usluga računalstva u oblaku, softverskih rješenja i usluga povezanih s podacima postalo nezamislivo, financijski ekosustav Unije postao je suštinski ovisan o određenim IKT uslugama koje pružaju pružatelji IKT usluga. Neki od tih pružatelja inovatori su u razvoju i primjeni tehnologija temeljenih na IKT-u i imaju važnu ulogu u pružanju financijskih usluga ili su se integrirali u vrijednosni lanac financijskih usluga. Time su postali ključni za stabilnost i cjelovitost financijskog sustava Unije. To široko oslanjanje na usluge koje pružaju ključne treće strane pružatelji IKT usluga, u kombinaciji s međuovisnošću informacijskih sustava različitih tržišnih subjekata, stvara izravan i potencijalno ozbiljan rizik za sustav financijskih usluga Unije i kontinuitet pružanja financijskih usluga ako na ključne treće strane pružatelje IKT usluga utječu operativni poremećaji ili značajni kiberincidenti. Kiberincidenti se u financijskom sustavu mogu umnožavati i širiti znatno brže od drugih vrsta rizika koji se prate u financijskom sektoru te se mogu proširiti među sektorima i preko zemljopisnih granica. Mogu prerasti u sistemsku krizu koja narušava povjerenje u financijski sustav zbog poremećaja u funkcijama kojima se podupire realno gospodarstvo ili zbog znatnih financijskih gubitaka na razini koju financijski sustav ne može podnijeti ili koja zahtijeva uvođenje mjera za ublažavanje teških šokova. Kako bi se spriječilo ostvarivanje tih scenarija i ugrožavanje financijske stabilnosti i cjelovitosti Unije, izuzetno je važno osigurati konvergenciju nadzornih praksi u vezi s IKT rizikom povezanim s trećim stranama u području financija, osobito s pomoću novih pravila kojima se omogućuje nadzor Unije nad ključnim trećim stranama pružateljima IKT usluga.

| (80) | Nadzorni okvir uvelike ovisi o stupnju suradnje između glavnog nadzornog tijela i ključne treće strane pružatelja IKT usluga koja financijskim subjektima pruža usluge koje utječu na pružanje financijskih usluga. Uspješan nadzor temelji se, među ostalim, na sposobnosti glavnog nadzornog tijela da djelotvorno provodi misije praćenja i inspekcijski nadzor radi procjene pravila, kontrola i procesa koje upotrebljavaju ključne treće strane pružatelji IKT usluga te radi procjene mogućeg kumulativnog učinka njihovih aktivnosti na financijsku stabilnost i cjelovitost financijskog sustava. Istodobno je od presudne važnosti da ključne treće strane pružatelji IKT usluga slijede preporuke glavnog nadzornog tijela i otklone njegove bojazni. Budući da bi izostanak suradnje ključne treće strane pružatelja IKT usluga koja pruža usluge koje utječu na pružanje financijskih usluga, kao što je odbijanje davanja pristupa njezinim prostorima ili odbijanje pružanja informacija, u konačnici lišio glavno nadzorno tijelo njegovih ključnih alata za procjenu IKT rizika povezanog s trećim stranama te bi mogao negativno utjecati na financijsku stabilnost i cjelovitost financijskog sustava, potrebno je predvidjeti i razmjeran sustav sankcija. |
| --- | --- |

(80)

Nadzorni okvir uvelike ovisi o stupnju suradnje između glavnog nadzornog tijela i ključne treće strane pružatelja IKT usluga koja financijskim subjektima pruža usluge koje utječu na pružanje financijskih usluga. Uspješan nadzor temelji se, među ostalim, na sposobnosti glavnog nadzornog tijela da djelotvorno provodi misije praćenja i inspekcijski nadzor radi procjene pravila, kontrola i procesa koje upotrebljavaju ključne treće strane pružatelji IKT usluga te radi procjene mogućeg kumulativnog učinka njihovih aktivnosti na financijsku stabilnost i cjelovitost financijskog sustava. Istodobno je od presudne važnosti da ključne treće strane pružatelji IKT usluga slijede preporuke glavnog nadzornog tijela i otklone njegove bojazni. Budući da bi izostanak suradnje ključne treće strane pružatelja IKT usluga koja pruža usluge koje utječu na pružanje financijskih usluga, kao što je odbijanje davanja pristupa njezinim prostorima ili odbijanje pružanja informacija, u konačnici lišio glavno nadzorno tijelo njegovih ključnih alata za procjenu IKT rizika povezanog s trećim stranama te bi mogao negativno utjecati na financijsku stabilnost i cjelovitost financijskog sustava, potrebno je predvidjeti i razmjeran sustav sankcija.

| (81) | U tom kontekstu, potreba glavnog nadzornog tijela da izrekne novčane kazne kako bi ključne treće strane pružatelje IKT usluga primoralo na poštovanje obveza u pogledu transparentnosti i pristupa utvrđenih u ovoj Uredbi ne bi trebala biti ugrožena zbog poteškoća koje proizlaze iz izvršenja tih novčanih kazni u odnosu na ključne treće strane pružatelje IKT usluga s poslovnim nastanom u trećim zemljama. Kako bi se osigurala izvršivost takvih kazni i omogućilo brzo uvođenje postupaka za očuvanje pravâ ključnih trećih strana pružatelja IKT usluga na obranu u kontekstu mehanizma imenovanja te izdavanja preporuka, od tih ključnih trećih strana pružatelja IKT usluga, koje financijskim subjektima pružaju usluge koje utječu na pružanje financijskih usluga, trebalo bi zahtijevati da održavaju odgovarajuću poslovnu prisutnost u Uniji. Zbog prirode nadzora i nepostojanja usporedivih aranžmana u drugim jurisdikcijama ne postoje prikladni alternativni mehanizmi kojima bi se taj cilj osigurao djelotvornom suradnjom s financijskim nadzornim tijelima u trećim zemljama u pogledu praćenja učinka digitalnih operativnih rizika koje predstavljaju sistemske treće strane pružatelji IKT usluga koje se smatraju ključnim trećim stranama pružateljima IKT usluga s poslovnim nastanom u trećim zemljama. Kako bi stoga nastavila pružati IKT usluge financijskim subjektima u Uniji, treća strana pružatelj IKT usluga s poslovnim nastanom u trećoj zemlji koja je imenovana kao ključna u skladu s ovom Uredbom trebala bi u roku od 12 mjeseci od takvog imenovanja poduzeti sve potrebne mjere kako bi osigurala da je osnovana u Uniji, i to tako da uspostavi društvo kći, kako je definirano u pravnoj stečevini Unije, odnosno u Direktivi 2013/34/EU Europskog parlamenta i Vijeća (21). |
| --- | --- |

(81)

U tom kontekstu, potreba glavnog nadzornog tijela da izrekne novčane kazne kako bi ključne treće strane pružatelje IKT usluga primoralo na poštovanje obveza u pogledu transparentnosti i pristupa utvrđenih u ovoj Uredbi ne bi trebala biti ugrožena zbog poteškoća koje proizlaze iz izvršenja tih novčanih kazni u odnosu na ključne treće strane pružatelje IKT usluga s poslovnim nastanom u trećim zemljama. Kako bi se osigurala izvršivost takvih kazni i omogućilo brzo uvođenje postupaka za očuvanje pravâ ključnih trećih strana pružatelja IKT usluga na obranu u kontekstu mehanizma imenovanja te izdavanja preporuka, od tih ključnih trećih strana pružatelja IKT usluga, koje financijskim subjektima pružaju usluge koje utječu na pružanje financijskih usluga, trebalo bi zahtijevati da održavaju odgovarajuću poslovnu prisutnost u Uniji. Zbog prirode nadzora i nepostojanja usporedivih aranžmana u drugim jurisdikcijama ne postoje prikladni alternativni mehanizmi kojima bi se taj cilj osigurao djelotvornom suradnjom s financijskim nadzornim tijelima u trećim zemljama u pogledu praćenja učinka digitalnih operativnih rizika koje predstavljaju sistemske treće strane pružatelji IKT usluga koje se smatraju ključnim trećim stranama pružateljima IKT usluga s poslovnim nastanom u trećim zemljama. Kako bi stoga nastavila pružati IKT usluge financijskim subjektima u Uniji, treća strana pružatelj IKT usluga s poslovnim nastanom u trećoj zemlji koja je imenovana kao ključna u skladu s ovom Uredbom trebala bi u roku od 12 mjeseci od takvog imenovanja poduzeti sve potrebne mjere kako bi osigurala da je osnovana u Uniji, i to tako da uspostavi društvo kći, kako je definirano u pravnoj stečevini Unije, odnosno u Direktivi 2013/34/EU Europskog parlamenta i Vijeća (21).

| (82) | Zahtjev da osnuje društvo kći u Uniji ne bi trebao spriječiti ključnu treću stranu pružatelja IKT usluga da pruža IKT usluge i povezanu tehničku potporu iz objekata i infrastrukture koji se nalaze izvan Unije. Ovom se Uredbom ne bi trebala nametati obveza u pogledu lokalizacije podataka jer se njome ne zahtijeva pohrana ili obrada podataka u Uniji. |
| --- | --- |

(82)

Zahtjev da osnuje društvo kći u Uniji ne bi trebao spriječiti ključnu treću stranu pružatelja IKT usluga da pruža IKT usluge i povezanu tehničku potporu iz objekata i infrastrukture koji se nalaze izvan Unije. Ovom se Uredbom ne bi trebala nametati obveza u pogledu lokalizacije podataka jer se njome ne zahtijeva pohrana ili obrada podataka u Uniji.

| (83) | Ključne treće strane pružatelji IKT usluga trebale bi moći pružati IKT usluge iz bilo kojeg dijela svijeta, ne nužno ili ne samo iz prostora koji se nalaze u Uniji. Aktivnosti nadzora prvo bi se trebale provoditi u prostorima koji se nalaze u Uniji i interakcijom sa subjektima koji se nalaze u Uniji, uključujući društva kćeri koja su osnovale ključne treće strane pružatelji IKT usluga na temelju ove Uredbe. Međutim, takva djelovanja unutar Unije mogla bi biti nedostatna da bi se glavnom nadzornom tijelu omogućilo da u potpunosti i djelotvorno obavlja svoje zadaće na temelju ove Uredbe. Glavno nadzorno tijelo stoga bi također trebalo moći izvršavati svoje relevantne nadzorne ovlasti u trećim zemljama. Izvršavanje tih ovlasti u trećim zemljama trebalo bi omogućiti glavnom nadzornom tijelu da ispita objekte iz kojih ključna treća strana pružatelj IKT usluga pruža IKT usluge ili usluge tehničke podrške, odnosno takvim uslugama upravlja, te bi glavnom nadzornom tijelu trebalo omogućiti sveobuhvatno i operativno razumijevanje upravljanja IKT rizicima koje provodi ključna treća strana pružatelj IKT usluga. Mogućnost da glavno nadzorno tijelo, kao agencija Unije, izvršava ovlasti izvan područja Unije trebala bi biti propisno uređena relevantnim uvjetima, posebno privolom dotične ključne treće strane pružatelja IKT usluga. Slično tome, relevantna tijela treće zemlje trebala bi biti obaviještena o izvršavanju aktivnosti glavnog nadzornog tijela na njihovu državnom području te se takvom izvršavanju aktivnosti ne bi smjela usprotiviti. Međutim, kako bi se osigurala učinkovita provedba i ne dovodeći u pitanje odgovarajuće nadležnosti institucija Unije i država članica, takve se ovlasti također trebaju u potpunosti temeljiti na sklapanju aranžmana za administrativnu suradnju s relevantnim tijelima dotične treće zemlje. Ovom bi se Uredbom stoga europskim nadzornim tijelima trebalo omogućiti sklapanje aranžmana za administrativnu suradnju s relevantnim tijelima trećih zemalja, čime se ne bi trebale stvarati nikakve druge pravne obveze u odnosu na Uniju i njezine države članice. |
| --- | --- |

(83)

Ključne treće strane pružatelji IKT usluga trebale bi moći pružati IKT usluge iz bilo kojeg dijela svijeta, ne nužno ili ne samo iz prostora koji se nalaze u Uniji. Aktivnosti nadzora prvo bi se trebale provoditi u prostorima koji se nalaze u Uniji i interakcijom sa subjektima koji se nalaze u Uniji, uključujući društva kćeri koja su osnovale ključne treće strane pružatelji IKT usluga na temelju ove Uredbe. Međutim, takva djelovanja unutar Unije mogla bi biti nedostatna da bi se glavnom nadzornom tijelu omogućilo da u potpunosti i djelotvorno obavlja svoje zadaće na temelju ove Uredbe. Glavno nadzorno tijelo stoga bi također trebalo moći izvršavati svoje relevantne nadzorne ovlasti u trećim zemljama. Izvršavanje tih ovlasti u trećim zemljama trebalo bi omogućiti glavnom nadzornom tijelu da ispita objekte iz kojih ključna treća strana pružatelj IKT usluga pruža IKT usluge ili usluge tehničke podrške, odnosno takvim uslugama upravlja, te bi glavnom nadzornom tijelu trebalo omogućiti sveobuhvatno i operativno razumijevanje upravljanja IKT rizicima koje provodi ključna treća strana pružatelj IKT usluga. Mogućnost da glavno nadzorno tijelo, kao agencija Unije, izvršava ovlasti izvan područja Unije trebala bi biti propisno uređena relevantnim uvjetima, posebno privolom dotične ključne treće strane pružatelja IKT usluga. Slično tome, relevantna tijela treće zemlje trebala bi biti obaviještena o izvršavanju aktivnosti glavnog nadzornog tijela na njihovu državnom području te se takvom izvršavanju aktivnosti ne bi smjela usprotiviti. Međutim, kako bi se osigurala učinkovita provedba i ne dovodeći u pitanje odgovarajuće nadležnosti institucija Unije i država članica, takve se ovlasti također trebaju u potpunosti temeljiti na sklapanju aranžmana za administrativnu suradnju s relevantnim tijelima dotične treće zemlje. Ovom bi se Uredbom stoga europskim nadzornim tijelima trebalo omogućiti sklapanje aranžmana za administrativnu suradnju s relevantnim tijelima trećih zemalja, čime se ne bi trebale stvarati nikakve druge pravne obveze u odnosu na Uniju i njezine države članice.

| (84) | Kako bi se olakšala komunikacija s glavnim nadzornim tijelom i osiguralo odgovarajuće zastupanje, ključne treće strane pružatelji IKT usluga koji su dio grupe trebali bi imenovati jednu pravnu osobu kao svoju koordinacijsku točku. |
| --- | --- |

(84)

Kako bi se olakšala komunikacija s glavnim nadzornim tijelom i osiguralo odgovarajuće zastupanje, ključne treće strane pružatelji IKT usluga koji su dio grupe trebali bi imenovati jednu pravnu osobu kao svoju koordinacijsku točku.

| (85) | Nadzornim okvirom ne bi se trebala dovoditi u pitanje nadležnost država članica da provode vlastite misije nadzora ili praćenja trećih strana pružatelja IKT usluga koje nisu imenovane kao ključne na temelju ove Uredbe, ali se smatraju važnima na nacionalnoj razini. |
| --- | --- |

(85)

Nadzornim okvirom ne bi se trebala dovoditi u pitanje nadležnost država članica da provode vlastite misije nadzora ili praćenja trećih strana pružatelja IKT usluga koje nisu imenovane kao ključne na temelju ove Uredbe, ali se smatraju važnima na nacionalnoj razini.

| (86) | Kako bi se iskoristila višeslojna institucionalna struktura u području financijskih usluga, Zajednički odbor europskih nadzornih tijela trebao bi nastaviti osiguravati opću međusektorsku koordinaciju u vezi sa svim pitanjima koja se odnose na IKT rizik, u skladu sa svojim zadaćama u području kibersigurnosti. Potporu bi mu trebao pružati novi pododbor („Nadzorni forum”) koji obavlja pripremne radnje kako za pojedinačne odluke upućene ključnim trećim stranama pružateljima IKT usluga tako i za izdavanje zajedničkih preporuka, osobito u odnosu na usporednu analizu programâ nadzora ključnih trećih strana pružatelja IKT usluga i utvrđivanje najboljih praksi za rješavanje pitanjâ koncentracijskog IKT rizika. |
| --- | --- |

(86)

Kako bi se iskoristila višeslojna institucionalna struktura u području financijskih usluga, Zajednički odbor europskih nadzornih tijela trebao bi nastaviti osiguravati opću međusektorsku koordinaciju u vezi sa svim pitanjima koja se odnose na IKT rizik, u skladu sa svojim zadaćama u području kibersigurnosti. Potporu bi mu trebao pružati novi pododbor („Nadzorni forum”) koji obavlja pripremne radnje kako za pojedinačne odluke upućene ključnim trećim stranama pružateljima IKT usluga tako i za izdavanje zajedničkih preporuka, osobito u odnosu na usporednu analizu programâ nadzora ključnih trećih strana pružatelja IKT usluga i utvrđivanje najboljih praksi za rješavanje pitanjâ koncentracijskog IKT rizika.

| (87) | Kako bi se osigurao primjeren i djelotvoran nadzor nad ključnim trećim stranama pružateljima IKT usluga na razini Unije, ovom se Uredbom predviđa da bi se bilo koje od triju europskih nadzornih tijela moglo imenovati glavnim nadzornim tijelom. Pojedinačna dodjela ključne treće strane pružatelja IKT usluga jednom od triju europskih nadzornih tijela trebala bi biti rezultat procjene prevlasti financijskih subjekata koji posluju u financijskim sektorima za koje je to europsko nadzorno tijelo odgovorno. Taj bi pristup trebao dovesti do uravnotežene raspodjele zadaća i odgovornosti među trima europskim nadzornim tijelima u kontekstu izvršavanja nadzornih funkcija te bi se u okviru njega na najbolji način trebali iskoristiti ljudski resursi i tehničko stručno znanje kojim raspolaže svako od triju europskih nadzornih tijela. |
| --- | --- |

(87)

Kako bi se osigurao primjeren i djelotvoran nadzor nad ključnim trećim stranama pružateljima IKT usluga na razini Unije, ovom se Uredbom predviđa da bi se bilo koje od triju europskih nadzornih tijela moglo imenovati glavnim nadzornim tijelom. Pojedinačna dodjela ključne treće strane pružatelja IKT usluga jednom od triju europskih nadzornih tijela trebala bi biti rezultat procjene prevlasti financijskih subjekata koji posluju u financijskim sektorima za koje je to europsko nadzorno tijelo odgovorno. Taj bi pristup trebao dovesti do uravnotežene raspodjele zadaća i odgovornosti među trima europskim nadzornim tijelima u kontekstu izvršavanja nadzornih funkcija te bi se u okviru njega na najbolji način trebali iskoristiti ljudski resursi i tehničko stručno znanje kojim raspolaže svako od triju europskih nadzornih tijela.

| (88) | Glavnim nadzornim tijelima trebalo bi dodijeliti potrebne ovlasti za provedbu istraga, obavljanje izravnog i neizravnog inspekcijskog nadzora u prostorima i na lokacijama ključnih trećih strana pružatelja IKT usluga te za dobivanje potpunih i ažuriranih informacija. Tim bi se ovlastima glavnom nadzornom tijelu trebalo omogućiti da stekne stvaran uvid u vrstu, dimenziju i učinak IKT rizika povezanog s trećim stranama za financijske subjekte i, u konačnici, za financijski sustav Unije. Povjeravanje uloge glavnog nadzora europskim nadzornim tijelima preduvjet je za razumijevanje i rješavanje pitanja sistemske dimenzije IKT rizika u području financija. Učinak ključnih trećih strana pružatelja IKT usluga na financijski sektor Unije i mogući problemi uzrokovani povezanim koncentracijskim IKT rizikom iziskuju zajednički pristup na razini Unije. Istodobna provedba višestrukih revizija i prava pristupa, koje bi zasebno provodila brojna nadležna tijela uz malu ili nikakvu međusobnu koordinaciju, spriječila bi financijska nadzorna tijela da dobiju potpun i sveobuhvatan pregled IKT rizika povezanog s trećim stranama u Uniji te bi ujedno dovela do redundantnosti, opterećenja i složenosti za ključne treće strane pružatelje IKT usluga ako bi podlijegale brojnim zahtjevima u pogledu praćenja i inspekcijskog nadzora. |
| --- | --- |

(88)

Glavnim nadzornim tijelima trebalo bi dodijeliti potrebne ovlasti za provedbu istraga, obavljanje izravnog i neizravnog inspekcijskog nadzora u prostorima i na lokacijama ključnih trećih strana pružatelja IKT usluga te za dobivanje potpunih i ažuriranih informacija. Tim bi se ovlastima glavnom nadzornom tijelu trebalo omogućiti da stekne stvaran uvid u vrstu, dimenziju i učinak IKT rizika povezanog s trećim stranama za financijske subjekte i, u konačnici, za financijski sustav Unije. Povjeravanje uloge glavnog nadzora europskim nadzornim tijelima preduvjet je za razumijevanje i rješavanje pitanja sistemske dimenzije IKT rizika u području financija. Učinak ključnih trećih strana pružatelja IKT usluga na financijski sektor Unije i mogući problemi uzrokovani povezanim koncentracijskim IKT rizikom iziskuju zajednički pristup na razini Unije. Istodobna provedba višestrukih revizija i prava pristupa, koje bi zasebno provodila brojna nadležna tijela uz malu ili nikakvu međusobnu koordinaciju, spriječila bi financijska nadzorna tijela da dobiju potpun i sveobuhvatan pregled IKT rizika povezanog s trećim stranama u Uniji te bi ujedno dovela do redundantnosti, opterećenja i složenosti za ključne treće strane pružatelje IKT usluga ako bi podlijegale brojnim zahtjevima u pogledu praćenja i inspekcijskog nadzora.

| (89) | Budući da imenovanje trećih strana pružatelja IKT usluga kao ključnih ima znatan učinak, ovom bi se Uredbom trebalo osigurati poštovanje prava ključnih trećih strana pružatelja IKT usluga tijekom provedbe cijelog nadzornog okvira. Prije nego što budu imenovani kao ključni, takvi bi pružatelji trebali, na primjer, imati pravo glavnom nadzornom tijelu dostaviti obrazloženu izjavu koja sadržava sve relevantne informacije u svrhu procjene povezane s njihovim imenovanjem. Budući da bi glavno nadzorno tijelo trebalo ovlastiti za podnošenje preporuka o pitanjima IKT rizika i odgovarajućim korektivnim mjerama, što uključuje ovlast za protivljenje određenim ugovornim aranžmanima koji u konačnici utječu na stabilnost financijskog subjekta ili financijskog sustava, ključnim trećim stranama pružateljima IKT usluga trebalo bi omogućiti da prije finalizacije tih preporuka dostave objašnjenja o očekivanom učinku rješenja predviđenih u preporukama na klijente koji su subjekti koji nisu obuhvaćeni područjem primjene ove Uredbe te da osmisle rješenja za ublažavanje rizika. Ključne treće strane pružatelji IKT usluga koje se ne slažu s preporukama trebale bi dostaviti obrazloženo objašnjenje svoje namjere da ne prihvate preporuku. Ako se takvo obrazloženo objašnjenje ne dostavi ili se smatra nedostatnim, glavno nadzorno tijelo trebalo bi objaviti obavijest sa sažetim opisom neusklađenosti. |
| --- | --- |

(89)

Budući da imenovanje trećih strana pružatelja IKT usluga kao ključnih ima znatan učinak, ovom bi se Uredbom trebalo osigurati poštovanje prava ključnih trećih strana pružatelja IKT usluga tijekom provedbe cijelog nadzornog okvira. Prije nego što budu imenovani kao ključni, takvi bi pružatelji trebali, na primjer, imati pravo glavnom nadzornom tijelu dostaviti obrazloženu izjavu koja sadržava sve relevantne informacije u svrhu procjene povezane s njihovim imenovanjem. Budući da bi glavno nadzorno tijelo trebalo ovlastiti za podnošenje preporuka o pitanjima IKT rizika i odgovarajućim korektivnim mjerama, što uključuje ovlast za protivljenje određenim ugovornim aranžmanima koji u konačnici utječu na stabilnost financijskog subjekta ili financijskog sustava, ključnim trećim stranama pružateljima IKT usluga trebalo bi omogućiti da prije finalizacije tih preporuka dostave objašnjenja o očekivanom učinku rješenja predviđenih u preporukama na klijente koji su subjekti koji nisu obuhvaćeni područjem primjene ove Uredbe te da osmisle rješenja za ublažavanje rizika. Ključne treće strane pružatelji IKT usluga koje se ne slažu s preporukama trebale bi dostaviti obrazloženo objašnjenje svoje namjere da ne prihvate preporuku. Ako se takvo obrazloženo objašnjenje ne dostavi ili se smatra nedostatnim, glavno nadzorno tijelo trebalo bi objaviti obavijest sa sažetim opisom neusklađenosti.

| (90) | Nadležna tijela trebala bi u svoje funkcije u pogledu bonitetnog nadzora financijskih subjekata propisno uključiti zadaću provjere sadržajne usklađenosti s preporukama koje je izdalo glavno nadzorno tijelo. Nadležna tijela trebala bi moći zahtijevati od financijskih subjekata da poduzmu dodatne mjere za nošenje s rizicima utvrđenima u preporukama glavnog nadzornog tijela te bi trebala pravodobno izdati obavijesti o tome. Ako glavno nadzorno tijelo uputi preporuke ključnim trećim stranama pružateljima IKT usluga koje su predmet nadzora na temelju Direktive (EU) 2022/2555, nadležna tijela trebala bi se moći, na dobrovoljnoj osnovi i prije donošenja dodatnih mjera, savjetovati s nadležnim tijelima iz te direktive kako bi se poticao koordiniran pristup u postupanju s dotičnim ključnim trećim stranama pružateljima IKT usluga. |
| --- | --- |

(90)

Nadležna tijela trebala bi u svoje funkcije u pogledu bonitetnog nadzora financijskih subjekata propisno uključiti zadaću provjere sadržajne usklađenosti s preporukama koje je izdalo glavno nadzorno tijelo. Nadležna tijela trebala bi moći zahtijevati od financijskih subjekata da poduzmu dodatne mjere za nošenje s rizicima utvrđenima u preporukama glavnog nadzornog tijela te bi trebala pravodobno izdati obavijesti o tome. Ako glavno nadzorno tijelo uputi preporuke ključnim trećim stranama pružateljima IKT usluga koje su predmet nadzora na temelju Direktive (EU) 2022/2555, nadležna tijela trebala bi se moći, na dobrovoljnoj osnovi i prije donošenja dodatnih mjera, savjetovati s nadležnim tijelima iz te direktive kako bi se poticao koordiniran pristup u postupanju s dotičnim ključnim trećim stranama pružateljima IKT usluga.

| (91) | Izvršavanje nadzora trebalo bi se orijentirati prema trima operativnim načelima kojima se nastoji osigurati: (a) blisku koordinaciju među europskim nadzornim tijelima u njihovim ulogama glavnih nadzornih tijela putem Zajedničke nadzorne mreže, (b) usklađenost s okvirom uspostavljenim Direktivom (EU) 2022/2555 (na temelju dobrovoljnog savjetovanja s tijelima iz te direktive kako bi se izbjeglo udvostručavanje mjera usmjerenih na ključne treće strane pružatelje IKT usluga) i (c) dužnu pažnju u svrhu minimiziranja potencijalnog rizika od poremećaja u uslugama koje ključne treće strane pružatelji IKT usluga pružaju klijentima koji su subjekti koji nisu obuhvaćeni područjem primjene ove Uredbe. |
| --- | --- |

(91)

Izvršavanje nadzora trebalo bi se orijentirati prema trima operativnim načelima kojima se nastoji osigurati: (a) blisku koordinaciju među europskim nadzornim tijelima u njihovim ulogama glavnih nadzornih tijela putem Zajedničke nadzorne mreže, (b) usklađenost s okvirom uspostavljenim Direktivom (EU) 2022/2555 (na temelju dobrovoljnog savjetovanja s tijelima iz te direktive kako bi se izbjeglo udvostručavanje mjera usmjerenih na ključne treće strane pružatelje IKT usluga) i (c) dužnu pažnju u svrhu minimiziranja potencijalnog rizika od poremećaja u uslugama koje ključne treće strane pružatelji IKT usluga pružaju klijentima koji su subjekti koji nisu obuhvaćeni područjem primjene ove Uredbe.

| (92) | Nadzornim okvirom ne bi se trebao zamijeniti ni na bilo koji način ni u bilo kojem dijelu nadomjestiti zahtjev da financijski subjekti sami upravljaju rizicima koji proizlaze iz angažiranja trećih strana pružatelja IKT usluga, uključujući njihovu obvezu održavanja stalnog praćenja ugovornih aranžmana sklopljenih s ključnim trećim stranama pružateljima IKT usluga. Isto tako, nadzorni okvir ne bi trebao utjecati na potpunu odgovornost financijskih subjekata za poštovanje i izvršavanje svih pravnih obveza utvrđenih u ovoj Uredbi i u relevantnom pravu o financijskim uslugama. |
| --- | --- |

(92)

Nadzornim okvirom ne bi se trebao zamijeniti ni na bilo koji način ni u bilo kojem dijelu nadomjestiti zahtjev da financijski subjekti sami upravljaju rizicima koji proizlaze iz angažiranja trećih strana pružatelja IKT usluga, uključujući njihovu obvezu održavanja stalnog praćenja ugovornih aranžmana sklopljenih s ključnim trećim stranama pružateljima IKT usluga. Isto tako, nadzorni okvir ne bi trebao utjecati na potpunu odgovornost financijskih subjekata za poštovanje i izvršavanje svih pravnih obveza utvrđenih u ovoj Uredbi i u relevantnom pravu o financijskim uslugama.

| (93) | Kako bi se izbjegla udvostručavanja i preklapanja, nadležna tijela trebala bi se suzdržati od pojedinačnog poduzimanja bilo kakvih mjera usmjerenih na praćenje rizika ključne treće strane pružatelja IKT usluga te bi se u tom pogledu trebala oslanjati na procjenu relevantnog glavnog nadzornog tijela. O svim mjerama trebalo bi se svakako koordinirati i unaprijed ih dogovoriti s glavnim nadzornim tijelom u kontekstu izvršavanja zadaća iz nadzornog okvira. |
| --- | --- |

(93)

Kako bi se izbjegla udvostručavanja i preklapanja, nadležna tijela trebala bi se suzdržati od pojedinačnog poduzimanja bilo kakvih mjera usmjerenih na praćenje rizika ključne treće strane pružatelja IKT usluga te bi se u tom pogledu trebala oslanjati na procjenu relevantnog glavnog nadzornog tijela. O svim mjerama trebalo bi se svakako koordinirati i unaprijed ih dogovoriti s glavnim nadzornim tijelom u kontekstu izvršavanja zadaća iz nadzornog okvira.

| (94) | Kako bi se promicala konvergencija na međunarodnoj razini u pogledu primjene najboljih praksi u preispitivanju i praćenju upravljanja digitalnim rizicima trećih strana pružatelja IKT usluga, europska nadzorna tijela trebalo bi poticati na sklapanje aranžmana za suradnju s relevantnim nadzornim i regulatornim tijelima trećih zemalja. |
| --- | --- |

(94)

Kako bi se promicala konvergencija na međunarodnoj razini u pogledu primjene najboljih praksi u preispitivanju i praćenju upravljanja digitalnim rizicima trećih strana pružatelja IKT usluga, europska nadzorna tijela trebalo bi poticati na sklapanje aranžmana za suradnju s relevantnim nadzornim i regulatornim tijelima trećih zemalja.

| (95) | Kako bi se iskoristile posebne kompetencije, tehničke vještine i stručno znanje osoblja specijaliziranog za operativni i IKT rizik unutar nadležnih tijela, triju europskih nadzornih tijela te, na dobrovoljnoj osnovi, nadležnih tijela iz Direktive (EU) 2022/2555, glavno nadzorno tijelo trebalo bi se oslanjati na nacionalne nadzorne sposobnosti i znanje te osnovati namjenske timove za provjeru za svaku ključnu treću stranu pružatelja IKT usluga, udruživanjem multidisciplinarnih timova za potporu u pripremi i izvršenju nadzornih aktivnosti, uključujući opće istrage i inspekcijski nadzor nad ključnim trećim stranama pružateljima IKT usluga, kao i za sve potrebne daljnje mjere. |
| --- | --- |

(95)

Kako bi se iskoristile posebne kompetencije, tehničke vještine i stručno znanje osoblja specijaliziranog za operativni i IKT rizik unutar nadležnih tijela, triju europskih nadzornih tijela te, na dobrovoljnoj osnovi, nadležnih tijela iz Direktive (EU) 2022/2555, glavno nadzorno tijelo trebalo bi se oslanjati na nacionalne nadzorne sposobnosti i znanje te osnovati namjenske timove za provjeru za svaku ključnu treću stranu pružatelja IKT usluga, udruživanjem multidisciplinarnih timova za potporu u pripremi i izvršenju nadzornih aktivnosti, uključujući opće istrage i inspekcijski nadzor nad ključnim trećim stranama pružateljima IKT usluga, kao i za sve potrebne daljnje mjere.

| (96) | Iako bi se troškovi koji proizlaze iz zadaća nadzora u potpunosti financirali naknadama koje se naplaćuju ključnim trećim stranama pružateljima IKT usluga, europskim nadzornim tijela vjerojatno će, prije početka primjene nadzornog okvira, nastati troškovi implementacije namjenskih IKT sustava na kojima će se temeljiti predstojeći nadzor, s obzirom na činjenicu da bi namjenske IKT sustave trebalo unaprijed razviti i uvesti. Ovom se Uredbom stoga predviđa hibridni model financiranja, pri čemu bi se nadzorni okvir kao takav u potpunosti financirao iz naknada, dok bi se razvoj IKT sustavâ europskih nadzornih tijela financirao iz doprinosâ Unije i nacionalnih nadležnih tijela. |
| --- | --- |

(96)

Iako bi se troškovi koji proizlaze iz zadaća nadzora u potpunosti financirali naknadama koje se naplaćuju ključnim trećim stranama pružateljima IKT usluga, europskim nadzornim tijela vjerojatno će, prije početka primjene nadzornog okvira, nastati troškovi implementacije namjenskih IKT sustava na kojima će se temeljiti predstojeći nadzor, s obzirom na činjenicu da bi namjenske IKT sustave trebalo unaprijed razviti i uvesti. Ovom se Uredbom stoga predviđa hibridni model financiranja, pri čemu bi se nadzorni okvir kao takav u potpunosti financirao iz naknada, dok bi se razvoj IKT sustavâ europskih nadzornih tijela financirao iz doprinosâ Unije i nacionalnih nadležnih tijela.

| (97) | Nadležna tijela trebala bi imati sve potrebne ovlasti nadzora, istrage i sankcioniranja kako bi osigurala pravilno izvršavanje svojih zadaća na temelju ove Uredbe. U načelu bi trebala objavljivati obavijesti o administrativnim kaznama koje izreknu. Budući da financijski subjekti i treće strane pružatelji IKT usluga mogu imati poslovni nastan u različitim državama članicama i biti pod nadzorom različitih nadležnih tijela, primjenu ove Uredbe trebalo bi olakšati, s jedne strane, bliskom suradnjom među relevantnim nadležnim tijelima, uključujući ESB u pogledu posebnih zadaća koje su mu dodijeljene Uredbom Vijeća (EU) br. 1024/2013, i, s druge strane, savjetovanjem s europskim nadzornim tijelima putem uzajamne razmjene informacija i pružanja pomoći u kontekstu relevantnih nadzornih aktivnosti. |
| --- | --- |

(97)

Nadležna tijela trebala bi imati sve potrebne ovlasti nadzora, istrage i sankcioniranja kako bi osigurala pravilno izvršavanje svojih zadaća na temelju ove Uredbe. U načelu bi trebala objavljivati obavijesti o administrativnim kaznama koje izreknu. Budući da financijski subjekti i treće strane pružatelji IKT usluga mogu imati poslovni nastan u različitim državama članicama i biti pod nadzorom različitih nadležnih tijela, primjenu ove Uredbe trebalo bi olakšati, s jedne strane, bliskom suradnjom među relevantnim nadležnim tijelima, uključujući ESB u pogledu posebnih zadaća koje su mu dodijeljene Uredbom Vijeća (EU) br. 1024/2013, i, s druge strane, savjetovanjem s europskim nadzornim tijelima putem uzajamne razmjene informacija i pružanja pomoći u kontekstu relevantnih nadzornih aktivnosti.

| (98) | Kako bi se dodatno kvantificirali i kvalificirali kriteriji za imenovanje trećih strana pružatelja IKT usluga kao ključnih te kako bi se uskladile naknade za nadzor, Komisiji bi trebalo delegirati ovlast za donošenje akata u skladu s člankom 290. UFEU-a kako bi se ova Uredba dopunila dodatnim utvrđivanjem sistemskog učinka koji bi prekid ili operativni ispad treće strane pružatelja IKT usluga mogao imati na financijske subjekte kojima ta treća strana pruža IKT usluge, broja globalnih sistemski važnih institucija (GSV institucija) ili ostalih sistemski važnih institucija (OSV institucija) koje se oslanjaju na dotičnu treću stranu pružatelja IKT usluga, broja trećih strana pružatelja IKT usluga aktivnih na određenom tržištu, troškova migracije podataka i radnog opterećenja u području IKT-a na druge treće strane pružatelje IKT usluga, kao i iznosa naknada za nadzor i načina njihova plaćanja. Posebno je važno da Komisija tijekom svojeg pripremnog rada provede odgovarajuća savjetovanja, uključujući ona na razini stručnjaka, te da se ta savjetovanja provedu u skladu s načelima utvrđenima u Međuinstitucijskom sporazumu o boljoj izradi zakonodavstva od 13. travnja 2016. (22). Osobito, s ciljem osiguravanja ravnopravnog sudjelovanja u pripremi delegiranih akata, Europski parlament i Vijeće trebali bi primiti sve dokumente istodobno kada i stručnjaci iz država članica te bi njihovi stručnjaci sustavno trebali imati pristup sastancima stručnih skupina Komisije koji se odnose na pripremu delegiranih akata. |
| --- | --- |

(98)

Kako bi se dodatno kvantificirali i kvalificirali kriteriji za imenovanje trećih strana pružatelja IKT usluga kao ključnih te kako bi se uskladile naknade za nadzor, Komisiji bi trebalo delegirati ovlast za donošenje akata u skladu s člankom 290. UFEU-a kako bi se ova Uredba dopunila dodatnim utvrđivanjem sistemskog učinka koji bi prekid ili operativni ispad treće strane pružatelja IKT usluga mogao imati na financijske subjekte kojima ta treća strana pruža IKT usluge, broja globalnih sistemski važnih institucija (GSV institucija) ili ostalih sistemski važnih institucija (OSV institucija) koje se oslanjaju na dotičnu treću stranu pružatelja IKT usluga, broja trećih strana pružatelja IKT usluga aktivnih na određenom tržištu, troškova migracije podataka i radnog opterećenja u području IKT-a na druge treće strane pružatelje IKT usluga, kao i iznosa naknada za nadzor i načina njihova plaćanja. Posebno je važno da Komisija tijekom svojeg pripremnog rada provede odgovarajuća savjetovanja, uključujući ona na razini stručnjaka, te da se ta savjetovanja provedu u skladu s načelima utvrđenima u Međuinstitucijskom sporazumu o boljoj izradi zakonodavstva od 13. travnja 2016. (22). Osobito, s ciljem osiguravanja ravnopravnog sudjelovanja u pripremi delegiranih akata, Europski parlament i Vijeće trebali bi primiti sve dokumente istodobno kada i stručnjaci iz država članica te bi njihovi stručnjaci sustavno trebali imati pristup sastancima stručnih skupina Komisije koji se odnose na pripremu delegiranih akata.

| (99) | Regulatornim tehničkim standardima trebalo bi se osigurati dosljedno usklađivanje zahtjeva utvrđenih u ovoj Uredbi. Kao tijela s visokospecijaliziranim stručnim znanjem europska nadzorna tijela trebala bi izraditi nacrt regulatornih tehničkih standarda koji ne uključuje odabire u pogledu politika i dostaviti ga Komisiji. Trebalo bi razviti regulatorne tehničke standarde u područjima upravljanja IKT rizicima, izvješćivanja i testiranja u vezi sa značajnim IKT incidentima te u pogledu ključnih zahtjeva za dobro praćenje IKT rizika povezanog s trećim stranama. Komisija i europska nadzorna tijela trebali bi osigurati da te standarde i zahtjeve mogu primjenjivati svi financijski subjekti na način koji je razmjeran njihovoj veličini i ukupnom profilu rizičnosti te prirodi, opsegu i složenosti njihovih usluga, aktivnosti i poslovanja. Komisija bi trebala biti ovlaštena za donošenje tih regulatornih tehničkih standarda putem delegiranih akata na temelju članka 290. UFEU-a i u skladu s člancima od 10. do 14. Uredbe (EU) br. 1093/2010, Uredbe (EU) br. 1094/2010 i Uredbe (EU) br. 1095/2010. |
| --- | --- |

(99)

Regulatornim tehničkim standardima trebalo bi se osigurati dosljedno usklađivanje zahtjeva utvrđenih u ovoj Uredbi. Kao tijela s visokospecijaliziranim stručnim znanjem europska nadzorna tijela trebala bi izraditi nacrt regulatornih tehničkih standarda koji ne uključuje odabire u pogledu politika i dostaviti ga Komisiji. Trebalo bi razviti regulatorne tehničke standarde u područjima upravljanja IKT rizicima, izvješćivanja i testiranja u vezi sa značajnim IKT incidentima te u pogledu ključnih zahtjeva za dobro praćenje IKT rizika povezanog s trećim stranama. Komisija i europska nadzorna tijela trebali bi osigurati da te standarde i zahtjeve mogu primjenjivati svi financijski subjekti na način koji je razmjeran njihovoj veličini i ukupnom profilu rizičnosti te prirodi, opsegu i složenosti njihovih usluga, aktivnosti i poslovanja. Komisija bi trebala biti ovlaštena za donošenje tih regulatornih tehničkih standarda putem delegiranih akata na temelju članka 290. UFEU-a i u skladu s člancima od 10. do 14. Uredbe (EU) br. 1093/2010, Uredbe (EU) br. 1094/2010 i Uredbe (EU) br. 1095/2010.

| (100) | Kako bi se poboljšala usporedivost izvješćâ o značajnim IKT incidentima i značajnim operativnim incidentima ili sigurnosnim incidentima povezanima s plaćanjem te osigurala transparentnost u pogledu ugovornih aranžmana za upotrebu IKT usluga koje pružaju treće strane pružatelji IKT usluga, europska nadzorna tijela trebala bi izraditi nacrt provedbenih tehničkih standarda kojima se utvrđuju standardizirani predlošci, obrasci i postupci za financijske subjekte za izvješćivanje o značajnom IKT incidentu i značajnom operativnom ili sigurnosnom incidentu povezanom s plaćanjem, kao i standardizirani predlošci za registar informacija. Pri izradi tih standarda europska nadzorna tijela trebala bi uzeti u obzir veličinu i ukupni profil rizičnosti financijskog subjekta te prirodu, opseg i složenost njegovih usluga, aktivnosti i poslovanja. Komisija bi trebala biti ovlaštena za donošenje tih provedbenih tehničkih standarda putem provedbenih akata na temelju članka 291. UFEU-a i u skladu s člankom 15. Uredbe (EU) br. 1093/2010, Uredbe (EU) br. 1094/2010 i Uredbe (EU) br. 1095/2010. |
| --- | --- |

(100)

Kako bi se poboljšala usporedivost izvješćâ o značajnim IKT incidentima i značajnim operativnim incidentima ili sigurnosnim incidentima povezanima s plaćanjem te osigurala transparentnost u pogledu ugovornih aranžmana za upotrebu IKT usluga koje pružaju treće strane pružatelji IKT usluga, europska nadzorna tijela trebala bi izraditi nacrt provedbenih tehničkih standarda kojima se utvrđuju standardizirani predlošci, obrasci i postupci za financijske subjekte za izvješćivanje o značajnom IKT incidentu i značajnom operativnom ili sigurnosnom incidentu povezanom s plaćanjem, kao i standardizirani predlošci za registar informacija. Pri izradi tih standarda europska nadzorna tijela trebala bi uzeti u obzir veličinu i ukupni profil rizičnosti financijskog subjekta te prirodu, opseg i složenost njegovih usluga, aktivnosti i poslovanja. Komisija bi trebala biti ovlaštena za donošenje tih provedbenih tehničkih standarda putem provedbenih akata na temelju članka 291. UFEU-a i u skladu s člankom 15. Uredbe (EU) br. 1093/2010, Uredbe (EU) br. 1094/2010 i Uredbe (EU) br. 1095/2010.

| (101) | Budući da su dodatni zahtjevi već utvrđeni delegiranim i provedbenim aktima na temelju regulatornih i provedbenih tehničkih standarda u uredbama (EZ) br. 1060/2009 (23), (EU) br. 648/2012 (24), (EU) br. 600/2014 (25) i (EU) br. 909/2014 (26) Europskog parlamenta i Vijeća, primjereno je ovlastiti europska nadzorna tijela da zasebno ili zajednički u okviru Zajedničkog odbora podnose Komisiji regulatorne i provedbene tehničke standarde radi donošenja delegiranih i provedbenih akata kojima se prenose i ažuriraju postojeća pravila za upravljanje IKT rizicima. |
| --- | --- |

(101)

Budući da su dodatni zahtjevi već utvrđeni delegiranim i provedbenim aktima na temelju regulatornih i provedbenih tehničkih standarda u uredbama (EZ) br. 1060/2009 (23), (EU) br. 648/2012 (24), (EU) br. 600/2014 (25) i (EU) br. 909/2014 (26) Europskog parlamenta i Vijeća, primjereno je ovlastiti europska nadzorna tijela da zasebno ili zajednički u okviru Zajedničkog odbora podnose Komisiji regulatorne i provedbene tehničke standarde radi donošenja delegiranih i provedbenih akata kojima se prenose i ažuriraju postojeća pravila za upravljanje IKT rizicima.

| (102) | Budući da ova Uredba, zajedno s Direktivom (EU) 2022/2556 Europskog parlamenta i Vijeća (27), uključuje konsolidaciju odredaba o upravljanju IKT rizicima iz više uredbi i direktiva iz pravne stečevine Unije u području financijskih usluga, uključujući uredbe (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014 (EU) i (EU) br. 909/2014 te Uredbu (EU) 2016/1011 Europskog parlamenta i Vijeća (28), kako bi se osigurala potpuna dosljednost navedene bi uredbe trebalo izmijeniti kako bi se pojasnilo da su primjenjive odredbe o IKT rizicima utvrđene u ovoj Uredbi. |
| --- | --- |

(102)

Budući da ova Uredba, zajedno s Direktivom (EU) 2022/2556 Europskog parlamenta i Vijeća (27), uključuje konsolidaciju odredaba o upravljanju IKT rizicima iz više uredbi i direktiva iz pravne stečevine Unije u području financijskih usluga, uključujući uredbe (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014 (EU) i (EU) br. 909/2014 te Uredbu (EU) 2016/1011 Europskog parlamenta i Vijeća (28), kako bi se osigurala potpuna dosljednost navedene bi uredbe trebalo izmijeniti kako bi se pojasnilo da su primjenjive odredbe o IKT rizicima utvrđene u ovoj Uredbi.

| (103) | Stoga bi trebalo suziti područje primjene relevantnih članaka povezanih s operativnim rizikom na temelju kojih se ovlaštenjima utvrđenima u uredbama (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014, (EU) br. 909/2014 i (EU) 2016/1011 predvidjelo donošenje delegiranih i provedbenih akata, kako bi se u ovu Uredbu prenijele sve odredbe koje obuhvaćaju aspekte digitalne operativne otpornosti koji su trenutačno dio tih uredbi. |
| --- | --- |

(103)

Stoga bi trebalo suziti područje primjene relevantnih članaka povezanih s operativnim rizikom na temelju kojih se ovlaštenjima utvrđenima u uredbama (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014, (EU) br. 909/2014 i (EU) 2016/1011 predvidjelo donošenje delegiranih i provedbenih akata, kako bi se u ovu Uredbu prenijele sve odredbe koje obuhvaćaju aspekte digitalne operativne otpornosti koji su trenutačno dio tih uredbi.

| (104) | Potencijalni sistemski kiberrizik povezan s upotrebom IKT infrastruktura koje omogućuju rad platnih sustava i osiguravanje aktivnosti obrade plaćanja trebalo bi na odgovarajući način rješavati na razini Unije usklađenim pravilima o digitalnoj otpornosti. U tu bi svrhu Komisija trebala brzo procijeniti potrebu za preispitivanjem područja primjene ove Uredbe i istodobno uskladiti takvo preispitivanje s ishodom sveobuhvatnog preispitivanja predviđenog Direktivom (EU) 2015/2366. Brojni opsežni napadi tijekom posljednjeg desetljeća pokazuju kako su platni sustavi postali izloženi kiberprijetnjama. Budući da su u središtu lanca platnih usluga i snažno povezani s cjelokupnim financijskim sustavom, platni sustavi i aktivnosti obrade plaćanja postali su izuzetno važni za funkcioniranje financijskih tržišta Unije. Kibernapadi na takve sustave mogu uzrokovati ozbiljne poremećaje u poslovanju i imati izravne posljedice na ključne gospodarske funkcije, kao što je olakšavanje plaćanja, i neizravne učinke na povezane gospodarske procese. Dok se na razini Unije ne uspostave usklađeni režim i nadzor nad operatorima platnih sustava i izvršiteljima obrade, države članice mogu se, u cilju primjene sličnih tržišnih praksi, poslužiti zahtjevima u pogledu digitalne operativne otpornosti utvrđenima ovom Uredbom kad primjenjuju pravila na operatore platnih sustava i izvršitelje obrade koji su predmet nadzora u svojim jurisdikcijama. |
| --- | --- |

(104)

Potencijalni sistemski kiberrizik povezan s upotrebom IKT infrastruktura koje omogućuju rad platnih sustava i osiguravanje aktivnosti obrade plaćanja trebalo bi na odgovarajući način rješavati na razini Unije usklađenim pravilima o digitalnoj otpornosti. U tu bi svrhu Komisija trebala brzo procijeniti potrebu za preispitivanjem područja primjene ove Uredbe i istodobno uskladiti takvo preispitivanje s ishodom sveobuhvatnog preispitivanja predviđenog Direktivom (EU) 2015/2366. Brojni opsežni napadi tijekom posljednjeg desetljeća pokazuju kako su platni sustavi postali izloženi kiberprijetnjama. Budući da su u središtu lanca platnih usluga i snažno povezani s cjelokupnim financijskim sustavom, platni sustavi i aktivnosti obrade plaćanja postali su izuzetno važni za funkcioniranje financijskih tržišta Unije. Kibernapadi na takve sustave mogu uzrokovati ozbiljne poremećaje u poslovanju i imati izravne posljedice na ključne gospodarske funkcije, kao što je olakšavanje plaćanja, i neizravne učinke na povezane gospodarske procese. Dok se na razini Unije ne uspostave usklađeni režim i nadzor nad operatorima platnih sustava i izvršiteljima obrade, države članice mogu se, u cilju primjene sličnih tržišnih praksi, poslužiti zahtjevima u pogledu digitalne operativne otpornosti utvrđenima ovom Uredbom kad primjenjuju pravila na operatore platnih sustava i izvršitelje obrade koji su predmet nadzora u svojim jurisdikcijama.

| (105) | S obzirom na to da cilj ove Uredbe, to jest postizanje visoke razine digitalne operativne otpornosti reguliranih financijskih subjekata, ne mogu dostatno ostvariti države članice jer on zahtijeva usklađivanje različitih pravila u pravu Unije i nacionalnom pravu, nego se zbog njegova opsega i učinaka on na bolji način može ostvariti na razini Unije, Unija može donijeti mjere u skladu s načelom supsidijarnosti utvrđenim u članku 5. Ugovora o Europskoj uniji. U skladu s načelom proporcionalnosti utvrđenim u tom članku, ova Uredba ne prelazi ono što je potrebno za ostvarivanje tog cilja. |
| --- | --- |

(105)

S obzirom na to da cilj ove Uredbe, to jest postizanje visoke razine digitalne operativne otpornosti reguliranih financijskih subjekata, ne mogu dostatno ostvariti države članice jer on zahtijeva usklađivanje različitih pravila u pravu Unije i nacionalnom pravu, nego se zbog njegova opsega i učinaka on na bolji način može ostvariti na razini Unije, Unija može donijeti mjere u skladu s načelom supsidijarnosti utvrđenim u članku 5. Ugovora o Europskoj uniji. U skladu s načelom proporcionalnosti utvrđenim u tom članku, ova Uredba ne prelazi ono što je potrebno za ostvarivanje tog cilja.

| (106) | Provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 42. stavkom 1. Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća (29) te je on dao mišljenje 10. svibnja 2021. (30), |
| --- | --- |

(106)

Provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 42. stavkom 1. Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća (29) te je on dao mišljenje 10. svibnja 2021. (30),

DONIJELI SU OVU UREDBU:

POGLAVLJE I.

Opće odredbe

Članak 1.

Predmet

1.   Kako bi se postigla visoka zajednička razina digitalne operativne otpornosti, ovom se Uredbom utvrđuju jedinstveni zahtjevi u pogledu sigurnosti mrežnih i informacijskih sustava kojima se podupiru poslovni procesi financijskih subjekata kako slijedi:

| (a) | zahtjevi primjenjivi na financijske subjekte koji se odnose na:






  i. | upravljanje rizikom informacijske i komunikacije tehnologije (IKT); |
| --- | --- | --- |

(a)

zahtjevi primjenjivi na financijske subjekte koji se odnose na:

i.

upravljanje rizikom informacijske i komunikacije tehnologije (IKT);

| ii. | izvješćivanje o značajnim IKT incidentima i dobrovoljno obavješćivanje nadležnih tijela o ozbiljnim kiberprijetnjama; |
| --- | --- |

ii.

izvješćivanje o značajnim IKT incidentima i dobrovoljno obavješćivanje nadležnih tijela o ozbiljnim kiberprijetnjama;

| iii. | izvješćivanje nadležnih tijela, od strane financijskih subjekata iz članka 2. stavka 1. točaka od (a) do (d), o značajnim operativnim ili sigurnosnim incidentima povezanima s plaćanjem; |
| --- | --- |

iii.

izvješćivanje nadležnih tijela, od strane financijskih subjekata iz članka 2. stavka 1. točaka od (a) do (d), o značajnim operativnim ili sigurnosnim incidentima povezanima s plaćanjem;

| iv. | testiranje digitalne operativne otpornosti; |
| --- | --- |

iv.

testiranje digitalne operativne otpornosti;

| v. | razmjenu informacija i saznanja o kiberprijetnjama i ranjivostima; |
| --- | --- |

v.

razmjenu informacija i saznanja o kiberprijetnjama i ranjivostima;

| vi. | mjere za dobro upravljanje IKT rizikom povezanim s trećim stranama; |
| --- | --- |

vi.

mjere za dobro upravljanje IKT rizikom povezanim s trećim stranama;

| (b) | zahtjevi koji se odnose na ugovorne aranžmane sklopljene između trećih strana pružatelja IKT usluga i financijskih subjekata; |
| --- | --- |

(b)

zahtjevi koji se odnose na ugovorne aranžmane sklopljene između trećih strana pružatelja IKT usluga i financijskih subjekata;

| (c) | pravila za uspostavu i provedbu nadzornog okvira za ključne treće strane pružatelje IKT usluga pri pružanju usluga financijskim subjektima; |
| --- | --- |

(c)

pravila za uspostavu i provedbu nadzornog okvira za ključne treće strane pružatelje IKT usluga pri pružanju usluga financijskim subjektima;

| (d) | pravila za suradnju među nadležnim tijelima i pravila o nadzoru i izvršavanju koje provode nadležna tijela u vezi sa svim pitanjima obuhvaćenima ovom Uredbom. |
| --- | --- |

(d)

pravila za suradnju među nadležnim tijelima i pravila o nadzoru i izvršavanju koje provode nadležna tijela u vezi sa svim pitanjima obuhvaćenima ovom Uredbom.

2.   Kad je riječ o financijskim subjektima koji su identificirani kao ključnih ili važni subjekti na temelju nacionalnih propisa kojima se prenosi članak 3. Direktive (EU) 2022/2555, ova Uredba smatra se sektorskim pravnim aktom Unije za potrebe članka 4. te direktive.

3.   Ovom se Uredbom ne dovodi u pitanje odgovornost država članica u vezi s temeljnim državnim funkcijama koje se odnose na javnu sigurnost, obranu i nacionalnu sigurnost u skladu s pravom Unije.

Članak 2.

Područje primjene

1.   Ne dovodeći u pitanje stavke 3. i 4., ova se Uredba primjenjuje na sljedeće subjekte:

| (a) | kreditne institucije; |
| --- | --- |

(a)

kreditne institucije;

| (b) | institucije za platni promet, uključujući institucije za platni promet izuzete na temelju Direktive (EU) 2015/2366; |
| --- | --- |

(b)

institucije za platni promet, uključujući institucije za platni promet izuzete na temelju Direktive (EU) 2015/2366;

| (c) | pružatelje usluga pružanja informacija o računu; |
| --- | --- |

(c)

pružatelje usluga pružanja informacija o računu;

| (d) | institucije za elektronički novac, uključujući institucije za elektronički novac izuzete na temelju Direktive 2009/110/EZ; |
| --- | --- |

(d)

institucije za elektronički novac, uključujući institucije za elektronički novac izuzete na temelju Direktive 2009/110/EZ;

| (e) | investicijska društva; |
| --- | --- |

(e)

investicijska društva;

| (f) | pružatelje usluga povezanih s kriptoimovinom koji imaju odobrenje za rad na temelju uredbe Europskog parlamenta i Vijeća o tržištima kriptoimovine i izmjeni uredaba (EU) br. 1093/2010 i (EU) br. 1095/2010 te direktiva 2013/36/EU i (EU) 2019/1937 („Uredba o tržištima kriptoimovine”) i izdavatelje tokena vezanih uz imovinu; |
| --- | --- |

(f)

pružatelje usluga povezanih s kriptoimovinom koji imaju odobrenje za rad na temelju uredbe Europskog parlamenta i Vijeća o tržištima kriptoimovine i izmjeni uredaba (EU) br. 1093/2010 i (EU) br. 1095/2010 te direktiva 2013/36/EU i (EU) 2019/1937 („Uredba o tržištima kriptoimovine”) i izdavatelje tokena vezanih uz imovinu;

| (g) | središnje depozitorije vrijednosnih papira; |
| --- | --- |

(g)

središnje depozitorije vrijednosnih papira;

| (h) | središnje druge ugovorne strane; |
| --- | --- |

(h)

središnje druge ugovorne strane;

| (i) | mjesta trgovanja; |
| --- | --- |

(i)

mjesta trgovanja;

| (j) | trgovinske repozitorije; |
| --- | --- |

(j)

trgovinske repozitorije;

| (k) | upravitelje alternativnih investicijskih fondova; |
| --- | --- |

(k)

upravitelje alternativnih investicijskih fondova;

| (l) | društva za upravljanje; |
| --- | --- |

(l)

društva za upravljanje;

| (m) | pružatelje usluga dostave podataka; |
| --- | --- |

(m)

pružatelje usluga dostave podataka;

| (n) | društva za osiguranje i društva za reosiguranje; |
| --- | --- |

(n)

društva za osiguranje i društva za reosiguranje;

| (o) | posrednike u osiguranju, posrednike u reosiguranju i sporedne posrednike u osiguranju; |
| --- | --- |

(o)

posrednike u osiguranju, posrednike u reosiguranju i sporedne posrednike u osiguranju;

| (p) | institucije za strukovno mirovinsko osiguranje; |
| --- | --- |

(p)

institucije za strukovno mirovinsko osiguranje;

| (q) | agencije za kreditni rejting; |
| --- | --- |

(q)

agencije za kreditni rejting;

| (r) | administratore ključnih referentnih vrijednosti; |
| --- | --- |

(r)

administratore ključnih referentnih vrijednosti;

| (s) | pružatelje usluga skupnog financiranja; |
| --- | --- |

(s)

pružatelje usluga skupnog financiranja;

| (t) | sekuritizacijske repozitorije; |
| --- | --- |

(t)

sekuritizacijske repozitorije;

| (u) | treće strane pružatelje IKT usluga. |
| --- | --- |

(u)

treće strane pružatelje IKT usluga.

2.   Za potrebe ove Uredbe subjekti iz stavka 1. točaka od (a) do (t) zajednički se nazivaju „financijski subjekti”.

3.   Ova se Uredba ne primjenjuje na:

| (a) | upravitelje alternativnih investicijskih fondova iz članka 3. stavka 2. Direktive 2011/61/EU; |
| --- | --- |

(a)

upravitelje alternativnih investicijskih fondova iz članka 3. stavka 2. Direktive 2011/61/EU;

| (b) | društva za osiguranje i društva za reosiguranje iz članka 4. Direktive 2009/138/EZ; |
| --- | --- |

(b)

društva za osiguranje i društva za reosiguranje iz članka 4. Direktive 2009/138/EZ;

| (c) | institucije za strukovno mirovinsko osiguranje koje upravljaju mirovinskim programima koji zajedno nemaju više od ukupno 15 članova; |
| --- | --- |

(c)

institucije za strukovno mirovinsko osiguranje koje upravljaju mirovinskim programima koji zajedno nemaju više od ukupno 15 članova;

| (d) | fizičke ili pravne osobe izuzete na temelju članaka 2. i 3. Direktive 2014/65/EU; |
| --- | --- |

(d)

fizičke ili pravne osobe izuzete na temelju članaka 2. i 3. Direktive 2014/65/EU;

| (e) | posrednike u osiguranju, posrednike u reosiguranju i sporedne posrednike u osiguranju koji su mikropoduzeća ili mala ili srednja poduzeća; |
| --- | --- |

(e)

posrednike u osiguranju, posrednike u reosiguranju i sporedne posrednike u osiguranju koji su mikropoduzeća ili mala ili srednja poduzeća;

| (f) | poštanske žiro institucije iz članka 2. stavka 5. točke 3. Direktive 2013/36/EU. |
| --- | --- |

(f)

poštanske žiro institucije iz članka 2. stavka 5. točke 3. Direktive 2013/36/EU.

4.   Države članice mogu iz područja primjene ove Uredbe isključiti subjekte iz članka 2. stavka 5. točaka od 4. do 23. Direktive 2013/36/EU koji se nalaze na njihovu državnom području. Ako država članica iskoristi tu mogućnost, ona o tome i o svim kasnijim promjenama obavješćuje Komisiju. Komisija te informacije objavljuje na svojim internetskim stranicama ili na drugi lako dostupan način.

Članak 3.

Definicije

Za potrebe ove Uredbe primjenjuju se sljedeće definicije:

| 1. | „digitalna operativna otpornost” znači sposobnost financijskog subjekta da izgradi, osigura i preispituje svoju operativnu cjelovitost i pouzdanost tako da upotrebom usluga koje pružaju treće strane pružatelji IKT usluga izravno ili neizravno osigura cijeli raspon IKT sposobnosti potrebnih za sigurnost mrežnih i informacijskih sustava kojima se financijski subjekt koristi i kojima se podupire kontinuirano pružanje financijskih usluga i njihova kvaliteta, među ostalim i tijekom poremećaja; |
| --- | --- |

1.

„digitalna operativna otpornost” znači sposobnost financijskog subjekta da izgradi, osigura i preispituje svoju operativnu cjelovitost i pouzdanost tako da upotrebom usluga koje pružaju treće strane pružatelji IKT usluga izravno ili neizravno osigura cijeli raspon IKT sposobnosti potrebnih za sigurnost mrežnih i informacijskih sustava kojima se financijski subjekt koristi i kojima se podupire kontinuirano pružanje financijskih usluga i njihova kvaliteta, među ostalim i tijekom poremećaja;

| 2. | „mrežni i informacijski sustav” znači mrežni i informacijski sustav kako je definiran u članku 6. točki 1. Direktive (EU) 2022/2555; |
| --- | --- |

2.

„mrežni i informacijski sustav” znači mrežni i informacijski sustav kako je definiran u članku 6. točki 1. Direktive (EU) 2022/2555;

| 3. | „zastarjeli IKT sustav” znači IKT sustav koji je na kraju svojeg životnog ciklusa, a koji zbog tehnoloških ili komercijalnih razloga nije prikladan za nadogradnju ili popravak ili za koji njegov dobavljač ili treća strana pružatelj IKT usluga više ne pruža podršku, ali je još uvijek u upotrebi i podržava funkcije financijskog subjekta; |
| --- | --- |

3.

„zastarjeli IKT sustav” znači IKT sustav koji je na kraju svojeg životnog ciklusa, a koji zbog tehnoloških ili komercijalnih razloga nije prikladan za nadogradnju ili popravak ili za koji njegov dobavljač ili treća strana pružatelj IKT usluga više ne pruža podršku, ali je još uvijek u upotrebi i podržava funkcije financijskog subjekta;

| 4. | „sigurnost mrežnih i informacijskih sustava” znači sigurnost mrežnih i informacijskih sustava kako je definirana u članku 6. točki 2. Direktive (EU) 2022/2555; |
| --- | --- |

4.

„sigurnost mrežnih i informacijskih sustava” znači sigurnost mrežnih i informacijskih sustava kako je definirana u članku 6. točki 2. Direktive (EU) 2022/2555;

| 5. | „IKT rizik” znači svaka razumno prepoznatljiva okolnost koja se odnosi na upotrebu mrežnih i informacijskih sustava, koja, ako do nje dođe, može dovesti do negativnih učinaka u digitalnom ili fizičkom okruženju te time ugroziti sigurnost mrežnih i informacijskih sustava, svih alata ili procesa koji ovise o tehnologiji, operacija i procesa ili pružanja usluga; |
| --- | --- |

5.

„IKT rizik” znači svaka razumno prepoznatljiva okolnost koja se odnosi na upotrebu mrežnih i informacijskih sustava, koja, ako do nje dođe, može dovesti do negativnih učinaka u digitalnom ili fizičkom okruženju te time ugroziti sigurnost mrežnih i informacijskih sustava, svih alata ili procesa koji ovise o tehnologiji, operacija i procesa ili pružanja usluga;

| 6. | „informacijska imovina” znači skup materijalnih ili nematerijalnih informacija koje vrijedi zaštititi; |
| --- | --- |

6.

„informacijska imovina” znači skup materijalnih ili nematerijalnih informacija koje vrijedi zaštititi;

| 7. | „IKT imovina” znači softverska ili hardverska imovina u mrežnim i informacijskim sustavima koju upotrebljava financijski subjekt; |
| --- | --- |

7.

„IKT imovina” znači softverska ili hardverska imovina u mrežnim i informacijskim sustavima koju upotrebljava financijski subjekt;

| 8. | „IKT incident” znači događaj ili niz povezanih događaja koje financijski subjekt nije planirao i koji ugrožavaju sigurnost mrežnih i informacijskih sustava i negativno utječu na dostupnost, vjerodostojnost, cjelovitost ili povjerljivost podataka, ili na usluge koje pruža financijski subjekt; |
| --- | --- |

8.

„IKT incident” znači događaj ili niz povezanih događaja koje financijski subjekt nije planirao i koji ugrožavaju sigurnost mrežnih i informacijskih sustava i negativno utječu na dostupnost, vjerodostojnost, cjelovitost ili povjerljivost podataka, ili na usluge koje pruža financijski subjekt;

| 9. | „operativni ili sigurnosni incident povezan s plaćanjem” znači događaj ili niz povezanih događaja, neovisno o tome jesu li povezani s IKT-om ili ne, koje financijski subjekti iz članka 2. stavka 1. točaka od (a) do (d) nisu planirali i koji negativno utječu na dostupnost, vjerodostojnost, cjelovitost ili povjerljivost podataka povezanih s plaćanjem ili na usluge povezane s plaćanjem koje pruža financijski subjekt; |
| --- | --- |

9.

„operativni ili sigurnosni incident povezan s plaćanjem” znači događaj ili niz povezanih događaja, neovisno o tome jesu li povezani s IKT-om ili ne, koje financijski subjekti iz članka 2. stavka 1. točaka od (a) do (d) nisu planirali i koji negativno utječu na dostupnost, vjerodostojnost, cjelovitost ili povjerljivost podataka povezanih s plaćanjem ili na usluge povezane s plaćanjem koje pruža financijski subjekt;

| 10. | „značajan IKT incident” znači IKT incident koji izrazito negativno utječe na mrežne i informacijske sustave kojima se podupiru ključne ili važne funkcije financijskog subjekta; |
| --- | --- |

10.

„značajan IKT incident” znači IKT incident koji izrazito negativno utječe na mrežne i informacijske sustave kojima se podupiru ključne ili važne funkcije financijskog subjekta;

| 11. | „značajan operativni ili sigurnosni incident povezan s plaćanjem” znači operativni ili sigurnosni incident koji izrazito negativno utječe na pružene usluge povezane s plaćanjem; |
| --- | --- |

11.

„značajan operativni ili sigurnosni incident povezan s plaćanjem” znači operativni ili sigurnosni incident koji izrazito negativno utječe na pružene usluge povezane s plaćanjem;

| 12. | „kiberprijetnja” znači kiberprijetnja kako je definirana u članku 2. točki 8. Uredbe (EU) 2019/881; |
| --- | --- |

12.

„kiberprijetnja” znači kiberprijetnja kako je definirana u članku 2. točki 8. Uredbe (EU) 2019/881;

| 13. | „ozbiljna kiberprijetnja” znači kiberprijetnja čije tehničke značajke ukazuju na to da je mogla dovesti do značajnog IKT incidenta ili značajnog operativnog ili sigurnosnog incidenta povezanog s plaćanjem; |
| --- | --- |

13.

„ozbiljna kiberprijetnja” znači kiberprijetnja čije tehničke značajke ukazuju na to da je mogla dovesti do značajnog IKT incidenta ili značajnog operativnog ili sigurnosnog incidenta povezanog s plaćanjem;

| 14. | „kibernapad” znači zlonamjeran IKT incident uzrokovan pokušajem bilo kojeg aktera prijetnje da uništi, izloži, izmijeni, onemogući, ukrade ili neovlašteno koristi imovinu ili joj neovlašteno pristupi; |
| --- | --- |

14.

„kibernapad” znači zlonamjeran IKT incident uzrokovan pokušajem bilo kojeg aktera prijetnje da uništi, izloži, izmijeni, onemogući, ukrade ili neovlašteno koristi imovinu ili joj neovlašteno pristupi;

| 15. | „saznanja o prijetnjama” znači informacije koje su agregirane, preoblikovane, analizirane, protumačene ili obogaćene kako bi se dobio kontekst potreban za donošenje odluka i kako bi se omogućilo relevantno i dostatno razumijevanje za ublažavanje učinka IKT incidenta ili kiberprijetnje, uključujući tehničke pojedinosti kibernapada, onih koji su odgovorni za napad te njihova načina rada i njihovih motiva; |
| --- | --- |

15.

„saznanja o prijetnjama” znači informacije koje su agregirane, preoblikovane, analizirane, protumačene ili obogaćene kako bi se dobio kontekst potreban za donošenje odluka i kako bi se omogućilo relevantno i dostatno razumijevanje za ublažavanje učinka IKT incidenta ili kiberprijetnje, uključujući tehničke pojedinosti kibernapada, onih koji su odgovorni za napad te njihova načina rada i njihovih motiva;

| 16. | „ranjivost” znači slabost, osjetljivost ili nedostatak neke imovine, sustava, procesa ili kontrole koji se može iskoristiti; |
| --- | --- |

16.

„ranjivost” znači slabost, osjetljivost ili nedostatak neke imovine, sustava, procesa ili kontrole koji se može iskoristiti;

| 17. | „penetracijska testiranja vođena prijetnjama (TLPT)” znači okvir koji oponaša taktike, tehnike i procedure stvarnih aktera prijetnje koje se smatraju stvarnom kiberprijetnjom, koji omogućuje kontrolirano, prilagođeno testiranje ključnih produkcijskih sustava financijskog subjekta, vođeno saznanjima o prijetnjama („crveni tim”); |
| --- | --- |

17.

„penetracijska testiranja vođena prijetnjama (TLPT)” znači okvir koji oponaša taktike, tehnike i procedure stvarnih aktera prijetnje koje se smatraju stvarnom kiberprijetnjom, koji omogućuje kontrolirano, prilagođeno testiranje ključnih produkcijskih sustava financijskog subjekta, vođeno saznanjima o prijetnjama („crveni tim”);

| 18. | „IKT rizik povezan s trećim stranama” znači IKT rizik koji može nastati za financijski subjekt u vezi s upotrebom IKT usluga koje pružaju treće strane pružatelji IKT usluga ili njihovi podugovaratelji, među ostalim i putem aranžmana za eksternalizaciju; |
| --- | --- |

18.

„IKT rizik povezan s trećim stranama” znači IKT rizik koji može nastati za financijski subjekt u vezi s upotrebom IKT usluga koje pružaju treće strane pružatelji IKT usluga ili njihovi podugovaratelji, među ostalim i putem aranžmana za eksternalizaciju;

| 19. | „treća strana pružatelj IKT usluga” znači poduzetnik koji pruža IKT usluge; |
| --- | --- |

19.

„treća strana pružatelj IKT usluga” znači poduzetnik koji pruža IKT usluge;

| 20. | „pružatelj IKT usluga unutar grupe” znači društvo koje je dio financijske grupe i koje uglavnom pruža IKT usluge financijskim subjektima unutar iste grupe ili financijskim subjektima koji pripadaju istom institucionalnom sustavu zaštite, među ostalim i njihovim matičnim društvima, društvima kćerima, podružnicama ili drugim subjektima koji su u zajedničkom vlasništvu ili pod zajedničkom kontrolom; |
| --- | --- |

20.

„pružatelj IKT usluga unutar grupe” znači društvo koje je dio financijske grupe i koje uglavnom pruža IKT usluge financijskim subjektima unutar iste grupe ili financijskim subjektima koji pripadaju istom institucionalnom sustavu zaštite, među ostalim i njihovim matičnim društvima, društvima kćerima, podružnicama ili drugim subjektima koji su u zajedničkom vlasništvu ili pod zajedničkom kontrolom;

| 21. | „IKT usluge” znači digitalne i podatkovne usluge koje se putem IKT sustavâ kontinuirano pružaju jednom ili više unutarnjih ili vanjskih korisnika, uključujući usluge najma informatičke opreme (engl. hardware as a service) i hardverske usluge koje uključuju pružanje tehničke podrške od strane pružatelja hardvera putem ažuriranja softvera ili ugrađenog softvera, uz iznimku tradicionalnih analognih telefonskih usluga; |
| --- | --- |

21.

„IKT usluge” znači digitalne i podatkovne usluge koje se putem IKT sustavâ kontinuirano pružaju jednom ili više unutarnjih ili vanjskih korisnika, uključujući usluge najma informatičke opreme (engl. hardware as a service) i hardverske usluge koje uključuju pružanje tehničke podrške od strane pružatelja hardvera putem ažuriranja softvera ili ugrađenog softvera, uz iznimku tradicionalnih analognih telefonskih usluga;

hardware as a service

| 22. | „ključna ili važna funkcija” znači funkcija čiji bi poremećaj bitno narušio financijske rezultate financijskog subjekta ili pouzdanost ili kontinuitet njegovih usluga i aktivnosti, odnosno funkcija čiji bi prestanak, neispravnost ili neizvršenje bitno narušili sposobnost financijskog subjekta da kontinuirano ispunjava uvjete i obveze iz svojeg odobrenja za rad ili druge obveze na temelju primjenjivog prava o financijskim uslugama; |
| --- | --- |

22.

„ključna ili važna funkcija” znači funkcija čiji bi poremećaj bitno narušio financijske rezultate financijskog subjekta ili pouzdanost ili kontinuitet njegovih usluga i aktivnosti, odnosno funkcija čiji bi prestanak, neispravnost ili neizvršenje bitno narušili sposobnost financijskog subjekta da kontinuirano ispunjava uvjete i obveze iz svojeg odobrenja za rad ili druge obveze na temelju primjenjivog prava o financijskim uslugama;

| 23. | „ključna treća strana pružatelj IKT usluga” znači treća strana pružatelj IKT usluga imenovana kao ključna u skladu s člankom 31.; |
| --- | --- |

23.

„ključna treća strana pružatelj IKT usluga” znači treća strana pružatelj IKT usluga imenovana kao ključna u skladu s člankom 31.;

| 24. | „treća strana pružatelj IKT usluga s poslovnim nastanom u trećoj zemlji” znači treća strana pružatelj IKT usluga koja je pravna osoba s poslovnim nastanom u trećoj zemlji, a koja je s financijskim subjektom sklopila ugovorni aranžman o pružanju IKT usluga; |
| --- | --- |

24.

„treća strana pružatelj IKT usluga s poslovnim nastanom u trećoj zemlji” znači treća strana pružatelj IKT usluga koja je pravna osoba s poslovnim nastanom u trećoj zemlji, a koja je s financijskim subjektom sklopila ugovorni aranžman o pružanju IKT usluga;

| 25. | „društvo kći” znači poduzeće kći u smislu članka 2. točke 10. i članka 22. Direktive 2013/34/EU; |
| --- | --- |

25.

„društvo kći” znači poduzeće kći u smislu članka 2. točke 10. i članka 22. Direktive 2013/34/EU;

| 26. | „grupa” znači grupa kako je definirana u članku 2. točki 11. Direktive 2013/34/EU; |
| --- | --- |

26.

„grupa” znači grupa kako je definirana u članku 2. točki 11. Direktive 2013/34/EU;

| 27. | „matično društvo” znači matično poduzeće u smislu članka 2. točke 9. i članka 22. Direktive 2013/34/EU; |
| --- | --- |

27.

„matično društvo” znači matično poduzeće u smislu članka 2. točke 9. i članka 22. Direktive 2013/34/EU;

| 28. | „podugovaratelj IKT usluga s poslovnim nastanom u trećoj zemlji” znači podugovaratelj IKT-a koji je pravna osoba s poslovnim nastanom u trećoj zemlji, a koji je sklopio ugovorni aranžman s trećom stranom pružateljem IKT usluga ili s trećom stranom pružateljem IKT usluga s poslovnim nastanom u trećoj zemlji; |
| --- | --- |

28.

„podugovaratelj IKT usluga s poslovnim nastanom u trećoj zemlji” znači podugovaratelj IKT-a koji je pravna osoba s poslovnim nastanom u trećoj zemlji, a koji je sklopio ugovorni aranžman s trećom stranom pružateljem IKT usluga ili s trećom stranom pružateljem IKT usluga s poslovnim nastanom u trećoj zemlji;

| 29. | „koncentracijski IKT rizik” znači izloženost prema jednoj ili više povezanih ključnih trećih strana pružatelja IKT usluga, čime se stvara određeni stupanj ovisnosti o takvim pružateljima tako da nedostupnost, prekid ili neka druga vrsta nedostatka tih pružatelja može potencijalno ugroziti sposobnost financijskog subjekta za obavljanje ključnih ili važnih funkcija ili može dovesti do drugih vrsta negativnih učinaka, među ostalim i velikih gubitaka, ili može ugroziti financijsku stabilnost Unije u cjelini; |
| --- | --- |

29.

„koncentracijski IKT rizik” znači izloženost prema jednoj ili više povezanih ključnih trećih strana pružatelja IKT usluga, čime se stvara određeni stupanj ovisnosti o takvim pružateljima tako da nedostupnost, prekid ili neka druga vrsta nedostatka tih pružatelja može potencijalno ugroziti sposobnost financijskog subjekta za obavljanje ključnih ili važnih funkcija ili može dovesti do drugih vrsta negativnih učinaka, među ostalim i velikih gubitaka, ili može ugroziti financijsku stabilnost Unije u cjelini;

| 30. | „upravljačko tijelo” znači upravljačko tijelo kako je definirano u članku 4. stavku 1. točki 36. Direktive 2014/65/EU, članku 3. stavku 1. točki 7. Direktive 2013/36/EU, članku 2. stavku 1. točki (s) Direktive 2009/65/EZ Europskog parlamenta i Vijeća (31), članku 2. stavku 1. točki 45. Uredbe (EU) br. 909/2014, članku 3. stavku 1. točki 20. Uredbe (EU) 2016/1011 te u relevantnoj odredbi Uredbe o tržištima kriptoimovine ili ekvivalentne osobe koje u praksi upravljaju subjektom ili imaju ključne funkcije u skladu s relevantnim pravom Unije ili nacionalnim pravom; |
| --- | --- |

30.

„upravljačko tijelo” znači upravljačko tijelo kako je definirano u članku 4. stavku 1. točki 36. Direktive 2014/65/EU, članku 3. stavku 1. točki 7. Direktive 2013/36/EU, članku 2. stavku 1. točki (s) Direktive 2009/65/EZ Europskog parlamenta i Vijeća (31), članku 2. stavku 1. točki 45. Uredbe (EU) br. 909/2014, članku 3. stavku 1. točki 20. Uredbe (EU) 2016/1011 te u relevantnoj odredbi Uredbe o tržištima kriptoimovine ili ekvivalentne osobe koje u praksi upravljaju subjektom ili imaju ključne funkcije u skladu s relevantnim pravom Unije ili nacionalnim pravom;

31

| 31. | „kreditna institucija” znači kreditna institucija kako je definirana u članku 4. stavku 1. točki 1. Uredbe (EU) br. 575/2013 Europskog parlamenta i Vijeća (32); |
| --- | --- |

31.

„kreditna institucija” znači kreditna institucija kako je definirana u članku 4. stavku 1. točki 1. Uredbe (EU) br. 575/2013 Europskog parlamenta i Vijeća (32);

32

| 32. | „institucija izuzeta na temelju Direktive 2013/36/EU” znači subjekt iz članka 2. stavka 5. točaka od 4. do 23. Direktive 2013/36/EU; |
| --- | --- |

32.

„institucija izuzeta na temelju Direktive 2013/36/EU” znači subjekt iz članka 2. stavka 5. točaka od 4. do 23. Direktive 2013/36/EU;

| 33. | „investicijsko društvo” znači investicijsko društvo kako je definirano u članku 4. stavku 1. točki 1. Direktive 2014/65/EU; |
| --- | --- |

33.

„investicijsko društvo” znači investicijsko društvo kako je definirano u članku 4. stavku 1. točki 1. Direktive 2014/65/EU;

| 34. | „malo i nepovezano investicijsko društvo” znači investicijsko društvo koje ispunjava uvjete utvrđene u članku 12. stavku 1. Uredbe (EU) 2019/2033 Europskog parlamenta i Vijeća (33); |
| --- | --- |

34.

„malo i nepovezano investicijsko društvo” znači investicijsko društvo koje ispunjava uvjete utvrđene u članku 12. stavku 1. Uredbe (EU) 2019/2033 Europskog parlamenta i Vijeća (33);

33

| 35. | „institucija za platni promet” znači institucija za platni promet kako je definirana u članku 4. točki 4. Direktive (EU) 2015/2366; |
| --- | --- |

35.

„institucija za platni promet” znači institucija za platni promet kako je definirana u članku 4. točki 4. Direktive (EU) 2015/2366;

| 36. | „institucija za platni promet izuzeta na temelju Direktive 2015/2366” znači institucija za platni promet izuzeta na temelju članka 32. stavka 1. Direktive (EU) 2015/2366; |
| --- | --- |

36.

„institucija za platni promet izuzeta na temelju Direktive 2015/2366” znači institucija za platni promet izuzeta na temelju članka 32. stavka 1. Direktive (EU) 2015/2366;

| 37. | „pružatelj usluga pružanja informacija o računu” znači pružatelj usluga pružanja informacija o računu iz članka 33. stavka 1. Direktive (EU) 2015/2366; |
| --- | --- |

37.

„pružatelj usluga pružanja informacija o računu” znači pružatelj usluga pružanja informacija o računu iz članka 33. stavka 1. Direktive (EU) 2015/2366;

| 38. | „institucija za elektronički novac” znači institucija za elektronički novac kako je definirana u članku 2. točki 1. Direktive 2009/110/EZ; |
| --- | --- |

38.

„institucija za elektronički novac” znači institucija za elektronički novac kako je definirana u članku 2. točki 1. Direktive 2009/110/EZ;

| 39. | „institucija za elektronički novac izuzeta na temelju Direktive 2009/110/EZ” znači institucija za elektronički novac na koju se primjenjuje izuzeće iz članka 9. stavka 1. Direktive 2009/110/EZ; |
| --- | --- |

39.

„institucija za elektronički novac izuzeta na temelju Direktive 2009/110/EZ” znači institucija za elektronički novac na koju se primjenjuje izuzeće iz članka 9. stavka 1. Direktive 2009/110/EZ;

| 40. | „središnja druga ugovorna strana” znači središnja druga ugovorna strana kako je definirana u članku 2. točki 1. Uredbe (EU) br. 648/2012; |
| --- | --- |

40.

„središnja druga ugovorna strana” znači središnja druga ugovorna strana kako je definirana u članku 2. točki 1. Uredbe (EU) br. 648/2012;

| 41. | „trgovinski repozitorij” znači trgovinski repozitorij kako je definiran u članku 2. točki 2. Uredbe (EU) br. 648/2012; |
| --- | --- |

41.

„trgovinski repozitorij” znači trgovinski repozitorij kako je definiran u članku 2. točki 2. Uredbe (EU) br. 648/2012;

| 42. | „središnji depozitorij vrijednosnih papira” znači središnji depozitorij vrijednosnih papira kako je definiran u članku 2. stavku 1. točki 1. Uredbe (EU) br. 909/2014; |
| --- | --- |

42.

„središnji depozitorij vrijednosnih papira” znači središnji depozitorij vrijednosnih papira kako je definiran u članku 2. stavku 1. točki 1. Uredbe (EU) br. 909/2014;

| 43. | „mjesto trgovanja” znači mjesto trgovanja kako je definirano u članku 4. stavku 1. točki 24. Direktive 2014/65/EU; |
| --- | --- |

43.

„mjesto trgovanja” znači mjesto trgovanja kako je definirano u članku 4. stavku 1. točki 24. Direktive 2014/65/EU;

| 44. | „upravitelj alternativnih investicijskih fondova” znači upravitelj alternativnih investicijskih fondova kako je definiran u članku 4. stavku 1. točki (b) Direktive 2011/61/EU; |
| --- | --- |

44.

„upravitelj alternativnih investicijskih fondova” znači upravitelj alternativnih investicijskih fondova kako je definiran u članku 4. stavku 1. točki (b) Direktive 2011/61/EU;

| 45. | „društvo za upravljanje” znači društvo za upravljanje kako je definirano u članku 2. stavku 1. točki (b) Direktive 2009/65/EZ; |
| --- | --- |

45.

„društvo za upravljanje” znači društvo za upravljanje kako je definirano u članku 2. stavku 1. točki (b) Direktive 2009/65/EZ;

| 46. | „pružatelj usluga dostave podataka” znači pružatelj usluga dostave podataka u smislu Uredbe (EU) br. 600/2014, kako je naveden u njezinu članku 2. stavku 1. točkama od 34. do 36.; |
| --- | --- |

46.

„pružatelj usluga dostave podataka” znači pružatelj usluga dostave podataka u smislu Uredbe (EU) br. 600/2014, kako je naveden u njezinu članku 2. stavku 1. točkama od 34. do 36.;

| 47. | „društvo za osiguranje” znači društvo za osiguranje kako je definirano u članku 13. točki 1. Direktive 2009/138/EZ; |
| --- | --- |

47.

„društvo za osiguranje” znači društvo za osiguranje kako je definirano u članku 13. točki 1. Direktive 2009/138/EZ;

| 48. | „društvo za reosiguranje” znači društvo za reosiguranje kako je definirano u članku 13. točki 4. Direktive 2009/138/EZ; |
| --- | --- |

48.

„društvo za reosiguranje” znači društvo za reosiguranje kako je definirano u članku 13. točki 4. Direktive 2009/138/EZ;

| 49. | „posrednik u osiguranju” znači posrednik u osiguranju kako je definiran u članku 2. stavku 1. točki 3. Direktive (EU) 2016/97 Europskog parlamenta i Vijeća (34); |
| --- | --- |

49.

„posrednik u osiguranju” znači posrednik u osiguranju kako je definiran u članku 2. stavku 1. točki 3. Direktive (EU) 2016/97 Europskog parlamenta i Vijeća (34);

34

| 50. | „sporedni posrednik u osiguranju” znači sporedni posrednik u osiguranju kako je definiran u članku 2. stavku 1. točki 4. Direktive (EU) 2016/97; |
| --- | --- |

50.

„sporedni posrednik u osiguranju” znači sporedni posrednik u osiguranju kako je definiran u članku 2. stavku 1. točki 4. Direktive (EU) 2016/97;

| 51. | „posrednik u reosiguranju” znači posrednik u reosiguranju kako je definiran u članku 2. stavku 1. točki 5. Direktive (EU) 2016/97; |
| --- | --- |

51.

„posrednik u reosiguranju” znači posrednik u reosiguranju kako je definiran u članku 2. stavku 1. točki 5. Direktive (EU) 2016/97;

| 52. | „institucija za strukovno mirovinsko osiguranje” znači institucija za strukovno mirovinsko osiguranje kako je definirana u članku 6. točki 1. Direktive (EU) 2016/2341; |
| --- | --- |

52.

„institucija za strukovno mirovinsko osiguranje” znači institucija za strukovno mirovinsko osiguranje kako je definirana u članku 6. točki 1. Direktive (EU) 2016/2341;

| 53. | „mala institucija za strukovno mirovinsko osiguranje” znači institucija za strukovno mirovinsko osiguranje koja upravlja mirovinskim programima koji ukupno imaju manje od 100 članova; |
| --- | --- |

53.

„mala institucija za strukovno mirovinsko osiguranje” znači institucija za strukovno mirovinsko osiguranje koja upravlja mirovinskim programima koji ukupno imaju manje od 100 članova;

| 54. | „agencija za kreditni rejting” znači agencija za kreditni rejting kako je definirana u članku 3. stavku 1. točki (b) Uredbe (EZ) br. 1060/2009; |
| --- | --- |

54.

„agencija za kreditni rejting” znači agencija za kreditni rejting kako je definirana u članku 3. stavku 1. točki (b) Uredbe (EZ) br. 1060/2009;

| 55. | „pružatelj usluga povezanih s kriptoimovinom” znači pružatelj usluga povezanih s kriptoimovinom kako je definiran u relevantnoj odredbi Uredbe o tržištima kriptoimovine; |
| --- | --- |

55.

„pružatelj usluga povezanih s kriptoimovinom” znači pružatelj usluga povezanih s kriptoimovinom kako je definiran u relevantnoj odredbi Uredbe o tržištima kriptoimovine;

| 56. | „izdavatelj tokena vezanih uz imovinu” znači izdavatelj tokena vezanih uz imovinu kako je definiran u relevantnoj odredbi Uredbe o tržištima kriptoimovine; |
| --- | --- |

56.

„izdavatelj tokena vezanih uz imovinu” znači izdavatelj tokena vezanih uz imovinu kako je definiran u relevantnoj odredbi Uredbe o tržištima kriptoimovine;

| 57. | „administrator ključnih referentnih vrijednosti” znači administrator „ključnih referentnih vrijednosti” kako su definirane u članku 3. točki 25. Uredbe (EU) 2016/1011; |
| --- | --- |

57.

„administrator ključnih referentnih vrijednosti” znači administrator „ključnih referentnih vrijednosti” kako su definirane u članku 3. točki 25. Uredbe (EU) 2016/1011;

| 58. | „pružatelj usluga skupnog financiranja” znači pružatelj usluga skupnog financiranja kako je definiran u članku 2. stavku 1. točki (e) Uredbe (EU) 2020/1503 Europskog parlamenta i Vijeća (35); |
| --- | --- |

58.

„pružatelj usluga skupnog financiranja” znači pružatelj usluga skupnog financiranja kako je definiran u članku 2. stavku 1. točki (e) Uredbe (EU) 2020/1503 Europskog parlamenta i Vijeća (35);

35

| 59. | „sekuritizacijski repozitorij” znači sekuritizacijski repozitorij kako je definiran u članku 2. točki 23. Uredbe (EU) 2017/2402 Europskog parlamenta i Vijeća (36); |
| --- | --- |

59.

„sekuritizacijski repozitorij” znači sekuritizacijski repozitorij kako je definiran u članku 2. točki 23. Uredbe (EU) 2017/2402 Europskog parlamenta i Vijeća (36);

36

| 60. | „mikropoduzeće” znači financijski subjekt koji nije mjesto trgovanja, središnja druga ugovorna strana, trgovinski repozitorij ili središnji depozitorij vrijednosnih papira, a koji zapošljava manje od 10 osoba i čiji ukupni godišnji promet i/ili ukupna godišnja bilanca ne premašuje 2 milijuna EUR; |
| --- | --- |

60.

„mikropoduzeće” znači financijski subjekt koji nije mjesto trgovanja, središnja druga ugovorna strana, trgovinski repozitorij ili središnji depozitorij vrijednosnih papira, a koji zapošljava manje od 10 osoba i čiji ukupni godišnji promet i/ili ukupna godišnja bilanca ne premašuje 2 milijuna EUR;

| 61. | „glavno nadzorno tijelo” znači europsko nadzorno tijelo imenovano u skladu s člankom 31. stavkom 1. točkom (b) ove Uredbe; |
| --- | --- |

61.

„glavno nadzorno tijelo” znači europsko nadzorno tijelo imenovano u skladu s člankom 31. stavkom 1. točkom (b) ove Uredbe;

| 62. | „Zajednički odbor” znači odbor iz članka 54. uredbi (EU) br. 1093/2010, (EU) br. 1094/2010 i (EU) br. 1095/2010; |
| --- | --- |

62.

„Zajednički odbor” znači odbor iz članka 54. uredbi (EU) br. 1093/2010, (EU) br. 1094/2010 i (EU) br. 1095/2010;

| 63. | „malo poduzeće” znači financijski subjekt koji zapošljava 10 ili više osoba, ali manje od 50 osoba i čiji ukupni godišnji promet i/ili čija ukupna godišnja bilanca premašuje 2 milijuna EUR, ali ne premašuje 10 milijuna EUR; |
| --- | --- |

63.

„malo poduzeće” znači financijski subjekt koji zapošljava 10 ili više osoba, ali manje od 50 osoba i čiji ukupni godišnji promet i/ili čija ukupna godišnja bilanca premašuje 2 milijuna EUR, ali ne premašuje 10 milijuna EUR;

| 64. | „srednje poduzeće” znači financijski subjekt koji nije malo poduzeće, koji zapošljava manje od 250 osoba i čiji godišnji promet ne premašuje 50 milijuna EUR i/ili čija godišnja bilanca ne premašuje 43 milijuna EUR; |
| --- | --- |

64.

„srednje poduzeće” znači financijski subjekt koji nije malo poduzeće, koji zapošljava manje od 250 osoba i čiji godišnji promet ne premašuje 50 milijuna EUR i/ili čija godišnja bilanca ne premašuje 43 milijuna EUR;

| 65. | „tijelo javne vlasti” znači svako državno tijelo ili drugo tijelo javne uprave, uključujući nacionalne središnje banke. |
| --- | --- |

65.

„tijelo javne vlasti” znači svako državno tijelo ili drugo tijelo javne uprave, uključujući nacionalne središnje banke.

Članak 4.

Načelo proporcionalnosti

1.   Financijski subjekti provode pravila utvrđena u poglavlju II. u skladu s načelom proporcionalnosti, uzimajući u obzir svoju veličinu i ukupni profil rizičnosti te prirodu, opseg i složenost svojih usluga, aktivnosti i poslovanja.

2.   Osim toga, financijski subjekti primjenjuju poglavlja III. i IV. te poglavlje V. odjeljak I. razmjerno svojoj veličini i ukupnom profilu rizičnosti te prirodi, opsegu i složenosti svojih usluga, aktivnosti i poslovanja, kako je konkretno predviđeno u relevantnim pravilima iz tih poglavlja.

3.   Pri preispitivanju dosljednosti okvira za upravljanje IKT rizicima na temelju izvješća podnesenih na zahtjev nadležnih tijela u skladu s člankom 6. stavkom 5. i člankom 16. stavkom 2., nadležna tijela razmatraju jesu li financijski subjekti primijenili načelo proporcionalnosti.

POGLAVLJE II.

Upravljanje IKT rizicima

Odjeljak I.

Članak 5.

Upravljanje i organizacija

1.   Financijski subjekti uspostavljaju okvir za unutarnje upravljanje i kontrolu kojim se osigurava djelotvorno i razborito upravljanje IKT rizicima, u skladu s člankom 6. stavkom 4., kako bi se postigla visoka razina digitalne operativne otpornosti.

2.   Upravljačko tijelo financijskog subjekta utvrđuje, odobrava i nadzire sve aranžmane povezane s okvirom za upravljanje IKT rizicima iz članka 6. stavka 1. te je odgovorno za njihovu provedbu.

Za potrebe prvog podstavka upravljačko tijelo:

| (a) | snosi krajnju odgovornost za upravljanje IKT rizicima financijskog subjekta; |
| --- | --- |

(a)

snosi krajnju odgovornost za upravljanje IKT rizicima financijskog subjekta;

| (b) | uspostavlja politike čiji je cilj osigurati održavanje visokih standarda dostupnosti, vjerodostojnosti, cjelovitosti i povjerljivosti podataka; |
| --- | --- |

(b)

uspostavlja politike čiji je cilj osigurati održavanje visokih standarda dostupnosti, vjerodostojnosti, cjelovitosti i povjerljivosti podataka;

| (c) | određuje jasne uloge i odgovornosti za sve funkcije povezane s IKT-om i uspostavlja odgovarajuće aranžmane upravljanja kako bi se osigurale djelotvorna i pravodobna komunikacija, suradnja i koordinacija među tim funkcijama; |
| --- | --- |

(c)

određuje jasne uloge i odgovornosti za sve funkcije povezane s IKT-om i uspostavlja odgovarajuće aranžmane upravljanja kako bi se osigurale djelotvorna i pravodobna komunikacija, suradnja i koordinacija među tim funkcijama;

| (d) | snosi opću odgovornost za utvrđivanje i odobravanje strategije za digitalnu operativnu otpornost iz članka 6. stavka 8., među ostalim i za određivanje odgovarajuće razine tolerancije financijskog subjekta na IKT rizik, kako je navedeno u članku 6. stavku 8. točki (b); |
| --- | --- |

(d)

snosi opću odgovornost za utvrđivanje i odobravanje strategije za digitalnu operativnu otpornost iz članka 6. stavka 8., među ostalim i za određivanje odgovarajuće razine tolerancije financijskog subjekta na IKT rizik, kako je navedeno u članku 6. stavku 8. točki (b);

| (e) | odobrava, nadzire i periodički preispituje način na koji financijski subjekt provodi politiku kontinuiteta poslovanja u području IKT-a te planove odgovora i oporavka u području IKT-a iz članka 11. stavka 1. odnosno stavka 3., pri čemu se ta politika može donijeti kao zasebna politika koja je sastavni dio cjelokupne politike kontinuiteta poslovanja te plana odgovora i oporavka financijskog subjekta; |
| --- | --- |

(e)

odobrava, nadzire i periodički preispituje način na koji financijski subjekt provodi politiku kontinuiteta poslovanja u području IKT-a te planove odgovora i oporavka u području IKT-a iz članka 11. stavka 1. odnosno stavka 3., pri čemu se ta politika može donijeti kao zasebna politika koja je sastavni dio cjelokupne politike kontinuiteta poslovanja te plana odgovora i oporavka financijskog subjekta;

| (f) | odobrava i periodički preispituje planove financijskog subjekta za unutarnju reviziju u području IKT-a, revizije u području IKT-a i njihove bitne izmjene; |
| --- | --- |

(f)

odobrava i periodički preispituje planove financijskog subjekta za unutarnju reviziju u području IKT-a, revizije u području IKT-a i njihove bitne izmjene;

| (g) | izrađuje i periodički preispituje odgovarajući proračun za ispunjavanje potreba financijskog subjekta u pogledu digitalne operativne otpornosti, i to za sve vrste resursa, što uključuje relevantne programe za podizanje svijesti o sigurnosti u području IKT-a i osposobljavanja o digitalnoj operativnoj otpornosti iz članka 13. stavka 6. te stjecanje vještina u području IKT-a za sve članove osoblja; |
| --- | --- |

(g)

izrađuje i periodički preispituje odgovarajući proračun za ispunjavanje potreba financijskog subjekta u pogledu digitalne operativne otpornosti, i to za sve vrste resursa, što uključuje relevantne programe za podizanje svijesti o sigurnosti u području IKT-a i osposobljavanja o digitalnoj operativnoj otpornosti iz članka 13. stavka 6. te stjecanje vještina u području IKT-a za sve članove osoblja;

| (h) | odobrava i periodički preispituje politiku financijskog subjekta u vezi s aranžmanima za upotrebu IKT usluga koje pružaju treće strane pružatelji IKT usluga; |
| --- | --- |

(h)

odobrava i periodički preispituje politiku financijskog subjekta u vezi s aranžmanima za upotrebu IKT usluga koje pružaju treće strane pružatelji IKT usluga;

| (i) | na korporativnoj razini uspostavlja kanale za izvješćivanje s pomoću kojih će moći biti propisno obaviješteno o sljedećem:






  i. | aranžmanima o upotrebi IKT usluga sklopljenima s trećim stranama pružateljima IKT usluga; |
| --- | --- | --- |

(i)

na korporativnoj razini uspostavlja kanale za izvješćivanje s pomoću kojih će moći biti propisno obaviješteno o sljedećem:

i.

aranžmanima o upotrebi IKT usluga sklopljenima s trećim stranama pružateljima IKT usluga;

| ii. | svim relevantnim planiranim bitnim promjenama u pogledu trećih strana pružatelja IKT usluga; |
| --- | --- |

ii.

svim relevantnim planiranim bitnim promjenama u pogledu trećih strana pružatelja IKT usluga;

| iii. | potencijalnom učinku takvih promjena na ključne ili važne funkcije obuhvaćene tim aranžmanima, što uključuje sažetak analize rizika kako bi se procijenio učinak tih promjena; i barem o značajnim IKT incidentima i njihovu učinku kao i o odgovoru, oporavku i korektivnim mjerama. |
| --- | --- |

iii.

potencijalnom učinku takvih promjena na ključne ili važne funkcije obuhvaćene tim aranžmanima, što uključuje sažetak analize rizika kako bi se procijenio učinak tih promjena; i barem o značajnim IKT incidentima i njihovu učinku kao i o odgovoru, oporavku i korektivnim mjerama.

3.   Financijski subjekti koji nisu mikropoduzeća uvode funkciju za praćenje aranžmana o upotrebi IKT usluga sklopljenih s trećim stranama pružateljima IKT usluga ili imenuju člana višeg rukovodstva koji će biti odgovoran za nadzor nad povezanom izloženosti rizicima i relevantnom dokumentacijom.

4.   Članovi upravljačkog tijela financijskog subjekta aktivno osvježavaju znanje i vještine koji su im dostatni kako bi mogli razumjeti i procijeniti IKT rizik i njegov učinak na poslovanje financijskog subjekta, među ostalim i tako da redovito pohađaju posebno osposobljavanje, razmjerno IKT riziku kojima se upravlja.

Odjeljak II.

Članak 6.

Okvir za upravljanje IKT rizicima

1.   Financijski subjekti u sklopu svojeg općeg sustava za upravljanje rizicima imaju pouzdan, sveobuhvatan i dobro dokumentiran okvir za upravljanje IKT rizicima, koji im omogućuje brzo, učinkovito i sveobuhvatno odgovaranje na IKT rizik te osigurava visoku razinu digitalne operativne otpornosti.

2.   Okvir za upravljanje IKT rizicima obuhvaća barem strategije, politike, postupke te IKT protokole i alate koji su potrebni za propisnu i primjerenu zaštitu sve informacijske imovine i IKT imovine, što uključuje računalni softver, hardver i poslužitelje, te za zaštitu svih relevantnih fizičkih komponenata i infrastrukture, kao što su prostori, podatkovni centri i područja određena kao osjetljiva, kako bi se osiguralo da je sva informacijska imovina i IKT imovina primjereno zaštićena od rizikâ, među ostalim i od oštećenja te neovlaštenog pristupa ili upotrebe.

3.   Financijski subjekti, u skladu sa svojim okvirom za upravljanje IKT rizicima, svode učinak IKT rizika na najmanju moguću mjeru uvođenjem odgovarajućih strategija, politika, postupaka, IKT protokola i alata. Financijski subjekti dostavljaju nadležnim tijelima potpune i ažurirane informacije o IKT rizicima i o svojem okviru za upravljanje IKT rizicima na zahtjev tih tijela.

4.   Financijski subjekti koji nisu mikropoduzeća odgovornost za upravljanje IKT rizicima i nadzor nad njima dodjeljuju kontrolnoj funkciji i osiguravaju odgovarajuću razinu neovisnosti takve kontrolne funkcije kako bi se izbjegli sukobi interesa. Financijski subjekti osiguravaju odgovarajuće razdvajanje i neovisnost funkcija upravljanja IKT rizicima, kontrolnih funkcija i funkcija unutarnje revizije, u skladu s modelom „triju crta obrane” ili internim modelom upravljanja rizicima i kontrole nad njima.

5.   Okvir za upravljanje IKT rizicima dokumentira se i preispituje najmanje jedanput godišnje, ili periodički ako je riječ o mikropoduzećima, kao i po nastanku značajnih IKT incidenata te u skladu s uputama ili zaključcima nadzornog tijela koji su izrađeni slijedom relevantnog testiranja digitalne operativne otpornosti ili revizijskih procesa. Kontinuirano ga se poboljšava na temelju pouka iz provedbe i praćenja. Izvješće o preispitivanju okvira za upravljanje IKT rizicima podnosi se nadležnom tijelu na njegov zahtjev.

6.   Okvir za upravljanje IKT rizicima financijskih subjekata koji nisu mikropoduzeća podliježe redovitoj unutarnjoj reviziji, koju revizori provode u skladu s planom revizije financijskog subjekta. Ti revizori moraju imati dostatno znanje, vještine i stručno znanje u području IKT rizika, kao i odgovarajuću neovisnost. Učestalost i težište revizija u području IKT-a moraju biti razmjerni IKT riziku financijskog subjekta.

7.   Financijski subjekti na temelju zaključaka unutarnjeg revizijskog pregleda uspostavljaju formalni proces daljnjeg postupanja, uključujući pravila za pravodobnu provjeru i ispravljanje ključnih nalaza revizije u području IKT-a.

8.   Okvir za upravljanje IKT rizicima obuhvaća strategiju za digitalnu operativnu otpornost, u kojoj je utvrđen način provedbe okvira. U tu svrhu strategija za digitalnu operativnu otpornost uključuje metode za odgovaranje na IKT rizik i ostvarenje posebnih ciljeva u području IKT-a na sljedeći način:

| (a) | objašnjava se kako se okvirom za upravljanje IKT rizicima podupiru poslovna strategija i ciljevi financijskog subjekta; |
| --- | --- |

(a)

objašnjava se kako se okvirom za upravljanje IKT rizicima podupiru poslovna strategija i ciljevi financijskog subjekta;

| (b) | utvrđuje se razina tolerancije na IKT rizik, u skladu sa sklonošću financijskog subjekta preuzimanju rizika, te se analizira učinak tolerancije za poremećaje u radu IKT-a; |
| --- | --- |

(b)

utvrđuje se razina tolerancije na IKT rizik, u skladu sa sklonošću financijskog subjekta preuzimanju rizika, te se analizira učinak tolerancije za poremećaje u radu IKT-a;

| (c) | utvrđuju se jasni ciljevi u području informacijske sigurnosti, uključujući ključne pokazatelje uspješnosti i ključne parametre rizika; |
| --- | --- |

(c)

utvrđuju se jasni ciljevi u području informacijske sigurnosti, uključujući ključne pokazatelje uspješnosti i ključne parametre rizika;

| (d) | objašnjava se referentna IKT arhitektura i sve promjene koje su potrebne za ostvarenje specifičnih poslovnih ciljeva; |
| --- | --- |

(d)

objašnjava se referentna IKT arhitektura i sve promjene koje su potrebne za ostvarenje specifičnih poslovnih ciljeva;

| (e) | u glavnim crtama izlažu se različiti mehanizmi uspostavljeni radi otkrivanja IKT incidenata, sprečavanja njihovih učinaka i pružanja zaštite od tih učinaka; |
| --- | --- |

(e)

u glavnim crtama izlažu se različiti mehanizmi uspostavljeni radi otkrivanja IKT incidenata, sprečavanja njihovih učinaka i pružanja zaštite od tih učinaka;

| (f) | jasno se prikazuje aktualna situacija u pogledu digitalne operativne otpornosti, i to na temelju broja prijavljenih značajnih IKT incidenata i djelotvornosti preventivnih mjera; |
| --- | --- |

(f)

jasno se prikazuje aktualna situacija u pogledu digitalne operativne otpornosti, i to na temelju broja prijavljenih značajnih IKT incidenata i djelotvornosti preventivnih mjera;

| (g) | uvodi se testiranje digitalne operativne otpornosti, u skladu s poglavljem IV. ove Uredbe; |
| --- | --- |

(g)

uvodi se testiranje digitalne operativne otpornosti, u skladu s poglavljem IV. ove Uredbe;

| (h) | u glavnim crtama izlaže se komunikacijska strategija za slučaj IKT incidenata koji se moraju objaviti u skladu s člankom 14. |
| --- | --- |

(h)

u glavnim crtama izlaže se komunikacijska strategija za slučaj IKT incidenata koji se moraju objaviti u skladu s člankom 14.

9.   U kontekstu strategije za digitalnu operativnu otpornost iz stavka 8. financijski subjekti mogu utvrditi sveobuhvatnu strategiju za nabavu IKT-a od više dobavljača, na razini grupe ili subjekta, u kojoj se izlažu ključne ovisnosti o trećim stranama pružateljima IKT usluga i objašnjava razlog za mješovitu nabavu od različitih trećih strana pružatelja IKT usluga.

10.   Financijski subjekti mogu, u skladu sa sektorskim pravom Unije i nacionalnim sektorskim pravom, eksternalizirati zadaće provjeravanja usklađenosti sa zahtjevima u pogledu upravljanja IKT rizicima društvima unutar grupe ili vanjskim društvima. U slučaju takve eksternalizacije financijski subjekt ostaje u potpunosti odgovoran za provjeru usklađenosti sa zahtjevima u pogledu upravljanja IKT rizicima.

Članak 7.

IKT sustavi, protokoli i alati

Kako bi odgovorili na IKT rizik i upravljali njime, financijski subjekti upotrebljavaju i održavaju ažuriranima IKT sustave, protokole i alate koji su:

| (a) | primjereni razmjeru operacija koje podupiru poslovanje tih financijskih subjekata, u skladu s načelom proporcionalnosti iz članka 4.; |
| --- | --- |

(a)

primjereni razmjeru operacija koje podupiru poslovanje tih financijskih subjekata, u skladu s načelom proporcionalnosti iz članka 4.;

| (b) | pouzdani; |
| --- | --- |

(b)

pouzdani;

| (c) | opremljeni dostatnim kapacitetom za pravilnu obradu podataka potrebnih za obavljanje aktivnosti i pravodobno pružanje usluga, kao i kapacitetom za najjače opterećenje nalozima, porukama ili transakcijama, ovisno o potrebi, među ostalim i u slučaju uvođenja nove tehnologije; |
| --- | --- |

(c)

opremljeni dostatnim kapacitetom za pravilnu obradu podataka potrebnih za obavljanje aktivnosti i pravodobno pružanje usluga, kao i kapacitetom za najjače opterećenje nalozima, porukama ili transakcijama, ovisno o potrebi, među ostalim i u slučaju uvođenja nove tehnologije;

| (d) | tehnološki otporni da mogu primjereno ispuniti dodatne potrebe za obradom informacija u stresnim okolnostima na tržištu ili drugim nepovoljnim situacijama. |
| --- | --- |

(d)

tehnološki otporni da mogu primjereno ispuniti dodatne potrebe za obradom informacija u stresnim okolnostima na tržištu ili drugim nepovoljnim situacijama.

Članak 8.

Utvrđivanje

1.   U sklopu okvira za upravljanje IKT rizicima iz članka 6. stavka 1. financijski subjekti utvrđuju, klasificiraju i na odgovarajući način dokumentiraju sve poslovne funkcije, uloge i odgovornosti koje se podupiru IKT-om, informacijsku imovinu i IKT imovinu kojom se te funkcije podupiru te njihove uloge i ovisnosti u odnosu na IKT rizik. Financijski subjekti prema potrebi, a najmanje jedanput godišnje, preispituju primjerenost te klasifikacije i sve relevantne dokumentacije.

2.   Financijski subjekti kontinuirano utvrđuju sve izvore IKT rizika, osobito izloženost riziku drugih financijskih subjekata i od drugih financijskih subjekata, te procjenjuju kiberprijetnje i ranjivosti IKT-a koje su relevantne za njihove poslovne funkcije koje se podupiru IKT-om te za informacijsku imovinu i IKT imovinu. Financijski subjekti redovito, a najmanje jedanput godišnje, preispituju scenarije rizika koji utječu na njih.

3.   Financijski subjekti koji nisu mikropoduzeća provode procjenu rizika nakon svake značajne promjene u infrastrukturi mrežnog i informacijskog sustava, u procesima ili postupcima koji utječu na njihove poslovne funkcije koje se podupiru IKT-om te informacijsku imovinu ili IKT imovinu.

4.   Financijski subjekti utvrđuju svu informacijsku imovinu i IKT imovinu, među ostalima i onu na udaljenim lokacijama, mrežne resurse i hardversku opremu te mapiraju onu koju smatraju ključnom. Financijski subjekti mapiraju konfiguraciju informacijske imovine i IKT imovine te veze među različitom informacijskom imovinom i IKT imovinom i njihove međuovisnosti.

5.   Financijski subjekti utvrđuju i dokumentiraju sve procese koji ovise o trećim stranama pružateljima IKT usluga te utvrđuju međusobnu povezanost s trećim stranama pružateljima IKT usluga koji pružaju usluge kojima se podupiru ključne ili važne funkcije.

6.   Za potrebe stavaka 1., 4. i 5. financijski subjekti vode relevantne evidencije, koje ažuriraju redovito i svaki put kad dođe do značajnih promjena iz stavka 3.

7.   Financijski subjekti koji nisu mikropoduzeća redovito, a najmanje jedanput godišnje, provode posebnu procjenu IKT rizika za sve zastarjele IKT sustave, a u svakom slučaju prije i nakon povezivanja tehnologija, aplikacija ili sustava.

Članak 9.

Zaštita i sprečavanje

1.   Za potrebe primjerene zaštite IKT sustavâ i u cilju organiziranja mjera odgovora, financijski subjekti kontinuirano prate i kontroliraju sigurnost i funkcioniranje IKT sustavâ i alatâ te učinak IKT rizika na IKT sustave svode na najmanju moguću mjeru uvođenjem odgovarajućih alata, politika i postupaka za sigurnost IKT-a.

2.   Financijski subjekti osmišljavaju, izrađuju i provode politike, postupke, protokole i alate za sigurnost IKT-a čiji je cilj osigurati otpornost, kontinuitet i dostupnost IKT sustava, posebno onih kojima se podupiru ključne ili važne funkcije, te održavati visoke standarde dostupnosti, vjerodostojnosti, cjelovitosti i povjerljivosti podataka, neovisno o tome jesu li u mirovanju, upotrebi ili prijenosu.

3.   Kako bi ostvarili ciljeve iz stavka 2., financijski subjekti primjenjuju IKT rješenja i procese koji su primjereni u skladu s člankom 4. Tim IKT rješenjima i procesima:

| (a) | osigurava se sigurnost sredstava za prijenos podataka; |
| --- | --- |

(a)

osigurava se sigurnost sredstava za prijenos podataka;

| (b) | na najmanju moguću mjeru svodi se rizik od oštećenja ili gubitka podataka, neovlaštenog pristupa i tehničkih nedostataka koji mogu narušiti poslovanje; |
| --- | --- |

(b)

na najmanju moguću mjeru svodi se rizik od oštećenja ili gubitka podataka, neovlaštenog pristupa i tehničkih nedostataka koji mogu narušiti poslovanje;

| (c) | sprečavaju se pomanjkanje dostupnosti, narušavanje vjerodostojnosti i cjelovitosti, kršenja povjerljivosti i gubitak podataka; |
| --- | --- |

(c)

sprečavaju se pomanjkanje dostupnosti, narušavanje vjerodostojnosti i cjelovitosti, kršenja povjerljivosti i gubitak podataka;

| (d) | osigurava se zaštita podataka od rizika koji proizlaze iz upravljanja podatcima, među ostalim i iz loše administracije, rizika povezanih s obradom i ljudske pogreške. |
| --- | --- |

(d)

osigurava se zaštita podataka od rizika koji proizlaze iz upravljanja podatcima, među ostalim i iz loše administracije, rizika povezanih s obradom i ljudske pogreške.

4.   U sklopu okvira za upravljanje IKT rizicima iz članka 6. stavka 1. financijski subjekti:

| (a) | razvijaju i dokumentiraju politiku informacijske sigurnosti kojom se utvrđuju pravila za zaštitu dostupnosti, vjerodostojnosti, cjelovitosti i povjerljivosti podataka te informacijske imovine i IKT imovine, među ostalim, ako je to primjenjivo, i podataka i te imovine njihovih klijenata; |
| --- | --- |

(a)

razvijaju i dokumentiraju politiku informacijske sigurnosti kojom se utvrđuju pravila za zaštitu dostupnosti, vjerodostojnosti, cjelovitosti i povjerljivosti podataka te informacijske imovine i IKT imovine, među ostalim, ako je to primjenjivo, i podataka i te imovine njihovih klijenata;

| (b) | primjenom pristupa koji se temelji na procjeni rizika uspostavljaju pouzdanu strukturu za upravljanje mrežom i infrastrukturom s pomoću odgovarajućih tehnika, metoda i protokola, koji mogu uključivati automatizirane mehanizme za izoliranje zahvaćene informacijske imovine u slučaju kibernapadâ; |
| --- | --- |

(b)

primjenom pristupa koji se temelji na procjeni rizika uspostavljaju pouzdanu strukturu za upravljanje mrežom i infrastrukturom s pomoću odgovarajućih tehnika, metoda i protokola, koji mogu uključivati automatizirane mehanizme za izoliranje zahvaćene informacijske imovine u slučaju kibernapadâ;

| (c) | provode politike kojima se fizički ili logički pristup informacijskoj i IKT imovini ograničava samo na ono što je nužno za legitimne i odobrene funkcije i aktivnosti te u tu svrhu uvode politike, postupke i kontrole koji se odnose na prava pristupa i osiguravaju dobro upravljanje njima; |
| --- | --- |

(c)

provode politike kojima se fizički ili logički pristup informacijskoj i IKT imovini ograničava samo na ono što je nužno za legitimne i odobrene funkcije i aktivnosti te u tu svrhu uvode politike, postupke i kontrole koji se odnose na prava pristupa i osiguravaju dobro upravljanje njima;

| (d) | provode politike i protokole za pouzdane mehanizme autentifikacije, na temelju relevantnih standarda i namjenskih kontrolnih sustava, te mjere za zaštitu kriptografskih ključeva, kojima se podatci šifriraju na temelju rezultata odobrenih procesa klasifikacije podataka i procjene IKT rizika; |
| --- | --- |

(d)

provode politike i protokole za pouzdane mehanizme autentifikacije, na temelju relevantnih standarda i namjenskih kontrolnih sustava, te mjere za zaštitu kriptografskih ključeva, kojima se podatci šifriraju na temelju rezultata odobrenih procesa klasifikacije podataka i procjene IKT rizika;

| (e) | provode dokumentirane politike, postupke i kontrole za upravljanje promjenama IKT-a, što uključuje promjene softvera, hardvera, komponenata ugrađenog softvera, sustava ili sigurnosnih parametara, koji se temelje na procjeni rizika i sastavni su dio općeg procesa upravljanja promjenama u financijskom subjektu, kako bi se osiguralo kontrolirano evidentiranje, testiranje, procjena, odobravanje, provedba i provjera svih promjena u IKT sustavima; |
| --- | --- |

(e)

provode dokumentirane politike, postupke i kontrole za upravljanje promjenama IKT-a, što uključuje promjene softvera, hardvera, komponenata ugrađenog softvera, sustava ili sigurnosnih parametara, koji se temelje na procjeni rizika i sastavni su dio općeg procesa upravljanja promjenama u financijskom subjektu, kako bi se osiguralo kontrolirano evidentiranje, testiranje, procjena, odobravanje, provedba i provjera svih promjena u IKT sustavima;

| (f) | posjeduju odgovarajuće i sveobuhvatne dokumentirane politike za zakrpe i ažuriranja. |
| --- | --- |

(f)

posjeduju odgovarajuće i sveobuhvatne dokumentirane politike za zakrpe i ažuriranja.

Za potrebe prvog podstavka točke (b) financijski subjekti projektiraju infrastrukturu za mrežnu vezu tako da ju je moguće odmah prekinuti ili segmentirati kako bi se u najvećoj mogućoj mjeri smanjila i spriječila zaraza, posebno u slučaju međusobno povezanih financijskih procesa.

Za potrebe prvog podstavka točke (e) proces upravljanja promjenama IKT-a odobravaju odgovarajuće razine rukovodstva te on mora sadržavati posebne protokole.

Članak 10.

Otkrivanje

1.   Financijski subjekti uspostavljaju mehanizme za brzo otkrivanje neobičnih aktivnosti, u skladu s člankom 17., što uključuje probleme s performansama IKT mreže i IKT incidente, te utvrđuju moguće bitne jedinstvene točke prekida.

Svi mehanizmi otkrivanja iz prvog podstavka redovito se testiraju u skladu s člankom 25.

2.   Mehanizmima otkrivanja iz stavka 1. omogućuje se više razina kontrole, utvrđuju pragovi za upozorenja i kriteriji za aktiviranje i pokretanje procesâ odgovora na IKT incidente, što uključuje mehanizme za automatsko upozoravanje relevantnog osoblja zaduženog za odgovor na IKT incidente.

3.   Financijski subjekti izdvajaju dostatne resurse i sposobnosti za praćenje aktivnosti korisnika, nastanka neobičnih pojava u IKT-u i IKT incidenata, posebno kibernapadâ.

4.   Pružatelji usluga dostave podataka usto uspostavljaju sustave kojima se može djelotvorno provjeriti jesu li izvješća o trgovanju potpuna, kojima se mogu utvrditi propusti i očite pogreške te zahtijevati ponovni prijenos tih izvješća.

Članak 11.

Odgovor i oporavak

1.   U sklopu okvira za upravljanje IKT rizicima iz članka 6. stavka 1. i na temelju zahtjevâ u pogledu utvrđivanja iz članka 8., financijski subjekti uvode sveobuhvatnu politiku kontinuiteta poslovanja u području IKT-a, koja se može donijeti kao zasebna namjenska politika koja je sastavni dio opće politike kontinuiteta poslovanja financijskog subjekta.

2.   Financijski subjekti provode politiku kontinuiteta poslovanja u području IKT-a s pomoću namjenskih, primjerenih i dokumentiranih aranžmana, planova, postupaka i mehanizama čiji je cilj:

| (a) | osigurati kontinuitet ključnih ili važnih funkcija financijskog subjekta; |
| --- | --- |

(a)

osigurati kontinuitet ključnih ili važnih funkcija financijskog subjekta;

| (b) | brz, primjeren i djelotvoran odgovor na sve IKT incidente i njihovo rješavanje na način kojim se ograničava šteta, a prioritet daje nastavku poslovanja i mjerama oporavka; |
| --- | --- |

(b)

brz, primjeren i djelotvoran odgovor na sve IKT incidente i njihovo rješavanje na način kojim se ograničava šteta, a prioritet daje nastavku poslovanja i mjerama oporavka;

| (c) | aktivirati, bez odgode, namjenske planove kojima se omogućuju mjere, procesi i tehnologije za suzbijanje širenja koji su prilagođeni svakoj vrsti IKT incidenta i sprečavanje daljnje štete, te prilagođene postupke odgovora i oporavka uspostavljene u skladu s člankom 12.; |
| --- | --- |

(c)

aktivirati, bez odgode, namjenske planove kojima se omogućuju mjere, procesi i tehnologije za suzbijanje širenja koji su prilagođeni svakoj vrsti IKT incidenta i sprečavanje daljnje štete, te prilagođene postupke odgovora i oporavka uspostavljene u skladu s člankom 12.;

| (d) | procijeniti preliminarne učinke, štete i gubitke; |
| --- | --- |

(d)

procijeniti preliminarne učinke, štete i gubitke;

| (e) | utvrditi komunikacijske mjere i mjere za upravljanje krizama kojima se osigurava prijenos ažuriranih informacija svim relevantnim članovima internog osoblja i vanjskim dionicima u skladu s člankom 14. te izvješćivanje nadležnih tijela u skladu s člankom 19. |
| --- | --- |

(e)

utvrditi komunikacijske mjere i mjere za upravljanje krizama kojima se osigurava prijenos ažuriranih informacija svim relevantnim članovima internog osoblja i vanjskim dionicima u skladu s člankom 14. te izvješćivanje nadležnih tijela u skladu s člankom 19.

3.   U sklopu okvira za upravljanje IKT rizicima iz članka 6. stavka 1. financijski subjekti provode povezane planove odgovora i oporavka u području IKT-a, koji, kad je riječ o financijskim subjektima koji nisu mikropoduzeća, podliježu neovisnim unutarnjim revizijskim pregledima.

4.   Financijski subjekti uvode, održavaju i periodički testiraju odgovarajuće planove kontinuiteta poslovanja u području IKT-a, prije svega za ključne ili važne funkcije koje su eksternalizirane ili ugovorene na temelju aranžmanâ s trećim stranama pružateljima IKT usluga.

5.   U sklopu opće politike kontinuiteta poslovanja financijski subjekti provode analizu učinka na poslovanje (BIA) s obzirom na svoju izloženost ozbiljnim poremećajima u poslovanju. U okviru BIA-e financijski subjekti procjenjuju mogući učinak ozbiljnih poremećaja u poslovanju s pomoću kvantitativnih i kvalitativnih kriterija, pri čemu se služe unutarnjim i vanjskim podatcima i analizom scenarija, ovisno o potrebi. U okviru BIA-e razmatraju se ključnost utvrđenih i mapiranih poslovnih funkcija, potporni procesi, ovisnosti o trećim stranama i informacijske imovine, kao i njihove međuovisnosti. Financijski subjekti osiguravaju da se IKT imovina i IKT usluge oblikuju i upotrebljavaju u potpunosti u skladu s BIA-om, posebno kad je riječ o primjerenom osiguravanju redundantnosti svih ključnih komponenata.

6.   U sklopu sveobuhvatnog upravljanja IKT rizicima financijski subjekti:

| (a) | testiraju planove kontinuiteta poslovanja u području IKT-a te planove odgovora i oporavka u području IKT-a u odnosu na IKT sustave kojima se podupiru sve funkcije, i to najmanje jedanput godišnje, kao i u slučaju svih bitnih promjena u IKT sustavima kojima se podupiru ključne ili važne funkcije; |
| --- | --- |

(a)

testiraju planove kontinuiteta poslovanja u području IKT-a te planove odgovora i oporavka u području IKT-a u odnosu na IKT sustave kojima se podupiru sve funkcije, i to najmanje jedanput godišnje, kao i u slučaju svih bitnih promjena u IKT sustavima kojima se podupiru ključne ili važne funkcije;

| (b) | testiraju planove komunikacije u krizi izrađene u skladu s člankom 14. |
| --- | --- |

(b)

testiraju planove komunikacije u krizi izrađene u skladu s člankom 14.

Za potrebe prvog podstavka točke (a) financijski subjekti koji nisu mikropoduzeća u planove testiranja uključuju scenarije kibernapadâ i prebacivanja s primarne IKT infrastrukture na redundantne kapacitete, sigurnosne kopije i redundantnu infrastrukturu koji su potrebni za ispunjenje obveza utvrđenih u članku 12.

Financijski subjekti redovito preispituju svoju politiku kontinuiteta poslovanja u području IKT-a te svoje planove odgovora i oporavka u području IKT-a uzimajući u obzir rezultate testova provedenih u skladu s prvim podstavkom i preporuke iz revizijskih ili nadzornih provjera.

7.   Financijski subjekti koji nisu mikropoduzeća imaju funkciju za upravljanje krizama kojom se, u slučaju aktivacije njihovih planova kontinuiteta poslovanja u području IKT-a ili njihovih planova odgovora i oporavka u području IKT-a, među ostalim utvrđuju jasni postupci za upravljanje unutarnjom i vanjskom komunikacijom u krizi u skladu s člankom 14.

8.   U slučaju aktivacije planova kontinuiteta poslovanja u području IKT-a te planova odgovora i oporavka u području IKT-a, financijski subjekti vode evidenciju aktivnosti prije i nakon poremećaja u radu, koja mora biti lako dostupna.

9.   Središnji depozitoriji vrijednosnih papira nadležnim tijelima dostavljaju preslike rezultata testova kontinuiteta poslovanja u području IKT-a ili sličnih vježbi.

10.   Financijski subjekti koji nisu mikropoduzeća nadležnim tijelima na zahtjev dostavljaju procjenu ukupnih godišnjih troškova i gubitaka prouzročenih značajnim IKT incidentima.

11.   U skladu s člankom 16. uredbi (EU) br. 1093/2010, (EU) br. 1094/2010 i (EU) br. 1095/2010 europska nadzorna tijela u okviru zajedničkog odbora do 17. srpnja 2024. izrađuju zajedničke smjernice za procjenu ukupnih godišnjih troškova i gubitaka iz stavka 10.

Članak 12.

Politike i postupci za izradu sigurnosnih kopija te postupci i metode za ponovnu uspostavu i oporavak

1.   Kako bi se osigurala ponovna uspostava IKT sustavâ i podataka uz minimalno razdoblje prekida rada te ograničene poremećaje u radu i gubitke, financijski subjekti u sklopu svojeg okvira za upravljanje IKT rizicima razvijaju i dokumentiraju:

| (a) | politike i postupke za izradu sigurnosnih kopija, u kojima se određuje opseg podataka za koje se izrađuju sigurnosne kopije te minimalna učestalost izrade sigurnosnih kopija, na temelju ključnosti informacija ili razine povjerljivosti podataka; |
| --- | --- |

(a)

politike i postupke za izradu sigurnosnih kopija, u kojima se određuje opseg podataka za koje se izrađuju sigurnosne kopije te minimalna učestalost izrade sigurnosnih kopija, na temelju ključnosti informacija ili razine povjerljivosti podataka;

| (b) | postupke i metode za ponovnu uspostavu i oporavak. |
| --- | --- |

(b)

postupke i metode za ponovnu uspostavu i oporavak.

2.   Financijski subjekti uspostavljaju sustave za izradu sigurnosnih kopija, koji se mogu aktivirati u skladu s politikama i postupcima za izradu sigurnosnih kopija te postupcima i metodama za ponovnu uspostavu i oporavak. Aktivacijom sustavâ za izradu sigurnosnih kopija ne smije se ugroziti sigurnost mrežnih i informacijskih sustava ni dostupnost, vjerodostojnost, cjelovitost ili povjerljivost podataka. Postupci za izradu sigurnosnih kopija te postupci i metode za ponovnu uspostavu i oporavak periodički se testiraju.

3.   Pri vraćanju podataka sa sigurnosne kopije s pomoću vlastitih sustava financijski subjekti upotrebljavaju IKT sustave koji su fizički i logički odvojeni od izvornog IKT sustava. Ti IKT sustavi moraju biti zaštićeni od neovlaštenog pristupa ili oštećenja u području IKT-a te moraju omogućiti pravodobnu ponovnu uspostavu usluga, pri čemu se prema potrebi upotrebljavaju sigurnosne kopije podataka i sustava.

Središnjim drugim ugovornim stranama planovi oporavka omogućuju oporavak svih transakcija koje su bile u tijeku u trenutku poremećaja kako bi se omogućio siguran nastavak poslovanja središnje druge ugovorne strane te dovršila namira na zakazani datum.

Pružatelji usluga dostave podataka usto osiguravaju odgovarajuće resurse te imaju infrastrukturu za izradu sigurnosnih kopija i ponovnu uspostavu kako bi u svakom trenutku mogli nuditi i održati svoje usluge.

4.   Financijski subjekti koji nisu mikropoduzeća održavaju redundantne IKT kapacitete opremljene resursima, sposobnostima i funkcijama koji su odgovarajući za pokrivanje poslovnih potreba. Mikropoduzeća na temelju svojeg profila rizičnosti procjenjuju potrebu za održavanjem takvih redundantnih IKT kapaciteta.

5.   Središnji depozitoriji vrijednosnih papira održavaju najmanje jedno sekundarno mjesto obrade opremljeno odgovarajućim resursima, sposobnostima, funkcijama i osobljem za pokrivanje poslovnih potreba.

Sekundarno mjesto obrade:

| (a) | mora biti geografski udaljeno od primarnog mjesta obrade kako bi se osigurao drukčiji profil rizičnosti i kako bi se spriječilo da ga zahvati događaj koji je zahvatio primarno mjesto; |
| --- | --- |

(a)

mora biti geografski udaljeno od primarnog mjesta obrade kako bi se osigurao drukčiji profil rizičnosti i kako bi se spriječilo da ga zahvati događaj koji je zahvatio primarno mjesto;

| (b) | mora moći osigurati kontinuitet ključnih ili važnih funkcija na isti način kao i primarno mjesto ili pružati razinu usluga koja je potrebna kako bi se osiguralo da financijski subjekt svoje ključne operacije obavi unutar ciljnih vrijednosti za oporavak; |
| --- | --- |

(b)

mora moći osigurati kontinuitet ključnih ili važnih funkcija na isti način kao i primarno mjesto ili pružati razinu usluga koja je potrebna kako bi se osiguralo da financijski subjekt svoje ključne operacije obavi unutar ciljnih vrijednosti za oporavak;

| (c) | mora biti odmah dostupno osoblju financijskog subjekta kako bi se osigurao kontinuitet ključnih ili važnih funkcija u slučaju nedostupnosti primarnog mjesta obrade. |
| --- | --- |

(c)

mora biti odmah dostupno osoblju financijskog subjekta kako bi se osigurao kontinuitet ključnih ili važnih funkcija u slučaju nedostupnosti primarnog mjesta obrade.

6.   Pri utvrđivanju ciljeva kad je riječ o vremenu oporavka i točki oporavka za svaku funkciju financijski subjekti uzimaju u obzir radi li se o ključnoj ili važnoj funkciji te mogući opći učinak na učinkovitost tržišta. Tim ciljnim vremenima mora se osigurati da se u ekstremnim scenarijima postignu dogovorene razine usluga.

7.   Pri oporavljanju od IKT incidenta financijski subjekti obavljaju potrebne provjere, uključujući višestruke provjere i usklađivanja, kako bi osigurali održavanje najviše razine cjelovitosti podataka. Te se provjere obavljaju i pri rekonstrukciji podataka vanjskih dionika kako bi se osigurala dosljednost podataka među sustavima.

Članak 13.

Učenje i razvoj

1.   Financijski subjekti raspolažu sposobnostima i osobljem za prikupljanje informacija o ranjivostima i kiberprijetnjama, IKT incidentima, a osobito kibernapadima, te za analizu njihova vjerojatnog učinka na digitalnu operativnu otpornost financijskih subjekata.

2.   Financijski subjekti uvode preispitivanja nakon IKT incidenata, koja se provode nakon što značajni IKT incidenti uzrokuju poremećaje u njihovim osnovnim aktivnostima, pri čemu analiziraju uzroke tih poremećaja i utvrđuju koja su poboljšanja potrebna za operacije IKT-a ili u okviru politike kontinuiteta poslovanja u području IKT-a iz članka 11.

Financijski subjekti koji nisu mikropoduzeća na zahtjev obavješćuju nadležna tijela o promjenama koje su provedene slijedom preispitivanja nakon IKT incidenata iz prvog podstavka.

U okviru preispitivanja nakon IKT incidenata iz prvog podstavaka utvrđuje se je li se postupalo u skladu s uspostavljenim postupcima te jesu li poduzete mjere bile djelotvorne, među ostalim i u pogledu:

| (a) | brzine odgovora na sigurnosna upozorenja i utvrđivanja učinka IKT incidenata i njihove ozbiljnosti; |
| --- | --- |

(a)

brzine odgovora na sigurnosna upozorenja i utvrđivanja učinka IKT incidenata i njihove ozbiljnosti;

| (b) | kvalitete i brzine provedbe forenzičke analize, u slučajevima u kojima se to smatra primjerenim; |
| --- | --- |

(b)

kvalitete i brzine provedbe forenzičke analize, u slučajevima u kojima se to smatra primjerenim;

| (c) | djelotvornosti eskalacije incidenta unutar financijskog subjekta; |
| --- | --- |

(c)

djelotvornosti eskalacije incidenta unutar financijskog subjekta;

| (d) | djelotvornosti unutarnje i vanjske komunikacije. |
| --- | --- |

(d)

djelotvornosti unutarnje i vanjske komunikacije.

3.   Pouke stečene iz testiranja digitalne operativne otpornosti provedenog u skladu s člancima 26. i 27. te iz stvarnih IKT incidenata, osobito kibernapadâ, kao i problemi koji se pojave po aktivaciji planova kontinuiteta poslovanja u području IKT-a te planova odgovora i oporavka u području IKT-a, zajedno s relevantnim informacijama razmijenjenima s partnerskim financijskim subjektima i procijenjenima tijekom nadzornih preispitivanja, propisno se i kontinuirano uključuju u proces procjene IKT rizikâ. Na temelju tih nalaza provode se odgovarajuća preispitivanja relevantnih komponenata okvira za upravljanje IKT rizicima iz članka 6. stavka 1.

4.   Financijski subjekti prate djelotvornost provedbe svoje strategije za digitalnu operativnu otpornost iz članka 6. stavka 8. Financijski subjekti mapiraju kako se IKT rizici razvijaju s vremenom, analiziraju učestalost, vrste, razmjer i razvoj IKT incidenata, osobito kibernapadâ, te njihove obrasce, kako bi razumjeli razinu izloženosti IKT rizicima, osobito u odnosu na ključne ili važne funkcije, i poboljšali kiberzrelost i pripravnost konkretnog financijskog subjekta.

5.   Više IKT osoblje najmanje jedanput godišnje izvješćuje upravljačko tijelo o nalazima iz stavka 3. te iznosi preporuke.

6.   Financijski subjekti osmišljavaju programe za podizanje svijesti o sigurnosti u području IKT-a i osposobljavanja o digitalnoj operativnoj otpornosti kao obvezne module u svojim programima osposobljavanja osoblja. Ti programi i osposobljavanja primjenjuju se na sve zaposlenike i više rukovodstvo, a razina njihove složenosti razmjerna je nadležnostima osoba koje obavljaju određene funkcije. Financijski subjekti u svoje relevantne programe osposobljavanja prema potrebi uključuju i treće strane pružatelje IKT usluga, u skladu s člankom 30. stavkom 2. točkom i.

7.   Financijski subjekti koji nisu mikropoduzeća kontinuirano prate relevantna tehnološka dostignuća, također kako bi bolje razumjeli mogući učinak koji bi uvođenje tih novih tehnologija moglo imati na zahtjeve u pogledu sigurnosti IKT-a i digitalnu operativnu otpornost. Financijski subjekti koji nisu mikropoduzeća ostaju u toku s najnovijim procesima upravljanja IKT rizicima kako bi mogli djelotvorno suzbijati postojeće ili nove oblike kibernapada.

Članak 14.

Komunikacija

1.   U sklopu okvira za upravljanje IKT rizicima iz članka 6. stavka 1. financijski subjekti izrađuju planove komunikacije u krizi, kojima se osigurava odgovorna objava barem značajnih IKT incidenata ili ranjivosti klijentima, partnerskim financijskim subjektima i javnosti, ovisno o slučaju.

2.   U sklopu okvira za upravljanje IKT rizicima financijski subjekti provode komunikacijske politike za interno osoblje i vanjske dionike. U komunikacijskim politikama za osoblje uzima se u obzir potreba da se mora razlikovati osoblje uključeno u upravljanje IKT rizicima, posebno osoblje nadležno za odgovor i oporavak, od osoblja koje samo treba informirati.

3.   Najmanje jedna osoba u financijskom subjektu zadužena je za provedbu komunikacijske strategije za IKT incidente i u tu svrhu ispunjava funkciju komunikacije s javnošću i medijima.

Članak 15.

Daljnje usklađivanje alata, metoda, procesa i politika za upravljanje IKT rizicima

Europska nadzorna tijela, u okviru Zajedničkog odbora i uz savjetovanje s Agencijom Europske unije za kibersigurnost (ENISA), izrađuju zajednički nacrt regulatornih tehničkih standarda kako bi se:

| (a) | pobliže opisali elementi koje treba uključiti u politike, postupke, protokole i alate za sigurnost IKT-a iz članka 9. stavka 2. kako bi se osigurale sigurnost mreža i odgovarajuće mjere zaštite od neovlaštenih upada i zlouporabe podataka, očuvale dostupnost, vjerodostojnost, cjelovitost i povjerljivost podataka, što uključuje kriptografske tehnike, i zajamčio točan i brz prijenos podataka bez značajnih poremećaja i nepotrebnih zastoja; |
| --- | --- |

(a)

pobliže opisali elementi koje treba uključiti u politike, postupke, protokole i alate za sigurnost IKT-a iz članka 9. stavka 2. kako bi se osigurale sigurnost mreža i odgovarajuće mjere zaštite od neovlaštenih upada i zlouporabe podataka, očuvale dostupnost, vjerodostojnost, cjelovitost i povjerljivost podataka, što uključuje kriptografske tehnike, i zajamčio točan i brz prijenos podataka bez značajnih poremećaja i nepotrebnih zastoja;

| (b) | dodatno razradile komponente kontrole pravâ upravljanja pristupom iz članka 9. stavka 4. točke (c) i povezana politika ljudskih resursa, u okviru koje se pobliže opisuju prava pristupa, postupci za dodjelu i opoziv prava te praćenje neobičnog ponašanja u pogledu IKT rizika s pomoću odgovarajućih pokazatelja, među ostalim i za obrasce upotrebe mreže, sate, IT aktivnost i nepoznate uređaje; |
| --- | --- |

(b)

dodatno razradile komponente kontrole pravâ upravljanja pristupom iz članka 9. stavka 4. točke (c) i povezana politika ljudskih resursa, u okviru koje se pobliže opisuju prava pristupa, postupci za dodjelu i opoziv prava te praćenje neobičnog ponašanja u pogledu IKT rizika s pomoću odgovarajućih pokazatelja, među ostalim i za obrasce upotrebe mreže, sate, IT aktivnost i nepoznate uređaje;

| (c) | dodatno razradili mehanizmi utvrđeni u članku 10. stavku 1. koji omogućuju brzo otkrivanje neobičnih aktivnosti te kriteriji utvrđeni u članku 10. stavku 2. za aktiviranje otkrivanja IKT incidenata i procesa odgovora; |
| --- | --- |

(c)

dodatno razradili mehanizmi utvrđeni u članku 10. stavku 1. koji omogućuju brzo otkrivanje neobičnih aktivnosti te kriteriji utvrđeni u članku 10. stavku 2. za aktiviranje otkrivanja IKT incidenata i procesa odgovora;

| (d) | pobliže opisale sastavnice politike kontinuiteta poslovanja u području IKT-a iz članka 11. stavka 1.; |
| --- | --- |

(d)

pobliže opisale sastavnice politike kontinuiteta poslovanja u području IKT-a iz članka 11. stavka 1.;

| (e) | pobliže opisalo testiranje planova kontinuiteta poslovanja u području IKT-a iz članka 11. stavka 6. kako bi se osiguralo da se pri tom testiranju propisno uzimaju u obzir scenariji u kojima kvaliteta pružanja ključne ili važne funkcije opada do neprihvatljive razine ili pružanje te funkcije nije moguće te da se propisno razmatra mogući učinak nesolventnosti ili drugih oblika prekida relevantne treće strane pružatelja IKT usluga, kao i, ako je relevantno, politički rizici u jurisdikcijama u kojima ti pružatelji posluju; |
| --- | --- |

(e)

pobliže opisalo testiranje planova kontinuiteta poslovanja u području IKT-a iz članka 11. stavka 6. kako bi se osiguralo da se pri tom testiranju propisno uzimaju u obzir scenariji u kojima kvaliteta pružanja ključne ili važne funkcije opada do neprihvatljive razine ili pružanje te funkcije nije moguće te da se propisno razmatra mogući učinak nesolventnosti ili drugih oblika prekida relevantne treće strane pružatelja IKT usluga, kao i, ako je relevantno, politički rizici u jurisdikcijama u kojima ti pružatelji posluju;

| (f) | pobliže opisale sastavnice planova odgovora i oporavka u području IKT-a iz članka 11. stavka 3.; |
| --- | --- |

(f)

pobliže opisale sastavnice planova odgovora i oporavka u području IKT-a iz članka 11. stavka 3.;

| (g) | pobliže opisali sadržaj i format izvješća o preispitivanju okvira za upravljanje IKT rizicima iz članka 6. stavka 5. |
| --- | --- |

(g)

pobliže opisali sadržaj i format izvješća o preispitivanju okvira za upravljanje IKT rizicima iz članka 6. stavka 5.

Pri izradi tog nacrta regulatornih tehničkih standarda europska nadzorna tijela uzimaju u obzir veličinu i ukupni profil rizičnosti financijskog subjekta te prirodu, opseg i složenost njegovih usluga, aktivnosti i poslovanja, uzimajući pritom u obzir sve posebne značajke koje proizlaze iz specifične prirode aktivnosti u različitim sektorima financijskih usluga.

Europska nadzorna tijela taj nacrt regulatornih tehničkih standarda dostavljaju Komisiji do 17. siječnja 2024.

Komisiji se dodjeljuje ovlast za dopunjavanje ove Uredbe donošenjem regulatornih tehničkih standarda iz prvog stavka u skladu s člancima od 10. do 14. Uredbe (EU) br. 1093/2010, Uredbe (EU) br. 1094/2010 i Uredbe (EU) br. 1095/2010.

Članak 16.

Pojednostavljeni okvir za upravljanje IKT rizicima

1.   Članci od 5. do 15. ove Uredbe ne primjenjuju se na mala i nepovezana investicijska društva, institucije za platni promet izuzete na temelju Direktive (EU) 2015/2366; institucije izuzete na temelju Direktive 2013/36/EU u odnosu na koje su države članice odlučile da neće primijeniti mogućnost iz članka 2. stavka 4. ove Uredbe; institucije za elektronički novac izuzete na temelju Direktive 2009/110/EZ; te male institucije za strukovno mirovinsko osiguranje.

Ne dovodeći u pitanje prvi podstavak, subjekti navedeni u prvom podstavku moraju:

| (a) | uspostaviti i održavati pouzdan i dokumentiran okvir za upravljanje IKT rizicima, u kojem se detaljno navode mehanizmi i mjere usmjereni na brzo, učinkovito i sveobuhvatno upravljanje IKT rizikom, među ostalim i za zaštitu relevantnih fizičkih komponenata i infrastrukture; |
| --- | --- |

(a)

uspostaviti i održavati pouzdan i dokumentiran okvir za upravljanje IKT rizicima, u kojem se detaljno navode mehanizmi i mjere usmjereni na brzo, učinkovito i sveobuhvatno upravljanje IKT rizikom, među ostalim i za zaštitu relevantnih fizičkih komponenata i infrastrukture;

| (b) | kontinuirano pratiti sigurnost i funkcioniranje svih IKT sustava; |
| --- | --- |

(b)

kontinuirano pratiti sigurnost i funkcioniranje svih IKT sustava;

| (c) | učinak IKT rizika svesti na najmanju moguću mjeru s pomoću pouzdanih, otpornih i ažuriranih IKT sustava, protokola i alata koji su prikladni za potporu u obavljanju njihovih aktivnosti i pružanju usluga te kojima se na odgovarajući način štite dostupnost, vjerodostojnost, cjelovitost i povjerljivost podataka u mrežnim i informacijskim sustavima; |
| --- | --- |

(c)

učinak IKT rizika svesti na najmanju moguću mjeru s pomoću pouzdanih, otpornih i ažuriranih IKT sustava, protokola i alata koji su prikladni za potporu u obavljanju njihovih aktivnosti i pružanju usluga te kojima se na odgovarajući način štite dostupnost, vjerodostojnost, cjelovitost i povjerljivost podataka u mrežnim i informacijskim sustavima;

| (d) | omogućiti brzo utvrđivanje i otkrivanje izvora IKT rizika i neobičnih pojava u mrežnim i informacijskim sustavima te brzo postupanje u vezi s IKT incidentima; |
| --- | --- |

(d)

omogućiti brzo utvrđivanje i otkrivanje izvora IKT rizika i neobičnih pojava u mrežnim i informacijskim sustavima te brzo postupanje u vezi s IKT incidentima;

| (e) | utvrditi ključne ovisnosti o trećim stranama pružateljima IKT usluga; |
| --- | --- |

(e)

utvrditi ključne ovisnosti o trećim stranama pružateljima IKT usluga;

| (f) | osigurati kontinuitet ključnih ili važnih funkcija s pomoću planova kontinuiteta poslovanja te mjera odgovora i oporavka, koje uključuju barem mjere za izradu sigurnosnih kopija i ponovnu uspostavu; |
| --- | --- |

(f)

osigurati kontinuitet ključnih ili važnih funkcija s pomoću planova kontinuiteta poslovanja te mjera odgovora i oporavka, koje uključuju barem mjere za izradu sigurnosnih kopija i ponovnu uspostavu;

| (g) | redovito testirati planove i mjere iz točke (f), kao i djelotvornost kontrola provedenih u skladu s točkama (a) i (c); |
| --- | --- |

(g)

redovito testirati planove i mjere iz točke (f), kao i djelotvornost kontrola provedenih u skladu s točkama (a) i (c);

| (h) | u proces procjene IKT rizika prema potrebi uključiti relevantne operativne zaključke koji su rezultat testova iz točke (g) i analize nakon incidenata te razviti, u skladu s potrebama i profilom IKT rizičnosti, programe za podizanje svijesti o sigurnosti u području IKT-a i osposobljavanja o digitalnoj operativnoj otpornosti za osoblje i rukovodstvo. |
| --- | --- |

(h)

u proces procjene IKT rizika prema potrebi uključiti relevantne operativne zaključke koji su rezultat testova iz točke (g) i analize nakon incidenata te razviti, u skladu s potrebama i profilom IKT rizičnosti, programe za podizanje svijesti o sigurnosti u području IKT-a i osposobljavanja o digitalnoj operativnoj otpornosti za osoblje i rukovodstvo.

2.   Okvir za upravljanje IKT rizicima iz stavka 1. drugog podstavka točke (a) dokumentira se i preispituje periodički, kao i po nastanku značajnih IKT incidenata, u skladu s uputama nadzornog tijela. Kontinuirano ga se poboljšava na temelju pouka koje proizlaze iz provedbe i praćenja. Izvješće o preispitivanju okvira za upravljanje IKT rizicima podnosi se nadležnom tijelu na njegov zahtjev.

3.   Europska nadzorna tijela, u okviru Zajedničkog odbora i uz savjetovanje s ENISA-om, izrađuju zajednički nacrt regulatornih tehničkih standarda kako bi se:

| (a) | pobliže opisali elementi koje treba uključiti u okvir za upravljanje IKT rizicima iz stavka 1. drugog podstavka točke (a); |
| --- | --- |

(a)

pobliže opisali elementi koje treba uključiti u okvir za upravljanje IKT rizicima iz stavka 1. drugog podstavka točke (a);

| (b) | pobliže opisali elementi povezani sa sustavima, protokolima i alatima kojima se učinak IKT rizika iz stavka 1. drugog podstavka točke (c) svodi na najmanju moguću mjeru s ciljem osiguravanja sigurnosti mreža, omogućavanja odgovarajućih mjera zaštite od neovlaštenih upada i zlouporabe podataka te očuvanja dostupnosti, vjerodostojnosti, cjelovitosti i povjerljivosti podataka; |
| --- | --- |

(b)

pobliže opisali elementi povezani sa sustavima, protokolima i alatima kojima se učinak IKT rizika iz stavka 1. drugog podstavka točke (c) svodi na najmanju moguću mjeru s ciljem osiguravanja sigurnosti mreža, omogućavanja odgovarajućih mjera zaštite od neovlaštenih upada i zlouporabe podataka te očuvanja dostupnosti, vjerodostojnosti, cjelovitosti i povjerljivosti podataka;

| (c) | pobliže opisale sastavnice planova kontinuiteta poslovanja u području IKT-a iz stavka 1. drugog podstavka točke (f); |
| --- | --- |

(c)

pobliže opisale sastavnice planova kontinuiteta poslovanja u području IKT-a iz stavka 1. drugog podstavka točke (f);

| (d) | pobliže opisala pravila o testiranju planova kontinuiteta poslovanja i osigurala djelotvornost kontrola iz stavka 1. drugog podstavka točke (g), te osiguralo da se pri takvom testiranju propisno uzimaju u obzir scenariji u kojima kvaliteta pružanja ključne ili važne funkcije opada do neprihvatljive razine ili pružanje te funkcije nije moguće; |
| --- | --- |

(d)

pobliže opisala pravila o testiranju planova kontinuiteta poslovanja i osigurala djelotvornost kontrola iz stavka 1. drugog podstavka točke (g), te osiguralo da se pri takvom testiranju propisno uzimaju u obzir scenariji u kojima kvaliteta pružanja ključne ili važne funkcije opada do neprihvatljive razine ili pružanje te funkcije nije moguće;

| (e) | pobliže opisali sadržaj i format izvješća o preispitivanju okvira za upravljanje IKT rizicima iz stavka 2. |
| --- | --- |

(e)

pobliže opisali sadržaj i format izvješća o preispitivanju okvira za upravljanje IKT rizicima iz stavka 2.

Pri izradi tog nacrta regulatornih tehničkih standarda europska nadzorna tijela uzimaju u obzir veličinu i ukupni profil rizičnosti financijskog subjekta te prirodu, opseg i složenost njegovih usluga, aktivnosti i poslovanja.

Europska nadzorna tijela taj nacrt regulatornih tehničkih standarda dostavljaju Komisiji do 17. siječnja 2024.

Komisiji se dodjeljuje ovlast za dopunjavanje ove Uredbe donošenjem regulatornih tehničkih standarda iz prvog podstavka u skladu s člancima od 10. do 14. Uredbe (EU) br. 1093/2010, Uredbe (EU) br. 1094/2010 i Uredbe (EU) br. 1095/2010.

POGLAVLJE III.

Upravljanje, klasifikacija i izvješćivanje u vezi s IKT incidentima

Članak 17.

Proces upravljanja IKT incidentima

1.   Financijski subjekti definiraju, uspostavljaju i provode proces upravljanja IKT incidentima radi otkrivanja IKT incidenata, upravljanja njima i obavješćivanja o njima.

2.   Financijski subjekti evidentiraju sve IKT incidente i ozbiljne kiberprijetnje. Financijski subjekti uspostavljaju odgovarajuće postupke i procese za osiguravanje dosljednog i integriranog praćenja IKT incidenata te postupanja i poduzimanja daljnjih mjera u vezi s njima kako bi se osiguralo utvrđivanje i dokumentiranje njihovih temeljnih uzroka te nošenje s tim uzrocima u cilju sprečavanja nastanka takvih incidenata.

3.   U okviru procesa upravljanja IKT incidentima iz stavka 1.:

| (a) | uspostavljaju se pokazatelji za rano upozoravanje; |
| --- | --- |

(a)

uspostavljaju se pokazatelji za rano upozoravanje;

| (b) | uspostavljaju se postupci za utvrđivanje, praćenje, evidentiranje, kategorizaciju i klasifikaciju IKT incidenata u skladu s njihovim prioritetom te ozbiljnosti i u skladu s ključnosti zahvaćenih usluga, u skladu s kriterijima utvrđenima u članku 18. stavku 1.; |
| --- | --- |

(b)

uspostavljaju se postupci za utvrđivanje, praćenje, evidentiranje, kategorizaciju i klasifikaciju IKT incidenata u skladu s njihovim prioritetom te ozbiljnosti i u skladu s ključnosti zahvaćenih usluga, u skladu s kriterijima utvrđenima u članku 18. stavku 1.;

| (c) | dodjeljuju se uloge i odgovornosti koje se moraju aktivirati za različite vrste IKT incidenata i scenarija; |
| --- | --- |

(c)

dodjeljuju se uloge i odgovornosti koje se moraju aktivirati za različite vrste IKT incidenata i scenarija;

| (d) | utvrđuju se planovi za komunikaciju s osobljem, vanjskim dionicima i medijima u skladu s člankom 14., planovi za obavješćivanje klijenata, za postupke povezane s internom eskalacijom, što uključuje prigovore korisnika povezane s IKT-om, te prema potrebi za informiranje partnerskih financijskih subjekata; |
| --- | --- |

(d)

utvrđuju se planovi za komunikaciju s osobljem, vanjskim dionicima i medijima u skladu s člankom 14., planovi za obavješćivanje klijenata, za postupke povezane s internom eskalacijom, što uključuje prigovore korisnika povezane s IKT-om, te prema potrebi za informiranje partnerskih financijskih subjekata;

| (e) | osigurava se izvješćivanje relevantnog višeg rukovodstva barem o značajnim IKT incidentima te informiranje upravljačkog tijela barem o značajnim IKT incidentima, uz objašnjenje njihova učinka, odgovora na njih i dodatnih kontrola koje treba uvesti zbog takvih IKT incidenata; |
| --- | --- |

(e)

osigurava se izvješćivanje relevantnog višeg rukovodstva barem o značajnim IKT incidentima te informiranje upravljačkog tijela barem o značajnim IKT incidentima, uz objašnjenje njihova učinka, odgovora na njih i dodatnih kontrola koje treba uvesti zbog takvih IKT incidenata;

| (f) | uspostavljaju se postupci odgovora na IKT incidente kako bi se ublažili njihovi učinci i osiguralo da usluge pravodobno postanu dostupne i sigurne. |
| --- | --- |

(f)

uspostavljaju se postupci odgovora na IKT incidente kako bi se ublažili njihovi učinci i osiguralo da usluge pravodobno postanu dostupne i sigurne.

Članak 18.

Klasifikacija IKT incidenata i kiberprijetnji

1.   Financijski subjekti klasificiraju IKT incidente i utvrđuju njihov učinak na temelju sljedećih kriterija:

| (a) | broja i/ili relevantnosti zahvaćenih klijenata ili partnerskih financijskih subjekata i, ako je to primjenjivo, količine ili broja transakcija zahvaćenih IKT incidentom te činjenice je li IKT incident imao učinak na ugled financijskog subjekta; |
| --- | --- |

(a)

broja i/ili relevantnosti zahvaćenih klijenata ili partnerskih financijskih subjekata i, ako je to primjenjivo, količine ili broja transakcija zahvaćenih IKT incidentom te činjenice je li IKT incident imao učinak na ugled financijskog subjekta;

| (b) | trajanja IKT incidenta, uključujući razdoblje prekida rada usluge; |
| --- | --- |

(b)

trajanja IKT incidenta, uključujući razdoblje prekida rada usluge;

| (c) | zemljopisne raširenosti u smislu područja koje je IKT incident zahvatio, osobito ako je zahvatio više od dvije države članice; |
| --- | --- |

(c)

zemljopisne raširenosti u smislu područja koje je IKT incident zahvatio, osobito ako je zahvatio više od dvije države članice;

| (d) | gubitka podataka prouzročenog IKT incidentom, u smislu dostupnosti, vjerodostojnosti, cjelovitosti ili povjerljivosti podataka; |
| --- | --- |

(d)

gubitka podataka prouzročenog IKT incidentom, u smislu dostupnosti, vjerodostojnosti, cjelovitosti ili povjerljivosti podataka;

| (e) | ključnosti zahvaćenih usluga, uključujući transakcije i operacije financijskog subjekta; |
| --- | --- |

(e)

ključnosti zahvaćenih usluga, uključujući transakcije i operacije financijskog subjekta;

| (f) | ekonomskog učinka IKT incidenta, što se prije svega odnosi na izravne i neizravne troškove i gubitke, i u apsolutnom i u relativnom smislu. |
| --- | --- |

(f)

ekonomskog učinka IKT incidenta, što se prije svega odnosi na izravne i neizravne troškove i gubitke, i u apsolutnom i u relativnom smislu.

2.   Financijski subjekti klasificiraju kiberprijetnje kao ozbiljne na temelju ključnosti usluga koje su izložene riziku, što uključuje transakcije i operacije financijskog subjekta, broj i/ili relevantnost zahvaćenih klijenata ili partnerskih financijskih subjekata i zemljopisnu raširenost područja izloženih riziku.

3.   Europska nadzorna tijela, u okviru Zajedničkog odbora i uz savjetovanje s ESB-om i ENISA-om, izrađuju zajednički nacrt regulatornih tehničkih standarda u kojem se pobliže opisuje sljedeće:

| (a) | kriteriji utvrđeni u stavku 1., uključujući pragove značajnosti za utvrđivanje značajnih IKT incidenata ili, ovisno o slučaju, značajnih operativnih ili sigurnosnih incidenata povezanih s plaćanjem koji su obuhvaćeni obvezom izvješćivanja utvrđenom u članku 19. stavku 1.; |
| --- | --- |

(a)

kriteriji utvrđeni u stavku 1., uključujući pragove značajnosti za utvrđivanje značajnih IKT incidenata ili, ovisno o slučaju, značajnih operativnih ili sigurnosnih incidenata povezanih s plaćanjem koji su obuhvaćeni obvezom izvješćivanja utvrđenom u članku 19. stavku 1.;

| (b) | kriteriji koje nadležna tijela moraju primjenjivati u svrhu procjene relevantnosti značajnih IKT incidenata ili, ovisno o slučaju, značajnih operativnih ili sigurnosnih incidenata povezanih s plaćanjem, u odnosu na relevantna nadležna tijela u drugim državama članicama te pojedinosti izvješćâ o značajnim IKT incidentima ili, ovisno o slučaju, značajnim operativnim ili sigurnosnim incidentima povezanima s plaćanjem, koje se moraju podijeliti s ostalim nadležnim tijelima na temelju članka 19. stavaka 6. i 7.; |
| --- | --- |

(b)

kriteriji koje nadležna tijela moraju primjenjivati u svrhu procjene relevantnosti značajnih IKT incidenata ili, ovisno o slučaju, značajnih operativnih ili sigurnosnih incidenata povezanih s plaćanjem, u odnosu na relevantna nadležna tijela u drugim državama članicama te pojedinosti izvješćâ o značajnim IKT incidentima ili, ovisno o slučaju, značajnim operativnim ili sigurnosnim incidentima povezanima s plaćanjem, koje se moraju podijeliti s ostalim nadležnim tijelima na temelju članka 19. stavaka 6. i 7.;

| (c) | kriteriji utvrđeni u stavku 2. ovog članka, uključujući visoke pragove značajnosti za utvrđivanje ozbiljnih kiberprijetnji. |
| --- | --- |

(c)

kriteriji utvrđeni u stavku 2. ovog članka, uključujući visoke pragove značajnosti za utvrđivanje ozbiljnih kiberprijetnji.

4.   Pri izradi zajedničkog nacrta regulatornih tehničkih standarda iz stavka 3. ovog članka europska nadzorna tijela uzimaju u obzir kriterije utvrđene u članku 4. stavku 2. te međunarodne standarde, smjernice i specifikacije koje izradi i objavi ENISA, uključujući prema potrebi specifikacije za druge gospodarske sektore. Za potrebe primjene kriterija utvrđenih u članku 4. stavku 2. europska nadzorna tijela propisno razmatraju potrebu da mikropoduzeća te mala i srednja poduzeća mobiliziraju dostatne resurse i kapacitete kako bi se osiguralo brzo upravljanje IKT incidentima.

Europska nadzorna tijela taj zajednički nacrt regulatornih tehničkih standarda dostavljaju Komisiji do 17. siječnja 2024.

Komisiji se dodjeljuje ovlast za dopunjavanje ove Uredbe donošenjem regulatornih tehničkih standarda iz stavka 3. u skladu s člancima od 10. do 14. Uredbe (EU) br. 1093/2010, Uredbe (EU) br. 1094/2010 i Uredbe (EU) br. 1095/2010.

Članak 19.

Izvješćivanje o značajnim IKT incidentima i dobrovoljno obavješćivanje o ozbiljnim kiberprijetnjama

1.   Financijski subjekti izvješćuju relevantna nadležna tijela iz članka 46. o značajnim IKT incidentima, u skladu sa stavkom 4. ovog članka.

Ako financijski subjekt podliježe nadzoru više nacionalnih nadležnih tijela iz članka 46., države članice imenuju jedno nadležno tijelo kao relevantno nadležno tijelo odgovorno za obavljanje funkcija i zadaća predviđenih u ovom članku.

Kreditne institucije koje su u skladu s člankom 6. stavkom 4. Uredbe (EU) br. 1024/2013 klasificirane kao značajne o značajnim IKT incidentima izvješćuju relevantno nacionalno nadležno tijelo imenovano u skladu s člankom 4. Direktive 2013/36/EU, koje to izvješće odmah prosljeđuje ESB-u.

Za potrebe prvog podstavka financijski subjekti, nakon što su prikupili i analizirali sve relevantne informacije, sastavljaju početnu obavijest i izvješća iz stavka 4. ovog članka s pomoću obrazaca iz članka 20. te ih dostavljaju nadležnom tijelu. Ako zbog tehničkih poteškoća nije moguće dostaviti početnu obavijest s pomoću obrasca, financijski subjekti obavješćuju nadležno tijelo o tome na neki drugi način.

Početna obavijest i izvješća iz stavka 4. sadržavaju sve informacije koje su nadležnom tijelu potrebne da bi utvrdilo ozbiljnost značajnog IKT incidenta i procijenilo moguće prekogranične učinke.

Ne dovodeći u pitanje izvješćivanje relevantnog nadležnog tijela od strane financijskog subjekta na temelju prvog podstavka, države članice povrh toga mogu odrediti da neki ili svi financijski subjekti početnu obavijest i svako izvješće iz stavka 4. ovog članka s pomoću obrazaca iz članka 20. također moraju dostaviti nadležnim tijelima ili timovima za odgovor na računalne sigurnosne incidente (CSIRT-ovi) imenovanima ili uspostavljenima u skladu s Direktivom (EU) 2022/2555.

2.   Financijski subjekti mogu, na dobrovoljnoj osnovi, obavijestiti relevantno nadležno tijelo o ozbiljnim kiberprijetnjama ako smatraju da je prijetnja relevantna za financijski sustav, korisnike usluga ili klijente. Relevantno nadležno tijelo takve informacije može dostaviti drugim relevantnim tijelima iz stavka 6.

Kreditne institucije koje su klasificirane kao značajne u skladu s člankom 6. stavkom 4. Uredbe (EU) br. 1024/2013 mogu, na dobrovoljnoj osnovi, obavijestiti relevantno nacionalno nadležno tijelo imenovano u skladu s člankom 4. Direktive 2013/36/EU o ozbiljnim kiberprijetnjama, koje tu obavijest odmah prosljeđuje ESB-u.

Države članice mogu odrediti da oni financijski subjekti koji dostave obavijest na dobrovoljnoj osnovi u skladu s prvim podstavkom tu obavijest također mogu proslijediti CSIRT-ovima imenovanima ili uspostavljenima u skladu s Direktivom (EU) 2022/2555.

3.   Kad nastane značajan IKT incident koji utječe na financijske interese klijenata, financijski subjekti bez odgode, čim postanu svjesni tog incidenta, obavješćuju svoje klijente o tom značajnom IKT incidentu i o mjerama koje su poduzete kako bi se ublažili njegovi negativni učinci.

U slučaju ozbiljne kiberprijetnje financijski subjekti, ako je to primjenjivo, obavješćuju svoje klijente koji bi njome mogli biti zahvaćeni o svim odgovarajućim zaštitnim mjerama čije bi poduzimanje klijenti mogli razmotriti.

4.   Financijski subjekti, u rokovima koje treba odrediti u skladu s člankom 20. prvim stavkom točkom (a) podtočkom ii, relevantnom nadležnom tijelu dostavljaju sljedeće:

| (a) | početnu obavijest; |
| --- | --- |

(a)

početnu obavijest;

| (b) | prijelazno izvješće nakon početne obavijesti iz točke (a) čim se status izvornog incidenta znatno promijeni ili se postupanje u vezi sa značajnim IKT incidentom promijeni na temelju novih dostupnih informacija, a nakon toga, prema potrebi, ažurirane obavijesti svaki put kad se pojave relevantne novosti o statusu kao i na izričit zahtjev nadležnog tijela; |
| --- | --- |

(b)

prijelazno izvješće nakon početne obavijesti iz točke (a) čim se status izvornog incidenta znatno promijeni ili se postupanje u vezi sa značajnim IKT incidentom promijeni na temelju novih dostupnih informacija, a nakon toga, prema potrebi, ažurirane obavijesti svaki put kad se pojave relevantne novosti o statusu kao i na izričit zahtjev nadležnog tijela;

| (c) | završno izvješće kad se dovrši analiza temeljnog uzroka incidenta, neovisno o tome jesu li mjere za ublažavanje učinka već provedene, i kad se procijenjene vrijednosti mogu zamijeniti stvarnim podatcima o učinku. |
| --- | --- |

(c)

završno izvješće kad se dovrši analiza temeljnog uzroka incidenta, neovisno o tome jesu li mjere za ublažavanje učinka već provedene, i kad se procijenjene vrijednosti mogu zamijeniti stvarnim podatcima o učinku.

5.   Financijski subjekti mogu, u skladu sa sektorskim pravom Unije i nacionalnim sektorskim pravom, eksternalizirati obveze izvješćivanja iz ovog članka trećoj strani pružatelju usluga. U slučaju takve eksternalizacije financijski subjekt ostaje u potpunosti odgovoran za ispunjavanje zahtjevâ u pogledu izvješćivanja o incidentima.

6.   Nakon primitka početne obavijesti i svakog izvješća iz stavka 4. nadležno tijelo pravodobno dostavlja pojedinosti o značajnom IKT incidentu sljedećim primateljima, ovisno o tome u čijoj je nadležnosti dotični slučaj:

| (a) | EBA-i, ESMA-i ili EIOPA-i; |
| --- | --- |

(a)

EBA-i, ESMA-i ili EIOPA-i;

| (b) | ESB-u ako je riječ o financijskim subjektima iz članka 2. stavka 1. točaka (a), (b) i (d); |
| --- | --- |

(b)

ESB-u ako je riječ o financijskim subjektima iz članka 2. stavka 1. točaka (a), (b) i (d);

| (c) | nadležnim tijelima, jedinstvenim kontaktnim točkama ili CSIRT-ovima imenovanima ili uspostavljenima u skladu s Direktivom (EU) 2022/2555; |
| --- | --- |

(c)

nadležnim tijelima, jedinstvenim kontaktnim točkama ili CSIRT-ovima imenovanima ili uspostavljenima u skladu s Direktivom (EU) 2022/2555;

| (d) | sanacijskim tijelima iz članka 3. Direktive 2014/59/EU i Jedinstvenom sanacijskom odboru (SRB) kad je riječ o subjektima iz članka 7. stavka 2. Uredbe (EU) br. 806/2014 Europskog parlamenta i Vijeća (37) te kad je riječ o subjektima i grupama iz članka 7. stavka 4. točke (b) i stavka 5. Uredbe (EU) br. 806/2014 ako se takve pojedinosti odnose na incidente koji predstavljaju rizik za osiguravanje ključnih funkcija u smislu članka 2. stavka 1. točke 35. Direktive 2014/59/EU; i |
| --- | --- |

(d)

sanacijskim tijelima iz članka 3. Direktive 2014/59/EU i Jedinstvenom sanacijskom odboru (SRB) kad je riječ o subjektima iz članka 7. stavka 2. Uredbe (EU) br. 806/2014 Europskog parlamenta i Vijeća (37) te kad je riječ o subjektima i grupama iz članka 7. stavka 4. točke (b) i stavka 5. Uredbe (EU) br. 806/2014 ako se takve pojedinosti odnose na incidente koji predstavljaju rizik za osiguravanje ključnih funkcija u smislu članka 2. stavka 1. točke 35. Direktive 2014/59/EU; i

| (e) | drugim relevantnim tijelima javne vlasti u skladu s nacionalnim pravom. |
| --- | --- |

(e)

drugim relevantnim tijelima javne vlasti u skladu s nacionalnim pravom.

7.   Nakon što prime informacije u skladu sa stavkom 6., EBA, ESMA ili EIOPA i ESB, uz savjetovanje s ENISA-om i u suradnji s relevantnim nadležnim tijelom, procjenjuju je li dotični značajni IKT incident relevantan za nadležna tijela u drugim državama članicama. Nakon te procjene EBA, ESMA ili EIOPA u što kraćem roku obavješćuju relevantna nadležna tijela u drugim državama članicama. ESB obavješćuje članove Europskog sustava središnjih banaka o pitanjima koja su relevantna za platni sustav. Na temelju te obavijesti nadležna tijela prema potrebi poduzimaju sve potrebne mjere u svrhu zaštite neposredne stabilnosti financijskog sustava.

8.   Obaviješću koju ESMA mora dostaviti na temelju stavka 7. ovog članka ne dovodi se u pitanje odgovornost nadležnog tijela da hitno prenese pojedinosti o značajnom IKT incidentu relevantnom tijelu u državi članici domaćinu ako središnji depozitorij vrijednosnih papira ima znatnu prekograničnu aktivnost u državi članici domaćinu, ako će značajni IKT incident vjerojatno imati ozbiljne posljedice za financijska tržišta države članice domaćina i ako među nadležnim tijelima postoje aranžmani za suradnju u vezi s nadzorom financijskih subjekata.

Članak 20.

Usklađivanje sadržaja i obrazaca izvješća

Europska nadzorna tijela, u okviru Zajedničkog odbora i uz savjetovanje s ENISA-om i ESB-om, izrađuju:

| (a) | zajednički nacrt regulatornih tehničkih standarda u kojem se:






  i. | utvrđuje sadržaj izvješća o značajnim IKT incidentima kako bi se u obzir uzeli kriteriji iz članka 18. stavka 1. i uvrstili dodatni elementi, kao što su pojedinosti za određivanje jesu li izvješća relevantna za druge države članice i je li riječ o značajnom operativnom ili sigurnosnom incidentu povezanom s plaćanjem; |
| --- | --- | --- |

(a)

zajednički nacrt regulatornih tehničkih standarda u kojem se:

i.

utvrđuje sadržaj izvješća o značajnim IKT incidentima kako bi se u obzir uzeli kriteriji iz članka 18. stavka 1. i uvrstili dodatni elementi, kao što su pojedinosti za određivanje jesu li izvješća relevantna za druge države članice i je li riječ o značajnom operativnom ili sigurnosnom incidentu povezanom s plaćanjem;

| ii. | određuju rokovi za početnu obavijest i za svako izvješće iz članka 19. stavka 4.; |
| --- | --- |

ii.

određuju rokovi za početnu obavijest i za svako izvješće iz članka 19. stavka 4.;

| iii. | utvrđuje sadržaj obavijesti o ozbiljnim kiberprijetnjama. |
| --- | --- |

iii.

utvrđuje sadržaj obavijesti o ozbiljnim kiberprijetnjama.

Pri izradi tog nacrta regulatornih tehničkih standarda europska nadzorna tijela uzimaju u obzir veličinu i ukupni profil rizičnosti financijskog subjekta te prirodu, opseg i složenost njegovih usluga, aktivnosti i poslovanja, posebno kako bi se osiguralo da se za potrebe točke (a) podtočke ii. ovog stavka različitim rokovima, ako je to primjereno, mogu uzeti u obzir posebnosti financijskih sektora, ne dovodeći u pitanje održavanje dosljednog pristupa izvješćivanju o IKT incidentima na temelju ove Uredbe i Direktive (EU) 2022/2555. Europska nadzorna tijela, ovisno o slučaju, dostavljaju obrazloženje kad odstupe od pristupa primijenjenih u kontekstu te direktive.

| (b) | zajednički nacrt provedbenih tehničkih standarda u kojem se utvrđuju standardni predlošci, obrasci i postupci za financijske subjekte za izvješćivanje o značajnim IKT incidentima i za obavješćivanje o ozbiljnoj kiberprijetnji. |
| --- | --- |

(b)

zajednički nacrt provedbenih tehničkih standarda u kojem se utvrđuju standardni predlošci, obrasci i postupci za financijske subjekte za izvješćivanje o značajnim IKT incidentima i za obavješćivanje o ozbiljnoj kiberprijetnji.

Europska nadzorna tijela zajednički nacrt regulatornih tehničkih standarda iz prvog stavka točke (a) i zajednički nacrt provedbenih tehničkih standarda iz prvog stavka točke (b) dostavljaju Komisiji do 17. srpnja 2024.

Komisiji se dodjeljuje ovlast za dopunjavanje ove Uredbe donošenjem zajedničkih regulatornih tehničkih standarda iz prvog stavka točke (a) u skladu s člancima od 10. do 14. Uredbe (EU) br. 1093/2010, Uredbe (EU) br. 1094/2010 i Uredbe (EU) br. 1095/2010.

Komisiji se dodjeljuje ovlast za donošenje zajedničkih provedbenih tehničkih standarda iz prvog stavka točke (b) u skladu s člankom 15. Uredbe (EU) br. 1093/2010, Uredbe (EU) br. 1094/2010 i Uredbe (EU) br. 1095/2010.

Članak 21.

Centralizacija izvješćivanja o značajnim IKT incidentima

1.   Europska nadzorna tijela, u okviru Zajedničkog odbora i uz savjetovanje s ESB-om i ENISA-om, izrađuju zajedničko izvješće u kojem se procjenjuje izvedivost daljnje centralizacije izvješćivanja o incidentima uvođenjem jedinstvenog EU-ova centra za izvješćivanje o značajnim IKT incidentima za financijske subjekte. U tom zajedničkom izvješću istražuje se kako olakšati tijek izvješćivanja o IKT incidentima, smanjiti povezane troškove i poduprijeti tematske analize radi poboljšanja konvergencije nadzora.

2.   Zajedničko izvješće iz stavka 1. sadržava barem sljedeće elemente:

| (a) | preduvjete za uvođenje jedinstvenog EU-ova centra; |
| --- | --- |

(a)

preduvjete za uvođenje jedinstvenog EU-ova centra;

| (b) | prednosti, ograničenja i rizike, uključujući rizike povezane s visokom koncentracijom osjetljivih informacija; |
| --- | --- |

(b)

prednosti, ograničenja i rizike, uključujući rizike povezane s visokom koncentracijom osjetljivih informacija;

| (c) | potrebnu sposobnost za osiguravanje interoperabilnosti u odnosu na druge relevantne sustave izvješćivanja; |
| --- | --- |

(c)

potrebnu sposobnost za osiguravanje interoperabilnosti u odnosu na druge relevantne sustave izvješćivanja;

| (d) | elemente operativnog upravljanja; |
| --- | --- |

(d)

elemente operativnog upravljanja;

| (e) | uvjete članstva; |
| --- | --- |

(e)

uvjete članstva;

| (f) | tehničke aranžmane za pristup financijskih subjekata i nacionalnih nadležnih tijela jedinstvenom EU-ovu centru; |
| --- | --- |

(f)

tehničke aranžmane za pristup financijskih subjekata i nacionalnih nadležnih tijela jedinstvenom EU-ovu centru;

| (g) | preliminarnu procjenu financijskih troškova koji bi nastali uspostavom operativne platforme koja bi podržavala jedinstveni EU-ov centar, što uključuje potrebno stručno znanje. |
| --- | --- |

(g)

preliminarnu procjenu financijskih troškova koji bi nastali uspostavom operativne platforme koja bi podržavala jedinstveni EU-ov centar, što uključuje potrebno stručno znanje.

3.   Europska nadzorna tijela izvješće iz stavka 1. dostavljaju Europskom parlamentu, Vijeću i Komisiji do 17. siječnja 2025.

Članak 22.

Povratne informacije o nadzoru

1.   Ne dovodeći u pitanje tehničke doprinose, savjete ili korektivne mjere i daljnja postupanja koje, ako je to primjenjivo, u skladu s nacionalnim pravom pružaju i provode CSIRT-ovi iz Direktive (EU) 2022/2555, nadležno tijelo nakon primitka početne obavijesti i svakog izvješća iz članka 19. stavka 4. potvrđuje primitak i može, ako je to izvedivo, financijskom subjektu pravodobno dati relevantne i razmjerne povratne informacije ili smjernice na visokoj razini, posebno davanjem na uvid svih relevantnih anonimiziranih informacija i saznanja o sličnim prijetnjama, te može raspravljati o korektivnim mjerama koje su primijenjene na razini financijskog subjekta i o načinima za svođenje negativnih učinaka u cijelom financijskom sektoru na najmanju moguću mjeru i njihovo ublažavanje. Ne dovodeći u pitanje primljene povratne informacije o nadzoru, financijski subjekti snose potpunu odgovornost za postupanje u vezi s IKT incidentima o kojima je izviješćeno u skladu s člankom 19. stavkom 1. i za posljedice tih IKT incidenata.

2.   Europska nadzorna tijela u okviru Zajedničkog odbora svake godine sastavljaju anonimizirano i agregirano izvješće o značajnim IKT incidentima, pri čemu pojedinosti o njima dostavljaju nadležna tijela u skladu s člankom 19. stavkom 6., u kojem se navode barem broj značajnih IKT incidenata, njihova priroda i učinak na poslovanje financijskih subjekata ili klijenata, poduzete korektivne mjere te nastali troškovi.

Europska nadzorna tijela izdaju upozorenja i izrađuju statistike na visokoj razini koje služe kao dopuna procjenama prijetnji i ranjivosti u području IKT-a.

Članak 23.

Operativni ili sigurnosni incidenti povezani s plaćanjem koji se odnose na kreditne institucije, institucije za platni promet, pružatelje usluga pružanja informacija o računu i institucije za elektronički novac

Zahtjevi utvrđeni u ovom poglavlju primjenjuju se i na operativne ili sigurnosne incidente povezane s plaćanjem te na značajne operativne ili sigurnosne incidente povezane s plaćanjem ako se oni odnose na kreditne institucije, institucije za platni promet, pružatelje usluga pružanja informacija o računu i institucije za elektronički novac.

POGLAVLJE IV.

Testiranje digitalne operativne otpornosti

Članak 24.

Opći zahtjevi za provedbu testiranja digitalne operativne otpornosti

1.   Za potrebe procjene pripravnosti za postupanje u vezi s IKT incidentima, utvrđivanja slabosti, nedostataka i odstupanja u digitalnoj operativnoj otpornosti te brze provedbe korektivnih mjera financijski subjekti koji nisu mikropoduzeća, uzimajući u obzir kriterije utvrđene u članku 4. stavku 2., izrađuju, održavaju i preispituju pouzdan i sveobuhvatan program testiranja digitalne operativne otpornosti kao sastavni dio okvira za upravljanje IKT rizicima iz članka 6.

2.   Program testiranja digitalne operativne otpornosti uključuje razne procjene, testove, metodologije, postupke i alate koji se moraju primjenjivati u skladu s člancima 25. i 26.

3.   Kad provode programe testiranja digitalne operativne otpornosti iz stavka 1. ovog članka financijski subjekti koji nisu mikropoduzeća primjenjuju pristup koji se temelji na procjeni rizika, uzimajući u obzir kriterije utvrđene u članku 4. stavku 2., propisno vodeći računa o razvoju IKT rizika, konkretnim rizicima kojima je dotični financijski subjekt izložen ili bi mogao biti izložen, ključnosti informacijske imovine i usluga koje se pružaju te svim drugim čimbenicima koje financijski subjekt smatra primjerenima.

4.   Financijski subjekti koji nisu mikropoduzeća osiguravaju da testove provode neovisne strane, unutarnje ili vanjske. Ako testove provodi unutarnji provoditelj testiranja, financijski subjekti namjenjuju dostatne resurse u tu svrhu i osiguravaju izbjegavanje sukoba interesa u fazama osmišljavanja i provedbe testa.

5.   Financijski subjekti koji nisu mikropoduzeća uvode postupke i politike za određivanje prioriteta, klasifikaciju i ispravljanje svih problema otkrivenih tijekom testova te utvrđuju metodologije unutarnje provjere kako bi osigurali da se sve utvrđene slabosti, nedostatci ili odstupanja u potpunosti otklone.

6.   Financijski subjekti koji nisu mikropoduzeća osiguravaju da se najmanje jedanput godišnje provedu primjereni testovi svih IKT sustava i aplikacija kojima se podupiru ključne ili važne funkcije.

Članak 25.

Testiranje IKT alata i sustava

1.   Programom testiranja digitalne operativne otpornosti iz članka 24. predviđa se, u skladu s kriterijima utvrđenima u članku 4. stavku 2., provedba odgovarajućih testova, kao što su procjene i skeniranja ranjivosti, analize javno dostupnih izvora, procjene mrežne sigurnosti, analize odstupanja, preispitivanja fizičke sigurnosti, upitnici i softverska rješenja za skeniranje, preispitivanja izvornog koda ako je to izvedivo, testiranja na temelju scenarija, testiranje kompatibilnosti, testiranje performansi, integralno testiranje (engl. end-to-end testing) i penetracijsko testiranje.

2.   Središnji depozitoriji vrijednosnih papira i središnje druge ugovorne strane provode procjene ranjivosti prije svakog uvođenja ili ponovnog uvođenja novih ili postojećih aplikacija i infrastrukturnih komponenata te IKT usluga kojima se podupiru ključne ili važne funkcije financijskog subjekta.

3.   Mikropoduzeća provode testove iz stavka 1. kombiniranjem pristupa koji se temelji na procjeni rizika sa strateškim planiranjem testiranja IKT-a, propisno uzimajući u obzir potrebu za održavanjem uravnoteženog pristupa između, s jedne strane, opsega resursa i vremena koje treba izdvojiti za testiranja IKT-a iz ovog članka i, s druge strane, hitnosti, vrste rizika, ključnosti informacijske imovine i usluga koje se pružaju te svih drugih relevantnih čimbenika, što uključuje sposobnost financijskog subjekta da preuzima promišljene rizike.

Članak 26.

Napredno testiranje IKT alata, sustava i procesa na temelju TLPT-a

1.   Financijski subjekti koji nisu subjekti iz članka 16. stavka 1. prvog podstavka i koji nisu mikropoduzeća, koji su utvrđeni u skladu sa stavkom 8. trećim podstavkom ovog članka, provode napredno testiranje u obliku TLPT-a barem svake tri godine. Na temelju profila rizičnosti financijskog subjekta i uzimajući u obzir operativne okolnosti, nadležno tijelo prema potrebi može zatražiti od financijskog subjekta da tu učestalost smanji ili poveća.

2.   Svaki penetracijski test vođen prijetnjama obuhvaća više ključnih ili važnih funkcija financijskog subjekta ili sve takve funkcije te se provodi na produkcijskim sustavima kojima se te funkcije podupiru.

Financijski subjekti utvrđuju sve relevantne temeljne IKT sustave, procese i tehnologije kojima se podupiru ključne ili važne funkcije te IKT usluge, među ostalim i one kojima se podupiru ključne ili važne funkcije koje su eksternalizirane ili ugovorene s trećim stranama pružateljima IKT usluga.

Financijski subjekti procjenjuju koje ključne ili važne funkcije moraju biti obuhvaćene TLPT-om. Na temelju rezultata te procjene određuje se točan opseg TLPT-a, a rezultate te procjene potvrđuju nadležna tijela.

3.   Ako su treće strane pružatelji IKT usluga obuhvaćene TLPT-om, financijski subjekt poduzima potrebne mjere i zaštitne mjere kako bi osigurao sudjelovanje takvih trećih strana pružatelja IKT usluga u TLPT-u te u svakom trenutku zadržava potpunu odgovornost za osiguravanje usklađenosti s ovom Uredbom.

4.   Ne dovodeći u pitanje stavak 2. prvi i drugi podstavak, ako se opravdano može očekivati da će sudjelovanje treće strane pružatelja IKT usluga u TLPT-u, kako je navedeno u stavku 3., negativno utjecati na kvalitetu ili sigurnost usluga koje treća strana pružatelj IKT usluga pruža klijentima koji su subjekti koji nisu obuhvaćeni područjem primjene ove Uredbe ili na povjerljivost podataka povezanih s takvim uslugama, financijski subjekt i treća strana pružatelj IKT usluga mogu se u pisanom obliku dogovoriti da treća strana pružatelj IKT usluga sklopi ugovorni aranžman izravno s vanjskim provoditeljem testiranja za potrebe provedbe, pod vodstvom jednog imenovanog financijskog subjekta, skupnog TLPT-a, u kojem sudjeluje više financijskih subjekata (skupno testiranje) kojima treća strana pružatelj IKT usluga pruža IKT usluge.

To skupno testiranje obuhvaća relevantan raspon IKT usluga kojima se podupiru ključne ili važne funkcije koje su financijski subjekti ugovorili s dotičnom trećom stranom pružateljem IKT usluga. Skupno testiranje smatra se TLPT-om koji provode financijski subjekti koji sudjeluju u skupnom testiranju.

Broj financijskih subjekata koji sudjeluju u skupnom testiranju na odgovarajući se način prilagođava uzimajući u obzir složenost i vrste usluga o kojima je riječ.

5.   Financijski subjekti, u suradnji s trećim stranama pružateljima IKT usluga i ostalim uključenim stranama, uključujući provoditelje testiranja, ali ne i nadležna tijela, provode djelotvorne kontrole upravljanja rizicima kako bi ublažili rizike od mogućeg učinka na podatke, od oštećenja imovine i od poremećaja u radu ključnih ili važnih funkcija, usluga ili operacija u okviru samog financijskog subjekta, njegovih partnerskih financijskih subjekata ili u financijskom sektoru.

6.   Na kraju testiranja, nakon što se postigne dogovor o izvješćima i planovima za ispravljanje nedostataka, financijski subjekt i, ako je to primjenjivo, vanjski provoditelji testiranja tijelu imenovanom u skladu sa stavkom 9. ili stavkom 10. dostavljaju sažetak relevantnih nalaza, planove za ispravljanje nedostataka i dokumentaciju kojom se potvrđuje da je TLPT proveden u skladu sa zahtjevima.

7.   Tijela financijskim subjektima izdaju potvrdu da je test proveden u skladu sa zahtjevima, kako je potvrđeno u dokumentaciji, kako bi se omogućilo da nadležna tijela uzajamno priznaju penetracijske testove vođene prijetnjama. Financijski subjekt obavješćuje relevantno nadležno tijelo o potvrdi, sažetku relevantnih nalaza i planovima za ispravljanje nedostataka.

Ne dovodeći u pitanje takvu potvrdu, financijski subjekti u svakom trenutku snose punu odgovornost za učinke testova iz stavka 4.

8.   Za potrebe provedbe TLPT-a financijski subjekti angažiraju provoditelje testiranja u skladu s člankom 27. Ako financijski subjekti za potrebe provedbe TLPT-a angažiraju unutarnje provoditelje testiranja, za svaki treći test dužni su angažirati vanjske provoditelje testiranja.

Kreditne institucije koje su klasificirane kao značajne u skladu s člankom 6. stavkom 4. Uredbe (EU) br. 1024/2013 angažiraju samo vanjske provoditelje testiranja, u skladu s člankom 27. stavkom 1. točkama od (a) do (e).

Nadležna tijela utvrđuju financijske subjekte koji su dužni provoditi TLPT, uzimajući u obzir kriterije utvrđene u članku 4. stavku 2., na temelju procjene sljedećeg:

| (a) | čimbenika povezanih s učinkom, posebno mjere u kojoj usluge koje financijski subjekt pruža i aktivnosti koje obavlja utječu na financijski sektor; |
| --- | --- |

(a)

čimbenika povezanih s učinkom, posebno mjere u kojoj usluge koje financijski subjekt pruža i aktivnosti koje obavlja utječu na financijski sektor;

| (b) | mogućih problema u pogledu financijske stabilnosti, što uključuje sistemsku prirodu financijskog subjekta na razini Unije ili nacionalnoj razini, ovisno o slučaju; |
| --- | --- |

(b)

mogućih problema u pogledu financijske stabilnosti, što uključuje sistemsku prirodu financijskog subjekta na razini Unije ili nacionalnoj razini, ovisno o slučaju;

| (c) | konkretnog profila IKT rizičnosti te stupnja IKT zrelosti financijskog subjekta ili tehnoloških značajki o kojima je riječ. |
| --- | --- |

(c)

konkretnog profila IKT rizičnosti te stupnja IKT zrelosti financijskog subjekta ili tehnoloških značajki o kojima je riječ.

9.   Države članice mogu imenovati jedinstveno tijelo javne vlasti u financijskom sektoru koje će biti odgovorno za pitanja povezana s TLPT-om u financijskom sektoru na nacionalnoj razini i tom tijelu povjeravaju sve nadležnosti i zadaće u vezi s time.

10.   Ako se ne imenuje odgovarajuće jedinstveno tijelo javne vlasti u skladu sa stavkom 9. ovog članka, i ne dovodeći u pitanje ovlast za utvrđivanje financijskih subjekata koji su dužni provoditi TLPT, nadležno tijelo može delegirati izvršavanje nekih ili svih zadaća iz ovog članka i članka 27. nekom drugom nacionalnom tijelu u financijskom sektoru.

11.   Europska nadzorna tijela, u dogovoru s ESB-om i u skladu s okvirom TIBER-EU, izrađuju zajednički nacrt regulatornih tehničkih standarda u kojem se pobliže opisuje sljedeće:

| (a) | kriteriji koji se primjenjuju za potrebe primjene stavka 8. drugog podstavka; |
| --- | --- |

(a)

kriteriji koji se primjenjuju za potrebe primjene stavka 8. drugog podstavka;

| (b) | zahtjevi i standardi koji se primjenjuju na angažiranje unutarnjih provoditelja testiranja; |
| --- | --- |

(b)

zahtjevi i standardi koji se primjenjuju na angažiranje unutarnjih provoditelja testiranja;

| (c) | zahtjevi povezani s:






  i. | opsegom TLPT-a iz stavka 2.; |
| --- | --- | --- |

(c)

zahtjevi povezani s:

i.

opsegom TLPT-a iz stavka 2.;

| ii. | metodologijom testiranja i pristupom koji treba primjenjivati u svakoj pojedinačnoj fazi testiranja; |
| --- | --- |

ii.

metodologijom testiranja i pristupom koji treba primjenjivati u svakoj pojedinačnoj fazi testiranja;

| iii. | rezultatima testiranja, završetkom testiranja i fazama testiranja koje se odnose na ispravljanje nedostataka; |
| --- | --- |

iii.

rezultatima testiranja, završetkom testiranja i fazama testiranja koje se odnose na ispravljanje nedostataka;

| (d) | vrsta nadzorne suradnje i drugi relevantni oblici suradnje koji su potrebni za provedbu TLPT-a i za olakšavanje njegova uzajamnog priznavanja u kontekstu financijskih subjekata koji posluju u više država članica, kako bi se osigurala odgovarajuća razina uključenosti nadzornog tijela i fleksibilna provedba kojom se u obzir uzimaju posebnosti financijskih podsektora ili lokalnih financijskih tržišta. |
| --- | --- |

(d)

vrsta nadzorne suradnje i drugi relevantni oblici suradnje koji su potrebni za provedbu TLPT-a i za olakšavanje njegova uzajamnog priznavanja u kontekstu financijskih subjekata koji posluju u više država članica, kako bi se osigurala odgovarajuća razina uključenosti nadzornog tijela i fleksibilna provedba kojom se u obzir uzimaju posebnosti financijskih podsektora ili lokalnih financijskih tržišta.

Pri izradi tog nacrta regulatornih tehničkih standarda europska nadzorna tijela propisno uzimaju u obzir sve posebne značajke koje proizlaze iz specifične prirode aktivnosti u različitim sektorima financijskih usluga.

Europska nadzorna tijela taj nacrt regulatornih tehničkih standarda dostavljaju Komisiji do 17. srpnja 2024.

Komisiji se dodjeljuje ovlast za dopunjavanje ove Uredbe donošenjem regulatornih tehničkih standarda iz prvog podstavka u skladu s člancima od 10. do 14. Uredbe (EU) br. 1093/2010, Uredbe (EU) br. 1094/2010 i Uredbe (EU) br. 1095/2010.

Članak 27.

Zahtjevi za provoditelje testiranja u vezi s provedbom TLPT-a

1.   Financijski subjekti za provedbu TLPT-a angažiraju samo provoditelje testiranja:

| (a) | koji su među najprikladnijim i najuglednijim provoditeljima testiranja; |
| --- | --- |

(a)

koji su među najprikladnijim i najuglednijim provoditeljima testiranja;

| (b) | koji posjeduju tehničke i organizacijske sposobnosti i posebno stručno znanje u području saznanja o prijetnjama, penetracijskog testiranja i testiranja crvenog tima; |
| --- | --- |

(b)

koji posjeduju tehničke i organizacijske sposobnosti i posebno stručno znanje u području saznanja o prijetnjama, penetracijskog testiranja i testiranja crvenog tima;

| (c) | koje je akreditiralo akreditacijsko tijelo u državi članici ili koji se pridržavaju formalnog kodeksa ponašanja ili etičkih okvira; |
| --- | --- |

(c)

koje je akreditiralo akreditacijsko tijelo u državi članici ili koji se pridržavaju formalnog kodeksa ponašanja ili etičkih okvira;

| (d) | koji daju neovisno jamstvo ili revizorsko izvješće u vezi s dobrim upravljanjem rizicima povezanima s provedbom TLPT-a, što uključuje odgovarajuću zaštitu povjerljivih informacija financijskog subjekta i pravnu zaštitu s obzirom na poslovne rizike financijskog subjekta; |
| --- | --- |

(d)

koji daju neovisno jamstvo ili revizorsko izvješće u vezi s dobrim upravljanjem rizicima povezanima s provedbom TLPT-a, što uključuje odgovarajuću zaštitu povjerljivih informacija financijskog subjekta i pravnu zaštitu s obzirom na poslovne rizike financijskog subjekta;

| (e) | koji su propisno i u cijelosti pokriveni odgovarajućim osiguranjem od profesionalne odgovornosti, što uključuje rizike od protupravnog i nemarnog postupanja. |
| --- | --- |

(e)

koji su propisno i u cijelosti pokriveni odgovarajućim osiguranjem od profesionalne odgovornosti, što uključuje rizike od protupravnog i nemarnog postupanja.

2.   Kad angažiraju unutarnje provoditelja testiranja, financijski subjekti osiguravaju da su, uz zahtjeve iz stavka 1., ispunjeni i sljedeći zahtjevi:

| (a) | takvo angažiranje odobrilo je relevantno nadležno tijelo ili jedinstveno tijelo javne vlasti imenovano u skladu s člankom 26. stavcima 9. i 10.; |
| --- | --- |

(a)

takvo angažiranje odobrilo je relevantno nadležno tijelo ili jedinstveno tijelo javne vlasti imenovano u skladu s člankom 26. stavcima 9. i 10.;

| (b) | relevantno nadležno tijelo potvrdilo je da financijski subjekt ima dostatne resurse i da je osigurao izbjegavanje sukoba interesa u fazama osmišljavanja i provedbe testa; i |
| --- | --- |

(b)

relevantno nadležno tijelo potvrdilo je da financijski subjekt ima dostatne resurse i da je osigurao izbjegavanje sukoba interesa u fazama osmišljavanja i provedbe testa; i

| (c) | pružatelj saznanja o prijetnjama nije dio financijskog subjekta. |
| --- | --- |

(c)

pružatelj saznanja o prijetnjama nije dio financijskog subjekta.

3.   Financijski subjekti osiguravaju da se u ugovorima sklopljenima s vanjskim provoditeljima testiranja zahtijeva dobro upravljanje rezultatima TLPT-a i da ni jedna obrada podatka s tim u vezi, uključujući proizvodnju, pohranu, agregiranje, izradu, izvješćivanje, obavješćivanje ili uništavanje, ne stvara rizike za financijski subjekt.

POGLAVLJE V.

Upravljanje IKT rizikom povezanim s trećim stranama

Odjeljak I.

Ključna načela dobrog upravljanja IKT rizikom povezanim s trećim stranama

Članak 28.

Opća načela

1.   Financijski subjekti upravljaju IKT rizikom povezanim s trećim stranama kao sastavnim dijelom IKT rizika u njihovu okviru za upravljanje IKT rizicima iz članka 6. stavka 1. i u skladu sa sljedećim načelima:

| (a) | financijski subjekti koji imaju sklopljene ugovorne aranžmane o upotrebi IKT usluga za potrebe svojeg poslovanja u svakom trenutku snose potpunu odgovornost za poštovanje i izvršavanje svih obveza iz ove Uredbe i primjenjivog prava o financijskim uslugama; |
| --- | --- |

(a)

financijski subjekti koji imaju sklopljene ugovorne aranžmane o upotrebi IKT usluga za potrebe svojeg poslovanja u svakom trenutku snose potpunu odgovornost za poštovanje i izvršavanje svih obveza iz ove Uredbe i primjenjivog prava o financijskim uslugama;

| (b) | financijski subjekti upravljaju IKT rizikom povezanim s trećim stranama poštujući načela proporcionalnosti i uzimajući u obzir:






  i. | prirodu, opseg, složenost i važnost ovisnosti u području IKT-a; |
| --- | --- | --- |

(b)

financijski subjekti upravljaju IKT rizikom povezanim s trećim stranama poštujući načela proporcionalnosti i uzimajući u obzir:

i.

prirodu, opseg, složenost i važnost ovisnosti u području IKT-a;

| ii. | rizike koji proizlaze iz ugovornih aranžmana o upotrebi IKT usluga sklopljenih s trećim stranama pružateljima IKT usluga, vodeći računa o ključnosti ili važnosti dotične usluge, procesa ili funkcije te o mogućem učinku na kontinuitet i dostupnost financijskih usluga i aktivnosti na razini subjekta i na razini grupe. |
| --- | --- |

ii.

rizike koji proizlaze iz ugovornih aranžmana o upotrebi IKT usluga sklopljenih s trećim stranama pružateljima IKT usluga, vodeći računa o ključnosti ili važnosti dotične usluge, procesa ili funkcije te o mogućem učinku na kontinuitet i dostupnost financijskih usluga i aktivnosti na razini subjekta i na razini grupe.

2.   U sklopu svojih okvira za upravljanje IKT rizicima financijski subjekti koji nisu subjekti iz članka 16. stavka 1. prvog podstavka i koji nisu mikropoduzeća donose i redovito preispituju strategiju za IKT rizik povezan s trećim stranama, uzimajući u obzir, ako je to primjenjivo, strategiju nabave od više dobavljača iz članka 6. stavka 9. Strategija za IKT rizik povezan s trećim stranama obuhvaća politiku o upotrebi IKT usluga kojima se podupiru ključne ili važne funkcije, a koje pružaju treće strane pružatelji IKT usluga, i primjenjuje se na pojedinačnoj i, prema potrebi, na potkonsolidiranoj i konsolidiranoj osnovi. Upravljačko tijelo na temelju procjene ukupnog profila rizičnosti financijskog subjekta te opsega i složenosti njegovih poslovnih usluga redovito preispituje rizike koji su utvrđeni u vezi s ugovornim aranžmanima o upotrebi IKT usluga kojima se podupiru ključne ili važne funkcije.

3.   U sklopu okvira za upravljanje IKT rizicima financijski subjekti na razini subjekta te na potkonsolidiranoj i konsolidiranoj razini vode i ažuriraju registar informacija o svim ugovornim aranžmanima o upotrebi IKT usluga koje pružaju treće strane pružatelji IKT usluga.

Ugovorni aranžmani iz prvog podstavka na odgovarajući se način dokumentiraju tako da se aranžmani koji obuhvaćaju IKT usluge kojima se podupiru ključne ili važne funkcije razlikuju od onih koji ne obuhvaćaju takve usluge.

Financijski subjekti nadležna tijela najmanje jedanput godišnje izvješćuju o broju novih aranžmana o upotrebi IKT usluga, kategorijama trećih strana pružatelja IKT usluga, vrsti ugovornih aranžmana te o IKT uslugama i funkcijama koje se pružaju.

Financijski subjekti nadležnom tijelu na zahtjev stavljaju na raspolaganje cijeli registar informacija ili, ovisno o zahtjevu, njegove određene dijelove te sve informacije koje se smatraju potrebnima za djelotvoran nadzor nad financijskim subjektom.

Financijski subjekti pravodobno obavješćuju nadležno tijelo o svim planiranim ugovornim aranžmanima o upotrebi IKT usluga kojima se podupiru ključne ili važne funkcije te o tome da je određena funkcija postala ključna ili važna.

4.   Prije sklapanja ugovornog aranžmana o upotrebi IKT usluga financijski subjekti:

| (a) | procjenjuju obuhvaća li ugovorni aranžman upotrebu IKT usluga kojima se podupire ključna ili važna funkcija; |
| --- | --- |

(a)

procjenjuju obuhvaća li ugovorni aranžman upotrebu IKT usluga kojima se podupire ključna ili važna funkcija;

| (b) | procjenjuju jesu li ispunjeni nadzorni uvjeti u pogledu ugovaranja; |
| --- | --- |

(b)

procjenjuju jesu li ispunjeni nadzorni uvjeti u pogledu ugovaranja;

| (c) | utvrđuju i procjenjuju sve relevantne rizike povezane s ugovornim aranžmanom, među ostalim i mogućnost da taj ugovorni aranžman doprinese jačanju koncentracijskog IKT rizika iz članka 29.; |
| --- | --- |

(c)

utvrđuju i procjenjuju sve relevantne rizike povezane s ugovornim aranžmanom, među ostalim i mogućnost da taj ugovorni aranžman doprinese jačanju koncentracijskog IKT rizika iz članka 29.;

| (d) | provode dubinske analize potencijalnih trećih strana pružatelja IKT usluga i osiguravaju prikladnost treće strane pružatelja IKT usluga tijekom cijelog procesa odabira i procesa procjene; |
| --- | --- |

(d)

provode dubinske analize potencijalnih trećih strana pružatelja IKT usluga i osiguravaju prikladnost treće strane pružatelja IKT usluga tijekom cijelog procesa odabira i procesa procjene;

| (e) | utvrđuju i procjenjuju sukobe interesa koje bi ugovorni aranžman mogao izazvati. |
| --- | --- |

(e)

utvrđuju i procjenjuju sukobe interesa koje bi ugovorni aranžman mogao izazvati.

5.   Financijski subjekti mogu sklapati ugovorne aranžmane samo s trećim stranama pružateljima IKT usluga koje ispunjavaju odgovarajuće standarde informacijske sigurnosti. Kad se ti ugovorni aranžmani odnose na ključne ili važne funkcije, financijski subjekti prije njihova sklapanja propisno vode računa o tome da treće strane pružatelji IKT usluga primjenjuju najnovije i najkvalitetnije standarde informacijske sigurnosti.

6.   Pri ostvarivanju pravâ na pristup, inspekcijski nadzor i reviziju u odnosu na treću stranu pružatelja IKT usluga financijski subjekti na temelju pristupa koji se temelji na procjeni rizika unaprijed utvrđuju učestalost revizija i inspekcijskog nadzora te područja u kojima treba provesti revizije, pridržavajući se općeprihvaćenih revizijskih standarda, u skladu s uputama nadzornog tijela o primjeni i uvrštenju tih revizijskih standarda.

Ako su ugovorni aranžmani sklopljeni s trećim stranama pružateljima IKT usluga o upotrebi IKT usluga tehnički vrlo složeni, financijski subjekt provjerava imaju li revizori, neovisno o tome je li riječ o unutarnjim ili vanjskim revizorima ili o skupini revizora, odgovarajuće vještine i znanje za djelotvornu provedbu relevantnih revizija i procjena.

7.   Financijski subjekti osiguravaju mogućnost raskida ugovornog aranžmana o upotrebi IKT usluga u bilo kojoj od sljedećih situacija:

| (a) | treća strana pružatelj IKT usluga ozbiljno je prekršila primjenjive zakone, propise ili ugovorne uvjete; |
| --- | --- |

(a)

treća strana pružatelj IKT usluga ozbiljno je prekršila primjenjive zakone, propise ili ugovorne uvjete;

| (b) | praćenjem IKT rizika povezanog s trećim stranama utvrđene su okolnosti za koje se smatra da bi mogle dovesti do promjena u izvršavanju funkcija koje se pružaju na temelju ugovornog aranžmana, što uključuje bitne promjene koje utječu na aranžman ili stanje treće strane pružatelja IKT usluga; |
| --- | --- |

(b)

praćenjem IKT rizika povezanog s trećim stranama utvrđene su okolnosti za koje se smatra da bi mogle dovesti do promjena u izvršavanju funkcija koje se pružaju na temelju ugovornog aranžmana, što uključuje bitne promjene koje utječu na aranžman ili stanje treće strane pružatelja IKT usluga;

| (c) | treća strana pružatelj IKT usluga pokazala je slabosti u vezi s općim upravljanjem IKT rizicima, a posebno u načinu na koji osigurava dostupnost, vjerodostojnost, cjelovitost i povjerljivost podataka, bilo da je riječ o osobnim ili drugim osjetljivim podatcima ili pak neosobnim podatcima; |
| --- | --- |

(c)

treća strana pružatelj IKT usluga pokazala je slabosti u vezi s općim upravljanjem IKT rizicima, a posebno u načinu na koji osigurava dostupnost, vjerodostojnost, cjelovitost i povjerljivost podataka, bilo da je riječ o osobnim ili drugim osjetljivim podatcima ili pak neosobnim podatcima;

| (d) | nadležno tijelo zbog uvjeta dotičnog ugovornog aranžmana ili okolnosti povezanih s dotičnim ugovornim aranžmanom više ne može djelotvorno nadzirati financijski subjekt. |
| --- | --- |

(d)

nadležno tijelo zbog uvjeta dotičnog ugovornog aranžmana ili okolnosti povezanih s dotičnim ugovornim aranžmanom više ne može djelotvorno nadzirati financijski subjekt.

8.   Kad je riječ o IKT uslugama kojima se podupiru ključne ili važne funkcije, financijski subjekti uvode izlazne strategije. U izlaznim strategijama uzimaju se u obzir rizici koji bi se mogli pojaviti na razini trećih strana pružatelja IKT usluga, osobito njihov mogući prekid, opadanje kvalitete IKT usluga koje se pružaju, poremećaji u poslovanju zbog neprikladnog ili neuspješnog pružanja IKT usluga ili svaki značajan rizik koji bi mogao nastati u vezi s prikladnošću i kontinuitetom uvođenja određene IKT usluge ili raskid ugovornog aranžmana s trećim stranama pružateljima IKT usluga u bilo kojoj od situacija navedenih u stavku 7.

Financijski subjekti osiguravaju da se mogu povući iz ugovornih aranžmana bez:

| (a) | remećenja svojih poslovnih aktivnosti; |
| --- | --- |

(a)

remećenja svojih poslovnih aktivnosti;

| (b) | ograničavanja usklađenosti s regulatornim zahtjevima; |
| --- | --- |

(b)

ograničavanja usklađenosti s regulatornim zahtjevima;

| (c) | narušavanja kontinuiteta i kvalitete usluga koje se pružaju klijentima. |
| --- | --- |

(c)

narušavanja kontinuiteta i kvalitete usluga koje se pružaju klijentima.

Izlazni planovi moraju biti sveobuhvatni, dokumentirani i, u skladu s kriterijima utvrđenima u članku 4. stavku 2., moraju biti dostatno testirani te se moraju periodički preispitivati.

Financijski subjekti utvrđuju alternativna rješenja i izrađuju tranzicijske planove koji im omogućuju da se ugovorene IKT usluge te relevantni podatci od treće strane pružatelja IKT usluga sigurno i u cijelosti prenesu na alternativne pružatelje ili ponovno uključe u interni sustav.

Financijski subjekti uspostavljaju odgovarajuće mjere za nepredvidive situacije kako bi održali kontinuitet poslovanja ako dođe do okolnosti iz prvog podstavka.

9.   Europska nadzorna tijela u okviru Zajedničkog odbora izrađuju nacrt provedbenih tehničkih standarda u kojem utvrđuju standardne obrasce za potrebe registra informacija iz stavka 3., što uključuje informacije koje se odnose na sve ugovorne aranžmane o upotrebi IKT usluga. Europska nadzorna tijela taj nacrt provedbenih tehničkih standarda dostavljaju Komisiji do 17. siječnja 2024.

Komisiji se dodjeljuje ovlast za donošenje provedbenih tehničkih standarda iz prvog podstavka u skladu s člankom 15. Uredbe (EU) br. 1093/2010, Uredbe (EU) br. 1094/2010 i Uredbe (EU) br. 1095/2010.

10.   Europska nadzorna tijela u okviru Zajedničkog odbora izrađuju nacrt regulatornih tehničkih standarda u kojem pobliže opisuju detaljan sadržaj politike iz stavka 2. u pogledu ugovornih aranžmana o upotrebi IKT usluga kojima se podupiru ključne ili važne funkcije, a koje pružaju treće strane pružatelji IKT usluga.

Pri izradi tog nacrta regulatornih tehničkih standarda europska nadzorna tijela uzimaju u obzir veličinu i ukupni profil rizičnosti financijskog subjekta te prirodu, opseg i složenost njegovih usluga, aktivnosti i poslovanja. Europska nadzorna tijela taj nacrt regulatornih tehničkih standarda dostavljaju Komisiji do 17. siječnja 2024.

Komisiji se dodjeljuje ovlast za dopunjavanje ove Uredbe donošenjem regulatornih tehničkih standarda iz prvog podstavka u skladu s člancima od 10. do 14. Uredbe (EU) br. 1093/2010, Uredbe (EU) br. 1094/2010 i Uredbe (EU) br. 1095/2010.

Članak 29.

Preliminarna procjena koncentracijskog IKT rizika na razini subjekta

1.   Pri utvrđivanju i procjeni rizikâ iz članka 28. stavka 4. točke (c) financijski subjekti također uzimaju u obzir bi li predviđeno sklapanje ugovornog aranžmana o IKT uslugama kojima se podupiru ključne ili važne funkcije za posljedicu imalo bilo što od sljedećeg:

| (a) | ugovaranje usluga s trećom stranom pružateljem IKT usluga kojeg nije lako zamijeniti; ili |
| --- | --- |

(a)

ugovaranje usluga s trećom stranom pružateljem IKT usluga kojeg nije lako zamijeniti; ili

| (b) | više sklopljenih ugovornih aranžmana o pružanju IKT usluga kojima se podupiru ključne ili važne funkcije s istom trećom stranom pružateljem IKT usluga ili s usko povezanim trećim stranama pružateljima IKT usluga. |
| --- | --- |

(b)

više sklopljenih ugovornih aranžmana o pružanju IKT usluga kojima se podupiru ključne ili važne funkcije s istom trećom stranom pružateljem IKT usluga ili s usko povezanim trećim stranama pružateljima IKT usluga.

Financijski subjekti analiziraju koristi i troškove alternativnih rješenja, kao što je angažman različitih trećih strana pružatelja IKT usluga, uzimajući u obzir podudaraju li se predviđena rješenja s poslovnim potrebama i ciljevima utvrđenima u njihovoj strategiji digitalne otpornosti i u kojoj mjeri.

2.   Ako je ugovornim aranžmanima o upotrebi IKT usluga kojima se podupiru ključne ili važne funkcije predviđena mogućnost da treća strana pružatelj IKT usluga može IKT usluge kojima se podupiru ključne ili važne funkcije podugovoriti nekoj drugoj trećoj strani pružatelju IKT usluga, financijski subjekti analiziraju potencijalne koristi i rizike tog podugovaranja, osobito ako podugovaratelj IKT usluga ima poslovni nastan u trećoj zemlji.

Ako se ugovorni aranžmani odnose na IKT usluge kojima se podupiru ključne ili važne funkcije, financijski subjekti propisno vode računa o odredbama prava o nesolventnosti koje bi se primjenjivale u slučaju stečaja treće strane pružatelja IKT usluga, kao i o svim ograničenjima do kojih bi moglo doći pri hitnom oporavku podataka financijskog subjekta.

Ako su ugovorni aranžmani o upotrebi IKT usluga kojima se podupiru ključne ili važne funkcije sklopljeni s trećom stranom pružateljem IKT usluga s poslovnim nastanom u trećoj zemlji, financijski subjekti, osim o elementima iz drugog podstavka, vode računa i o usklađenosti s pravilima Unije o zaštiti podataka te o djelotvornom izvršavanju zakonodavstva u toj trećoj zemlji.

Ako je u ugovornim aranžmanima o upotrebi IKT usluga kojima se podupiru ključne ili važne funkcije predviđeno podugovaranje, financijski subjekti procjenjuju mogu li, i u kojoj mjeri, potencijalno dugi ili složeni lanci podugovaranja utjecati na njihovu sposobnost da u potpunosti prate ugovorene funkcije i u tom smislu na sposobnost nadležnog tijela za djelotvoran nadzor nad financijskim subjektom.

Članak 30.

Ključne ugovorne odredbe

1.   Prava i obveze financijskog subjekta i treće strane pružatelja IKT usluga jasno se dodjeljuju i utvrđuju u pisanom obliku. Cjeloviti ugovor uključuje sporazume o razini usluga te se navodi u jednom pisanom dokumentu koji je stranama dostupan u papirnatom obliku ili u dokumentu u nekom drugom trajnom i pristupačnom formatu koji se može preuzeti.

2.   Ugovorni aranžmani o upotrebi IKT usluga sadržavaju barem sljedeće elemente:

| (a) | jasan i cjelovit opis svih funkcija i IKT usluga koje će pružati treća strana pružatelj IKT usluga, pri čemu se navodi je li dopušteno podugovaranje IKT usluge kojom se podupiru ključne ili važne funkcije ili njezinih bitnih dijelova te, ako jest, navode se i uvjeti koji se primjenjuju na takvo podugovaranje; |
| --- | --- |

(a)

jasan i cjelovit opis svih funkcija i IKT usluga koje će pružati treća strana pružatelj IKT usluga, pri čemu se navodi je li dopušteno podugovaranje IKT usluge kojom se podupiru ključne ili važne funkcije ili njezinih bitnih dijelova te, ako jest, navode se i uvjeti koji se primjenjuju na takvo podugovaranje;

| (b) | lokacije, posebno regije ili zemlje, na kojima će se pružati ugovorene ili podugovorene funkcije i IKT usluge te na kojima će se obrađivati podatci, uključujući lokaciju pohrane, kao i zahtjev da treća strana pružatelj IKT usluga unaprijed obavijesti financijski subjekt ako namjerava promijeniti takve lokacije; |
| --- | --- |

(b)

lokacije, posebno regije ili zemlje, na kojima će se pružati ugovorene ili podugovorene funkcije i IKT usluge te na kojima će se obrađivati podatci, uključujući lokaciju pohrane, kao i zahtjev da treća strana pružatelj IKT usluga unaprijed obavijesti financijski subjekt ako namjerava promijeniti takve lokacije;

| (c) | odredbe o dostupnosti, vjerodostojnosti, cjelovitosti i povjerljivosti u vezi sa zaštitom podataka, među ostalim i osobnih podataka; |
| --- | --- |

(c)

odredbe o dostupnosti, vjerodostojnosti, cjelovitosti i povjerljivosti u vezi sa zaštitom podataka, među ostalim i osobnih podataka;

| (d) | odredbe o osiguravanju pristupa osobnim i neosobnim podatcima koje obrađuje financijski subjekt te o osiguravanju njihova oporavka i vraćanja u lako dostupnom formatu u slučaju nesolventnosti, sanacije ili prestanka poslovanja treće strane pružatelja IKT usluga ili u slučaju raskida ugovornih aranžmana; |
| --- | --- |

(d)

odredbe o osiguravanju pristupa osobnim i neosobnim podatcima koje obrađuje financijski subjekt te o osiguravanju njihova oporavka i vraćanja u lako dostupnom formatu u slučaju nesolventnosti, sanacije ili prestanka poslovanja treće strane pružatelja IKT usluga ili u slučaju raskida ugovornih aranžmana;

| (e) | opise razina usluga, uključujući ažuriranja i revizije tog opisa; |
| --- | --- |

(e)

opise razina usluga, uključujući ažuriranja i revizije tog opisa;

| (f) | obvezu treće strane pružatelja IKT usluga da pruži pomoć financijskom subjektu bez dodatnih troškova ili uz unaprijed utvrđene troškove u slučaju IKT incidenta koji je povezan s IKT uslugom koju ta treća strana pruža financijskom subjektu; |
| --- | --- |

(f)

obvezu treće strane pružatelja IKT usluga da pruži pomoć financijskom subjektu bez dodatnih troškova ili uz unaprijed utvrđene troškove u slučaju IKT incidenta koji je povezan s IKT uslugom koju ta treća strana pruža financijskom subjektu;

| (g) | obveza treće strane pružatelja IKT usluga da u potpunosti surađuje s nadležnim tijelima i sanacijskim tijelima financijskog subjekta, među ostalim i s osobama koje su ona imenovala; |
| --- | --- |

(g)

obveza treće strane pružatelja IKT usluga da u potpunosti surađuje s nadležnim tijelima i sanacijskim tijelima financijskog subjekta, među ostalim i s osobama koje su ona imenovala;

| (h) | prava raskida i povezane minimalne rokove za prethodne obavijesti o raskidu ugovornih aranžmana u skladu s očekivanjima nadležnih tijela i sanacijskih tijela; |
| --- | --- |

(h)

prava raskida i povezane minimalne rokove za prethodne obavijesti o raskidu ugovornih aranžmana u skladu s očekivanjima nadležnih tijela i sanacijskih tijela;

| (i) | uvjete za sudjelovanje trećih strana pružatelja IKT usluga u programima za podizanje svijesti o sigurnosti u području IKT-a i osposobljavanjima o digitalnoj operativnoj otpornosti koje provode financijski subjekti u skladu s člankom 13. stavkom 6. |
| --- | --- |

(i)

uvjete za sudjelovanje trećih strana pružatelja IKT usluga u programima za podizanje svijesti o sigurnosti u području IKT-a i osposobljavanjima o digitalnoj operativnoj otpornosti koje provode financijski subjekti u skladu s člankom 13. stavkom 6.

3.   Ugovorni aranžmani o upotrebi IKT usluga kojima se podupiru ključne ili važne funkcije, uz elemente iz stavka 2., sadržavaju barem sljedeće:

| (a) | potpune opise razina usluga, uključujući ažuriranja i revizije tog opisa, uz precizne kvantitativne i kvalitativne ciljeve uspješnosti u okviru dogovorenih razina usluga kako bi se financijskom subjektu omogućilo djelotvorno praćenje IKT usluga i poduzimanje, bez nepotrebne odgode, odgovarajućih korektivnih mjera ako se ne postignu dogovorene razine usluga; |
| --- | --- |

(a)

potpune opise razina usluga, uključujući ažuriranja i revizije tog opisa, uz precizne kvantitativne i kvalitativne ciljeve uspješnosti u okviru dogovorenih razina usluga kako bi se financijskom subjektu omogućilo djelotvorno praćenje IKT usluga i poduzimanje, bez nepotrebne odgode, odgovarajućih korektivnih mjera ako se ne postignu dogovorene razine usluga;

| (b) | rokove za prethodne obavijesti i obveze izvješćivanja koje ima treća strana pružatelj IKT usluga u odnosu na financijski subjekt, uključujući obavijesti o svim događajima koji bi mogli bitno utjecati na sposobnost treće strane pružatelja IKT usluga za djelotvorno pružanje IKT usluga kojima se podupiru ključne ili važne funkcije u skladu s dogovorenim razinama usluga; |
| --- | --- |

(b)

rokove za prethodne obavijesti i obveze izvješćivanja koje ima treća strana pružatelj IKT usluga u odnosu na financijski subjekt, uključujući obavijesti o svim događajima koji bi mogli bitno utjecati na sposobnost treće strane pružatelja IKT usluga za djelotvorno pružanje IKT usluga kojima se podupiru ključne ili važne funkcije u skladu s dogovorenim razinama usluga;

| (c) | zahtjeve da treća strana pružatelj IKT usluga uvede i testira planove za nepredvidive situacije u poslovanju te da uvede mjere, alate i politike za sigurnost IKT-a kojima se financijskom subjektu osigurava odgovarajuća razina sigurnosti za pružanje usluga, u skladu s njegovim regulatornim okvirom; |
| --- | --- |

(c)

zahtjeve da treća strana pružatelj IKT usluga uvede i testira planove za nepredvidive situacije u poslovanju te da uvede mjere, alate i politike za sigurnost IKT-a kojima se financijskom subjektu osigurava odgovarajuća razina sigurnosti za pružanje usluga, u skladu s njegovim regulatornim okvirom;

| (d) | obvezu treće strane pružatelja IKT usluga da sudjeluje u TLPT-u financijskog subjekta kako je navedeno u člancima 26. i 27. i da pritom bude u potpunosti kooperativna; |
| --- | --- |

(d)

obvezu treće strane pružatelja IKT usluga da sudjeluje u TLPT-u financijskog subjekta kako je navedeno u člancima 26. i 27. i da pritom bude u potpunosti kooperativna;

| (e) | pravo kontinuiranog praćenja rada treće strane pružatelja IKT usluga, što podrazumijeva sljedeće:






  i. | neograničena prava financijskog subjekta ili imenovane treće strane te nadležnog tijela na pristup, inspekcijski nadzor i reviziju te pravo na izradu preslika relevantne dokumentacije na licu mjesta ako je ključna za poslovanje treće strane pružatelja IKT usluga, pri čemu drugi ugovorni aranžmani ili provedbene politike ne sprečavaju i ne ograničavaju djelotvorno ostvarivanje tih prava; |
| --- | --- | --- |

(e)

pravo kontinuiranog praćenja rada treće strane pružatelja IKT usluga, što podrazumijeva sljedeće:

i.

neograničena prava financijskog subjekta ili imenovane treće strane te nadležnog tijela na pristup, inspekcijski nadzor i reviziju te pravo na izradu preslika relevantne dokumentacije na licu mjesta ako je ključna za poslovanje treće strane pružatelja IKT usluga, pri čemu drugi ugovorni aranžmani ili provedbene politike ne sprečavaju i ne ograničavaju djelotvorno ostvarivanje tih prava;

| ii. | pravo ugovaranja alternativnih razina osiguranja ako su zahvaćena prava drugih klijenata; |
| --- | --- |

ii.

pravo ugovaranja alternativnih razina osiguranja ako su zahvaćena prava drugih klijenata;

| iii. | obvezu treće strane pružatelja IKT usluga da u potpunosti surađuje tijekom izravnih inspekcijskih nadzora i revizija koje provode nadležna tijela, glavno nadzorno tijelo, financijski subjekt ili imenovana treća strana; |
| --- | --- |

iii.

obvezu treće strane pružatelja IKT usluga da u potpunosti surađuje tijekom izravnih inspekcijskih nadzora i revizija koje provode nadležna tijela, glavno nadzorno tijelo, financijski subjekt ili imenovana treća strana;

| iv. | obvezu dostavljanja pojedinosti o opsegu, postupcima kojih se treba pridržavati i učestalosti takvih inspekcijskih nadzora i revizija; |
| --- | --- |

iv.

obvezu dostavljanja pojedinosti o opsegu, postupcima kojih se treba pridržavati i učestalosti takvih inspekcijskih nadzora i revizija;

| (f) | izlazne strategije, osobito određivanje obveznog primjerenog prijelaznog razdoblja:






  i. | tijekom kojega će treća strana pružatelj IKT usluga nastaviti pružati dotične funkcije ili IKT usluge kako bi se smanjio rizik od poremećaja u radu financijskog subjekta ili kako bi se osigurali njegova djelotvorna sanacija i restrukturiranje; |
| --- | --- | --- |

(f)

izlazne strategije, osobito određivanje obveznog primjerenog prijelaznog razdoblja:

i.

tijekom kojega će treća strana pružatelj IKT usluga nastaviti pružati dotične funkcije ili IKT usluge kako bi se smanjio rizik od poremećaja u radu financijskog subjekta ili kako bi se osigurali njegova djelotvorna sanacija i restrukturiranje;

| ii. | u kojem financijski subjekt može prijeći na usluge druge treće strane pružatelja IKT usluga ili se prebaciti na interna rješenja, u skladu sa složenošću usluge koja se pruža. |
| --- | --- |

ii.

u kojem financijski subjekt može prijeći na usluge druge treće strane pružatelja IKT usluga ili se prebaciti na interna rješenja, u skladu sa složenošću usluge koja se pruža.

Odstupajući od točke (e), treća strana pružatelj IKT usluga i financijski subjekt koji je mikropoduzeće mogu se dogovoriti da se prava financijskog subjekta u pogledu pristupa, inspekcijskog nadzora i revizije mogu delegirati neovisnoj trećoj strani, koju imenuje treća strana pružatelj IKT usluga, te da financijski subjekt može od te treće strane u bilo kojem trenutku zatražiti informacije i jamstvo o radu treće strane pružatelja IKT usluga.

4.   Tijekom pregovora o ugovornim aranžmanima financijski subjekti i treće strane pružatelji IKT usluga dužni su razmotriti primjenu standardnih ugovornih klauzula koje su tijela javne vlasti sastavila za konkretne usluge.

5.   Europska nadzorna tijela u okviru Zajedničkog odbora izrađuju nacrt regulatornih tehničkih standarda kojima se preciznije utvrđuju elementi iz stavka 2. točke (a) koje financijski subjekt treba utvrditi i procijeniti pri podugovaranju IKT usluga kojima se podupiru ključne ili važne funkcije.

Pri izradi tog nacrta regulatornih tehničkih standarda europska nadzorna tijela uzimaju u obzir veličinu i ukupni profil rizičnosti financijskog subjekta te prirodu, opseg i složenost njegovih usluga, aktivnosti i poslovanja.

Europska nadzorna tijela taj nacrt regulatornih tehničkih standarda dostavljaju Komisiji do 17. srpnja 2024.

Komisiji se dodjeljuje ovlast za dopunjavanje ove Uredbe donošenjem regulatornih tehničkih standarda iz prvog podstavka u skladu s člancima od 10. do 14. Uredbe (EU) br. 1093/2010, Uredbe (EU) br. 1094/2010 i Uredbe (EU) br. 1095/2010.

Odjeljak II.

Nadzorni okvir za ključne treće strane pružatelje IKT usluga

Članak 31.

Imenovanje ključnih trećih strana pružatelja IKT usluga

1.   Europska nadzorna tijela u okviru Zajedničkog odbora i na preporuku Nadzornog foruma osnovanog na temelju članka 32. stavka 1.:

| (a) | imenuju treće strane pružatelje IKT usluga koji su ključni za financijske subjekte, nakon procjene kojom se uzimaju u obzir kriteriji navedeni u stavku 2.; |
| --- | --- |

(a)

imenuju treće strane pružatelje IKT usluga koji su ključni za financijske subjekte, nakon procjene kojom se uzimaju u obzir kriteriji navedeni u stavku 2.;

| (b) | imenuju glavnim nadzornim tijelom za svaku ključnu treću stranu pružatelja IKT usluga europsko nadzorno tijelo koje je, u skladu s uredbama (EU) br. 1093/2010, (EU) br. 1094/2010 ili (EU) br. 1095/2010, odgovorno za financijske subjekte koji zajedno imaju najveći udio ukupne imovine u vrijednosti ukupne imovine svih financijskih subjekata koji se koriste uslugama relevantne ključne treće strane pružatelja IKT usluga, što dokazuje zbroj pojedinačnih bilanci tih financijskih subjekata. |
| --- | --- |

(b)

imenuju glavnim nadzornim tijelom za svaku ključnu treću stranu pružatelja IKT usluga europsko nadzorno tijelo koje je, u skladu s uredbama (EU) br. 1093/2010, (EU) br. 1094/2010 ili (EU) br. 1095/2010, odgovorno za financijske subjekte koji zajedno imaju najveći udio ukupne imovine u vrijednosti ukupne imovine svih financijskih subjekata koji se koriste uslugama relevantne ključne treće strane pružatelja IKT usluga, što dokazuje zbroj pojedinačnih bilanci tih financijskih subjekata.

2.   Imenovanje iz stavka 1. točke (a) temelji se na svim sljedećim kriterijima u vezi s IKT uslugama koje pruža treća strana pružatelj IKT usluga:

| (a) | sistemskom učinku na stabilnost, kontinuitet ili kvalitetu pružanja financijskih usluga u slučaju da se relevantna treća strana pružatelj IKT usluga suoči s prekidom većih razmjera u pružanju usluga, pri čemu se uzima u obzir broj financijskih subjekata i ukupna vrijednost imovine financijskih subjekata kojima relevantna treća strana pružatelj IKT usluga pruža usluge; |
| --- | --- |

(a)

sistemskom učinku na stabilnost, kontinuitet ili kvalitetu pružanja financijskih usluga u slučaju da se relevantna treća strana pružatelj IKT usluga suoči s prekidom većih razmjera u pružanju usluga, pri čemu se uzima u obzir broj financijskih subjekata i ukupna vrijednost imovine financijskih subjekata kojima relevantna treća strana pružatelj IKT usluga pruža usluge;

| (b) | sistemskoj prirodi ili značaju financijskih subjekata koji se oslanjaju na relevantnu treću stranu pružatelja IKT usluga, što se procjenjuje prema sljedećim parametrima:






  i. | broju globalnih sistemski važnih institucija (GSV institucije) ili drugih sistemski važnih institucija (OSV institucije) koje se oslanjanju na relevantnu treću stranu pružatelja IKT usluga; |
| --- | --- | --- |

(b)

sistemskoj prirodi ili značaju financijskih subjekata koji se oslanjaju na relevantnu treću stranu pružatelja IKT usluga, što se procjenjuje prema sljedećim parametrima:

i.

broju globalnih sistemski važnih institucija (GSV institucije) ili drugih sistemski važnih institucija (OSV institucije) koje se oslanjanju na relevantnu treću stranu pružatelja IKT usluga;

| ii. | međuovisnosti GSV institucija ili OSV institucija iz podtočke i. i drugih financijskih subjekata, uključujući slučajeve u kojima GSV ili OSV institucije pružaju usluge financijske infrastrukture drugim financijskim subjektima; |
| --- | --- |

ii.

međuovisnosti GSV institucija ili OSV institucija iz podtočke i. i drugih financijskih subjekata, uključujući slučajeve u kojima GSV ili OSV institucije pružaju usluge financijske infrastrukture drugim financijskim subjektima;

| (c) | oslanjanju financijskih subjekata na usluge koje relevantna treća strana pružatelj IKT usluga pruža u vezi s ključnim ili važnim funkcijama financijskih subjekata u čije je pružanje u konačnici uključena ista treća strana pružatelj IKT usluga, neovisno o tome oslanjaju li se financijski subjekti na te usluge izravno ili neizravno, putem podugovornih aranžmana; |
| --- | --- |

(c)

oslanjanju financijskih subjekata na usluge koje relevantna treća strana pružatelj IKT usluga pruža u vezi s ključnim ili važnim funkcijama financijskih subjekata u čije je pružanje u konačnici uključena ista treća strana pružatelj IKT usluga, neovisno o tome oslanjaju li se financijski subjekti na te usluge izravno ili neizravno, putem podugovornih aranžmana;

| (d) | stupnju zamjenjivosti treće strane pružatelja IKT usluga, uzimajući u obzir sljedeće parametre:






  i. | nepostojanje stvarnih alternativa, čak ni djelomičnih, zbog ograničenog broja trećih strana pružatelja IKT usluga koji su aktivni na određenom tržištu, ili tržišnog udjela relevantne treće strane pružatelja IKT usluga, ili relevantne tehničke složenosti ili sofisticiranosti, među ostalim i u pogledu zaštićene tehnologije, ili posebnosti organizacije ili aktivnosti treće strane pružatelja IKT usluga; |
| --- | --- | --- |

(d)

stupnju zamjenjivosti treće strane pružatelja IKT usluga, uzimajući u obzir sljedeće parametre:

i.

nepostojanje stvarnih alternativa, čak ni djelomičnih, zbog ograničenog broja trećih strana pružatelja IKT usluga koji su aktivni na određenom tržištu, ili tržišnog udjela relevantne treće strane pružatelja IKT usluga, ili relevantne tehničke složenosti ili sofisticiranosti, među ostalim i u pogledu zaštićene tehnologije, ili posebnosti organizacije ili aktivnosti treće strane pružatelja IKT usluga;

| ii. | poteškoće u vezi s djelomičnom ili potpunom migracijom relevantnih podataka i radnih opterećenja s relevantne treće strane pružatelja IKT usluga na drugu treću stranu pružatelja IKT usluga zbog znatnih financijskih troškova, vremena ili drugih resursa koji bi bili potrebni za migraciju ili zbog povećanog IKT rizika ili drugih operativnih rizika kojima bi financijski subjekt mogao biti izložen tijekom takve migracije; |
| --- | --- |

ii.

poteškoće u vezi s djelomičnom ili potpunom migracijom relevantnih podataka i radnih opterećenja s relevantne treće strane pružatelja IKT usluga na drugu treću stranu pružatelja IKT usluga zbog znatnih financijskih troškova, vremena ili drugih resursa koji bi bili potrebni za migraciju ili zbog povećanog IKT rizika ili drugih operativnih rizika kojima bi financijski subjekt mogao biti izložen tijekom takve migracije;

3.   Ako je treća strana pružatelj IKT usluga dio grupe, kriteriji iz stavka 2. razmatraju se u odnosu na IKT usluge koje pruža grupa kao cjelina.

4.   Ključne treće strane pružatelji IKT usluga koje su dio grupe imenuju jednu pravnu osobu kao koordinacijsku točku kako bi se osigurali odgovarajuće zastupanje i komunikacija s glavnim nadzornim tijelom.

5.   Glavno nadzorno tijelo obavješćuje treću stranu pružatelja IKT usluga o ishodu procjene koja je dovela do imenovanja iz stavka 1. točke (a). U roku od šest tjedana od datuma obavijesti treća strana pružatelj IKT usluga može glavnom nadzornom tijelu dostaviti obrazloženu izjavu sa svim relevantnim informacijama u svrhu procjene. Glavno nadzorno tijelo razmatra obrazloženu izjavu i može zatražiti da se u roku od 30 kalendarskih dana od primitka takve izjave dostave dodatne informacije.

Nakon što treću stranu pružatelja IKT usluga imenuju ključnom, europska nadzorna tijela u okviru Zajedničkog odbora obavješćuju treću stranu pružatelja IKT usluga o takvom imenovanju i početnom datumu od kojeg će efektivno podlijegati aktivnostima nadzora. Taj početni datum ne smije biti kasnije od mjesec dana nakon obavijesti. Treća strana pružatelj IKT usluga obavješćuje financijske subjekte kojima pruža usluge o tome da je imenovana kao ključna.

6.   Komisija je ovlaštena za donošenje delegiranog akta u skladu s člankom 57. radi dopunjavanja ove Uredbe preciznijim utvrđivanjem kriterija iz stavka 2. ovog članka do 17. srpnja 2024.

7.   Imenovanje iz stavka 1. točke (a) ne smije se primjenjivati dok Komisija ne donese delegirani akt u skladu sa stavkom 6.

8.   Imenovanje iz stavka 1. točke (a) ne primjenjuje se na:

| i. | financijske subjekte koji pružaju IKT usluge drugim financijskim subjektima; |
| --- | --- |

i.

financijske subjekte koji pružaju IKT usluge drugim financijskim subjektima;

| ii. | treće strane pružatelje IKT usluga koje podliježu nadzornim okvirima uspostavljenima za potrebe podrške zadaćama iz članka 127. stavka 2. Ugovora o funkcioniranju Europske unije; |
| --- | --- |

ii.

treće strane pružatelje IKT usluga koje podliježu nadzornim okvirima uspostavljenima za potrebe podrške zadaćama iz članka 127. stavka 2. Ugovora o funkcioniranju Europske unije;

| iii. | pružatelje IKT usluga unutar grupe; |
| --- | --- |

iii.

pružatelje IKT usluga unutar grupe;

| iv. | treće strane pružatelje IKT usluga koje pružaju IKT usluge isključivo u jednoj državi članici financijskim subjektima koji posluju samo u toj državi članici. |
| --- | --- |

iv.

treće strane pružatelje IKT usluga koje pružaju IKT usluge isključivo u jednoj državi članici financijskim subjektima koji posluju samo u toj državi članici.

9.   Europska nadzorna tijela u okviru Zajedničkog odbora izrađuju, objavljuju i svake godine ažuriraju popis ključnih trećih strana pružatelja IKT usluga na razini Unije.

10.   Za potrebe stavka 1. točke (a) nadležna tijela svake godine dostavljaju Nadzornom forumu osnovanom na temelju članka 32. agregirana izvješća iz članka 28. stavka 3. trećeg podstavka. Nadzorni forum procjenjuje ovisnost financijskih subjekata o IKT uslugama trećih strana na temelju informacija koje je dobio od nadležnih tijela.

11.   Treće strane pružatelji IKT usluga koje nisu uvrštene na popis iz stavka 9. mogu zatražiti da ih se imenuje kao ključne u skladu sa stavkom 1. točkom (a).

Za potrebe prvog podstavka treća strana pružatelj IKT usluga dostavlja obrazložen zahtjev EBA-i, ESMA-i ili EIOPA-i, koje u okviru Zajedničkog odbora odlučuju hoće li tu treću stranu pružatelja IKT usluga imenovati kao ključnu u skladu sa stavkom 1. točkom (a).

Odluka iz drugog podstavka donosi se i o njoj se obavješćuje treću stranu pružatelja IKT usluga u roku od šest mjeseci od primitka zahtjeva.

12.   Financijski subjekti smiju se koristiti uslugama treće strane pružatelja IKT usluga s poslovnim nastanom u trećoj zemlji koja je imenovana kao ključna u skladu sa stavkom 1. točkom (a) samo ako je ta treća strana osnovala društvo kćer u Uniji u roku od 12 mjeseci nakon imenovanja.

13.   Ključna treća strana pružatelj IKT usluga iz stavka 12. obavješćuje glavno nadzorno tijelo o svim promjenama u strukturi uprave društva kćeri s poslovnim nastanom u Uniji.

Članak 32.

Struktura nadzornog okvira

1.   U skladu s člankom 57. stavkom 1. uredbi (EU) br. 1093/2010, (EU) br. 1094/2010 i (EU) br. 1095/2010 Zajednički odbor osniva Nadzorni forum kao pododbor radi pružanja potpore radu Zajedničkog odbora i glavnog nadzornog tijela iz članka 31. stavka 1. točke (b) u području IKT rizika povezanog s trećim stranama u svim financijskim sektorima. Nadzorni forum izrađuje nacrt zajedničkih stajališta i nacrt zajedničkih akata Zajedničkog odbora u tom području.

Nadzorni forum redovito raspravlja o relevantnom razvoju u području IKT rizika i ranjivosti te na razini Unije promiče dosljedan pristup praćenju IKT rizika povezanog s trećim stranama.

2.   Nadzorni forum svake godine provodi kolektivnu procjenu rezultata i nalaza aktivnosti nadzora provedenih nad svim ključnim trećim stranama pružateljima IKT usluga te promiče koordinacijske mjere radi povećanja digitalne operativne otpornosti financijskih subjekata, poticanja najboljih primjera iz prakse nošenja s koncentracijskim IKT rizikom i razmatranja instrumenata za smanjenje prijenosa rizika među sektorima.

3.   Nadzorni forum predlaže sveobuhvatne referentne vrijednosti za ključne treće strane pružatelje IKT usluga koje Zajednički odbor donosi u obliku zajedničkih stajališta europskih nadzornih tijela u skladu s člankom 56. stavkom 1. uredbi (EU) br. 1093/2010, (EU) br. 1094/2010 i (EU) br. 1095/2010.

4.   Nadzorni forum čine:

| (a) | predsjednici europskih nadzornih tijela; |
| --- | --- |

(a)

predsjednici europskih nadzornih tijela;

| (b) | po jedan predstavnik na visokoj razini iz svake države članice koji je član osoblja relevantnog nadležnog tijela iz članka 46.; |
| --- | --- |

(b)

po jedan predstavnik na visokoj razini iz svake države članice koji je član osoblja relevantnog nadležnog tijela iz članka 46.;

| (c) | izvršni direktori svih europskih nadzornih tijela i po jedan predstavnik Komisije, ESRB-a, ESB-a i ENISA-e kao promatrači; |
| --- | --- |

(c)

izvršni direktori svih europskih nadzornih tijela i po jedan predstavnik Komisije, ESRB-a, ESB-a i ENISA-e kao promatrači;

| (d) | prema potrebi, po jedan dodatni predstavnik nadležnog tijela iz članka 46. iz svake države članice kao promatrač; |
| --- | --- |

(d)

prema potrebi, po jedan dodatni predstavnik nadležnog tijela iz članka 46. iz svake države članice kao promatrač;

| (e) | ako je to primjenjivo, jedan predstavnik nadležnih tijela imenovanih ili uspostavljenih u skladu s Direktivom (EU) 2022/2555 koja su odgovorna za nadzor nad ključnim ili važnim subjektom koji podliježe toj direktivi, kojeg je ključna treća strana pružatelj IKT usluga imenovala kao promatrača. |
| --- | --- |

(e)

ako je to primjenjivo, jedan predstavnik nadležnih tijela imenovanih ili uspostavljenih u skladu s Direktivom (EU) 2022/2555 koja su odgovorna za nadzor nad ključnim ili važnim subjektom koji podliježe toj direktivi, kojeg je ključna treća strana pružatelj IKT usluga imenovala kao promatrača.

Nadzorni forum može, prema potrebi, zatražiti savjet neovisnih stručnjaka imenovanih u skladu sa stavkom 6.

5.   Svaka država članica imenuje relevantno nadležno tijelo čiji je član osoblja predstavnik na visokoj razini iz stavka 4. prvog podstavka točke (b) i o tome obavješćuje glavno nadzorno tijelo.

Europska nadzorna tijela na svojim internetskim stranicama objavljuju popis predstavnika na visokoj razini koje su imenovale države članice koji su članovi osoblja relevantnog nadležnog tijela.

6.   Neovisne stručnjake iz stavka 4. drugog podstavka imenuje Nadzorni forum iz skupine stručnjaka odabranih nakon javnog i transparentnog natječajnog postupka.

Neovisni stručnjaci imenuju se na temelju njihova stručnog znanja u području financijske stabilnosti, digitalne operativne otpornosti i pitanja IKT sigurnosti. Oni djeluju neovisno i objektivno u isključivom interesu Unije kao cjeline, i ne traže niti primaju upute od institucija ili tijela Unije, bilo koje vlade države članice ili bilo kojeg drugog javnog ili privatnog tijela.

7.   U skladu s člankom 16. uredbi (EU) br. 1093/2010, (EU) br. 1094/2010 i (EU) br. 1095/2010 europska nadzorna tijela do 17. srpnja 2024. izdaju, za potrebe ovog odjeljka, smjernice o suradnji između europskih nadzornih tijela i nadležnih tijela koje obuhvaćaju detaljne postupke i uvjete za raspodjelu i izvršavanje zadaća između nadležnih tijela i europskih nadzornih tijela te pojedinosti o razmjenama informacija koje su potrebne nadležnim tijelima kako bi se osiguralo daljnje postupanje prema preporukama na temelju članka 35. stavka 1. točke (d) koje su upućene ključnim trećim stranama pružateljima IKT usluga.

8.   Zahtjevima utvrđenima u ovom odjeljku ne dovodi se u pitanje primjena Direktive (EU) 2022/2555 i drugih pravila Unije o nadzoru koja su primjenjiva na pružatelje usluga računalstva u oblaku.

9.   Europska nadzorna tijela u okviru Zajedničkog odbora i na temelju pripremnog rada Nadzornog foruma jednom godišnje podnose izvješće o primjeni ovog odjeljka Europskom parlamentu, Vijeću i Komisiji.

Članak 33.

Zadaće glavnog nadzornog tijela

1.   Glavno nadzorno tijelo, imenovano u skladu s člankom 31. stavkom 1. točkom (b), provodi nadzor nad ključnim trećim stranama pružateljima IKT usluga koje su mu dodijeljene i primarna je kontaktna točka za te ključne treće strana pružatelje IKT usluga u svrhu svih pitanja povezanih s nadzorom.

2.   Za potrebe stavka 1. glavno nadzorno tijelo procjenjuje je li svaka ključna treća strana pružatelj IKT usluga uvela sveobuhvatna, pouzdana i djelotvorna pravila, postupke, mehanizme i aranžmane za upravljanje IKT rizicima kojima bi mogla izložiti financijske subjekte.

Procjena iz prvog podstavka uglavnom je usmjerena na IKT usluge koje pruža ključna treća strana pružatelj IKT usluga kojima se podupiru ključne ili važne funkcije financijskih subjekata. Ako je to potrebno za nošenje sa svim relevantnim rizicima, ta se procjena proširuje na IKT usluge kojima se podupiru funkcije koje nisu ključne ili važne.

3.   Procjena iz stavka 2. obuhvaća:

| (a) | zahtjeve u području IKT-a kojima se osobito osiguravaju sigurnost, dostupnost, kontinuitet, skalabilnost i kvaliteta usluga koje ključna treća strana pružatelj IKT usluga pruža financijskim subjektima, kao i sposobnost da se u svakom trenutku zadrže visoki standardi dostupnosti, vjerodostojnosti, cjelovitosti ili povjerljivosti podataka; |
| --- | --- |

(a)

zahtjeve u području IKT-a kojima se osobito osiguravaju sigurnost, dostupnost, kontinuitet, skalabilnost i kvaliteta usluga koje ključna treća strana pružatelj IKT usluga pruža financijskim subjektima, kao i sposobnost da se u svakom trenutku zadrže visoki standardi dostupnosti, vjerodostojnosti, cjelovitosti ili povjerljivosti podataka;

| (b) | fizičku sigurnost koja doprinosi IKT sigurnosti, uključujući sigurnost prostora, objekata i podatkovnih centara; |
| --- | --- |

(b)

fizičku sigurnost koja doprinosi IKT sigurnosti, uključujući sigurnost prostora, objekata i podatkovnih centara;

| (c) | procese upravljanja rizicima, uključujući politike upravljanja IKT rizicima, politiku kontinuiteta poslovanja u području IKT-a te planove odgovora i oporavka u području IKT-a; |
| --- | --- |

(c)

procese upravljanja rizicima, uključujući politike upravljanja IKT rizicima, politiku kontinuiteta poslovanja u području IKT-a te planove odgovora i oporavka u području IKT-a;

| (d) | aranžmane za upravljanje, uključujući organizacijsku strukturu s jasnim, transparentnim i dosljednim linijama odgovornosti te pravila o odgovornosti koja omogućuju djelotvorno upravljanje IKT rizicima; |
| --- | --- |

(d)

aranžmane za upravljanje, uključujući organizacijsku strukturu s jasnim, transparentnim i dosljednim linijama odgovornosti te pravila o odgovornosti koja omogućuju djelotvorno upravljanje IKT rizicima;

| (e) | utvrđivanje i praćenje bitnih IKT incidenata te brzo izvješćivanje financijskih subjekata o njima, upravljanje tim incidentima, osobito kibernapadima, i njihovo rješavanje; |
| --- | --- |

(e)

utvrđivanje i praćenje bitnih IKT incidenata te brzo izvješćivanje financijskih subjekata o njima, upravljanje tim incidentima, osobito kibernapadima, i njihovo rješavanje;

| (f) | mehanizme za prenosivost podataka, prenosivost aplikacija i interoperabilnost, kojima se financijskim subjektima osigurava djelotvorno ostvarivanje pravâ raskida; |
| --- | --- |

(f)

mehanizme za prenosivost podataka, prenosivost aplikacija i interoperabilnost, kojima se financijskim subjektima osigurava djelotvorno ostvarivanje pravâ raskida;

| (g) | testiranje IKT sustava, infrastrukture i kontrola; |
| --- | --- |

(g)

testiranje IKT sustava, infrastrukture i kontrola;

| (h) | revizije IKT-a; |
| --- | --- |

(h)

revizije IKT-a;

| (i) | primjenu relevantnih nacionalnih i međunarodnih standarda koji su primjenjivi na pružanje IKT usluga financijskim subjektima. |
| --- | --- |

(i)

primjenu relevantnih nacionalnih i međunarodnih standarda koji su primjenjivi na pružanje IKT usluga financijskim subjektima.

4.   Na temelju procjene iz stavka 2., i u koordinaciji sa Zajedničkom nadzornom mrežom iz članka 34. stavka 1., glavno nadzorno tijelo donosi jasan, detaljan i obrazložen pojedinačni plan nadzora u kojem se opisuju godišnji ciljevi nadzora i glavne mjere nadzora planirane za svaku ključnu treću stranu pružatelja IKT usluga. O tom se planu svake godine obavješćuje ključnu treću stranu pružatelja IKT usluga.

Prije donošenja plana nadzora glavno nadzorno tijelo dostavlja nacrt plana nadzora ključnoj trećoj strani pružatelju IKT usluga.

Nakon primitka nacrta plana nadzora ključna treća strana pružatelj IKT usluga može u roku od 15 kalendarskih dana dostaviti obrazloženu izjavu u kojoj dokazuje očekivani učinak na klijente koji nisu subjekti obuhvaćeni područjem primjene ove Uredbe i, prema potrebi, formulira rješenja za ublažavanje rizikâ.

5.   Nakon što se donesu planovi nadzora iz stavka 4. i o njima se obavijeste ključne treće strane pružatelji IKT usluga, nadležna tijela mogu u pogledu tih ključnih trećih strana pružatelja IKT usluga poduzimati mjere samo u dogovoru s glavnim nadzornim tijelom.

Članak 34.

Operativna koordinacija između glavnih nadzornih tijela

1.   Kako bi se osigurao dosljedan pristup aktivnostima nadzora i radi omogućivanja koordiniranih općih strategija nadzora i kohezivnih operativnih pristupa i metodologija rada, tri glavna nadzorna tijela imenovana u skladu s člankom 31. stavkom 1. točkom (b) uspostavljaju Zajedničku nadzornu mrežu radi međusobne koordinacije u pripremnim fazama i radi koordinacije provedbe aktivnosti nadzora nad nadziranim ključnim trećim stranama pružateljima IKT usluga, kao i tijekom svake mjere koja bi mogla biti potrebna u skladu s člankom 42.

2.   Za potrebe stavka 1. glavna nadzorna tijela sastavljaju zajednički protokol nadzora kojim se utvrđuju detaljni postupci koje treba slijediti radi provedbe svakodnevne koordinacije i osiguravanja brzih razmjena i reakcija. Protokol se periodički revidira kako bi se njime uzele u obzir operativne potrebe, posebno razvoj praktičnih aranžmana za nadzor.

3.   Glavna nadzorna tijela mogu, na ad hoc osnovi, pozvati ESB i ENISA-u da pruže tehničke savjete, podijele praktično iskustvo ili sudjeluju na posebnim koordinacijskim sastancima Zajedničke nadzorne mreže.

Članak 35.

Ovlasti glavnog nadzornog tijela

1.   Za potrebe izvršavanja zadaća utvrđenih u ovom odjeljku glavno nadzorno tijelo u pogledu ključnih trećih strana pružatelja IKT usluga ovlašteno je:

| (a) | zahtijevati sve relevantne informacije i dokumentaciju u skladu s člankom 37.; |
| --- | --- |

(a)

zahtijevati sve relevantne informacije i dokumentaciju u skladu s člankom 37.;

| (b) | provoditi opće istrage i inspekcijski nadzor u skladu s člankom 38. odnosno člankom 39.; |
| --- | --- |

(b)

provoditi opće istrage i inspekcijski nadzor u skladu s člankom 38. odnosno člankom 39.;

| (c) | nakon završetka aktivnosti nadzora zahtijevati izvješća u kojima se navode djelovanja ili korektivne mjere koje su ključne treće strane pružatelji IKT usluga poduzele ili provele u vezi s preporukama iz točke (d) ovog stavka; |
| --- | --- |

(c)

nakon završetka aktivnosti nadzora zahtijevati izvješća u kojima se navode djelovanja ili korektivne mjere koje su ključne treće strane pružatelji IKT usluga poduzele ili provele u vezi s preporukama iz točke (d) ovog stavka;

| (d) | izdati preporuke u vezi s područjima iz članka 33. stavka 3., posebno o sljedećem:






  i. | primjeni posebnih zahtjeva ili procesa povezanih sa sigurnošću i kvalitetom IKT-a, osobito u pogledu uvođenja zakrpa, ažuriranja, enkripcije i drugih sigurnosnih mjera koje glavno nadzorno tijelo smatra važnima za IKT sigurnost usluga koje se pružaju financijskim subjektima; |
| --- | --- | --- |

(d)

izdati preporuke u vezi s područjima iz članka 33. stavka 3., posebno o sljedećem:

i.

primjeni posebnih zahtjeva ili procesa povezanih sa sigurnošću i kvalitetom IKT-a, osobito u pogledu uvođenja zakrpa, ažuriranja, enkripcije i drugih sigurnosnih mjera koje glavno nadzorno tijelo smatra važnima za IKT sigurnost usluga koje se pružaju financijskim subjektima;

| ii. | primjeni uvjeta, uključujući njihovu tehničku provedbu, pod kojima ključne treće strane pružatelji IKT usluga pružaju IKT usluge financijskim subjektima, a koje glavno nadzorno tijelo smatra važnima za sprečavanje nastanka jedinstvenih točaka prekida, njihova jačanja, ili za smanjenje, na najmanju moguću mjeru, mogućeg sistemskog učinka u cijelom financijskom sektoru Unije u slučaju koncentracijskog IKT rizika; |
| --- | --- |

ii.

primjeni uvjeta, uključujući njihovu tehničku provedbu, pod kojima ključne treće strane pružatelji IKT usluga pružaju IKT usluge financijskim subjektima, a koje glavno nadzorno tijelo smatra važnima za sprečavanje nastanka jedinstvenih točaka prekida, njihova jačanja, ili za smanjenje, na najmanju moguću mjeru, mogućeg sistemskog učinka u cijelom financijskom sektoru Unije u slučaju koncentracijskog IKT rizika;

| iii. | svakom planiranom podugovaranju, ako glavno nadzorno tijelo na temelju provjere informacija prikupljenih u skladu s člancima 37. i 38. smatra da bi daljnje podugovaranje, uključujući podugovorne aranžmane koje ključna treća strana pružatelj IKT usluga planira sklopiti s trećim stranama pružateljima IKT usluga ili s podugovarateljima IKT usluga s poslovnim nastanom u trećoj zemlji, moglo izazvati rizike za usluge koje pruža financijski subjekt ili rizike za financijsku stabilnost; |
| --- | --- |

iii.

svakom planiranom podugovaranju, ako glavno nadzorno tijelo na temelju provjere informacija prikupljenih u skladu s člancima 37. i 38. smatra da bi daljnje podugovaranje, uključujući podugovorne aranžmane koje ključna treća strana pružatelj IKT usluga planira sklopiti s trećim stranama pružateljima IKT usluga ili s podugovarateljima IKT usluga s poslovnim nastanom u trećoj zemlji, moglo izazvati rizike za usluge koje pruža financijski subjekt ili rizike za financijsku stabilnost;

| iv. | suzdržavanju od sklapanja daljnjih podugovornih aranžmana ako su ispunjeni sljedeći kumulativni uvjeti:






  — | predviđeni je podugovaratelj treća strana pružatelj IKT usluga ili podugovaratelj IKT usluga s poslovnim nastanom u trećoj zemlji; |
| --- | --- | --- |

iv.

suzdržavanju od sklapanja daljnjih podugovornih aranžmana ako su ispunjeni sljedeći kumulativni uvjeti:

—

predviđeni je podugovaratelj treća strana pružatelj IKT usluga ili podugovaratelj IKT usluga s poslovnim nastanom u trećoj zemlji;

| — | podugovaranje se odnosi na ključne ili važne funkcije financijskog subjekta; i |
| --- | --- |

—

podugovaranje se odnosi na ključne ili važne funkcije financijskog subjekta; i

| — | glavno nadzorno tijelo smatra da primjena takvog podugovaranja predstavlja jasan i ozbiljan rizik za financijsku stabilnost Unije ili za financijske subjekte, što uključuje sposobnost financijskih subjekata da ispune zahtjeve u pogledu nadzora. |
| --- | --- |

—

glavno nadzorno tijelo smatra da primjena takvog podugovaranja predstavlja jasan i ozbiljan rizik za financijsku stabilnost Unije ili za financijske subjekte, što uključuje sposobnost financijskih subjekata da ispune zahtjeve u pogledu nadzora.

Za potrebe podtočke iv. ove točke treće strane pružatelji IKT usluga s pomoću predloška iz članka 41. stavka 1. točke (b) glavnom nadzornom tijelu dostavljanju informacije o podugovaranju.

2.   Pri izvršavanju ovlasti iz ovog članka glavno nadzorno tijelo:

| (a) | osigurava redovitu koordinaciju u okviru Zajedničke nadzorne mreže, a posebno nastoji osigurati dosljedne pristupe, ako je to primjereno, kad je riječ o nadzoru nad ključnim trećim stranama pružateljima IKT usluga; |
| --- | --- |

(a)

osigurava redovitu koordinaciju u okviru Zajedničke nadzorne mreže, a posebno nastoji osigurati dosljedne pristupe, ako je to primjereno, kad je riječ o nadzoru nad ključnim trećim stranama pružateljima IKT usluga;

| (b) | propisno uzima u obzir okvir uspostavljen Direktivom (EU) 2022/2555 i, prema potrebi, savjetuje se s relevantnim nadležnim tijelima imenovanima ili uspostavljenima u skladu s tom direktivom kako bi se izbjeglo udvostručavanje tehničkih i organizacijskih mjera koje bi se mogle primjenjivati na ključne treće strane pružatelje IKT usluga na temelju te direktive; |
| --- | --- |

(b)

propisno uzima u obzir okvir uspostavljen Direktivom (EU) 2022/2555 i, prema potrebi, savjetuje se s relevantnim nadležnim tijelima imenovanima ili uspostavljenima u skladu s tom direktivom kako bi se izbjeglo udvostručavanje tehničkih i organizacijskih mjera koje bi se mogle primjenjivati na ključne treće strane pružatelje IKT usluga na temelju te direktive;

| (c) | u mjeri u kojoj je to moguće, nastoji smanjiti rizik od poremećaja u uslugama koje ključne treće strane pružatelji IKT usluga pružaju klijentima koji su subjekti koji nisu obuhvaćeni područjem primjene ove Uredbe. |
| --- | --- |

(c)

u mjeri u kojoj je to moguće, nastoji smanjiti rizik od poremećaja u uslugama koje ključne treće strane pružatelji IKT usluga pružaju klijentima koji su subjekti koji nisu obuhvaćeni područjem primjene ove Uredbe.

3.   Glavno nadzorno tijelo savjetuje se s Nadzornim forumom prije izvršavanja ovlasti iz stavka 1.

Prije izdavanja preporuka u skladu sa stavkom 1. točkom (d) glavno nadzorno tijelo daje mogućnost trećoj strani pružatelju IKT usluga da u roku od 30 kalendarskih dana dostavi relevantne informacije kojima se dokazuje očekivani učinak na klijente koji su subjekti koji nisu obuhvaćeni područjem primjene ove Uredbe i, prema potrebi, oblikuju rješenja za ublažavanje rizikâ.

4.   Glavno nadzorno tijelo obavješćuje Zajedničku nadzornu mrežu o ishodu izvršavanja ovlasti iz stavka 1. točaka (a) i (b). Glavno nadzorno tijelo bez nepotrebne odgode prosljeđuje izvješća iz stavka 1. točke (c) Zajedničkoj nadzornoj mreži i nadležnim tijelima financijskih subjekata koji se koriste IKT uslugama te ključne treće strane pružatelja IKT usluga.

5.   Ključne treće strane pružatelji IKT usluga surađuju u dobroj vjeri s glavnim nadzornim tijelom i pomažu mu u obavljanju njegovih zadaća.

6.   U slučaju potpune ili djelomične neusklađenosti s mjerama koje se moraju poduzeti u skladu s izvršavanjem ovlasti iz stavka 1. točaka (a), (b) i (c) i nakon isteka razdoblja od najmanje 30 kalendarskih dana od datuma kad je ključna treća strana pružatelj IKT usluga primila obavijest o dotičnim mjerama, glavno nadzorno tijelo donosi odluku kojom se izriče periodična novčana kazna kako bi se ključnu treću stranu pružatelja IKT usluga primoralo na poštovanje tih mjera.

7.   Periodična novčana kazna iz stavka 6. izriče se na dnevnoj osnovi sve dok se ne osigura usklađenost i tijekom razdoblja od najviše šest mjeseci od obavijesti o odluci kojom se ključnoj trećoj strani pružatelju IKT usluga izriče periodična novčana kazna.

8.   Iznos periodične novčane kazne, koji se izračunava od datuma utvrđenog u odluci kojom se izriče periodična novčana kazna, iznosi do 1 % prosječnoga dnevnog prometa na svjetskoj razini za ključnu treću stranu pružatelja IKT usluga u prethodnoj poslovnoj godini. Pri određivanju iznosa novčane kazne glavno nadzorno tijelo uzima u obzir sljedeće kriterije koji se odnose na neusklađenost s mjerama iz stavka 6.:

| (a) | ozbiljnost i trajanje neusklađenosti; |
| --- | --- |

(a)

ozbiljnost i trajanje neusklađenosti;

| (b) | je li neusklađenost počinjena namjerno ili iz nepažnje; |
| --- | --- |

(b)

je li neusklađenost počinjena namjerno ili iz nepažnje;

| (c) | razinu suradnje treće strane pružatelja IKT usluga s glavnim nadzornim tijelom. |
| --- | --- |

(c)

razinu suradnje treće strane pružatelja IKT usluga s glavnim nadzornim tijelom.

Za potrebe prvog podstavka i kako bi se osigurao dosljedan pristup, glavno nadzorno tijelo sudjeluje u savjetovanju u okviru Zajedničke nadzorne mreže.

9.   Novčane kazne administrativne su prirode i izvršive. Izvršenje se uređuje pravilima građanskog postupka koja su na snazi u državi članici na čijem se državnom području provodi inspekcijski nadzor i dodjeljuje pristup. Sudovi dotične države članice nadležni su za pritužbe koje se odnose na nepravilno izvršenje. Uplaćeni iznosi novčanih kazni dodjeljuju se u opći proračun Europske unije.

10.   Glavno nadzorno tijelo javno objavljuje svaku izrečenu periodičnu novčanu kaznu, osim ako bi takva objava ozbiljno ugrozila financijska tržišta ili prouzročila nerazmjernu štetu uključenim stranama.

11.   Prije izricanja periodične novčane kazne na temelju stavka 6. glavno nadzorno tijelo daje predstavnicima ključne treće strane pružatelja IKT usluga koja je predmet postupka mogućnost da se očituju o nalazima i svoje odluke temelji samo na nalazima o kojima se ključna treća strana pružatelj IKT usluga koja je predmet postupka mogla očitovati.

U postupku se u potpunosti poštuju prava na obranu osoba koje su predmet postupka. Ključna treća strana pružatelj IKT usluga koja je predmet postupka ima pravo na pristup spisu, pri čemu se mora uvažiti legitimni interes drugih osoba u pogledu zaštite njihovih poslovnih tajni. Pravo pristupa spisu ne odnosi se na povjerljive informacije ili interne pripremne dokumente glavnog nadzornog tijela.

Članak 36.

Izvršavanje ovlasti glavnog nadzornog tijela izvan Unije

1.   Ako se ciljevi nadzora ne mogu postići interakcijom s društvom kćeri osnovanim za potrebe članka 31. stavka 12. ili obavljanjem aktivnosti nadzora u prostorima koji se nalaze u Uniji, glavno nadzorno tijelo može izvršavati ovlasti navedene u sljedećim odredbama, u svim prostorima koji se nalaze u trećoj zemlji i koji su u vlasništvu ključne treće strane pružatelja IKT usluga ili ih ona na bilo koji način upotrebljava za potrebe pružanja usluga financijskim subjektima u Uniji, a u vezi s njezinim poslovanjem, funkcijama ili uslugama, uključujući administrativne, poslovne ili operativne urede, prostore, zemljišta, zgrade ili druge nekretnine:

| (a) | članku 35. stavku 1. točki (a); i |
| --- | --- |

(a)

članku 35. stavku 1. točki (a); i

| (b) | članku 35. stavku 1. točki (b), u skladu s člankom 38. stavkom 2. točkama (a), (b) i (d) te članku 39. stavku 1. i stavku 2. točki (a). |
| --- | --- |

(b)

članku 35. stavku 1. točki (b), u skladu s člankom 38. stavkom 2. točkama (a), (b) i (d) te članku 39. stavku 1. i stavku 2. točki (a).

Ovlasti iz prvog podstavka mogu se izvršavati ako su ispunjeni svi sljedeći uvjeti:

| i. | glavno nadzorno tijelo smatra da je potrebno provesti inspekcijski nadzor u trećoj zemlji kako bi moglo u potpunosti i djelotvorno obaviti svoje zadaće na temelju ove Uredbe; |
| --- | --- |

i.

glavno nadzorno tijelo smatra da je potrebno provesti inspekcijski nadzor u trećoj zemlji kako bi moglo u potpunosti i djelotvorno obaviti svoje zadaće na temelju ove Uredbe;

| ii. | inspekcijski nadzor u trećoj zemlji izravno je povezan s pružanjem IKT usluga financijskim subjektima u Uniji; |
| --- | --- |

ii.

inspekcijski nadzor u trećoj zemlji izravno je povezan s pružanjem IKT usluga financijskim subjektima u Uniji;

| iii. | dotična ključna treća strana pružatelj IKT usluga pristaje na provođenje inspekcijskog nadzora u trećoj zemlji; i |
| --- | --- |

iii.

dotična ključna treća strana pružatelj IKT usluga pristaje na provođenje inspekcijskog nadzora u trećoj zemlji; i

| iv. | glavno nadzorno tijelo službeno je obavijestilo relevantno tijelo dotične treće zemlje, koje protiv toga nije podnijelo prigovor. |
| --- | --- |

iv.

glavno nadzorno tijelo službeno je obavijestilo relevantno tijelo dotične treće zemlje, koje protiv toga nije podnijelo prigovor.

2.   Ne dovodeći u pitanje nadležnosti institucija Unije i država članica, za potrebe stavka 1. EBA, ESMA ili EIOPA sklapaju aranžmane za administrativnu suradnju s relevantnim tijelom treće zemlje kako bi glavno nadzorno tijelo i tim koji je ono odredilo za misiju u toj trećoj zemlji mogli neometano provoditi inspekcijski nadzor u dotičnoj trećoj zemlji. Tim aranžmanima za suradnju ne stvaraju se pravne obveze u odnosu na Uniju i njezine države članice niti se sprečava države članice i njihova nadležna tijela da sklapaju bilateralne ili multilateralne aranžmane s tim trećim zemljama i njihovim relevantnim tijelima.

Tim aranžmanima za suradnju utvrđuju se barem sljedeći elementi:

| (a) | postupci za koordinaciju aktivnosti nadzora koje se provode na temelju ove Uredbe i svako slično praćenje IKT rizika povezanog s trećim stranama u financijskom sektoru koje provodi relevantno tijelo dotične treće zemlje, uključujući pojedinosti o njegovu davanju suglasnosti kojom se glavnom nadzornom tijelu i timu koji je ono odredilo omogućuje da provode opće istrage i izravni inspekcijski nadzor iz stavka 1. prvog podstavka na državnom području pod njegovom nadležnošću; |
| --- | --- |

(a)

postupci za koordinaciju aktivnosti nadzora koje se provode na temelju ove Uredbe i svako slično praćenje IKT rizika povezanog s trećim stranama u financijskom sektoru koje provodi relevantno tijelo dotične treće zemlje, uključujući pojedinosti o njegovu davanju suglasnosti kojom se glavnom nadzornom tijelu i timu koji je ono odredilo omogućuje da provode opće istrage i izravni inspekcijski nadzor iz stavka 1. prvog podstavka na državnom području pod njegovom nadležnošću;

| (b) | mehanizam za prenošenje svih relevantnih informacija između EBA-e, ESMA-e ili EIOPA-e i relevantnog tijela dotične treće zemlje, posebno u vezi s informacijama koje glavno nadzorno tijelo može zatražiti na temelju članka 37.; |
| --- | --- |

(b)

mehanizam za prenošenje svih relevantnih informacija između EBA-e, ESMA-e ili EIOPA-e i relevantnog tijela dotične treće zemlje, posebno u vezi s informacijama koje glavno nadzorno tijelo može zatražiti na temelju članka 37.;

| (c) | mehanizmi kojima relevantno tijelo dotične treće zemlje odmah obavješćuje EBA-u, ESMA-u ili EIOPA-u o slučajevima u kojima se smatra da je treća strana pružatelj IKT usluga s poslovnim nastanom u trećoj zemlji koja je u skladu s člankom 31. stavkom 1. točkom (a) imenovana kao ključna prekršila zahtjeve koje je na temelju mjerodavnog prava dotične treće zemlje obvezna poštovati pri pružanju usluga financijskim institucijama u toj trećoj zemlji, kao i o primijenjenim korektivnim mjerama i sankcijama; |
| --- | --- |

(c)

mehanizmi kojima relevantno tijelo dotične treće zemlje odmah obavješćuje EBA-u, ESMA-u ili EIOPA-u o slučajevima u kojima se smatra da je treća strana pružatelj IKT usluga s poslovnim nastanom u trećoj zemlji koja je u skladu s člankom 31. stavkom 1. točkom (a) imenovana kao ključna prekršila zahtjeve koje je na temelju mjerodavnog prava dotične treće zemlje obvezna poštovati pri pružanju usluga financijskim institucijama u toj trećoj zemlji, kao i o primijenjenim korektivnim mjerama i sankcijama;

| (d) | redovito prenošenje ažuriranih informacija o promjenama u području regulative i nadzora u vezi s praćenjem IKT rizika povezanog s trećim stranama za financijske institucije u dotičnoj trećoj zemlji; |
| --- | --- |

(d)

redovito prenošenje ažuriranih informacija o promjenama u području regulative i nadzora u vezi s praćenjem IKT rizika povezanog s trećim stranama za financijske institucije u dotičnoj trećoj zemlji;

| (e) | pojedinosti o omogućavanju sudjelovanja, ako je to potrebno, jednog predstavnika relevantnog tijela treće zemlje u inspekcijskom nadzoru koji provode glavno nadzorno tijelo i tim koji je ono odredilo. |
| --- | --- |

(e)

pojedinosti o omogućavanju sudjelovanja, ako je to potrebno, jednog predstavnika relevantnog tijela treće zemlje u inspekcijskom nadzoru koji provode glavno nadzorno tijelo i tim koji je ono odredilo.

3.   Ako glavno nadzorno tijelo ne može provoditi aktivnosti nadzora iz stavaka 1. i 2. izvan Unije, ono:

| (a) | izvršava svoje ovlasti na temelju članka 35. na osnovi svih činjenica i dokumenata koji su mu dostupni; |
| --- | --- |

(a)

izvršava svoje ovlasti na temelju članka 35. na osnovi svih činjenica i dokumenata koji su mu dostupni;

| (b) | dokumentira i objašnjava sve posljedice svoje nemogućnosti provođenja predviđenih aktivnosti nadzora kako je navedeno u ovom članku. |
| --- | --- |

(b)

dokumentira i objašnjava sve posljedice svoje nemogućnosti provođenja predviđenih aktivnosti nadzora kako je navedeno u ovom članku.

Moguće posljedice iz točke (b) ovog stavka uzimaju se u obzir u preporukama glavnog nadzornog tijela izdanima na temelju članka 35. stavka 1. točke (d).

Članak 37.

Zahtjev za informacije

1.   Glavno nadzorno tijelo može putem običnog zahtjeva ili odluke zatražiti da ključne treće strane pružatelji IKT usluga dostave sve informacije koje su glavnom nadzornom tijelu potrebne za izvršavanje njegovih zadaća na temelju ove Uredbe, uključujući sve relevantne poslovne ili operativne dokumente, ugovore, politike, dokumentaciju, izvješća o reviziji IKT sigurnosti, izvješća o IKT incidentima te sve informacije o stranama kojima je ključna treća strana pružatelj IKT usluga eksternalizirala operativne funkcije ili aktivnosti.

2.   Pri slanju običnog zahtjeva za informacije iz stavka 1. glavno nadzorno tijelo:

| (a) | upućuje na ovaj članak kao pravnu osnovu za zahtjev; |
| --- | --- |

(a)

upućuje na ovaj članak kao pravnu osnovu za zahtjev;

| (b) | navodi svrhu zahtjeva; |
| --- | --- |

(b)

navodi svrhu zahtjeva;

| (c) | navodi koje se informacije traže; |
| --- | --- |

(c)

navodi koje se informacije traže;

| (d) | utvrđuje rok za dostavu informacija; |
| --- | --- |

(d)

utvrđuje rok za dostavu informacija;

| (e) | obavješćuje predstavnika ključne treće strane pružatelja IKT usluga od koje se traže informacije da nije dužan dostaviti informacije, ali da u slučaju dobrovoljnog odgovora na zahtjev dostavljene informacije ne smiju biti netočne ili obmanjujuće. |
| --- | --- |

(e)

obavješćuje predstavnika ključne treće strane pružatelja IKT usluga od koje se traže informacije da nije dužan dostaviti informacije, ali da u slučaju dobrovoljnog odgovora na zahtjev dostavljene informacije ne smiju biti netočne ili obmanjujuće.

3.   Kad odlukom iz stavka 1. zahtijeva dostavu informacija, glavno nadzorno tijelo:

| (a) | upućuje na ovaj članak kao pravnu osnovu za zahtjev; |
| --- | --- |

(a)

upućuje na ovaj članak kao pravnu osnovu za zahtjev;

| (b) | navodi svrhu zahtjeva; |
| --- | --- |

(b)

navodi svrhu zahtjeva;

| (c) | navodi koje se informacije traže; |
| --- | --- |

(c)

navodi koje se informacije traže;

| (d) | utvrđuje rok za dostavu informacija; |
| --- | --- |

(d)

utvrđuje rok za dostavu informacija;

| (e) | navodi periodične novčane kazne predviđene u članku 35. stavku 6. ako su dostavljene tražene informacije nepotpune ili ako takve informacije nisu dostavljene u roku iz točke (d) ovog stavka; |
| --- | --- |

(e)

navodi periodične novčane kazne predviđene u članku 35. stavku 6. ako su dostavljene tražene informacije nepotpune ili ako takve informacije nisu dostavljene u roku iz točke (d) ovog stavka;

| (f) | upućuje na pravo na podnošenje žalbe protiv odluke Odboru za žalbe europskih nadzornih tijela i pravo na preispitivanje te odluke u postupku pred Sudom Europske unije („Sud”) u skladu s člancima 60. i 61. uredbi (EU) br. 1093/2010, (EU) br. 1094/2010 i (EU) br. 1095/2010. |
| --- | --- |

(f)

upućuje na pravo na podnošenje žalbe protiv odluke Odboru za žalbe europskih nadzornih tijela i pravo na preispitivanje te odluke u postupku pred Sudom Europske unije („Sud”) u skladu s člancima 60. i 61. uredbi (EU) br. 1093/2010, (EU) br. 1094/2010 i (EU) br. 1095/2010.

4.   Predstavnici ključnih trećih strana pružatelja IKT usluga dostavljaju tražene informacije. Propisno ovlašteni odvjetnici mogu dostaviti informacije u ime svojih klijenata. Ključna treća strana pružatelj IKT usluga ostaje u potpunosti odgovorna ako su dostavljene informacije nepotpune, netočne ili obmanjujuće.

5.   Glavno nadzorno tijelo nadležnim tijelima zaduženima za financijske subjekte koji se koriste uslugama dotične ključne treće strane pružatelja IKT usluga i Zajedničkoj nadzornoj mreži bez odgode dostavlja primjerak odluke kojom se zahtijeva dostava informacija.

Članak 38.

Opće istrage

1.   Radi izvršavanja svojih zadaća na temelju ove Uredbe, glavno nadzorno tijelo uz pomoć zajedničkog tima za provjeru iz članka 40. stavka 1. može prema potrebi provoditi istrage ključnih trećih strana pružatelja IKT usluga.

2.   Glavno nadzorno tijelo ovlašteno je:

| (a) | pregledavati evidenciju, podatke, postupke i sve ostale materijale relevantne za obavljanje svojih zadaća, neovisno o tome na kojem su mediju pohranjeni; |
| --- | --- |

(a)

pregledavati evidenciju, podatke, postupke i sve ostale materijale relevantne za obavljanje svojih zadaća, neovisno o tome na kojem su mediju pohranjeni;

| (b) | izraditi ili pribaviti ovjerene preslike ili izvatke iz te evidencije, podataka, dokumentiranih postupaka i svih ostalih materijala; |
| --- | --- |

(b)

izraditi ili pribaviti ovjerene preslike ili izvatke iz te evidencije, podataka, dokumentiranih postupaka i svih ostalih materijala;

| (c) | pozvati predstavnike ključne treće strane pružatelja IKT usluga da daju usmena ili pisana objašnjenja o činjenicama ili dokumente koji se odnose na predmet i svrhu istrage te zabilježiti odgovore; |
| --- | --- |

(c)

pozvati predstavnike ključne treće strane pružatelja IKT usluga da daju usmena ili pisana objašnjenja o činjenicama ili dokumente koji se odnose na predmet i svrhu istrage te zabilježiti odgovore;

| (d) | obaviti razgovor sa svakom fizičkom ili pravnom osobom koja pristane na razgovor radi prikupljanja informacija koje se odnose na predmet istrage; |
| --- | --- |

(d)

obaviti razgovor sa svakom fizičkom ili pravnom osobom koja pristane na razgovor radi prikupljanja informacija koje se odnose na predmet istrage;

| (e) | zatražiti evidenciju telefonskih razgovora i podatkovnog prometa. |
| --- | --- |

(e)

zatražiti evidenciju telefonskih razgovora i podatkovnog prometa.

3.   Službenici i druge osobe koje glavno nadzorno tijelo ovlasti za potrebe istrage iz stavka 1. izvršavaju svoje ovlasti uz predočenje pisanog ovlaštenja u kojem se navode predmet i svrha istrage.

U tom se ovlaštenju navode i periodične novčane kazne predviđene u članku 35. stavku 6. ako tražena evidencija, podatci, dokumentirani postupci ili bilo koji drugi materijal ili odgovori na pitanja postavljena predstavnicima treće strane pružatelja IKT usluga nisu dostavljeni ili su nepotpuni.

4.   Predstavnici ključnih trećih strana pružatelja IKT usluga moraju pristati na istrage koje se pokrenu na temelju odluke glavnog nadzornog tijela. U odluci se navode predmet i svrha istrage, periodične novčane kazne predviđene u članku 35. stavku 6., pravni lijekovi dostupni na temelju uredbi (EU) br. 1093/2010, (EU) br. 1094/2010 i (EU) br. 1095/2010 te pravo na preispitivanje odluke pred Sudom.

5.   Pravodobno prije početka istrage glavno nadzorno tijelo obavješćuje nadležna tijela zadužena za financijske subjekte koji se koriste IKT uslugama te ključne treće strane pružatelja IKT usluga o predviđenoj istrazi i identitetu ovlaštenih osoba.

Glavno nadzorno tijelo dostavlja Zajedničkoj nadzornoj mreži sve informacije primljene na temelju prvog podstavka.

Članak 39.

Inspekcijski nadzor

1.   Radi izvršavanja svojih zadaća na temelju ove Uredbe glavno nadzorno tijelo uz pomoć zajedničkih timova za provjeru iz članka 40. stavka 1. može ulaziti u sve poslovne prostore, na zemljišta ili u nekretnine trećih strana pružatelja IKT usluga, kao što su registrirana sjedišta, operativni centri, sekundarni poslovni prostori, i u njima provoditi sav potreban izravni, ali i neizravni inspekcijski nadzor.

Za potrebe izvršavanja ovlasti iz prvog podstavka glavno nadzorno tijelo savjetuje se sa Zajedničkom nadzornom mrežom.

2.   Službenici i druge osobe koje je glavno nadzorno tijelo ovlastilo za provođenje izravnog inspekcijskog nadzora ovlaštene su:

| (a) | ulaziti u sve takve poslovne prostore, na zemljišta ili u nekretnine; i |
| --- | --- |

(a)

ulaziti u sve takve poslovne prostore, na zemljišta ili u nekretnine; i

| (b) | zapečatiti sve takve poslovne prostore, knjige ili evidenciju, tijekom inspekcijskog nadzora i u mjeri u kojoj je to potrebno za inspekcijski nadzor. |
| --- | --- |

(b)

zapečatiti sve takve poslovne prostore, knjige ili evidenciju, tijekom inspekcijskog nadzora i u mjeri u kojoj je to potrebno za inspekcijski nadzor.

Službenici i druge osobe koje je ovlastilo glavno nadzorno tijelo izvršavaju svoje ovlasti uz predočenje pisanog ovlaštenja u kojem se navode predmet i svrha inspekcijskog nadzora te periodične novčane kazne predviđene u članku 35. stavku 6. ako predstavnici dotične ključne treće strane pružatelja IKT usluga ne pristanu na inspekcijski nadzor.

3.   Pravodobno prije početka inspekcijskog nadzora glavno nadzorno tijelo o tome obavješćuje nadležna tijela zadužena za financijske subjekte koji se koriste uslugama te treće strane pružatelja IKT usluga.

4.   Inspekcijski nadzor obuhvaća cijeli dijapazon relevantnih IKT sustava, mreže, uređaje, informacije i podatke koji se koriste za pružanje IKT usluga financijskim subjektima ili mu doprinose.

5.   Prije planiranog izravnog inspekcijskog nadzora glavno nadzorno tijelo u razumnom roku o tome obavješćuje ključne treće strane pružatelje IKT usluga, osim ako slanje obavijesti u tom roku nije moguće zbog hitne ili krizne situacije ili ako bi slanje obavijesti dovelo do situacije u kojoj inspekcijski nadzor ili revizija više ne bi bili djelotvorni.

6.   Ključna treća strana pružatelj IKT usluga mora pristati na izravni inspekcijski nadzor naložen odlukom glavnog nadzornog tijela. U odluci se navode predmet i svrha inspekcijskog nadzora, određuje datum početka inspekcijskog nadzora te se navode periodične novčane kazne predviđene u članku 35. stavku 6., pravni lijekovi dostupni na temelju uredbi (EU) br. 1093/2010, (EU) br. 1094/2010 i (EU) br. 1095/2010, kao i pravo na preispitivanje odluke pred Sudom.

7.   Ako službenici i druge osobe koje je ovlastilo glavno nadzorno tijelo utvrde da se ključna treća strana pružatelj IKT usluga protivi inspekcijskom nadzoru naloženom na temelju ovog članka, glavno nadzorno tijelo obavješćuje ključnu treću stranu pružatelja IKT usluga o posljedicama takvog protivljenja, među ostalim i o mogućnosti da nadležna tijela zadužena za relevantne financijske subjekte od financijskih subjekata zatraže da raskinu ugovorne aranžmane sklopljene s tom ključnom trećom stranom pružateljem IKT usluga.

Članak 40.

Kontinuirani nadzor

1.   U provedbi aktivnosti nadzora, osobito općih istraga ili inspekcijskog nadzora, glavnom nadzornom tijelu pomaže zajednički tim za provjeru koji se osniva za svaku ključnu treću stranu pružatelja IKT usluga.

2.   Zajednički tim za provjeru iz stavka 1. čine članovi osoblja iz:

| (a) | europskih nadzornih tijela; |
| --- | --- |

(a)

europskih nadzornih tijela;

| (b) | relevantnih nadležnih tijela koja nadziru financijske subjekte kojima ključna treća strana pružatelj IKT usluga pruža IKT usluge; |
| --- | --- |

(b)

relevantnih nadležnih tijela koja nadziru financijske subjekte kojima ključna treća strana pružatelj IKT usluga pruža IKT usluge;

| (c) | nacionalnog nadležnog tijela iz članka 32. stavka 4. točke (e), na dobrovoljnoj osnovi; |
| --- | --- |

(c)

nacionalnog nadležnog tijela iz članka 32. stavka 4. točke (e), na dobrovoljnoj osnovi;

| (d) | jednog nacionalnog nadležnog tijela iz države članice u kojoj ključna treća strana pružatelj IKT usluga ima poslovni nastan, na dobrovoljnoj osnovi. |
| --- | --- |

(d)

jednog nacionalnog nadležnog tijela iz države članice u kojoj ključna treća strana pružatelj IKT usluga ima poslovni nastan, na dobrovoljnoj osnovi.

Članovi zajedničkog tima za provjeru moraju imati stručno znanje iz područja IKT-a i operativnih rizika. Rad zajedničkog tima za provjeru koordinira član osoblja glavnog nadzornog tijela koji se za to odredi („koordinator glavnog nadzornog tijela”).

3.   U roku od tri mjeseca od završetka istrage ili inspekcijskog nadzora, a nakon savjetovanja s Nadzornim forumom, glavno nadzorno tijelo donosi preporuke koje upućuje ključnoj trećoj strani pružatelju IKT usluga na temelju svojih ovlasti iz članka 35.

4.   Preporuke iz stavka 3. odmah se dostavljaju ključnoj trećoj strani pružatelju IKT usluga i nadležnim tijelima zaduženima za financijske subjekte kojima ona pruža IKT usluge.

Za potrebe izvršavanja aktivnosti nadzora glavno nadzorno tijelo može uzeti u obzir sve relevantne certifikate treće strane i izvješća unutarnjih ili vanjskih revizora o trećoj strani pružatelju IKT usluga koje im na raspolaganje stavi ključna treća strana pružatelj IKT usluga.

Članak 41.

Usklađivanje uvjeta koji omogućuju provedbu aktivnosti nadzora

1.   Europska nadzorna tijela u okviru Zajedničkog odbora izrađuju nacrt regulatornih tehničkih standarda kako bi pobliže opisala:

| (a) | informacije koje treća strana pružatelj IKT usluga mora dostaviti u dobrovoljno upućenom zahtjevu da je se u skladu s člankom 31. stavkom 11. imenuje kao ključnu; |
| --- | --- |

(a)

informacije koje treća strana pružatelj IKT usluga mora dostaviti u dobrovoljno upućenom zahtjevu da je se u skladu s člankom 31. stavkom 11. imenuje kao ključnu;

| (b) | sadržaj, strukturu i format informacija koje moraju dostaviti, objaviti ili o kojima moraju izvijestiti treće strane pružatelji IKT usluga na temelju članka 35. stavka 1., uključujući predložak za dostavljanje informacija o podugovornim aranžmanima; |
| --- | --- |

(b)

sadržaj, strukturu i format informacija koje moraju dostaviti, objaviti ili o kojima moraju izvijestiti treće strane pružatelji IKT usluga na temelju članka 35. stavka 1., uključujući predložak za dostavljanje informacija o podugovornim aranžmanima;

| (c) | kriterije za utvrđivanje sastava zajedničkog tima za provjeru kojima se osigurava uravnoteženo sudjelovanje članova osoblja europskih nadzornih tijela i osoblja relevantnih nadležnih tijela, te za utvrđivanje njihova imenovanja, zadaća i načina rada; |
| --- | --- |

(c)

kriterije za utvrđivanje sastava zajedničkog tima za provjeru kojima se osigurava uravnoteženo sudjelovanje članova osoblja europskih nadzornih tijela i osoblja relevantnih nadležnih tijela, te za utvrđivanje njihova imenovanja, zadaća i načina rada;

| (d) | pojedinosti o procjeni nadležnih tijela u pogledu mjera koje je ključna treća strana pružatelj IKT usluga poduzela na osnovi preporuka glavnog nadzornog tijela na temelju članka 42. stavka 3. |
| --- | --- |

(d)

pojedinosti o procjeni nadležnih tijela u pogledu mjera koje je ključna treća strana pružatelj IKT usluga poduzela na osnovi preporuka glavnog nadzornog tijela na temelju članka 42. stavka 3.

2.   Europska nadzorna tijela taj nacrt regulatornih tehničkih standarda dostavljaju Komisiji do 17. srpnja 2024.

Komisiji se dodjeljuje ovlast za dopunjavanje ove Uredbe donošenjem regulatornih tehničkih standarda iz stavka 1. u skladu s postupkom utvrđenim u člancima od 10. do 14. uredbi (EU) br. 1093/2010, (EU) br. 1094/2010 i (EU) br. 1095/2010.

Članak 42.

Daljnje mjere nadležnih tijela

1.   U roku od 60 kalendarskih dana od primitka preporuka koje je glavno nadzorno tijelo izdalo na temelju članka 35. stavka 1. točke (d) ključne treće strane pružatelji IKT usluga ili obavješćuju glavno nadzorno tijelo o svojoj namjeri da slijede preporuke ili dostavljaju obrazloženo objašnjenje u kojem navode zašto neće slijediti te preporuke. Glavno nadzorno tijelo odmah te informacije prosljeđuju nadležnim tijelima zaduženima za dotične financijske subjekte.

2.   Glavno nadzorno tijelo javno obavješćuje o slučajevima u kojima ga ključna treća strana pružatelj IKT usluga ne obavijesti u skladu sa stavkom 1. ili u kojima se objašnjenje koje je dostavila ključna treća strana pružatelj IKT usluga ne smatra dostatnim. U objavljenim informacijama otkriva se identitet ključne treće strane pružatelja IKT usluga te se navode informacije o vrsti i prirodi neusklađenosti. Takve su informacije ograničene na ono što je relevantno i razmjerno u svrhu osiguravanja javne osviještenosti, osim ako bi takvo objavljivanje uzrokovalo nerazmjernu štetu uključenim stranama ili bi moglo ozbiljno ugroziti uredno funkcioniranje i cjelovitost financijskih tržišta ili stabilnost cijelog financijskog sustava Unije ili njegova dijela.

Glavno nadzorno tijelo obavješćuje treću stranu pružatelja IKT usluga o toj objavi.

3.   Nadležna tijela obavješćuju relevantne financijske subjekte o rizicima utvrđenima u preporukama upućenima ključnim trećim stranama pružateljima IKT usluga u skladu s člankom 35. stavkom 1. točkom (d).

Pri upravljanju IKT rizikom povezanim s trećim stranama financijski subjekti uzimaju u obzir rizike navedene u prvom podstavku.

4.   Ako nadležno tijelo smatra da financijski subjekt u okviru svojeg upravljanja IKT rizikom povezanim s trećim stranama ne uzima u obzir konkretne rizike utvrđene u preporukama ili se u dostatnoj mjeri ne nosi s tim rizicima, ono obavješćuje financijski subjekt o mogućnosti da u roku od 60 kalendarskih dana od primitka takve obavijesti, ako ne postoje odgovarajući ugovorni aranžmani čiji je cilj nošenje s takvim rizicima, donese odluku na temelju stavka 6.

5.   Nakon primitka izvješća iz članka 35. stavka 1. točke (c) i prije donošenja odluke iz stavka 6. ovog članka nadležna tijela mogu se na dobrovoljnoj osnovi savjetovati s nadležnim tijelima imenovanima ili uspostavljenima u skladu s Direktivom (EU) 2022/2555 koja su odgovorna za nadzor nad ključnim ili važnim subjektom koji podliježe toj direktivi i koji je imenovan ključnom trećom stranom pružateljem IKT usluga.

6.   Nadležna tijela, kao krajnju mjeru nakon obavijesti i, ako je to primjereno, nakon savjetovanja iz stavaka 4. i 5. ovog članka, mogu u skladu s člankom 50. donijeti odluku kojom se od financijskih subjekata zahtijeva da djelomično ili u cijelosti privremeno suspendiraju korištenje ili uvođenje usluge koju im pruža ključna treća strana pružatelj IKT usluga dok se ne uklone rizici utvrđeni u preporukama upućenima ključnim trećim stranama pružateljima IKT usluga. Prema potrebi, nadležna tijela mogu od financijskih subjekata zatražiti da raskinu, djelomično ili u cijelosti, relevantne ugovorne aranžmane sklopljene s ključnim trećim stranama pružateljima IKT usluga.

7.   Ako ključna treća strana pružatelj IKT usluga odbije prihvatiti preporuke time što zauzme drukčiji pristup od pristupa koji je savjetovalo glavno nadzorno tijelo, a takav drukčiji pristup može negativno utjecati na velik broj financijskih subjekata ili na znatan dio financijskog sektora, pri čemu pojedinačna upozorenja koja su izdala nadležna tijela nisu rezultirala dosljednim pristupima kojima se ublažava potencijalni rizika za financijsku stabilnost, glavno nadzorno tijelo može, prema potrebi i nakon savjetovanja s Nadzornim forumom, nadležnim tijelima izdati neobvezujuća mišljenja koja nisu javna radi promicanja dosljednih i konvergentnih daljnjih nadzornih mjera.

8.   Nakon primitka izvješća iz članka 35. stavka 1. točke (c) nadležna tijela pri donošenju odluke iz stavka 6. ovog članka uzimaju u obzir vrstu i razmjer rizika koji ključna treća strana pružatelj IKT usluga nije uklonila te ozbiljnost neusklađenosti, vodeći računa o sljedećim kriterijima:

| (a) | ozbiljnosti i trajanju neusklađenosti; |
| --- | --- |

(a)

ozbiljnosti i trajanju neusklađenosti;

| (b) | je li neusklađenost ukazala na ozbiljne nedostatke u postupcima, sustavima upravljanja, upravljanju rizicima i unutarnjim kontrolama ključne treće strane pružatelja IKT usluga; |
| --- | --- |

(b)

je li neusklađenost ukazala na ozbiljne nedostatke u postupcima, sustavima upravljanja, upravljanju rizicima i unutarnjim kontrolama ključne treće strane pružatelja IKT usluga;

| (c) | je li neusklađenost olakšala ili prouzročila financijska kaznena djela ili se na neki drugi način može povezati s takvim djelima; |
| --- | --- |

(c)

je li neusklađenost olakšala ili prouzročila financijska kaznena djela ili se na neki drugi način može povezati s takvim djelima;

| (d) | je li neusklađenost počinjena namjerno ili iz nepažnje; |
| --- | --- |

(d)

je li neusklađenost počinjena namjerno ili iz nepažnje;

| (e) | stvara li suspenzija ili raskid ugovornih aranžmana rizik za kontinuitet poslovanja financijskog subjekta neovisno o nastojanjima financijskog subjekta da izbjegne poremećaje u pružanju svojih usluga; |
| --- | --- |

(e)

stvara li suspenzija ili raskid ugovornih aranžmana rizik za kontinuitet poslovanja financijskog subjekta neovisno o nastojanjima financijskog subjekta da izbjegne poremećaje u pružanju svojih usluga;

| (f) | ako je to primjenjivo, mišljenju zatraženom na dobrovoljnoj osnovi u skladu s člankom 5. ovog članka koje su izdala nadležna tijela imenovana ili uspostavljena u skladu s Direktivom (EU) 2022/2555 koja su odgovorna za nadzor nad ključnim ili važnim subjektom koji podliježe toj direktivi i koji je imenovan ključnom trećom stranom pružateljem IKT usluga. |
| --- | --- |

(f)

ako je to primjenjivo, mišljenju zatraženom na dobrovoljnoj osnovi u skladu s člankom 5. ovog članka koje su izdala nadležna tijela imenovana ili uspostavljena u skladu s Direktivom (EU) 2022/2555 koja su odgovorna za nadzor nad ključnim ili važnim subjektom koji podliježe toj direktivi i koji je imenovan ključnom trećom stranom pružateljem IKT usluga.

Nadležna tijela financijskim subjektima omogućuju potrebno vrijeme za prilagodbu ugovornih aranžmana s ključnim trećim stranama pružateljima IKT usluga kako bi se izbjegli štetni učinci na njihovu digitalnu operativnu otpornost i kako bi im se omogućilo da uvedu izlazne strategije i tranzicijske planove iz članka 28.

9.   O odluci iz stavka 6. ovog članka obavješćuju se članovi Nadzornog foruma iz članka 32. stavka 4. točaka (a), (b) i (c) i Zajednička nadzorna mreža.

Ključne treće strane pružatelji IKT usluga na koje utječu odluke iz stavka 6. u potpunosti surađuju s pogođenim financijskim subjektima, posebno u kontekstu procesa suspenzije ili raskida njihovih ugovornih aranžmana.

10.   Nadležna tijela redovito informiraju glavno nadzorno tijelo o pristupima i mjerama koje su poduzela u okviru svojih nadzornih zadaća u pogledu financijskih subjekata te o ugovornim aranžmanima koje su sklopili financijski subjekti ako ključne treće strane pružatelji IKT usluga nisu djelomično ili u cijelosti prihvatili preporuke koje im je uputilo glavno nadzorno tijelo.

11.   Glavno nadzorno tijelo može na zahtjev pružiti dodatna pojašnjenja o preporukama izdanima radi usmjeravanja nadležnih tijela u pogledu daljnjih mjera.

Članak 43.

Naknade za nadzor

1.   Glavno nadzorno tijelo, u skladu s delegiranim aktom iz stavka 2. ovog članka, obračunava ključnim trećim stranama pružateljima IKT usluga naknade koje u potpunosti pokrivaju rashode glavnog nadzornog tijela potrebne za provedbu nadzornih zadaća na temelju ove Uredbe, uključujući povrat troškova koji mogu nastati kao rezultat rada zajedničkog tima za provjeru iz članka 40. kao i troškova savjeta koje su dali neovisni stručnjaci iz članka 32. stavka 4. drugog podstavka u vezi s pitanjima koja su obuhvaćena aktivnostima izravnog nadzora.

Iznos naknade koja se obračunava ključnoj trećoj strani pružatelju IKT usluga pokriva sve troškove koji proizlaze iz izvršavanja zadaća utvrđenih u ovom odjeljku i razmjeran je prometu te treće strane pružatelja IKT usluga.

2.   Komisija je ovlaštena za donošenje delegiranog akta u skladu s člankom 57. radi dopunjavanja ove Uredbe utvrđivanjem iznosa naknada i načina njihova plaćanja do 17. srpnja 2024.

Članak 44.

Međunarodna suradnja

1.   Ne dovodeći u pitanje članak 36., EBA, ESMA i EIOPA mogu, u skladu s člankom 33. uredbi (EU) br. 1093/2010, (EU) br. 1095/2010 odnosno (EU) br. 1094/2010, sklapati administrativne dogovore s regulatornim i nadzornim tijelima trećih zemalja kako bi se potaknula međunarodna suradnja u različitim financijskim sektorima u području IKT rizika povezanog s trećim stranama, osobito razvojem najboljih primjera iz prakse za preispitivanje prakse i kontrola upravljanja IKT rizicima, mjera za ublažavanje i odgovora na incidente.

2.   Europska nadzorna tijela u okviru Zajedničkog odbora podnose svakih pet godina Europskom parlamentu, Vijeću i Komisiji zajedničko povjerljivo izvješće sa sažetkom nalaza relevantnih rasprava s tijelima trećih zemalja iz stavka 1., čije je težište na promjenama IKT rizika povezanog s trećim stranama i posljedicama za financijsku stabilnost, cjelovitost tržišta, zaštitu ulagatelja i funkcioniranje unutarnjeg tržišta.

POGLAVLJE VI.

Aranžmani za razmjenu informacija

Članak 45.

Aranžmani za razmjenu informacija i saznanja o kiberprijetnjama

1.   Financijski subjekti mogu međusobno razmjenjivati informacije i saznanja o kiberprijetnjama, uključujući pokazatelje ugroženosti, taktike, tehnike i postupke, kibersigurnosna upozorenja i konfiguracijske alate, u mjeri u kojoj takva razmjena informacija i saznanja:

| (a) | ima za cilj poboljšanje digitalne operativne otpornosti financijskih subjekata, osobito podizanjem svijesti u vezi s kiberprijetnjama, ograničavanjem ili sprečavanjem mogućnosti širenja kiberprijetnji, potporom obrambenim sposobnostima, tehnikama otkrivanja prijetnji, strategijama ublažavanja ili fazama odgovora i oporavka; |
| --- | --- |

(a)

ima za cilj poboljšanje digitalne operativne otpornosti financijskih subjekata, osobito podizanjem svijesti u vezi s kiberprijetnjama, ograničavanjem ili sprečavanjem mogućnosti širenja kiberprijetnji, potporom obrambenim sposobnostima, tehnikama otkrivanja prijetnji, strategijama ublažavanja ili fazama odgovora i oporavka;

| (b) | odvija se u okviru pouzdanih zajednica financijskih subjekata; |
| --- | --- |

(b)

odvija se u okviru pouzdanih zajednica financijskih subjekata;

| (c) | provodi se s pomoću aranžmana za razmjenu informacija kojima se štiti potencijalno osjetljiva priroda informacija koje se razmjenjuju i koji su uređeni pravilima poslovnog ponašanja kojima se u potpunosti poštuju poslovna tajna, zaštita osobnih podataka u skladu s Uredbom (EU) 2016/679 i smjernice o politici tržišnog natjecanja. |
| --- | --- |

(c)

provodi se s pomoću aranžmana za razmjenu informacija kojima se štiti potencijalno osjetljiva priroda informacija koje se razmjenjuju i koji su uređeni pravilima poslovnog ponašanja kojima se u potpunosti poštuju poslovna tajna, zaštita osobnih podataka u skladu s Uredbom (EU) 2016/679 i smjernice o politici tržišnog natjecanja.

2.   Za potrebe stavka 1. točke (c) u aranžmanima za razmjenu informacija utvrđuju se uvjeti sudjelovanja te prema potrebi pojedinosti o sudjelovanju tijela javne vlasti i svojstvu u kojem se ta tijela mogu pridružiti aranžmanima za razmjenu informacija, o sudjelovanju trećih strana pružatelja IKT usluga te o operativnim elementima, uključujući upotrebu namjenskih IT platformi.

3.   Financijski subjekti obavješćuju nadležna tijela o svojem sudjelovanju u aranžmanima za razmjenu informacija iz stavka 1. nakon što se potvrdi njihovo članstvo ili, ovisno o slučaju, nakon prestanka njihova članstva, kad prestanak članstva počne proizvoditi učinke.

POGLAVLJE VII.

Nadležna tijela

Članak 46.

Nadležna tijela

Ne dovodeći u pitanje odredbe o nadzornom okviru za ključne treće strane pružatelje IKT usluga iz poglavlja V. odjeljka II. ove Uredbe, usklađenost s ovom Uredbom osiguravaju sljedeća nadležna tijela u skladu s ovlastima koje su im dodijeljene odgovarajućim pravnim aktima:

| (a) | za kreditne institucije i za institucije izuzete na temelju Direktive 2013/36/EU, nadležno tijelo imenovano u skladu s člankom 4. te direktive, a za kreditne institucije klasificirane kao značajne u skladu s člankom 6. stavkom 4. Uredbe (EU) br. 1024/2013, ESB u skladu s ovlastima i zadaćama koje su mu dodijeljene tom uredbom; |
| --- | --- |

(a)

za kreditne institucije i za institucije izuzete na temelju Direktive 2013/36/EU, nadležno tijelo imenovano u skladu s člankom 4. te direktive, a za kreditne institucije klasificirane kao značajne u skladu s člankom 6. stavkom 4. Uredbe (EU) br. 1024/2013, ESB u skladu s ovlastima i zadaćama koje su mu dodijeljene tom uredbom;

| (b) | za institucije za platni promet, uključujući institucije za platni promet izuzete na temelju Direktive (EU) 2015/2366, institucije za elektronički novac, uključujući one izuzete na temelju Direktive 2009/110/EZ, te za pružatelje usluga pružanja informacija o računu iz članka 33. stavka 1. Direktive (EU) 2015/2366, nadležno tijelo imenovano u skladu s člankom 22. Direktive (EU) 2015/2366; |
| --- | --- |

(b)

za institucije za platni promet, uključujući institucije za platni promet izuzete na temelju Direktive (EU) 2015/2366, institucije za elektronički novac, uključujući one izuzete na temelju Direktive 2009/110/EZ, te za pružatelje usluga pružanja informacija o računu iz članka 33. stavka 1. Direktive (EU) 2015/2366, nadležno tijelo imenovano u skladu s člankom 22. Direktive (EU) 2015/2366;

| (c) | za investicijska društva, nadležno tijelo imenovano u skladu s člankom 4. Direktive (EU) 2019/2034 Europskog parlamenta i Vijeća (38); |
| --- | --- |

(c)

za investicijska društva, nadležno tijelo imenovano u skladu s člankom 4. Direktive (EU) 2019/2034 Europskog parlamenta i Vijeća (38);

38

| (d) | za pružatelje usluga povezanih s kriptoimovinom koji imaju odobrenje za rad na temelju Uredbe o tržištima kriptoimovine i izdavatelje tokena vezanih uz imovinu, nadležno tijelo imenovano u skladu s relevantnom odredbom te uredbe; |
| --- | --- |

(d)

za pružatelje usluga povezanih s kriptoimovinom koji imaju odobrenje za rad na temelju Uredbe o tržištima kriptoimovine i izdavatelje tokena vezanih uz imovinu, nadležno tijelo imenovano u skladu s relevantnom odredbom te uredbe;

| (e) | za središnje depozitorije vrijednosnih papira, nadležno tijelo imenovano u skladu s člankom 11. Uredbe (EU) br. 909/2014; |
| --- | --- |

(e)

za središnje depozitorije vrijednosnih papira, nadležno tijelo imenovano u skladu s člankom 11. Uredbe (EU) br. 909/2014;

| (f) | za središnje druge ugovorne strane, nadležno tijelo imenovano u skladu s člankom 22. Uredbe (EU) br. 648/2012; |
| --- | --- |

(f)

za središnje druge ugovorne strane, nadležno tijelo imenovano u skladu s člankom 22. Uredbe (EU) br. 648/2012;

| (g) | za mjesta trgovanja i pružatelje usluga dostave podataka, nadležno tijelo imenovano u skladu s člankom 67. Direktive 2014/65/EU i nadležno tijelo kako je definirano u članku 2. stavku 1. točki 18. Uredbe (EU) br. 600/2014; |
| --- | --- |

(g)

za mjesta trgovanja i pružatelje usluga dostave podataka, nadležno tijelo imenovano u skladu s člankom 67. Direktive 2014/65/EU i nadležno tijelo kako je definirano u članku 2. stavku 1. točki 18. Uredbe (EU) br. 600/2014;

| (h) | za trgovinske repozitorije, nadležno tijelo imenovano u skladu s člankom 22. Uredbe (EU) br. 648/2012; |
| --- | --- |

(h)

za trgovinske repozitorije, nadležno tijelo imenovano u skladu s člankom 22. Uredbe (EU) br. 648/2012;

| (i) | za upravitelje alternativnih investicijskih fondova, nadležno tijelo imenovano u skladu s člankom 44. Direktive 2011/61/EU; |
| --- | --- |

(i)

za upravitelje alternativnih investicijskih fondova, nadležno tijelo imenovano u skladu s člankom 44. Direktive 2011/61/EU;

| (j) | za društva za upravljanje, nadležno tijelo imenovano u skladu s člankom 97. Direktive 2009/65/EZ; |
| --- | --- |

(j)

za društva za upravljanje, nadležno tijelo imenovano u skladu s člankom 97. Direktive 2009/65/EZ;

| (k) | za društva za osiguranje i društva za reosiguranje, nadležno tijelo imenovano u skladu s člankom 30. Direktive 2009/138/EZ; |
| --- | --- |

(k)

za društva za osiguranje i društva za reosiguranje, nadležno tijelo imenovano u skladu s člankom 30. Direktive 2009/138/EZ;

| (l) | za posrednike u osiguranju, posrednike u reosiguranju i sporedne posrednike u osiguranju, nadležno tijelo imenovano u skladu s člankom 12. Direktive (EU) 2016/97; |
| --- | --- |

(l)

za posrednike u osiguranju, posrednike u reosiguranju i sporedne posrednike u osiguranju, nadležno tijelo imenovano u skladu s člankom 12. Direktive (EU) 2016/97;

| (m) | za institucije za strukovno mirovinsko osiguranje, nadležno tijelo imenovano u skladu s člankom 47. Direktive (EU) 2016/2341; |
| --- | --- |

(m)

za institucije za strukovno mirovinsko osiguranje, nadležno tijelo imenovano u skladu s člankom 47. Direktive (EU) 2016/2341;

| (n) | za agencije za kreditni rejting, nadležno tijelo imenovano u skladu s člankom 21. Uredbe (EZ) br. 1060/2009; |
| --- | --- |

(n)

za agencije za kreditni rejting, nadležno tijelo imenovano u skladu s člankom 21. Uredbe (EZ) br. 1060/2009;

| (o) | za administratore ključnih referentnih vrijednosti, nadležno tijelo imenovano u skladu s člancima 40. i 41. Uredbe (EU) 2016/1011; |
| --- | --- |

(o)

za administratore ključnih referentnih vrijednosti, nadležno tijelo imenovano u skladu s člancima 40. i 41. Uredbe (EU) 2016/1011;

| (p) | za pružatelje usluga skupnog financiranja, nadležno tijelo imenovano u skladu s člankom 29. Uredbe (EU) 2020/1503; |
| --- | --- |

(p)

za pružatelje usluga skupnog financiranja, nadležno tijelo imenovano u skladu s člankom 29. Uredbe (EU) 2020/1503;

| (q) | za sekuritizacijske repozitorije, nadležno tijelo imenovano u skladu s člankom 10. i člankom 14. stavkom 1. Uredbe (EU) 2017/2402. |
| --- | --- |

(q)

za sekuritizacijske repozitorije, nadležno tijelo imenovano u skladu s člankom 10. i člankom 14. stavkom 1. Uredbe (EU) 2017/2402.

Članak 47.

Suradnja sa strukturama i tijelima osnovanima Direktivom (EU) 2022/2555

1.   Da bi se potaknula suradnja i omogućile razmjene nadzornih informacija između nadležnih tijela imenovanih na temelju ove Uredbe i skupine za suradnju uspostavljene člankom 14. Direktive (EU) 2022/2555, europska nadzorna tijela i nadležna tijela mogu sudjelovati u aktivnostima skupine za suradnju kad je riječ o pitanjima koja se odnose na njihove aktivnosti nadzora nad financijskim subjektima. Europska nadzorna tijela i nadležna tijela mogu zatražiti da ih se pozove da sudjeluju u aktivnostima skupine za suradnju kad je riječ o pitanjima koja se odnose na ključne ili važne subjekte koji podliježu Direktivi (EU) 2022/2555 koji su imenovani ključnim trećim stranama pružateljima IKT usluga na temelju članka 31. ove Uredbe.

2.   Prema potrebi, nadležna tijela mogu se savjetovati i dijeliti informacije s jedinstvenim kontaktnim točkama i CSIRT-ovima imenovanima ili uspostavljenima u skladu s Direktivom (EU) 2022/2555.

3.   Prema potrebi, nadležna tijela mogu zatražiti relevantne tehničke savjete i pomoć od nadležnih tijela imenovanih ili uspostavljenih u skladu Direktivom (EU) 2022/2555 i uspostaviti aranžmane za suradnju kako bi se omogućila uspostava djelotvornih i brzih koordinacijskih mehanizama.

4.   Aranžmanima iz stavka 3. ovog članka mogu se, među ostalim, utvrditi postupci za koordinaciju nadzornih aktivnosti u vezi s ključnim ili važnim subjektima koji podliježu Direktivi (EU) 2022/2555 koji su imenovani ključnim trećim stranama pružateljima IKT usluga na temelju članka 31. ove Uredbe, među ostalim i za provedbu istraga i izravnog inspekcijskog nadzora u skladu s nacionalnim pravom, kao i za mehanizme za razmjenu informacija između nadležnih tijela iz ove Uredbe i nadležnih tijela imenovanih ili uspostavljenih u skladu s tom direktivom, što uključuje pristup informacijama koje zatraže potonja tijela.

Članak 48.

Suradnja tijelâ

1.   Nadležna tijela blisko surađuju međusobno i, ako je to primjenjivo, s glavnim nadzornim tijelom.

2.   Nadležna tijela i glavno nadzorno tijelo pravodobno razmjenjuju sve relevantne informacije o ključnim trećim stranama pružateljima IKT usluga koje su im potrebne za obavljanje njihovih zadaća na temelju ove Uredbe, posebno u pogledu utvrđenih rizika, pristupâ i mjera poduzetih u okviru nadzornih zadaća glavnog nadzornog tijela.

Članak 49.

Financijske međusektorske vježbe, komunikacija i suradnja

1.   Europska nadzorna tijela, u okviru Zajedničkog odbora i u suradnji s nadležnim tijelima, sanacijskim tijelima iz članka 3. Direktive 2014/59/EU, ESB-om, Jedinstvenim sanacijskim odborom kada je riječ o informacijama koje se odnose na tijela obuhvaćena područjem primjene Uredbe (EU) br. 806/2014, ESRB-om i ENISA-om, ovisno o slučaju, mogu uspostaviti mehanizme za razmjenu djelotvornih primjera iz prakse među financijskim sektorima kako bi se na međusektorskoj razini poboljšala svijest o stanju i utvrdile zajedničke ranjivosti i rizici u pogledu kibersigurnosti.

Europska nadzorna tijela mogu osmisliti vježbe za upravljanje krizama i nepredvidive situacije, uključujući scenarije kibernapada, radi razvoja komunikacijskih kanala i postupnog omogućivanja djelotvornoga koordiniranog odgovora na razini Unije u slučaju značajnoga prekograničnog IKT incidenta ili povezane prijetnje koja ima sistemski učinak na cijeli financijski sektor Unije.

Te bi vježbe mogle biti primjerene i za testiranje ovisnosti financijskog sektora o drugim gospodarskim sektorima.

2.   Nadležna tijela, europska nadzorna tijela i ESB međusobno blisko surađuju i razmjenjuju informacije radi izvršavanja svojih zadaća na temelju članaka od 47. do 54. Blisko koordiniraju svoj nadzor kako bi utvrdili i ispravili povrede ove Uredbe, razvili i promicali najbolje primjere iz prakse, olakšali suradnju, poticali dosljedno tumačenje i u slučaju neslaganja osigurali provedbu procjena koje se oslanjaju na više jurisdikcija.

Članak 50.

Administrativne kazne i korektivne mjere

1.   Nadležna tijela imaju sve ovlasti nadzora, istrage i sankcioniranja potrebne za izvršavanje svojih zadaća iz ove Uredbe.

2.   Ovlasti iz stavka 1. uključuju najmanje sljedeće ovlasti:

| (a) | pristup svim dokumentima ili podatcima u bilo kojem obliku koje nadležno tijelo smatra relevantnim za izvršavanje svojih zadaća te dobivanje ili uzimanje preslika tih dokumenata ili podataka; |
| --- | --- |

(a)

pristup svim dokumentima ili podatcima u bilo kojem obliku koje nadležno tijelo smatra relevantnim za izvršavanje svojih zadaća te dobivanje ili uzimanje preslika tih dokumenata ili podataka;

| (b) | provedbu izravnog inspekcijskog nadzora ili istraga, koji uključuju, ali nisu ograničeni na:






  i. | pozivanje predstavnika financijskih subjekata da daju usmena ili pisana objašnjenja o činjenicama ili dokumente koji se odnose na predmet i svrhu istrage te bilježenje odgovora; |
| --- | --- | --- |

(b)

provedbu izravnog inspekcijskog nadzora ili istraga, koji uključuju, ali nisu ograničeni na:

i.

pozivanje predstavnika financijskih subjekata da daju usmena ili pisana objašnjenja o činjenicama ili dokumente koji se odnose na predmet i svrhu istrage te bilježenje odgovora;

| ii. | obavljanje razgovora s bilo kojom fizičkom ili pravnom osobom koja pristane na razgovor u svrhu prikupljanja informacija koje se odnose na predmet istrage; |
| --- | --- |

ii.

obavljanje razgovora s bilo kojom fizičkom ili pravnom osobom koja pristane na razgovor u svrhu prikupljanja informacija koje se odnose na predmet istrage;

| (c) | zahtijevanje provedbe korektivnih mjera zbog povreda zahtjeva iz ove Uredbe. |
| --- | --- |

(c)

zahtijevanje provedbe korektivnih mjera zbog povreda zahtjeva iz ove Uredbe.

3.   Ne dovodeći u pitanje pravo država članica na izricanje kaznenih sankcija u skladu s člankom 52., države članice propisuju pravila kojima se utvrđuju odgovarajuće administrativne kazne i korektivne mjere za povrede ove Uredbe te osiguravaju njihovu djelotvornu provedbu.

Te kazne i mjere moraju biti učinkovite, proporcionalne i odvraćajuće.

4.   Države članice dodjeljuju nadležnim tijelima ovlast za primjenu barem sljedećih administrativnih kazni ili korektivnih mjera za povrede ove Uredbe:

| (a) | izdavanje naloga fizičkoj ili pravnoj osobi da prestane s ponašanjem koje predstavlja povredu ove Uredbe i suzdrži se od ponavljanja takvog ponašanja; |
| --- | --- |

(a)

izdavanje naloga fizičkoj ili pravnoj osobi da prestane s ponašanjem koje predstavlja povredu ove Uredbe i suzdrži se od ponavljanja takvog ponašanja;

| (b) | upućivanje zahtjeva za privremeni ili trajni prestanak postupanja ili ponašanja koje nadležno tijelo smatra protivnim odredbama ove Uredbe te sprečavanje ponavljanja takvog postupanja ili ponašanja; |
| --- | --- |

(b)

upućivanje zahtjeva za privremeni ili trajni prestanak postupanja ili ponašanja koje nadležno tijelo smatra protivnim odredbama ove Uredbe te sprečavanje ponavljanja takvog postupanja ili ponašanja;

| (c) | donošenje mjera, među ostalim i financijske prirode, kako bi se osiguralo da financijski subjekti nastave ispunjavati pravne zahtjeve; |
| --- | --- |

(c)

donošenje mjera, među ostalim i financijske prirode, kako bi se osiguralo da financijski subjekti nastave ispunjavati pravne zahtjeve;

| (d) | upućivanje zahtjeva, u mjeri u kojoj je to dopušteno nacionalnim pravom, za dostavu postojeće evidencije telekomunikacijskog operatera o podatkovnom prometu ako postoji opravdana sumnja u povredu ove Uredbe te ako takva evidencija može biti važna za istragu povreda ove Uredbe; i |
| --- | --- |

(d)

upućivanje zahtjeva, u mjeri u kojoj je to dopušteno nacionalnim pravom, za dostavu postojeće evidencije telekomunikacijskog operatera o podatkovnom prometu ako postoji opravdana sumnja u povredu ove Uredbe te ako takva evidencija može biti važna za istragu povreda ove Uredbe; i

| (e) | izdavanje javnih obavijesti, uključujući javne izjave u kojima se navodi identitet fizičke ili pravne osobe i priroda povrede. |
| --- | --- |

(e)

izdavanje javnih obavijesti, uključujući javne izjave u kojima se navodi identitet fizičke ili pravne osobe i priroda povrede.

5.   Ako se stavak 2. točka (c) i stavak 4. primjenjuju na pravne osobe, države članice dodjeljuju nadležnim tijelima ovlast da, podložno uvjetima utvrđenima nacionalnim pravom, primijene administrativne kazne i korektivne mjere na članove upravljačkog tijela i na druge osobe koje su na temelju nacionalnog prava odgovorne za povredu.

6.   Države članice osiguravaju da su sve odluke kojima se izriču administrativne kazne ili korektivne mjere iz stavka 2. točke (c) propisno obrazložene i da se protiv njih može podnijeti žalba.

Članak 51.

Izvršavanje ovlasti izricanja administrativnih kazni i korektivnih mjera

1.   Nadležna tijela izvršavaju ovlasti izricanja administrativnih kazni i korektivnih mjera iz članka 50. u skladu sa svojim nacionalnim pravnim okvirima, prema potrebi i kako slijedi:

| (a) | izravno; |
| --- | --- |

(a)

izravno;

| (b) | u suradnji s drugim tijelima; |
| --- | --- |

(b)

u suradnji s drugim tijelima;

| (c) | u okviru svoje odgovornosti, delegiranjem drugim tijelima; ili |
| --- | --- |

(c)

u okviru svoje odgovornosti, delegiranjem drugim tijelima; ili

| (d) | podnošenjem zahtjeva nadležnim pravosudnim tijelima. |
| --- | --- |

(d)

podnošenjem zahtjeva nadležnim pravosudnim tijelima.

2.   Pri utvrđivanju vrste i razine administrativne kazne ili korektivne mjere koja se izriče na temelju članka 50. nadležna tijela uzimaju u obzir mjeru u kojoj je povreda posljedica namjere ili nemara i sve ostale relevantne okolnosti, uključujući prema potrebi sljedeće:

| (a) | značajnost, težinu i trajanje povrede; |
| --- | --- |

(a)

značajnost, težinu i trajanje povrede;

| (b) | stupanj odgovornosti fizičke ili pravne osobe koja je odgovorna za povredu; |
| --- | --- |

(b)

stupanj odgovornosti fizičke ili pravne osobe koja je odgovorna za povredu;

| (c) | financijsku snagu odgovorne fizičke ili pravne osobe; |
| --- | --- |

(c)

financijsku snagu odgovorne fizičke ili pravne osobe;

| (d) | veličinu ostvarene dobiti ili izbjegnutih gubitaka odgovorne fizičke ili pravne osobe, ako je to moguće utvrditi; |
| --- | --- |

(d)

veličinu ostvarene dobiti ili izbjegnutih gubitaka odgovorne fizičke ili pravne osobe, ako je to moguće utvrditi;

| (e) | gubitke koje su zbog povrede pretrpjele treće osobe, ako ih je moguće utvrditi; |
| --- | --- |

(e)

gubitke koje su zbog povrede pretrpjele treće osobe, ako ih je moguće utvrditi;

| (f) | razinu suradnje odgovorne fizičke ili pravne osobe s nadležnim tijelom, ne dovodeći u pitanje potrebu da se osigura povrat dobiti koju je ta fizička ili pravna osoba ostvarila ili gubitaka koje je izbjegla; |
| --- | --- |

(f)

razinu suradnje odgovorne fizičke ili pravne osobe s nadležnim tijelom, ne dovodeći u pitanje potrebu da se osigura povrat dobiti koju je ta fizička ili pravna osoba ostvarila ili gubitaka koje je izbjegla;

| (g) | prethodne povrede koje je počinila odgovorna fizička ili pravna osoba. |
| --- | --- |

(g)

prethodne povrede koje je počinila odgovorna fizička ili pravna osoba.

Članak 52.

Kaznene sankcije

1.   Države članice mogu odlučiti da neće propisati pravila o administrativnim kaznama ili korektivnim mjerama za povrede koje prema njihovu nacionalnom pravu podliježu kaznenim sankcijama.

2.   Ako odluče propisati kaznene sankcije za povrede ove Uredbe, države članice moraju osigurati primjerene mjere kako bi nadležna tijela imala sve potrebne ovlasti za suradnju s pravosudnim tijelima, tijelima kaznenog progona ili kaznenopravnim tijelima u okviru svoje nadležnosti radi dobivanja specifičnih informacija povezanih s kaznenim istragama ili postupcima pokrenutima zbog povreda ove Uredbe i radi dostave tih informacija drugim nadležnim tijelima te EBA-i, ESMA-i ili EIOPA-i kako bi ispunile svoje obveze suradnje za potrebe ove Uredbe.

Članak 53.

Dužnosti obavješćivanja

Države članice obavješćuju Komisiju, ESMA-u, EBA-u i EIOPA-u o zakonima i drugim propisima kojima se provodi ovo poglavlje, uključujući sve mjerodavne kaznenopravne odredbe, do 17. siječnja 2025. Države članice bez nepotrebne odgode obavješćuju Komisiju, ESMA-u, EBA-u i EIOPA-u o svim naknadnim izmjenama tih zakona i propisa.

Članak 54.

Objava administrativnih kazni

1.   Nadležna tijela bez nepotrebne odgode na svojim službenim internetskim stranicama objavljuju svaku odluku o administrativnoj kazni protiv koje se ne može podnijeti žalba, nakon što se osoba kojoj je kazna izrečena obavijesti o toj odluci.

2.   Objava iz stavka 1. uključuje informacije o vrsti i prirodi povrede, identitetu odgovornih osoba te izrečenim kaznama.

3.   Ako na temelju ocjene od slučaja do slučaja smatra da bi objava identiteta, u slučaju pravnih osoba, ili identiteta i osobnih podataka, u slučaju fizičkih osoba, bila nerazmjerna, što uključuje rizike u vezi sa zaštitom osobnih podataka, da bi se njome ugrozila stabilnost financijskih tržišta ili provedba kaznene istrage koja je u tijeku ili da bi se njome, u mjeri u kojoj je to moguće utvrditi, dotičnoj osobi prouzročila nerazmjerna šteta, nadležno tijelo na odluku o izricanju administrativne kazne primjenjuje jedno od sljedećih rješenja:

| (a) | odgađa objavu odluke do prestanka postojanja svih razloga za neobjavljivanje; |
| --- | --- |

(a)

odgađa objavu odluke do prestanka postojanja svih razloga za neobjavljivanje;

| (b) | objavljuje odluku na anonimnoj osnovi, u skladu s nacionalnim pravom; ili |
| --- | --- |

(b)

objavljuje odluku na anonimnoj osnovi, u skladu s nacionalnim pravom; ili

| (c) | ne objavljuje odluku ako smatra da opcije iz točaka (a) i (b) nisu dostatne da se osigura neugrožavanje stabilnosti financijskih tržišta ili da takva objava nije razmjerna u odnosu na blagost izrečene kazne. |
| --- | --- |

(c)

ne objavljuje odluku ako smatra da opcije iz točaka (a) i (b) nisu dostatne da se osigura neugrožavanje stabilnosti financijskih tržišta ili da takva objava nije razmjerna u odnosu na blagost izrečene kazne.

4.   U slučaju odluke o objavi administrativne kazne na anonimnoj osnovi u skladu sa stavkom 3. točkom (b), objava relevantnih podataka može se odgoditi.

5.   Ako nadležno tijelo objavi odluku o izricanju administrativne kazne protiv koje je podnesena žalba mjerodavnim pravosudnim tijelima, nadležna tijela bez odgode na svojim službenim internetskim stranicama dodaju tu informaciju, a kasnije i sve naknadne povezane informacije o ishodu te žalbe. Objavljuje se i svaka pravosudna odluka kojom se poništava odluka o izricanju administrativne kazne.

6.   Nadležna tijela osiguravaju da svaka objava iz stavaka od 1. do 4. ostane na njihovim službenim internetskim stranicama samo tijekom razdoblja koje je potrebno za provedbu ovog članka. To razdoblje ne smije biti dulje od pet godina od objave.

Članak 55.

Čuvanje poslovne tajne

1.   Sve povjerljive informacije primljene, razmijenjene ili prenesene na temelju ove Uredbe podliježu obvezi čuvanja poslovne tajne utvrđenoj u stavku 2.

2.   Obveza čuvanja poslovne tajne primjenjuje se na sve osobe koje rade ili su radile za nadležna tijela na temelju ove Uredbe ili na bilo koje tijelo ili poduzeće na tržištu ili fizičku ili pravnu osobu kojima su ta nadležna tijela delegirala svoje ovlasti, uključujući revizore i stručnjake koje su nadležna tijela angažirala.

3.   Informacije obuhvaćene poslovnom tajnom, uključujući razmjenu informacija između nadležnih tijela iz ove Uredbe i nadležnih tijela imenovanih ili uspostavljenih u skladu s Direktivom (EU) 2022/2555, ne smiju se odavati drugoj osobi ili tijelu, osim na temelju odredaba utvrđenih pravom Unije ili nacionalnim pravom;

4.   Sve informacije razmijenjene među nadležnim tijelima na temelju ove Uredbe koje se odnose na poslovanje ili operativne uvjete i druga ekonomska ili osobna pitanja smatraju se povjerljivima i podliježu zahtjevima čuvanja poslovne tajne, osim ako nadležno tijelo u trenutku dostave informacija izjavi da se takve informacije mogu objaviti ili ako je njihova objava potrebna zbog sudskog postupka.

Članak 56.

Zaštita podataka

1.   Europskim nadzornim tijelima i nadležnim tijelima dopušteno je obrađivati osobne podatke samo ako je to potrebno za izvršavanje njihovih obveza i zadaća na temelju ove Uredbe, posebno za istragu, inspekcijski nadzor, zahtjev za informacije, komunikaciju, objavu, evaluaciju, provjeru, procjenu i izradu planova nadzora. Osobni podatci obrađuju se u skladu s Uredbom (EU) 2016/679 ili Uredbom (EU) 2018/1725, ovisno o tome koja je primjenjiva.

2.   Osim ako je drugim sektorskim aktima predviđeno drukčije, osobni podatci iz stavka 1. čuvaju se do obavljanja primjenjivih nadzornih dužnosti, a u svakom slučaju najdulje 15 godina, osim u slučaju sudskih postupaka koji su u tijeku i zahtijevaju da se takvi podatci čuvaju dulje.

POGLAVLJE VIII.

Delegirani akti

Članak 57.

Izvršavanje delegiranja ovlasti

1.   Ovlast za donošenje delegiranih akata dodjeljuje se Komisiji podložno uvjetima utvrđenima u ovom članku.

2.   Ovlast za donošenje delegiranih akata iz članka 31. stavka 6. i članka 43. stavka 2. dodjeljuje se Komisiji na razdoblje od pet godina počevši od 17. siječnja 2024. Komisija izrađuje izvješće o delegiranju ovlasti najkasnije devet mjeseci prije kraja razdoblja od pet godina. Delegiranje ovlasti prešutno se produljuje za razdoblja jednakog trajanja, osim ako se Europski parlament ili Vijeće tom produljenju usprotive najkasnije tri mjeseca prije kraja svakog razdoblja.

3.   Europski parlament ili Vijeće u svakom trenutku mogu opozvati delegiranje ovlasti iz članka 31. stavka 6. i članka 43. stavka 2. Odlukom o opozivu prekida se delegiranje ovlasti koje je u njoj navedeno. Opoziv počinje proizvoditi učinke sljedećeg dana od dana objave spomenute odluke u Službenom listu Europske unije ili na kasniji dan naveden u spomenutoj odluci. On ne utječe na valjanost delegiranih akata koji su već na snazi.

4.   Prije donošenja delegiranog akta Komisija se savjetuje sa stručnjacima koje je imenovala svaka država članica u skladu s načelima utvrđenima u Međuinstitucijskom sporazumu o boljoj izradi zakonodavstva od 13. travnja 2016.

5.   Čim donese delegirani akt, Komisija ga istodobno priopćuje Europskom parlamentu i Vijeću.

6.   Delegirani akt donesen na temelju članka 31. stavka 6. i članka 43. stavka 2. stupa na snagu samo ako ni Europski parlament ni Vijeće u roku od tri mjeseca od priopćenja tog akta Europskom parlamentu i Vijeću na njega ne podnesu prigovor ili ako su prije isteka tog roka i Europski parlament i Vijeće obavijestili Komisiju da neće podnijeti prigovore. Taj se rok produljuje za tri mjeseca na inicijativu Europskog parlamenta ili Vijeća.

POGLAVLJE IX.

Prijelazne i završne odredbe

Odjeljak I.

Članak 58.

Klauzula o preispitivanju

1.   Komisija do 17. siječnja 2028., a nakon savjetovanja s europskim nadzornim tijelima ili s ESRB-om, ovisno o slučaju, provodi preispitivanje te Europskom parlamentu i Vijeću dostavlja izvješće, prema potrebi zajedno s prijedlogom zakonodavnog akta. Preispitivanje uključuje barem sljedeće:

| (a) | kriterije za imenovanje ključnih trećih strana pružatelja IKT usluga u skladu s člankom 31. stavkom 2.; |
| --- | --- |

(a)

kriterije za imenovanje ključnih trećih strana pružatelja IKT usluga u skladu s člankom 31. stavkom 2.;

| (b) | dobrovoljnu prirodu obavješćivanja o ozbiljnim kiberprijetnjama iz članka 19.; |
| --- | --- |

(b)

dobrovoljnu prirodu obavješćivanja o ozbiljnim kiberprijetnjama iz članka 19.;

| (c) | režim iz članka 31. stavka 12. i ovlasti glavnog nadzornog tijela iz članka 35. stavka 1. točke (d) podtočke iv. prve alineje s ciljem evaluacije djelotvornosti tih odredaba u pogledu osiguravanja djelotvornog nadzora nad ključnim trećim stranama pružateljima IKT usluga s poslovnim nastanom u trećoj zemlji i potrebe za osnivanjem društva kćeri u Uniji.
  Za potrebe prvog podstavka ove točke preispitivanje uključuje analizu režima iz članka 31. stavka 12., uključujući s obzirom na pristup financijskih subjekata Unije uslugama iz trećih zemalja i dostupnost takvih usluga na tržištu Unije te se njime uzimaju u obzir daljnji razvoj na tržištima usluga obuhvaćenih ovom Uredbom, praktično iskustvo financijskih subjekata i financijskih nadzornih tijela s obzirom na primjenu tog režima i nadzor nad tim režimom te sve relevantne promjene u području regulative i nadzora na međunarodnoj razini; |
| --- | --- |

(c)

režim iz članka 31. stavka 12. i ovlasti glavnog nadzornog tijela iz članka 35. stavka 1. točke (d) podtočke iv. prve alineje s ciljem evaluacije djelotvornosti tih odredaba u pogledu osiguravanja djelotvornog nadzora nad ključnim trećim stranama pružateljima IKT usluga s poslovnim nastanom u trećoj zemlji i potrebe za osnivanjem društva kćeri u Uniji.

Za potrebe prvog podstavka ove točke preispitivanje uključuje analizu režima iz članka 31. stavka 12., uključujući s obzirom na pristup financijskih subjekata Unije uslugama iz trećih zemalja i dostupnost takvih usluga na tržištu Unije te se njime uzimaju u obzir daljnji razvoj na tržištima usluga obuhvaćenih ovom Uredbom, praktično iskustvo financijskih subjekata i financijskih nadzornih tijela s obzirom na primjenu tog režima i nadzor nad tim režimom te sve relevantne promjene u području regulative i nadzora na međunarodnoj razini;

| (d) | primjerenost uključivanja u područje primjene ove Uredbe financijskih subjekata iz članka 2. stavka 3. točke (e) koji upotrebljavaju automatizirane sustave prodaje, s obzirom na buduća tržišna kretanja u pogledu upotrebe takvih sustava; |
| --- | --- |

(d)

primjerenost uključivanja u područje primjene ove Uredbe financijskih subjekata iz članka 2. stavka 3. točke (e) koji upotrebljavaju automatizirane sustave prodaje, s obzirom na buduća tržišna kretanja u pogledu upotrebe takvih sustava;

| (e) | funkcioniranje i djelotvornost Zajedničke nadzorne mreže u podupiranju dosljednosti nadzora i učinkovitosti razmjene informacija unutar nadzornog okvira. |
| --- | --- |

(e)

funkcioniranje i djelotvornost Zajedničke nadzorne mreže u podupiranju dosljednosti nadzora i učinkovitosti razmjene informacija unutar nadzornog okvira.

2.   U kontekstu preispitivanja Direktive (EU) 2015/2366 Komisija procjenjuje potrebu za povećanjem kiberotpornosti platnih sustava i aktivnosti obrade plaćanja te primjerenost proširenja područja primjene ove Uredbe na upravitelje platnih sustava i subjekte uključene u aktivnosti obrade plaćanja. S obzirom na tu procjenu Komisija u okviru preispitivanja Direktive (EU) 2015/2366 podnosi izvješće Europskom parlamentu i Vijeću najkasnije 17. srpnja 2023.

Na temelju tog izvješća o preispitivanju i nakon savjetovanja s europskim nadzornim tijelima, ESB-om i ESRB-om Komisija može, prema potrebi i u okviru zakonodavnog prijedloga koji može donijeti na temelju članka 108. drugog stavka Direktive (EU) 2015/2366, podnijeti prijedlog kojim se osigurava da svi upravitelji platnih sustava i subjekti uključeni u aktivnosti obrade plaćanja podliježu odgovarajućem nadzoru, uzimajući u obzir postojeći nadzor koji provodi središnja banka.

3.   Komisija do 17. siječnja 2026. i nakon savjetovanja s europskim nadzornim tijelima i Odborom europskih tijela za nadzor revizije, preispituje primjerenost strožih zahtjeva za ovlaštene revizore i revizorska društva u pogledu digitalne operativne otpornosti uključivanjem ovlaštenih revizora i revizorskih društava u područje primjene ove Uredbe ili izmjenama Direktive 2006/43/EZ Europskog parlamenta i Vijeća (39) te Europskom parlamentu i Vijeću dostavlja izvješće, prema potrebi zajedno sa zakonodavnim prijedlogom.

Odjeljak II.

Izmjene

Članak 59.

Izmjene Uredbe (EZ) br. 1060/2009

Uredba (EZ) br. 1060/2009 mijenja se kako slijedi:

| 1. | u Prilogu I. odjeljku A točki 4. prvi podstavak zamjenjuje se sljedećim:

  „Agencija za kreditni rejting mora imati dobre administrativne i računovodstvene postupke, mehanizme unutarnje kontrole, učinkovite postupke za procjenu rizika i učinkovite mehanizme kontrole i zaštite za upravljanje IKT sustavima u skladu s Uredbom (EU) 2022/2554 Europskog parlamenta i Vijeća (*1).

  (*1)  Uredba (EU) 2022/2554 Europskog parlamenta i Vijeća od 14. prosinca 2022. o digitalnoj operativnoj otpornosti za financijski sektor i izmjeni uredbi (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014, (EU) br. 909/2014 i (EU) 2016/1011 (SL L 333, 27.12.2022., str. 1..).”;" |
| --- | --- |

1.

u Prilogu I. odjeljku A točki 4. prvi podstavak zamjenjuje se sljedećim:

„Agencija za kreditni rejting mora imati dobre administrativne i računovodstvene postupke, mehanizme unutarnje kontrole, učinkovite postupke za procjenu rizika i učinkovite mehanizme kontrole i zaštite za upravljanje IKT sustavima u skladu s Uredbom (EU) 2022/2554 Europskog parlamenta i Vijeća (*1).

*1

(*1)  Uredba (EU) 2022/2554 Europskog parlamenta i Vijeća od 14. prosinca 2022. o digitalnoj operativnoj otpornosti za financijski sektor i izmjeni uredbi (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014, (EU) br. 909/2014 i (EU) 2016/1011 (SL L 333, 27.12.2022., str. 1..).”;"

*1

| 2. | u Prilogu III. točka 12. zamjenjuje se sljedećim:






  „12. | Agencija za kreditni rejting krši članak 6. stavak 2. u vezi s točkom 4. odjeljka A Priloga I. ako nema dobre administrativne ili računovodstvene postupke, mehanizme unutarnje kontrole, učinkovite postupke za procjenu rizika ili učinkovite mehanizme kontrole ili zaštite za upravljanje IKT sustavima u skladu s Uredbom (EU) 2022/2554; ili ako ne provodi ili ne održava postupke odlučivanja ili organizacijsku strukturu kako se zahtijeva tom točkom.”. |
| --- | --- | --- |

2.

u Prilogu III. točka 12. zamjenjuje se sljedećim:

„12.

Agencija za kreditni rejting krši članak 6. stavak 2. u vezi s točkom 4. odjeljka A Priloga I. ako nema dobre administrativne ili računovodstvene postupke, mehanizme unutarnje kontrole, učinkovite postupke za procjenu rizika ili učinkovite mehanizme kontrole ili zaštite za upravljanje IKT sustavima u skladu s Uredbom (EU) 2022/2554; ili ako ne provodi ili ne održava postupke odlučivanja ili organizacijsku strukturu kako se zahtijeva tom točkom.”.

Članak 60.

Izmjene Uredbe (EU) br. 648/2012

Uredba (EU) br. 648/2012 mijenja se kako slijedi:

| 1. | članak 26. mijenja se kako slijedi:






  (a) | stavak 3. zamjenjuje se sljedećim:

  „3.   Središnja druga ugovorna strana održava organizacijsku strukturu kojom se osigurava kontinuitet i uredno funkcioniranje u obavljanju njezinih usluga i aktivnosti te upravlja tom strukturom. Koristi se primjerenim i proporcionalnim sustavima, sredstvima i postupcima, uključujući IKT sustave kojima upravlja u skladu s Uredbom (EU) 2022/2554 Europskog parlamenta i Vijeća (*2).


  (*2)  Uredba (EU) 2022/2554 Europskog parlamenta i Vijeća od 14. prosinca 2022. o digitalnoj operativnoj otpornosti za financijski sektor i izmjeni uredbi (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014, (EU) br. 909/2014 i (EU) 2016/1011 (SL L 333, 27.12.2022., str. 1..).”;" |
| --- | --- | --- |

1.

članak 26. mijenja se kako slijedi:

(a)

stavak 3. zamjenjuje se sljedećim:

„3.   Središnja druga ugovorna strana održava organizacijsku strukturu kojom se osigurava kontinuitet i uredno funkcioniranje u obavljanju njezinih usluga i aktivnosti te upravlja tom strukturom. Koristi se primjerenim i proporcionalnim sustavima, sredstvima i postupcima, uključujući IKT sustave kojima upravlja u skladu s Uredbom (EU) 2022/2554 Europskog parlamenta i Vijeća (*2).

(*2)  Uredba (EU) 2022/2554 Europskog parlamenta i Vijeća od 14. prosinca 2022. o digitalnoj operativnoj otpornosti za financijski sektor i izmjeni uredbi (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014, (EU) br. 909/2014 i (EU) 2016/1011 (SL L 333, 27.12.2022., str. 1..).”;"

*2

| (b) | stavak 6. briše se; |
| --- | --- |

(b)

stavak 6. briše se;

| 2. | članak 34. mijenja se kako slijedi:






  (a) | stavak 1. zamjenjuje se sljedećim:

  „1.   Središnja druga ugovorna strana uspostavlja, provodi i održava primjerenu politiku kontinuiteta poslovanja i plan oporavka u slučaju katastrofe, koji uključuje politiku kontinuiteta poslovanja u području IKT-a i planove odgovora i oporavka u području IKT-a uspostavljene i provedene u skladu s Uredbom (EU) 2022/2554, čiji je cilj osigurati očuvanje njezinih funkcija, pravodoban oporavak poslovanja i ispunjavanje obveza središnje druge ugovorne strane.”; |
| --- | --- | --- |

2.

članak 34. mijenja se kako slijedi:

(a)

stavak 1. zamjenjuje se sljedećim:

„1.   Središnja druga ugovorna strana uspostavlja, provodi i održava primjerenu politiku kontinuiteta poslovanja i plan oporavka u slučaju katastrofe, koji uključuje politiku kontinuiteta poslovanja u području IKT-a i planove odgovora i oporavka u području IKT-a uspostavljene i provedene u skladu s Uredbom (EU) 2022/2554, čiji je cilj osigurati očuvanje njezinih funkcija, pravodoban oporavak poslovanja i ispunjavanje obveza središnje druge ugovorne strane.”;

| (b) | u stavku 3. prvi podstavak zamjenjuje se sljedećim:

  „3.   Kako bi se osigurala dosljedna primjena ovog članka, ESMA, nakon savjetovanja s članovima ESSB-a, izrađuje nacrt regulatornih tehničkih standarda kojima se određuju minimalni sadržaj i zahtjevi vezani uz politiku kontinuiteta poslovanja i plan oporavka u slučaju katastrofe, isključujući politiku kontinuiteta poslovanja i planove oporavka u slučaju katastrofe u području IKT-a.”; |
| --- | --- |

(b)

u stavku 3. prvi podstavak zamjenjuje se sljedećim:

„3.   Kako bi se osigurala dosljedna primjena ovog članka, ESMA, nakon savjetovanja s članovima ESSB-a, izrađuje nacrt regulatornih tehničkih standarda kojima se određuju minimalni sadržaj i zahtjevi vezani uz politiku kontinuiteta poslovanja i plan oporavka u slučaju katastrofe, isključujući politiku kontinuiteta poslovanja i planove oporavka u slučaju katastrofe u području IKT-a.”;

| 3. | u članku 56. stavku 3. prvi podstavak zamjenjuje se sljedećim:

  „3.   Kako bi se osigurala dosljedna primjena ovog članka, ESMA izrađuje nacrt regulatornih tehničkih standarda kojima se određuju pojedinosti zahtjeva za registraciju iz stavka 1., osim za zahtjeve povezane s upravljanjem IKT rizicima.”; |
| --- | --- |

3.

u članku 56. stavku 3. prvi podstavak zamjenjuje se sljedećim:

„3.   Kako bi se osigurala dosljedna primjena ovog članka, ESMA izrađuje nacrt regulatornih tehničkih standarda kojima se određuju pojedinosti zahtjeva za registraciju iz stavka 1., osim za zahtjeve povezane s upravljanjem IKT rizicima.”;

| 4. | u članku 79. stavci 1. i 2. zamjenjuju se sljedećim:

  „1.   Trgovinski repozitorij utvrđuje izvore operativnog rizika i svodi ih na najmanju moguću mjeru razvojem odgovarajućih sustava, kontrola i postupaka, među ostalim i IKT sustava kojima se upravlja u skladu s Uredbom (EU) 2022/2554.


  2.   Trgovinski repozitorij uspostavlja, provodi i održava primjerenu politiku kontinuiteta poslovanja i plan oporavka u slučaju katastrofe, koji uključuje politiku kontinuiteta poslovanja i planove odgovora i oporavka u području IKT-a uspostavljene u skladu s Uredbom (EU) 2022/2554, čiji je cilj osigurati očuvanje njegovih funkcija, pravodoban oporavak poslovanja i ispunjavanje obveza trgovinskog repozitorija.”; |
| --- | --- |

4.

u članku 79. stavci 1. i 2. zamjenjuju se sljedećim:

„1.   Trgovinski repozitorij utvrđuje izvore operativnog rizika i svodi ih na najmanju moguću mjeru razvojem odgovarajućih sustava, kontrola i postupaka, među ostalim i IKT sustava kojima se upravlja u skladu s Uredbom (EU) 2022/2554.

2.   Trgovinski repozitorij uspostavlja, provodi i održava primjerenu politiku kontinuiteta poslovanja i plan oporavka u slučaju katastrofe, koji uključuje politiku kontinuiteta poslovanja i planove odgovora i oporavka u području IKT-a uspostavljene u skladu s Uredbom (EU) 2022/2554, čiji je cilj osigurati očuvanje njegovih funkcija, pravodoban oporavak poslovanja i ispunjavanje obveza trgovinskog repozitorija.”;

| 5. | u članku 80. stavak 1. briše se; |
| --- | --- |

5.

u članku 80. stavak 1. briše se;

| 6. | u Prilogu I. odjeljak II. mijenja se kako slijedi:






  (a) | točke (a) i (b) zamjenjuju se sljedećim:






  „(a) | trgovinski repozitorij povređuje članak 79. stavak 1. time što ne utvrđuje izvore operativnog rizika ili time što te rizike ne svodi na najmanju moguću mjeru razvojem odgovarajućih sustava, kontrola i postupaka, među ostalim i IKT sustava kojima se upravlja u skladu s Uredbom (EU) 2022/2554; |
| --- | --- | --- | --- |

6.

u Prilogu I. odjeljak II. mijenja se kako slijedi:

(a)

točke (a) i (b) zamjenjuju se sljedećim:

„(a)

trgovinski repozitorij povređuje članak 79. stavak 1. time što ne utvrđuje izvore operativnog rizika ili time što te rizike ne svodi na najmanju moguću mjeru razvojem odgovarajućih sustava, kontrola i postupaka, među ostalim i IKT sustava kojima se upravlja u skladu s Uredbom (EU) 2022/2554;

| (b) | trgovinski repozitorij povređuje članak 79. stavak 2. time što ne uspostavlja, ne provodi ili ne održava primjerenu politiku kontinuiteta poslovanja i plan oporavka u slučaju katastrofe koji su uspostavljeni u skladu s Uredbom (EU) 2022/2554, čiji je cilj osigurati očuvanje njegovih funkcija, pravodoban oporavak poslovanja i ispunjavanje obveza trgovinskog repozitorija;”; |
| --- | --- |

(b)

trgovinski repozitorij povređuje članak 79. stavak 2. time što ne uspostavlja, ne provodi ili ne održava primjerenu politiku kontinuiteta poslovanja i plan oporavka u slučaju katastrofe koji su uspostavljeni u skladu s Uredbom (EU) 2022/2554, čiji je cilj osigurati očuvanje njegovih funkcija, pravodoban oporavak poslovanja i ispunjavanje obveza trgovinskog repozitorija;”;

| (b) | točka (c) briše se. |
| --- | --- |

(b)

točka (c) briše se.

| 7. | Prilog III. mijenja se kako slijedi:






  (a) | odjeljak II. mijenja se kako slijedi:






  i. | točka (c) zamjenjuje se sljedećim:






  „(c) | središnja druga ugovorna strana druge razine rizika krši članak 26. stavak 3. ako ne održava organizacijsku strukturu ili ne upravlja organizacijskom strukturom kojom se osiguravaju kontinuitet i uredno funkcioniranje u obavljanju njezinih usluga i aktivnosti ili ako ne upotrebljava odgovarajuće i proporcionalne sustave, sredstva ili postupke, uključujući IKT sustave kojima se upravlja u skladu s Uredbom (EU) 2022/2554;”; |
| --- | --- | --- | --- | --- |

7.

Prilog III. mijenja se kako slijedi:

(a)

odjeljak II. mijenja se kako slijedi:

i.

točka (c) zamjenjuje se sljedećim:

„(c)

središnja druga ugovorna strana druge razine rizika krši članak 26. stavak 3. ako ne održava organizacijsku strukturu ili ne upravlja organizacijskom strukturom kojom se osiguravaju kontinuitet i uredno funkcioniranje u obavljanju njezinih usluga i aktivnosti ili ako ne upotrebljava odgovarajuće i proporcionalne sustave, sredstva ili postupke, uključujući IKT sustave kojima se upravlja u skladu s Uredbom (EU) 2022/2554;”;

| ii. | točka (f) briše se; |
| --- | --- |

ii.

točka (f) briše se;

| (b) | u odjeljku III. točka (a) zamjenjuje se sljedećim:






  „(a) | središnja druga ugovorna strana druge razine rizika krši članak 34. stavak 1. ako ne uspostavi, ne provodi ili ne održava primjerenu politiku kontinuiteta poslovanja i plan odgovora i oporavka uspostavljene u skladu s Uredbom (EU) 2022/2554, čiji je cilj osigurati očuvanje njezinih funkcija, pravodoban oporavak poslovanja i ispunjavanje obveza središnje druge ugovorne strane, a kojima se barem omogućuje oporavak svih transakcija u trenutku poremećaja kako bi se središnjoj drugoj ugovornoj strani omogućio siguran nastavak njezina poslovanja i okončanje namire na planirani datum;”. |
| --- | --- | --- |

(b)

u odjeljku III. točka (a) zamjenjuje se sljedećim:

„(a)

središnja druga ugovorna strana druge razine rizika krši članak 34. stavak 1. ako ne uspostavi, ne provodi ili ne održava primjerenu politiku kontinuiteta poslovanja i plan odgovora i oporavka uspostavljene u skladu s Uredbom (EU) 2022/2554, čiji je cilj osigurati očuvanje njezinih funkcija, pravodoban oporavak poslovanja i ispunjavanje obveza središnje druge ugovorne strane, a kojima se barem omogućuje oporavak svih transakcija u trenutku poremećaja kako bi se središnjoj drugoj ugovornoj strani omogućio siguran nastavak njezina poslovanja i okončanje namire na planirani datum;”.

Članak 61.

Izmjene Uredbe (EU) br. 909/2014

Članak 45. Uredbe (EU) br. 909/2014 mijenja se kako slijedi:

| 1. | stavak 1. zamjenjuje se sljedećim:

  „1.   CSD utvrđuje izvore operativnog rizika, kako unutarnje tako i vanjske, te svodi njihov utjecaj na najmanju moguću mjeru, među ostalim i primjenom odgovarajućih IKT alata, procesa i politika koji su uspostavljeni i kojima se upravlja u skladu s Uredbom (EU) 2022/2554 Europskog parlamenta i Vijeća (*3)te svim drugim relevantnim primjerenim alatima, kontrolama i postupcima za druge vrste operativnog rizika, uključujući za sve sustave za namiru vrijednosnih papira kojima upravlja.


  (*3)  Uredba (EU) 2022/2554 Europskog parlamenta i Vijeća od 14. prosinca 2022. o digitalnoj operativnoj otpornosti za financijski sektor i izmjeni uredbi (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014, (EU) br. 909/2014 i (EU) 2016/1011 (SL L 333, 27.12.2022., str. 1..).”;" |
| --- | --- |

1.

stavak 1. zamjenjuje se sljedećim:

„1.   CSD utvrđuje izvore operativnog rizika, kako unutarnje tako i vanjske, te svodi njihov utjecaj na najmanju moguću mjeru, među ostalim i primjenom odgovarajućih IKT alata, procesa i politika koji su uspostavljeni i kojima se upravlja u skladu s Uredbom (EU) 2022/2554 Europskog parlamenta i Vijeća (*3)te svim drugim relevantnim primjerenim alatima, kontrolama i postupcima za druge vrste operativnog rizika, uključujući za sve sustave za namiru vrijednosnih papira kojima upravlja.

(*3)  Uredba (EU) 2022/2554 Europskog parlamenta i Vijeća od 14. prosinca 2022. o digitalnoj operativnoj otpornosti za financijski sektor i izmjeni uredbi (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014, (EU) br. 909/2014 i (EU) 2016/1011 (SL L 333, 27.12.2022., str. 1..).”;"

*3

| 2. | stavak 2. briše se; |
| --- | --- |

2.

stavak 2. briše se;

| 3. | stavci 3. i 4. zamjenjuju se sljedećim:

  „3.   Za usluge koje pruža, kao i za sve sustave za namiru vrijednosnih papira kojima upravlja, CSD uspostavlja, provodi i održava primjerenu politiku kontinuiteta poslovanja i plan za oporavak u slučaju katastrofe, uključujući politiku kontinuiteta poslovanja i planove odgovora i oporavka u području IKT-a uspostavljene u skladu s Uredbom (EU) 2022/2554, kako bi osigurao očuvanje svojih usluga, pravodoban oporavak poslovanja i ispunjavanje obveza CSD-a u slučaju događaja koji predstavljaju značajan rizik za poremećaj poslovanja.


  4.   Planom iz stavka 3. predviđa se oporavak svih transakcija i pozicija sudionika u trenutku poremećaja kako bi se sudionicima CSD-a omogućilo da nastave poslovati sa sigurnošću i dovrše namiru na predviđeni datum, među ostalim i osiguravanjem da ključni IT sustavi mogu nastaviti s radom nakon poremećaja kako je predviđeno u članku 12. stavcima 5. i 7. Uredbe (EU) 2022/2554.”; |
| --- | --- |

3.

stavci 3. i 4. zamjenjuju se sljedećim:

„3.   Za usluge koje pruža, kao i za sve sustave za namiru vrijednosnih papira kojima upravlja, CSD uspostavlja, provodi i održava primjerenu politiku kontinuiteta poslovanja i plan za oporavak u slučaju katastrofe, uključujući politiku kontinuiteta poslovanja i planove odgovora i oporavka u području IKT-a uspostavljene u skladu s Uredbom (EU) 2022/2554, kako bi osigurao očuvanje svojih usluga, pravodoban oporavak poslovanja i ispunjavanje obveza CSD-a u slučaju događaja koji predstavljaju značajan rizik za poremećaj poslovanja.

4.   Planom iz stavka 3. predviđa se oporavak svih transakcija i pozicija sudionika u trenutku poremećaja kako bi se sudionicima CSD-a omogućilo da nastave poslovati sa sigurnošću i dovrše namiru na predviđeni datum, među ostalim i osiguravanjem da ključni IT sustavi mogu nastaviti s radom nakon poremećaja kako je predviđeno u članku 12. stavcima 5. i 7. Uredbe (EU) 2022/2554.”;

| 4. | stavak 6. zamjenjuje se sljedećim:

  „6.   CSD utvrđuje i prati rizike te upravlja rizicima koje bi ključni sudionici u sustavima za namiru vrijednosnih papira kojima upravlja, kao i pružatelji javnih i drugih usluga te drugi CSD-ovi ili tržišne infrastrukture, mogli predstavljati za njegov rad. Na zahtjev dostavlja nadležnim i relevantnim tijelima informacije o svakom takvom utvrđenom riziku. Također bez odgode obavješćuje nadležno tijelo i relevantna tijela o svim operativnim incidentima koji proizlaze iz tih rizika, a koji nisu povezani s IKT rizikom.”; |
| --- | --- |

4.

stavak 6. zamjenjuje se sljedećim:

„6.   CSD utvrđuje i prati rizike te upravlja rizicima koje bi ključni sudionici u sustavima za namiru vrijednosnih papira kojima upravlja, kao i pružatelji javnih i drugih usluga te drugi CSD-ovi ili tržišne infrastrukture, mogli predstavljati za njegov rad. Na zahtjev dostavlja nadležnim i relevantnim tijelima informacije o svakom takvom utvrđenom riziku. Također bez odgode obavješćuje nadležno tijelo i relevantna tijela o svim operativnim incidentima koji proizlaze iz tih rizika, a koji nisu povezani s IKT rizikom.”;

| 5. | u stavku 7. prvi podstavak zamjenjuje se sljedećim:

  „7.   ESMA, u bliskoj suradnji s članovima ESSB-a, izrađuje nacrt regulatornih tehničkih standarda kojima se preciznije utvrđuju operativni rizici iz stavaka od 1. do 6., osim IKT rizika, te metode testiranja i uklanjanja rizika ili njihova svođenja na najmanju moguću mjeru, uključujući politike kontinuiteta poslovanja i planove oporavka u slučaju katastrofe iz stavaka 3. i 4. i metode njihove procjene.”. |
| --- | --- |

5.

u stavku 7. prvi podstavak zamjenjuje se sljedećim:

„7.   ESMA, u bliskoj suradnji s članovima ESSB-a, izrađuje nacrt regulatornih tehničkih standarda kojima se preciznije utvrđuju operativni rizici iz stavaka od 1. do 6., osim IKT rizika, te metode testiranja i uklanjanja rizika ili njihova svođenja na najmanju moguću mjeru, uključujući politike kontinuiteta poslovanja i planove oporavka u slučaju katastrofe iz stavaka 3. i 4. i metode njihove procjene.”.

Članak 62.

Izmjene Uredbe (EU) br. 600/2014

Uredba (EU) br. 600/2014 mijenja se kako slijedi:

| 1. | članak 27.g mijenja se kako slijedi:






  (a) | stavak 4. zamjenjuje se sljedećim:






  „4. | APA ispunjava zahtjeve u pogledu sigurnosti mrežnih i informacijskih sustava utvrđene u Uredbi (EU) 2022/2554 Europskog parlamenta i Vijeća (*4). |
| --- | --- | --- | --- |

1.

članak 27.g mijenja se kako slijedi:

(a)

stavak 4. zamjenjuje se sljedećim:

„4.

APA ispunjava zahtjeve u pogledu sigurnosti mrežnih i informacijskih sustava utvrđene u Uredbi (EU) 2022/2554 Europskog parlamenta i Vijeća (*4).

*4

(*4)  Uredba (EU) 2022/2554 Europskog parlamenta i Vijeća od 14. prosinca 2022. o digitalnoj operativnoj otpornosti za financijski sektor i izmjeni uredbi (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014, (EU) br. 909/2014 i (EU) 2016/1011 (SL L 333, 27.12.2022., str. 1..).”;"

*4

| (b) | u stavku 8. točka (c) zamjenjuje se sljedećim:






  „(c) | konkretni organizacijski zahtjevi utvrđeni u stavcima 3. i 5.”; |
| --- | --- | --- |

(b)

u stavku 8. točka (c) zamjenjuje se sljedećim:

„(c)

konkretni organizacijski zahtjevi utvrđeni u stavcima 3. i 5.”;

| 2. | članak 27.h mijenja se kako slijedi:






  (a) | stavak 5. zamjenjuje se sljedećim:

  „5.   CTP ispunjava zahtjeve u pogledu sigurnosti mrežnih i informacijskih sustava utvrđene u Uredbi (EU) 2022/2554.”; |
| --- | --- | --- |

2.

članak 27.h mijenja se kako slijedi:

(a)

stavak 5. zamjenjuje se sljedećim:

„5.   CTP ispunjava zahtjeve u pogledu sigurnosti mrežnih i informacijskih sustava utvrđene u Uredbi (EU) 2022/2554.”;

| (b) | u stavku 8. točka (e) zamjenjuje se sljedećim:






  „(e) | konkretne organizacijske zahtjeve utvrđene u stavku 4.”; |
| --- | --- | --- |

(b)

u stavku 8. točka (e) zamjenjuje se sljedećim:

„(e)

konkretne organizacijske zahtjeve utvrđene u stavku 4.”;

| 3. | članak 27.i mijenja se kako slijedi:






  (a) | stavak 3. zamjenjuje se sljedećim:

  „3.   Ovlašteni mehanizam izvješćivanja ispunjava zahtjeve u pogledu sigurnosti mrežnih i informacijskih sustava utvrđene u Uredbi (EU) 2022/2554.”; |
| --- | --- | --- |

3.

članak 27.i mijenja se kako slijedi:

(a)

stavak 3. zamjenjuje se sljedećim:

„3.   Ovlašteni mehanizam izvješćivanja ispunjava zahtjeve u pogledu sigurnosti mrežnih i informacijskih sustava utvrđene u Uredbi (EU) 2022/2554.”;

| (b) | u stavku 5. točka (b) zamjenjuje se sljedećim:






  „(b) | konkretni organizacijski zahtjevi utvrđeni u stavcima 2. i 4.”. |
| --- | --- | --- |

(b)

u stavku 5. točka (b) zamjenjuje se sljedećim:

„(b)

konkretni organizacijski zahtjevi utvrđeni u stavcima 2. i 4.”.

Članak 63.

Izmjena Uredbe (EU) br. 2016/1011

U članku 6. Uredbe (EU) 2016/1011 dodaje se sljedeći stavak:

| „6. | Kad je riječ o ključnim referentnim vrijednostima, administrator ima uspostavljene dobre administrativne i računovodstvene postupke, mehanizme unutarnje kontrole, djelotvorne postupke za procjenu rizika i djelotvorne mehanizme kontrole i osiguranja za upravljanje IKT sustavima u skladu s Uredbom (EU) 2022/2554 Europskog parlamenta i Vijeća (*5). |
| --- | --- |

„6.

Kad je riječ o ključnim referentnim vrijednostima, administrator ima uspostavljene dobre administrativne i računovodstvene postupke, mehanizme unutarnje kontrole, djelotvorne postupke za procjenu rizika i djelotvorne mehanizme kontrole i osiguranja za upravljanje IKT sustavima u skladu s Uredbom (EU) 2022/2554 Europskog parlamenta i Vijeća (*5).

*5

Članak 64.

Stupanje na snagu i primjena

Ova Uredba stupa na snagu dvadesetog dana od dana objave u Službenom listu Europske unije.

Službenom listu Europske unije

Primjenjuje se od 17. siječnja 2025.

Ova je Uredba u cijelosti obvezujuća i izravno se primjenjuje u svim državama članicama.

Sastavljeno u Strasbourgu 14. prosinca 2022.

Za Europski parlament

Predsjednica

R. METSOLA

Za Vijeće

Predsjednik

M. BEK

---

(1)  
  SL C 343, 26.8.2021., str. 1.

1

(2)  
  SL C 155, 30.4.2021., str. 38.

2

(3)  Stajalište Europskog parlamenta od 10. studenoga 2022. (još nije objavljeno u Službenom listu) i Odluka Vijeća od 28. studenoga 2022.

3

(4)  Uredba (EU) br. 1093/2010 Europskog parlamenta i Vijeća od 24. studenoga 2010. o osnivanju europskog nadzornog tijela (Europskog nadzornog tijela za bankarstvo), kojom se izmjenjuje Odluka br. 716/2009/EZ i stavlja izvan snage Odluka Komisije 2009/78/EZ (SL L 331, 15.12.2010., str. 12.).

4

(5)  Uredba (EU) br. 1094/2010 Europskog parlamenta i Vijeća od 24. studenoga 2010. o osnivanju Europskog nadzornog tijela (Europsko nadzorno tijelo za osiguranje i strukovno mirovinsko osiguranje), o izmjeni Odluke br. 716/2009/EZ i o stavljanju izvan snage Odluke Komisije 2009/79/EZ (SL L 331, 15.12.2010., str. 48.).

5

(6)  Uredba (EU) br. 1095/2010 Europskog parlamenta i Vijeća od 24. studenoga 2010. o osnivanju europskog nadzornog tijela (Europskog nadzornog tijela za vrijednosne papire i tržišta kapitala), izmjeni Odluke br. 716/2009/EZ i stavljanju izvan snage Odluke Komisije 2009/77/EZ (SL L 331, 15.12.2010., str. 84.).

6

(7)  Direktiva (EU) 2016/1148 Europskog parlamenta i Vijeća od 6. srpnja 2016. o mjerama za visoku zajedničku razinu sigurnosti mrežnih i informacijskih sustava širom Unije (SL L 194, 19.7.2016., str. 1.).

7

(8)  Direktiva (EU) 2022/2555 Europskog parlamenta i Vijeća od 14. prosinca 2022. o mjerama za visoku zajedničku razinu kibersigurnosti širom Unije, izmjeni Uredbe (EU) br. 910/2014 i Direktive (EU) 2018/1972 i stavljanju izvan snage Direktive (EU) 2016/1148 (Direktiva NIS 2) (vidjeti stranicu 80.. ovoga Službenog lista).

8

(9)  Direktiva (EU) 2022/2557 Europskog parlamenta i Vijeća od 14. prosinca 2022. o otpornosti kritičnih subjekata i o stavljanju izvan snage Direktive Vijeća 2008/114/EZ (vidjeti stranicu 164.. ovoga Službenog lista).

9

(10)  Direktiva (EU) 2016/2341 Europskog parlamenta i Vijeća od 14. prosinca 2016. o djelatnostima i nadzoru institucija za strukovno mirovinsko osiguranje (SL L 354, 23.12.2016., str. 37.).

10

(11)  Uredba (EU) 2019/881 Europskog parlamenta i Vijeća od 17. travnja 2019. o ENISA-i (Agencija Europske unije za kibersigurnost) te o kibersigurnosnoj certifikaciji u području informacijske i komunikacijske tehnologije i stavljanju izvan snage Uredbe (EU) br. 526/2013 (Akt o kibersigurnosti) (SL L 151, 7.6.2019., str. 15.).

11

(12)  Direktiva (EU) 2015/2366 Europskog parlamenta i Vijeća od 25. studenoga 2015. o platnim uslugama na unutarnjem tržištu, o izmjeni direktiva 2002/65/EZ, 2009/110/EZ i 2013/36/EU te Uredbe (EU) br. 1093/2010 i o stavljanju izvan snage Direktive 2007/64/EZ (SL L 337, 23.12.2015., str. 35.).

12

(13)  Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL L 119, 4.5.2016., str. 1.).

13

(14)  Direktiva 2009/110/EZ Europskog parlamenta i Vijeća od 16. rujna 2009. o osnivanju, obavljanju djelatnosti i bonitetnom nadzoru poslovanja institucija za elektronički novac te o izmjeni direktiva 2005/60/EZ i 2006/48/EZ i stavljanju izvan snage Direktive 2000/46/EZ (SL L 267, 10.10.2009., str. 7.).

14

(15)  Direktiva 2013/36/EU Europskog parlamenta i Vijeća od 26. lipnja 2013. o pristupanju djelatnosti kreditnih institucija i bonitetnom nadzoru nad kreditnim institucijama, izmjeni Direktive 2002/87/EZ te stavljanju izvan snage direktiva 2006/48/EZ i 2006/49/EZ (SL L 176, 27.6.2013., str. 338.).

15

(16)  Direktiva 2011/61/EU Europskog parlamenta i Vijeća od 8. lipnja 2011. o upraviteljima alternativnih investicijskih fondova i o izmjeni direktiva 2003/41/EZ i 2009/65/EZ te uredbi (EZ) br. 1060/2009 i (EU) br. 1095/2010 (SL L 174, 1.7.2011., str. 1.).

16

(17)  Direktiva 2009/138/EZ Europskog parlamenta i Vijeća od 25. studenoga 2009. o osnivanju i obavljanju djelatnosti osiguranja i reosiguranja (Solventnost II) (SL L 335, 17.12.2009., str. 1.).

17

(18)  Direktiva 2014/65/EU Europskog parlamenta i Vijeća od 15. svibnja 2014. o tržištu financijskih instrumenata i izmjeni Direktive 2002/92/EZ i Direktive 2011/61/EU (SL L 173, 12.6.2014., str. 349.).

18

(19)  Uredba Vijeća (EU) br. 1024/2013 od 15. listopada 2013. o dodjeli određenih zadaća Europskoj središnjoj banci u vezi s politikama bonitetnog nadzora kreditnih institucija (SL L 287, 29.10.2013., str. 63.).

19

(20)  Direktiva 2014/59/EU Europskog parlamenta i Vijeća od 15. svibnja 2014. o uspostavi okvira za oporavak i sanaciju kreditnih institucija i investicijskih društava te o izmjeni Direktive Vijeća 82/891/EEZ i direktiva 2001/24/EZ, 2002/47/EZ, 2004/25/EZ, 2005/56/EZ, 2007/36/EZ, 2011/35/EU, 2012/30/EU i 2013/36/EU te uredbi (EU) br. 1093/2010 i (EU) br. 648/2012 Europskog parlamenta i Vijeća (SL L 173, 12.6.2014., str. 190.).

20

(21)  Direktiva 2013/34/EU Europskog parlamenta i Vijeća od 26. lipnja 2013. o godišnjim financijskim izvještajima, konsolidiranim financijskim izvještajima i povezanim izvješćima za određene vrste poduzeća, o izmjeni Direktive 2006/43/EZ Europskog parlamenta i Vijeća i o stavljanju izvan snage direktiva Vijeća 78/660/EEZ i 83/349/EEZ (SL L 182, 29.6.2013., str. 19.).

21

(22)  
  SL L 123, 12.5.2016., str. 1.

22

(23)  Uredba (EZ) br. 1060/2009 Europskog parlamenta i Vijeća od 16. rujna 2009. o agencijama za kreditni rejting (SL L 302, 17.11.2009., str. 1.).

23

(24)  Uredba (EU) br. 648/2012 Europskog parlamenta i Vijeća od 4. srpnja 2012. o OTC izvedenicama, središnjoj drugoj ugovornoj strani i trgovinskom repozitoriju (SL L 201, 27.7.2012., str. 1.).

24

(25)  Uredba (EU) br. 600/2014 Europskog parlamenta i Vijeća od 15. svibnja 2014. o tržištima financijskih instrumenata i izmjeni Uredbe (EU) br. 648/2012 (SL L 173, 12.6.2014., str. 84.).

25

(26)  Uredba (EU) br. 909/2014 Europskog parlamenta i Vijeća od 23. srpnja 2014. o poboljšanju namire vrijednosnih papira u Europskoj uniji i o središnjim depozitorijima vrijednosnih papira te izmjeni direktiva 98/26/EZ i 2014/65/EU te Uredbe (EU) br. 236/2012 (SL L 257, 28.8.2014., str. 1.).

26

(27)  Direktiva (EU) 2022/2556 Europskog parlamenta i Vijeća od 14. prosinca 2022. o izmjeni direktiva 2009/65/EZ, 2009/138/EZ, 2011/61/EU, 2013/36/EU, 2014/59/EU, 2014/65/EU, (EU) 2015/2366 i (EU) 2016/2341 u pogledu digitalne operativne otpornosti za financijski sektor (vidjeti stranicu 153.. ovoga Službenog lista).

27

(28)  Uredba (EU) 2016/1011 Europskog parlamenta i Vijeća od 8. lipnja 2016. o indeksima koji se upotrebljavaju kao referentne vrijednosti u financijskim instrumentima i financijskim ugovorima ili za mjerenje uspješnosti investicijskih fondova i o izmjeni direktiva 2008/48/EZ i 2014/17/EU te Uredbe (EU) br. 596/2014 (SL L 171, 29.6.2016., str. 1.).

28

(29)  Uredba (EU) 2018/1725 Europskog parlamenta i Vijeća od 23. listopada 2018. o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama, tijelima, uredima i agencijama Unije i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Uredbe (EZ) br. 45/2001 i Odluke br. 1247/2002/EZ (SL L 295, 21.11.2018., str. 39.).

29

(30)  
  SL C 229, 15.6.2021., str. 16.

30

(31)  Direktiva 2009/65/EZ Europskog parlamenta i Vijeća od 13. srpnja 2009. o usklađivanju zakona i drugih propisa u odnosu na subjekte za zajednička ulaganja u prenosive vrijednosne papire (UCITS) (SL L 302, 17.11.2009., str. 32.).

31

(32)  Uredba (EU) br. 575/2013 Europskog parlamenta i Vijeća od 26. lipnja 2013. o bonitetnim zahtjevima za kreditne institucije i o izmjeni Uredbe (EU) br. 648/2012 (SL L 176, 27.6.2013., str. 1.).

32

(33)  Uredba (EU) 2019/2033 Europskog parlamenta i Vijeća od 27. studenoga 2019. o bonitetnim zahtjevima za investicijska društva i o izmjeni uredaba (EU) br. 1093/2010, (EU) br. 575/2013, (EU) br. 600/2014 i (EU) br. 806/2014 (SL L 314, 5.12.2019., str. 1.).

33

(34)  Direktiva (EU) 2016/97 Europskog parlamenta i Vijeća od 20. siječnja 2016. o distribuciji osiguranja (SL L 26, 2.2.2016., str. 19.).

34

(35)  Uredba (EU) 2020/1503 Europskog parlamenta i Vijeća od 7. listopada 2020. o europskim pružateljima usluga skupnog financiranja za poduzeća i izmjeni Uredbe (EU) 2017/1129 i Direktive (EU) 2019/1937 (SL L 347, 20.10.2020., str. 1.).

35

(36)  Uredba (EU) 2017/2402 Europskog parlamenta i Vijeća od 12. prosinca 2017. o utvrđivanju općeg okvira za sekuritizaciju i o uspostavi specifičnog okvira za jednostavnu, transparentnu i standardiziranu sekuritizaciju te o izmjeni direktiva 2009/65/EZ, 2009/138/EZ i 2011/61/EU te uredaba (EZ) br. 1060/2009 i (EU) br. 648/2012 (SL L 347, 28.12.2017., str. 35.).

36

(37)  Uredba (EU) br. 806/2014 Europskog parlamenta i Vijeća od 15. srpnja 2014. o utvrđivanju jedinstvenih pravila i jedinstvenog postupka za sanaciju kreditnih institucija i određenih investicijskih društava u okviru jedinstvenog sanacijskog mehanizma i jedinstvenog fonda za sanaciju te o izmjeni Uredbe (EU) br. 1093/2010 (SL L 225, 30.7.2014., str. 1.).

37

(38)  Direktiva (EU) 2019/2034 Europskog parlamenta i Vijeća od 27. studenoga 2019. o bonitetnom nadzoru nad investicijskim društvima i izmjeni direktiva 2002/87/EZ, 2009/65/EZ, 2011/61/EU, 2013/36/EU, 2014/59/EU i 2014/65/EU (SL L 314, 5.12.2019., str. 64.).

38

(39)  Direktiva 2006/43/EZ Europskog parlamenta i Vijeća od 17. svibnja 2006. o zakonskim revizijama godišnjih financijskih izvještaja i konsolidiranih financijskih izvještaja, kojom se mijenjaju direktive Vijeća 78/660/EEZ i 83/349/EEZ i stavlja izvan snage Direktiva Vijeća 84/253/EEZ (SL L 157, 9.6.2006., str. 87.).

39

---

DIREKTIVE

| 27.12.2022 | HR | Službeni list Europske unije | L 333/80 |
| --- | --- | --- | --- |

27.12.2022

HR

Službeni list Europske unije

L 333/80

---

DIREKTIVA (EU) 2022/2555 EUROPSKOG PARLAMENTA I VIJEĆA

od 14. prosinca 2022.

o mjerama za visoku zajedničku razinu kibersigurnosti širom Unije, izmjeni Uredbe (EU) br. 910/2014 i Direktive (EU) 2018/1972 i stavljanju izvan snage Direktive (EU) 2016/1148 (Direktiva NIS 2)

(Tekst značajan za EGP)

EUROPSKI PARLAMENT I VIJEĆE EUROPSKE UNIJE,

uzimajući u obzir Ugovor o funkcioniranju Europske unije, a posebno njegov članak 114.,

uzimajući u obzir prijedlog Europske komisije,

nakon prosljeđivanja nacrta zakonodavnog akta nacionalnim parlamentima,

uzimajući u obzir mišljenje Europske središnje banke (1),

uzimajući u obzir mišljenje Europskoga gospodarskog i socijalnog odbora (2),

nakon savjetovanja s Odborom regija,

u skladu s redovnim zakonodavnim postupkom (3),

budući da:

| (1) | Cilj Direktive (EU) 2016/1148 Europskog parlamenta i Vijeća (4) bio je izgradnja kibersigurnosnih kapaciteta širom Unije, ublažavanje prijetnji mrežnim i informacijskim sustavima koji se upotrebljavaju za pružanje osnovnih usluga u ključnim sektorima i osiguravanje kontinuiteta takvih usluga u slučaju incidenata, čime se doprinosi sigurnosti Unije i učinkovitom funkcioniranju njezina gospodarstva i društva. |
| --- | --- |

(1)

Cilj Direktive (EU) 2016/1148 Europskog parlamenta i Vijeća (4) bio je izgradnja kibersigurnosnih kapaciteta širom Unije, ublažavanje prijetnji mrežnim i informacijskim sustavima koji se upotrebljavaju za pružanje osnovnih usluga u ključnim sektorima i osiguravanje kontinuiteta takvih usluga u slučaju incidenata, čime se doprinosi sigurnosti Unije i učinkovitom funkcioniranju njezina gospodarstva i društva.

| (2) | Od stupanja na snagu Direktive (EU) 2016/1148 ostvaren je znatan napredak u povećanju Unijine razine kiberotpornosti. Preispitivanje te direktive pokazalo je da je bila katalizator za institucionalni i regulatorni pristup kibersigurnosti u Uniji i omogućila bitnu promjenu načina razmišljanja. Njome je osiguran dovršetak nacionalnih okvira za sigurnost mrežnih i informacijskih sustava uvođenjem nacionalnih strategija za sigurnost mrežnih i informacijskih sustava te uspostavom nacionalnih kapaciteta i provedbom regulatornih mjera kojima su obuhvaćeni ključna infrastruktura i subjekti koje je utvrdila svaka država članica. Direktiva (EU) 2016/1148 doprinijela je i suradnji na razini Unije osnivanjem skupine za suradnju i mreže nacionalnih timova za odgovor na računalne sigurnosne incidente. Neovisno o tim postignućima, preispitivanjem Direktive (EU) 2016/1148 otkriveni su svojstveni nedostaci zbog kojih se njome ne može učinkovito odgovoriti na aktualne i nove izazove u području kibersigurnosti. |
| --- | --- |

(2)

Od stupanja na snagu Direktive (EU) 2016/1148 ostvaren je znatan napredak u povećanju Unijine razine kiberotpornosti. Preispitivanje te direktive pokazalo je da je bila katalizator za institucionalni i regulatorni pristup kibersigurnosti u Uniji i omogućila bitnu promjenu načina razmišljanja. Njome je osiguran dovršetak nacionalnih okvira za sigurnost mrežnih i informacijskih sustava uvođenjem nacionalnih strategija za sigurnost mrežnih i informacijskih sustava te uspostavom nacionalnih kapaciteta i provedbom regulatornih mjera kojima su obuhvaćeni ključna infrastruktura i subjekti koje je utvrdila svaka država članica. Direktiva (EU) 2016/1148 doprinijela je i suradnji na razini Unije osnivanjem skupine za suradnju i mreže nacionalnih timova za odgovor na računalne sigurnosne incidente. Neovisno o tim postignućima, preispitivanjem Direktive (EU) 2016/1148 otkriveni su svojstveni nedostaci zbog kojih se njome ne može učinkovito odgovoriti na aktualne i nove izazove u području kibersigurnosti.

| (3) | Mrežni i informacijski sustavi razvili su se u okosnicu svakodnevnog života uz brzu digitalnu transformaciju i međupovezanost društva, među ostalim u prekograničnim razmjenama. Taj je razvoj doveo do povećanja kiberprijetnji te time i novih izazova koji zahtijevaju prilagođene, koordinirane i inovativne odgovore u svim državama članicama. Incidenti su sve brojniji, sofisticiraniji, učestaliji, većih razmjera i utjecaja te predstavljaju veliku prijetnju funkcioniranju mrežnih i informacijskih sustava. Zbog toga incidenti mogu ugroziti obavljanje gospodarskih djelatnosti na unutarnjem tržištu, uzrokovati financijski gubitak, narušiti povjerenje korisnika i nanijeti veliku štetu gospodarstvu i društvu Unije. Pripravnost i djelotvornost u području kibersigurnosti sada su važnije nego ikad za pravilno funkcioniranje unutarnjeg tržišta. Nadalje, kibersigurnost je ključan čimbenik koji brojnim kritičnim sektorima omogućuje da se uspješno prilagode na digitalnu transformaciju i u potpunosti iskoriste gospodarske, socijalne i održive koristi digitalizacije. |
| --- | --- |

(3)

Mrežni i informacijski sustavi razvili su se u okosnicu svakodnevnog života uz brzu digitalnu transformaciju i međupovezanost društva, među ostalim u prekograničnim razmjenama. Taj je razvoj doveo do povećanja kiberprijetnji te time i novih izazova koji zahtijevaju prilagođene, koordinirane i inovativne odgovore u svim državama članicama. Incidenti su sve brojniji, sofisticiraniji, učestaliji, većih razmjera i utjecaja te predstavljaju veliku prijetnju funkcioniranju mrežnih i informacijskih sustava. Zbog toga incidenti mogu ugroziti obavljanje gospodarskih djelatnosti na unutarnjem tržištu, uzrokovati financijski gubitak, narušiti povjerenje korisnika i nanijeti veliku štetu gospodarstvu i društvu Unije. Pripravnost i djelotvornost u području kibersigurnosti sada su važnije nego ikad za pravilno funkcioniranje unutarnjeg tržišta. Nadalje, kibersigurnost je ključan čimbenik koji brojnim kritičnim sektorima omogućuje da se uspješno prilagode na digitalnu transformaciju i u potpunosti iskoriste gospodarske, socijalne i održive koristi digitalizacije.

| (4) | Pravna osnova Direktive (EU) 2016/1148 bio je članak 114. Ugovora o funkcioniranju Europske unije (UFEU), čiji je cilj uspostava i funkcioniranje unutarnjeg tržišta jačanjem mjera za usklađivanje nacionalnih pravila. Kibersigurnosni zahtjevi koje moraju ispunjavati subjekti koji pružaju usluge ili obavljaju djelatnosti koje su gospodarski važne znatno se razlikuju među državama članicama s obzirom na vrstu, razinu detalja i metodu nadzora tih zahtjeva. Te razlike uzrokuju dodatne troškove i stvaraju poteškoće subjektima koji robu ili usluge nude prekogranično. Zahtjevi koje je odredila jedna država članica i koji se razlikuju od onih koje je odredila druga država članica ili su čak u sukobu s njima mogu znatno utjecati na takve prekogranične djelatnosti. Nadalje, mogućnost neodgovarajuće definiranja ili provedbe kibersigurnosnih zahtjeva u jednoj državi članici može utjecati na razinu kibersigurnosti drugih država članica, posebno s obzirom na intenzitet prekograničnih razmjena. Preispitivanje Direktive (EU) 2016/1148 pokazalo je da postoje velike razlike u njezinoj provedbi u državama članicama, među ostalim u pogledu njezina područja primjene, čije je određivanje u velikoj mjeri prepušteno državama članicama. Direktivom (EU) 2016/1148 državama članicama dano je i vrlo široko diskrecijsko pravo u pogledu provedbe obveza sigurnosti i izvješćivanja o incidentima koje su u njoj utvrđene. Stoga postoje velike razlike u provedbi tih obveza na nacionalnoj razini. Slične razlike postoje i u provedbi odredaba Direktive (EU) 2016/1148 o nadzoru i izvršavanju. |
| --- | --- |

(4)

Pravna osnova Direktive (EU) 2016/1148 bio je članak 114. Ugovora o funkcioniranju Europske unije (UFEU), čiji je cilj uspostava i funkcioniranje unutarnjeg tržišta jačanjem mjera za usklađivanje nacionalnih pravila. Kibersigurnosni zahtjevi koje moraju ispunjavati subjekti koji pružaju usluge ili obavljaju djelatnosti koje su gospodarski važne znatno se razlikuju među državama članicama s obzirom na vrstu, razinu detalja i metodu nadzora tih zahtjeva. Te razlike uzrokuju dodatne troškove i stvaraju poteškoće subjektima koji robu ili usluge nude prekogranično. Zahtjevi koje je odredila jedna država članica i koji se razlikuju od onih koje je odredila druga država članica ili su čak u sukobu s njima mogu znatno utjecati na takve prekogranične djelatnosti. Nadalje, mogućnost neodgovarajuće definiranja ili provedbe kibersigurnosnih zahtjeva u jednoj državi članici može utjecati na razinu kibersigurnosti drugih država članica, posebno s obzirom na intenzitet prekograničnih razmjena. Preispitivanje Direktive (EU) 2016/1148 pokazalo je da postoje velike razlike u njezinoj provedbi u državama članicama, među ostalim u pogledu njezina područja primjene, čije je određivanje u velikoj mjeri prepušteno državama članicama. Direktivom (EU) 2016/1148 državama članicama dano je i vrlo široko diskrecijsko pravo u pogledu provedbe obveza sigurnosti i izvješćivanja o incidentima koje su u njoj utvrđene. Stoga postoje velike razlike u provedbi tih obveza na nacionalnoj razini. Slične razlike postoje i u provedbi odredaba Direktive (EU) 2016/1148 o nadzoru i izvršavanju.

| (5) | Sve te razlike dovode do fragmentacije unutarnjeg tržišta i mogu štetno utjecati na njegovo funkcioniranje, posebno na prekogranično pružanje usluga i razinu kiberotpornosti zbog primjene različitih mjera. Naposljetku, te razlike mogle bi dovesti do veće ranjivosti nekih država članica na kiberprijetnje, s mogućim učincima prelijevanja širom Unije. Cilj je ove Direktive ukloniti velike razlike među državama članicama, posebno određivanjem minimalnih pravila o funkcioniranju koordiniranog regulatornog okvira, utvrđivanjem mehanizama za djelotvornu suradnju nadležnih tijela u svakoj državi članici, ažuriranjem popisa sektora i djelatnosti koji podliježu kibersigurnosnim obvezama te osiguravanjem djelotvornih pravnih sredstava i mjera izvršavanja ključnih za djelotvorno izvršavanje tih obveza. Stoga bi Direktivu (EU) 2016/1148 trebalo staviti izvan snage i zamijeniti ovom Direktivom. |
| --- | --- |

(5)

Sve te razlike dovode do fragmentacije unutarnjeg tržišta i mogu štetno utjecati na njegovo funkcioniranje, posebno na prekogranično pružanje usluga i razinu kiberotpornosti zbog primjene različitih mjera. Naposljetku, te razlike mogle bi dovesti do veće ranjivosti nekih država članica na kiberprijetnje, s mogućim učincima prelijevanja širom Unije. Cilj je ove Direktive ukloniti velike razlike među državama članicama, posebno određivanjem minimalnih pravila o funkcioniranju koordiniranog regulatornog okvira, utvrđivanjem mehanizama za djelotvornu suradnju nadležnih tijela u svakoj državi članici, ažuriranjem popisa sektora i djelatnosti koji podliježu kibersigurnosnim obvezama te osiguravanjem djelotvornih pravnih sredstava i mjera izvršavanja ključnih za djelotvorno izvršavanje tih obveza. Stoga bi Direktivu (EU) 2016/1148 trebalo staviti izvan snage i zamijeniti ovom Direktivom.

| (6) | Stavljanjem izvan snage Direktive (EU) 2016/1148 područje primjene po sektorima trebalo bi proširiti na veći dio gospodarstva kako bi se osigurala sveobuhvatna pokrivenost sektora i usluga od velike važnosti za ključne društvene i gospodarske djelatnosti na unutarnjem tržištu. Ovom se Direktivom posebno nastoji prevladati nedostatke u razlikovanju operatora ključnih usluga od pružatelja digitalnih usluga, koje se pokazalo zastarjelim jer ne odražava važnost sektora ili usluga za društvene i gospodarske djelatnosti na unutarnjem tržištu. |
| --- | --- |

(6)

Stavljanjem izvan snage Direktive (EU) 2016/1148 područje primjene po sektorima trebalo bi proširiti na veći dio gospodarstva kako bi se osigurala sveobuhvatna pokrivenost sektora i usluga od velike važnosti za ključne društvene i gospodarske djelatnosti na unutarnjem tržištu. Ovom se Direktivom posebno nastoji prevladati nedostatke u razlikovanju operatora ključnih usluga od pružatelja digitalnih usluga, koje se pokazalo zastarjelim jer ne odražava važnost sektora ili usluga za društvene i gospodarske djelatnosti na unutarnjem tržištu.

| (7) | Na temelju Direktive (EU) 2016/1148, države članice bile su odgovorne za utvrđivanje subjekata koji ispunjavaju kriterije na temelju kojih ih se smatralo operatorima ključnih usluga. Kako bi se uklonile velike razlike među državama članicama u tom pogledu i osigurala pravna sigurnost za mjere upravljanja kibersigurnosnim rizicima i obveze izvješćivanja za sve relevantne subjekte, trebalo bi uspostaviti jedinstveni kriterij za određivanje subjekata obuhvaćenih područjem primjene ove Direktive. Taj bi se kriterij trebao sastojati od primjene pravila o veličini, prema kojem su područjem primjene ove Direktive obuhvaćeni svi subjekti koji se smatraju srednjim poduzećima na temelju članka 2. Priloga Preporuci Komisije 2003/361/EZ (5) ili koji prelaze gornje granice za srednja poduzeća iz stavka 1. tog članka i koji posluju u sektorima i pružaju vrste usluga ili obavljaju djelatnosti obuhvaćene ovom Direktivom. Države članice također bi trebale osigurati da su područjem primjene ove Direktive obuhvaćena pojedina mala poduzeća i mikropoduzeća, kako su definirana u članku 2. stavku 2. i stavku 3. tog priloga i koja ispunjavaju posebne kriterije koji pokazuju da imaju ključnu ulogu za društvo, gospodarstvo ili za određene sektore ili vrste usluga. |
| --- | --- |

(7)

Na temelju Direktive (EU) 2016/1148, države članice bile su odgovorne za utvrđivanje subjekata koji ispunjavaju kriterije na temelju kojih ih se smatralo operatorima ključnih usluga. Kako bi se uklonile velike razlike među državama članicama u tom pogledu i osigurala pravna sigurnost za mjere upravljanja kibersigurnosnim rizicima i obveze izvješćivanja za sve relevantne subjekte, trebalo bi uspostaviti jedinstveni kriterij za određivanje subjekata obuhvaćenih područjem primjene ove Direktive. Taj bi se kriterij trebao sastojati od primjene pravila o veličini, prema kojem su područjem primjene ove Direktive obuhvaćeni svi subjekti koji se smatraju srednjim poduzećima na temelju članka 2. Priloga Preporuci Komisije 2003/361/EZ (5) ili koji prelaze gornje granice za srednja poduzeća iz stavka 1. tog članka i koji posluju u sektorima i pružaju vrste usluga ili obavljaju djelatnosti obuhvaćene ovom Direktivom. Države članice također bi trebale osigurati da su područjem primjene ove Direktive obuhvaćena pojedina mala poduzeća i mikropoduzeća, kako su definirana u članku 2. stavku 2. i stavku 3. tog priloga i koja ispunjavaju posebne kriterije koji pokazuju da imaju ključnu ulogu za društvo, gospodarstvo ili za određene sektore ili vrste usluga.

| (8) | Isključenje subjekata javne uprave iz područja primjene ove Direktive trebalo bi se primjenjivati na subjekte čije se djelatnosti pretežno obavljaju u područjima nacionalne sigurnosti, javne sigurnosti, obrane ili izvršavanja zakonodavstva, uključujući sprečavanje, istragu, otkrivanje i progon kaznenih djela. Međutim, subjekti javne uprave čije su djelatnosti samo marginalno povezane s tim područjima ne bi trebali biti isključeni iz područja primjene ove Direktive. Za potrebe ove Direktive ne smatra se da subjekti s regulatornim ovlastima obavljaju djelatnosti u području izvršavanja zakonodavstva i stoga nisu isključeni iz područja primjene ove Direktive na toj osnovi. Subjekti javne uprave koji su zajednički osnovani s trećom zemljom u skladu s međunarodnim sporazumom isključeni su iz područja primjene ove Direktive. Ova se Direktiva ne primjenjuje na diplomatske i konzularne misije država članica u trećim zemljama ili na njihove mrežne i informacijske sustave ako se takvi sustavi nalaze u prostorijama misije ili ih koriste korisnici u trećoj zemlji. |
| --- | --- |

(8)

Isključenje subjekata javne uprave iz područja primjene ove Direktive trebalo bi se primjenjivati na subjekte čije se djelatnosti pretežno obavljaju u područjima nacionalne sigurnosti, javne sigurnosti, obrane ili izvršavanja zakonodavstva, uključujući sprečavanje, istragu, otkrivanje i progon kaznenih djela. Međutim, subjekti javne uprave čije su djelatnosti samo marginalno povezane s tim područjima ne bi trebali biti isključeni iz područja primjene ove Direktive. Za potrebe ove Direktive ne smatra se da subjekti s regulatornim ovlastima obavljaju djelatnosti u području izvršavanja zakonodavstva i stoga nisu isključeni iz područja primjene ove Direktive na toj osnovi. Subjekti javne uprave koji su zajednički osnovani s trećom zemljom u skladu s međunarodnim sporazumom isključeni su iz područja primjene ove Direktive. Ova se Direktiva ne primjenjuje na diplomatske i konzularne misije država članica u trećim zemljama ili na njihove mrežne i informacijske sustave ako se takvi sustavi nalaze u prostorijama misije ili ih koriste korisnici u trećoj zemlji.

| (9) | Države članice trebale bi moći poduzeti mjere potrebne za osiguranje zaštite osnovnih interesa nacionalne sigurnosti, za zaštitu javne politike i javne sigurnosti te za omogućivanje sprečavanja, istrage, otkrivanja i progona kaznenih djela. U tu svrhu države članice trebale bi moći izuzeti određene subjekte koji obavljaju djelatnosti u području nacionalne sigurnosti, javne sigurnosti, obrane ili izvršavanja zakonodavstva, uključujući sprečavanje, istragu, otkrivanje i progon kaznenih djela, od ispunjavanja određenih obveza utvrđenih u ovoj Direktivi u pogledu tih aktivnosti. Ako subjekt pruža usluge isključivo subjektu javne uprave koji je isključen iz područja primjene ove Direktive, države članice trebale bi moći izuzeti taj subjekt od ispunjavanja određenih obveza utvrđenih u ovoj Direktivi u pogledu tih usluga. Osim toga, nijedna država članica ne bi trebala biti obvezna davati informacije ako smatra da bi njihovo otkrivanje bilo suprotno osnovnim interesima njezine nacionalne sigurnosti, javne sigurnosti ili obrane. U tom kontekstu trebalo bi uzeti u obzir Unijina ili nacionalna pravila za zaštitu klasificiranih podataka, sporazume o povjerljivosti podataka i neformalne sporazume o povjerljivosti podataka kao što je Protokol o semaforu. Protokol o semaforu treba shvatiti kao sredstvo za pružanje informacija o svim ograničenjima u pogledu daljnjeg širenja informacija. Upotrebljava se u gotovo svim timovima za odgovor na računalne sigurnosne incidente (CSIRT-ovi) te u nekim centrima za analizu i razmjenu informacija. |
| --- | --- |

(9)

Države članice trebale bi moći poduzeti mjere potrebne za osiguranje zaštite osnovnih interesa nacionalne sigurnosti, za zaštitu javne politike i javne sigurnosti te za omogućivanje sprečavanja, istrage, otkrivanja i progona kaznenih djela. U tu svrhu države članice trebale bi moći izuzeti određene subjekte koji obavljaju djelatnosti u području nacionalne sigurnosti, javne sigurnosti, obrane ili izvršavanja zakonodavstva, uključujući sprečavanje, istragu, otkrivanje i progon kaznenih djela, od ispunjavanja određenih obveza utvrđenih u ovoj Direktivi u pogledu tih aktivnosti. Ako subjekt pruža usluge isključivo subjektu javne uprave koji je isključen iz područja primjene ove Direktive, države članice trebale bi moći izuzeti taj subjekt od ispunjavanja određenih obveza utvrđenih u ovoj Direktivi u pogledu tih usluga. Osim toga, nijedna država članica ne bi trebala biti obvezna davati informacije ako smatra da bi njihovo otkrivanje bilo suprotno osnovnim interesima njezine nacionalne sigurnosti, javne sigurnosti ili obrane. U tom kontekstu trebalo bi uzeti u obzir Unijina ili nacionalna pravila za zaštitu klasificiranih podataka, sporazume o povjerljivosti podataka i neformalne sporazume o povjerljivosti podataka kao što je Protokol o semaforu. Protokol o semaforu treba shvatiti kao sredstvo za pružanje informacija o svim ograničenjima u pogledu daljnjeg širenja informacija. Upotrebljava se u gotovo svim timovima za odgovor na računalne sigurnosne incidente (CSIRT-ovi) te u nekim centrima za analizu i razmjenu informacija.

| (10) | Iako se ova Direktiva primjenjuje na subjekte koji obavljaju djelatnosti proizvodnje električne energije iz nuklearnih elektrana, neke od tih djelatnosti mogu biti povezane s nacionalnom sigurnošću. Ako je to slučaj, država članica trebala bi moći izvršavati svoju odgovornost za zaštitu nacionalne sigurnosti u pogledu tih djelatnosti, uključujući djelatnosti unutar nuklearnog vrijednosnog lanca, u skladu s Ugovorima. |
| --- | --- |

(10)

Iako se ova Direktiva primjenjuje na subjekte koji obavljaju djelatnosti proizvodnje električne energije iz nuklearnih elektrana, neke od tih djelatnosti mogu biti povezane s nacionalnom sigurnošću. Ako je to slučaj, država članica trebala bi moći izvršavati svoju odgovornost za zaštitu nacionalne sigurnosti u pogledu tih djelatnosti, uključujući djelatnosti unutar nuklearnog vrijednosnog lanca, u skladu s Ugovorima.

| (11) | Neki subjekti obavljaju djelatnosti u područjima nacionalne sigurnosti, javne sigurnosti, obrane ili izvršavanja zakonodavstva, uključujući sprečavanje, istragu, otkrivanje i progon kaznenih djela istodobno pružajući usluge povjerenja. Pružatelji usluga povjerenja koji su obuhvaćeni područjem primjene Uredbe (EU) br. 910/2014 Europskog parlamenta i Vijeća (6) trebali bi biti obuhvaćeni područjem primjene ove Direktive kako bi se osigurala razina sigurnosnih zahtjeva i nadzora jednaka onoj koja je prethodno utvrđena u toj uredbi u vezi pružatelja usluga povjerenja. U skladu s isključenjem određenih posebnih usluga iz Uredbe (EU) br. 910/2014, ova Direktiva ne bi se trebala primjenjivati na pružanje usluga povjerenja koje se isključivo koriste unutar zatvorenih sustava koji proizlaze iz nacionalnog prava ili iz sporazumâ među utvrđenom skupinom sudionika. |
| --- | --- |

(11)

Neki subjekti obavljaju djelatnosti u područjima nacionalne sigurnosti, javne sigurnosti, obrane ili izvršavanja zakonodavstva, uključujući sprečavanje, istragu, otkrivanje i progon kaznenih djela istodobno pružajući usluge povjerenja. Pružatelji usluga povjerenja koji su obuhvaćeni područjem primjene Uredbe (EU) br. 910/2014 Europskog parlamenta i Vijeća (6) trebali bi biti obuhvaćeni područjem primjene ove Direktive kako bi se osigurala razina sigurnosnih zahtjeva i nadzora jednaka onoj koja je prethodno utvrđena u toj uredbi u vezi pružatelja usluga povjerenja. U skladu s isključenjem određenih posebnih usluga iz Uredbe (EU) br. 910/2014, ova Direktiva ne bi se trebala primjenjivati na pružanje usluga povjerenja koje se isključivo koriste unutar zatvorenih sustava koji proizlaze iz nacionalnog prava ili iz sporazumâ među utvrđenom skupinom sudionika.

| (12) | Pružatelji poštanskih usluga, kako su definirani u Direktivi 97/67/EZ Europskog parlamenta i Vijeća (7), uključujući pružatelje kurirskih usluga, trebali bi podlijegati ovoj Direktivi ako poduzimaju barem jedan od koraka u poštanskom lancu dostave, posebno prikupljanje, razvrstavanjem prijevoz ili dostavu poštanskih pošiljaka, uključujući i usluge preuzimanja, uzimajući u obzir stupanj njihove ovisnosti o mrežnim i informacijskim sustavima. Usluge prijevoza koje se ne poduzimaju u kombinaciji s jednim od tih koraka trebale bi biti isključene iz opsega poštanskih usluga. |
| --- | --- |

(12)

Pružatelji poštanskih usluga, kako su definirani u Direktivi 97/67/EZ Europskog parlamenta i Vijeća (7), uključujući pružatelje kurirskih usluga, trebali bi podlijegati ovoj Direktivi ako poduzimaju barem jedan od koraka u poštanskom lancu dostave, posebno prikupljanje, razvrstavanjem prijevoz ili dostavu poštanskih pošiljaka, uključujući i usluge preuzimanja, uzimajući u obzir stupanj njihove ovisnosti o mrežnim i informacijskim sustavima. Usluge prijevoza koje se ne poduzimaju u kombinaciji s jednim od tih koraka trebale bi biti isključene iz opsega poštanskih usluga.

| (13) | S obzirom na jačanje i povećanu sofisticiranost kiberprijetnji, države članice trebale bi nastojati osigurati da subjekti isključeni iz područja primjene ove Direktive ostvare visoku razinu kibersigurnosti i poduprijeti provedbu jednakovrijednih mjera upravljanja kibersigurnosnim rizicima koje odražavaju osjetljivu prirodu tih subjekata. |
| --- | --- |

(13)

S obzirom na jačanje i povećanu sofisticiranost kiberprijetnji, države članice trebale bi nastojati osigurati da subjekti isključeni iz područja primjene ove Direktive ostvare visoku razinu kibersigurnosti i poduprijeti provedbu jednakovrijednih mjera upravljanja kibersigurnosnim rizicima koje odražavaju osjetljivu prirodu tih subjekata.

| (14) | Pravo Unije o zaštiti podataka i pravo Unije o zaštiti privatnosti primjenjuje se na svaku obradu osobnih podataka na temelju ove Direktive. Posebno, ovom Direktivom ne dovodi se u pitanje Uredba (EU) 2016/679 Europskog parlamenta i Vijeća (8) i Direktiva 2002/58/EZ Europskog parlamenta i Vijeća (9). Ova Direktiva stoga ne bi trebala utjecati, među ostalim, na zadaće i ovlasti tijela nadležnih za praćenje usklađenosti s primjenjivim pravom Unije o zaštiti podataka i pravom Unije o zaštiti privatnosti. |
| --- | --- |

(14)

Pravo Unije o zaštiti podataka i pravo Unije o zaštiti privatnosti primjenjuje se na svaku obradu osobnih podataka na temelju ove Direktive. Posebno, ovom Direktivom ne dovodi se u pitanje Uredba (EU) 2016/679 Europskog parlamenta i Vijeća (8) i Direktiva 2002/58/EZ Europskog parlamenta i Vijeća (9). Ova Direktiva stoga ne bi trebala utjecati, među ostalim, na zadaće i ovlasti tijela nadležnih za praćenje usklađenosti s primjenjivim pravom Unije o zaštiti podataka i pravom Unije o zaštiti privatnosti.

| (15) | Subjekti obuhvaćeni područjem primjene ove Direktive za potrebe usklađenosti s mjerama upravljanja kibersigurnosnim rizicima i obvezama izvješćivanja trebali bi biti razvrstani u dvije kategorije, ključne subjekte i važne subjekte, ovisno o mjeri u kojoj su kritični s obzirom na njihov sektor ili vrstu usluga koje pružaju, kao i njihovu veličinu. U tom bi pogledu nadležna tijela, ako je to primjenjivo, u obzir trebala uzeti sve relevantne sektorske procjene rizika ili smjernice. Sustavi nadzora i izvršavanja za te dvije kategorije subjekata trebali bi se razlikovati kako bi se osigurala pravedna ravnoteža između zahtjeva i obveza utemeljenih na procjeni rizika s jedne strane te administrativnog opterećenja koje proizlazi iz nadzora usklađenosti s druge strane. |
| --- | --- |

(15)

Subjekti obuhvaćeni područjem primjene ove Direktive za potrebe usklađenosti s mjerama upravljanja kibersigurnosnim rizicima i obvezama izvješćivanja trebali bi biti razvrstani u dvije kategorije, ključne subjekte i važne subjekte, ovisno o mjeri u kojoj su kritični s obzirom na njihov sektor ili vrstu usluga koje pružaju, kao i njihovu veličinu. U tom bi pogledu nadležna tijela, ako je to primjenjivo, u obzir trebala uzeti sve relevantne sektorske procjene rizika ili smjernice. Sustavi nadzora i izvršavanja za te dvije kategorije subjekata trebali bi se razlikovati kako bi se osigurala pravedna ravnoteža između zahtjeva i obveza utemeljenih na procjeni rizika s jedne strane te administrativnog opterećenja koje proizlazi iz nadzora usklađenosti s druge strane.

| (16) | Kako bi se izbjeglo da se subjekti koji imaju partnerska poduzeća ili povezana poduzeća smatraju ključnim ili važnim subjektima ako bi to bilo nerazmjerno, države članice pri primjeni članka 6. stavka 2. Priloga Preporuci 2003/361/EZ mogu uzeti u obzir stupanj neovisnosti subjekta u odnosu na njegova partnerska ili povezana poduzeća. Posebno, države članice mogu uzeti u obzir činjenicu da je subjekt neovisan o svojim partnerskim ili povezanim poduzećima u pogledu mrežnih i informacijskih sustava kojima se taj subjekt koristi u pružanju svojih usluga i u pogledu usluga koje subjekt pruža. Na temelju toga, države članice, prema potrebi, mogu zauzeti stav da se takav subjekt ne smatra srednjim poduzećem na temelju članka 2. Priloga Preporuci 2003/361/EZ ili da ne prelazi gornje granice za srednje poduzeće iz stavka 1. tog članka, ako se, nakon uzimanja u obzir stupnja neovisnosti tog subjekta, ne bi smatralo da je taj subjekt srednje poduzeće ili da premašuje te gornje granice da su u obzir uzeti samo njegovi vlastiti podaci. To ne utječe na obveze utvrđene u ovoj Direktivi za partnerska i povezana poduzeća koja su obuhvaćena područjem primjene ove Direktive. |
| --- | --- |

(16)

Kako bi se izbjeglo da se subjekti koji imaju partnerska poduzeća ili povezana poduzeća smatraju ključnim ili važnim subjektima ako bi to bilo nerazmjerno, države članice pri primjeni članka 6. stavka 2. Priloga Preporuci 2003/361/EZ mogu uzeti u obzir stupanj neovisnosti subjekta u odnosu na njegova partnerska ili povezana poduzeća. Posebno, države članice mogu uzeti u obzir činjenicu da je subjekt neovisan o svojim partnerskim ili povezanim poduzećima u pogledu mrežnih i informacijskih sustava kojima se taj subjekt koristi u pružanju svojih usluga i u pogledu usluga koje subjekt pruža. Na temelju toga, države članice, prema potrebi, mogu zauzeti stav da se takav subjekt ne smatra srednjim poduzećem na temelju članka 2. Priloga Preporuci 2003/361/EZ ili da ne prelazi gornje granice za srednje poduzeće iz stavka 1. tog članka, ako se, nakon uzimanja u obzir stupnja neovisnosti tog subjekta, ne bi smatralo da je taj subjekt srednje poduzeće ili da premašuje te gornje granice da su u obzir uzeti samo njegovi vlastiti podaci. To ne utječe na obveze utvrđene u ovoj Direktivi za partnerska i povezana poduzeća koja su obuhvaćena područjem primjene ove Direktive.

| (17) | Države članice trebale bi moći odlučiti da se subjekti utvrđeni prije stupanja na snagu ove Direktive kao operatori ključnih usluga u skladu s Direktivom (EU) 2016/1148 trebaju smatrati ključnim subjektima. |
| --- | --- |

(17)

Države članice trebale bi moći odlučiti da se subjekti utvrđeni prije stupanja na snagu ove Direktive kao operatori ključnih usluga u skladu s Direktivom (EU) 2016/1148 trebaju smatrati ključnim subjektima.

| (18) | Kako bi se osigurao jasan pregled subjekata obuhvaćenih područjem primjene ove Direktive, države članice trebale bi utvrditi popis ključnih i važnih subjekata te subjekata koji pružaju usluge registracije naziva domena. U tu bi svrhu države članice od subjekata trebale zahtijevati da nadležnim tijelima dostave barem sljedeće informacije, odnosno ime, adresu i ažurirane podatke za kontakt, uključujući adrese e-pošte, IP raspone i telefonske brojeve subjekta, i, ako je to primjenjivo, relevantni sektor i podsektor iz prilogâ te, ako je to primjenjivo, popis država članica u kojima pružaju usluge obuhvaćene područjem primjene ove Direktive. U tu bi svrhu Komisija, uz pomoć Agencije Europske unije za kibersigurnost (ENISA), trebala bez nepotrebne odgode pružiti smjernice i predloške u vezi s obvezom dostavljanja informacija. Kako bi se olakšalo utvrđivanje i ažuriranje popisa ključnih i važnih subjekata te subjekata koji pružaju usluge registracije naziva domena, države članice trebale bi moći uspostaviti nacionalne mehanizme za registraciju subjekata. Ako na nacionalnoj razini postoje registri, države članice mogu odlučiti o odgovarajućim mehanizmima koji omogućuju utvrđivanje subjekata obuhvaćenih područjem primjene ove Direktive. |
| --- | --- |

(18)

Kako bi se osigurao jasan pregled subjekata obuhvaćenih područjem primjene ove Direktive, države članice trebale bi utvrditi popis ključnih i važnih subjekata te subjekata koji pružaju usluge registracije naziva domena. U tu bi svrhu države članice od subjekata trebale zahtijevati da nadležnim tijelima dostave barem sljedeće informacije, odnosno ime, adresu i ažurirane podatke za kontakt, uključujući adrese e-pošte, IP raspone i telefonske brojeve subjekta, i, ako je to primjenjivo, relevantni sektor i podsektor iz prilogâ te, ako je to primjenjivo, popis država članica u kojima pružaju usluge obuhvaćene područjem primjene ove Direktive. U tu bi svrhu Komisija, uz pomoć Agencije Europske unije za kibersigurnost (ENISA), trebala bez nepotrebne odgode pružiti smjernice i predloške u vezi s obvezom dostavljanja informacija. Kako bi se olakšalo utvrđivanje i ažuriranje popisa ključnih i važnih subjekata te subjekata koji pružaju usluge registracije naziva domena, države članice trebale bi moći uspostaviti nacionalne mehanizme za registraciju subjekata. Ako na nacionalnoj razini postoje registri, države članice mogu odlučiti o odgovarajućim mehanizmima koji omogućuju utvrđivanje subjekata obuhvaćenih područjem primjene ove Direktive.

| (19) | Države članice trebale bi biti odgovorne za to da se Komisiji dostavi barem broj ključnih i važnih subjekata za svaki sektor i podsektor iz prilogâ, zajedno s relevantnim informacijama o broju utvrđenih subjekata te o odredbi iz ove Direktive na temelju koje su utvrđeni i vrsti usluge koju pružaju. Države članice potiču se da s Komisijom razmjenjuju informacije o ključnim i važnim subjektima te, u slučaju kibersigurnosnog incidenta velikih razmjera, relevantne informacije kao što je naziv predmetnog subjekta. |
| --- | --- |

(19)

Države članice trebale bi biti odgovorne za to da se Komisiji dostavi barem broj ključnih i važnih subjekata za svaki sektor i podsektor iz prilogâ, zajedno s relevantnim informacijama o broju utvrđenih subjekata te o odredbi iz ove Direktive na temelju koje su utvrđeni i vrsti usluge koju pružaju. Države članice potiču se da s Komisijom razmjenjuju informacije o ključnim i važnim subjektima te, u slučaju kibersigurnosnog incidenta velikih razmjera, relevantne informacije kao što je naziv predmetnog subjekta.

| (20) | Komisija bi, u suradnji sa skupinom za suradnju i nakon savjetovanja s relevantnim dionicima, trebala pružiti smjernice o provedbi kriterija koji se primjenjuju na mikropoduzeća i mala poduzeća u svrhu ocjenjivanja jesu li obuhvaćena područjem primjene ove Direktive. Komisija bi također trebala osigurati da se svim mikropoduzećima i malim poduzećima koja su obuhvaćena područjem primjene ove Direktive daju odgovarajuće smjernice. Komisija bi, uz pomoć država članica, mikropoduzećima i malim poduzećima trebala staviti na raspolaganje informacije u tom pogledu. |
| --- | --- |

(20)

Komisija bi, u suradnji sa skupinom za suradnju i nakon savjetovanja s relevantnim dionicima, trebala pružiti smjernice o provedbi kriterija koji se primjenjuju na mikropoduzeća i mala poduzeća u svrhu ocjenjivanja jesu li obuhvaćena područjem primjene ove Direktive. Komisija bi također trebala osigurati da se svim mikropoduzećima i malim poduzećima koja su obuhvaćena područjem primjene ove Direktive daju odgovarajuće smjernice. Komisija bi, uz pomoć država članica, mikropoduzećima i malim poduzećima trebala staviti na raspolaganje informacije u tom pogledu.

| (21) | Komisija bi, kako bi pomogla državama članicama u provedbi odredaba ove Direktive, mogla pružiti smjernice o području primjene i ocjenjivanju proporcionalnosti mjera koje treba poduzeti u skladu s ovom Direktivom, posebno u pogledu subjekata sa složenim poslovnim modelima ili poslovnim okruženjima, pri čemu subjekt može istodobno ispunjavati kriterije dodijeljene i ključnim i važnim subjektima ili istodobno obavljati djelatnosti od kojih su neke obuhvaćene područjem primjene ove Direktive, a neke isključene iz područja primjene ove Direktive. |
| --- | --- |

(21)

Komisija bi, kako bi pomogla državama članicama u provedbi odredaba ove Direktive, mogla pružiti smjernice o području primjene i ocjenjivanju proporcionalnosti mjera koje treba poduzeti u skladu s ovom Direktivom, posebno u pogledu subjekata sa složenim poslovnim modelima ili poslovnim okruženjima, pri čemu subjekt može istodobno ispunjavati kriterije dodijeljene i ključnim i važnim subjektima ili istodobno obavljati djelatnosti od kojih su neke obuhvaćene područjem primjene ove Direktive, a neke isključene iz područja primjene ove Direktive.

| (22) | Ovom Direktivom utvrđuju se osnovna razina mjera upravljanja kibersigurnosnim rizicima i obveze izvješćivanja u svim sektorima koji su obuhvaćeni njezinim područjem primjene. Kako bi se izbjegla rascjepkanost odredaba o kibersigurnosti u pravnim aktima Unije, kada se dodatni sektorski pravni akti Unije koji se odnose na mjere upravljanja kibersigurnosnim rizicima i obveze izvješćivanja smatraju nužnima kako bi se osigurala visoka razina kibersigurnosti širom Unije, Komisija bi trebala procijeniti mogu li se takve dodatne odredbe propisati u provedbenom aktu na temelju ove Direktive. Ako takvi provedbeni akti nisu prikladni za tu svrhu, sektorski pravni akti Unije mogli bi doprinijeti osiguravanju visoke razine kibersigurnosti širom Unije, uzimajući pritom u potpunosti u obzir posebnosti i složenosti predmetnih sektora. U tu svrhu, ovom se Direktivom ne sprečava donošenje dodatnih sektorskih pravnih akata Unije koji se odnose na mjere upravljanja kibersigurnosnim rizicima i obveze izvješćivanja koji propisno uzimaju u obzir potrebu za sveobuhvatnim i dosljednim okvirom za kibersigurnost. Ovom se Direktivom ne dovode u pitanje postojeće provedbene ovlasti dodijeljene Komisiji u brojnim sektorima, uključujući promet i energetiku. |
| --- | --- |

(22)

Ovom Direktivom utvrđuju se osnovna razina mjera upravljanja kibersigurnosnim rizicima i obveze izvješćivanja u svim sektorima koji su obuhvaćeni njezinim područjem primjene. Kako bi se izbjegla rascjepkanost odredaba o kibersigurnosti u pravnim aktima Unije, kada se dodatni sektorski pravni akti Unije koji se odnose na mjere upravljanja kibersigurnosnim rizicima i obveze izvješćivanja smatraju nužnima kako bi se osigurala visoka razina kibersigurnosti širom Unije, Komisija bi trebala procijeniti mogu li se takve dodatne odredbe propisati u provedbenom aktu na temelju ove Direktive. Ako takvi provedbeni akti nisu prikladni za tu svrhu, sektorski pravni akti Unije mogli bi doprinijeti osiguravanju visoke razine kibersigurnosti širom Unije, uzimajući pritom u potpunosti u obzir posebnosti i složenosti predmetnih sektora. U tu svrhu, ovom se Direktivom ne sprečava donošenje dodatnih sektorskih pravnih akata Unije koji se odnose na mjere upravljanja kibersigurnosnim rizicima i obveze izvješćivanja koji propisno uzimaju u obzir potrebu za sveobuhvatnim i dosljednim okvirom za kibersigurnost. Ovom se Direktivom ne dovode u pitanje postojeće provedbene ovlasti dodijeljene Komisiji u brojnim sektorima, uključujući promet i energetiku.

| (23) | Ako sektorski pravni akti sadržavaju odredbe kojima se od ključnih ili važnih subjekata zahtijeva donošenje mjera upravljanja kibersigurnosnim rizicima ili obavješćivanje o značajnim incidentima i ako su ti zahtjevi barem po učinku jednakovrijedni obvezama utvrđenima u ovoj Direktivi, te bi se odredbe, uključujući odredbe o nadzoru i izvršavanju, trebale primjenjivati na te subjekte. Ako sektorski pravni akt Unije ne obuhvaća sve subjekte u određenom sektoru koji su obuhvaćeni područjem primjene ove Direktive, relevantne odredbe ove Direktive i dalje bi se trebale primjenjivati na subjekte koji nisu obuhvaćeni tim aktom. |
| --- | --- |

(23)

Ako sektorski pravni akti sadržavaju odredbe kojima se od ključnih ili važnih subjekata zahtijeva donošenje mjera upravljanja kibersigurnosnim rizicima ili obavješćivanje o značajnim incidentima i ako su ti zahtjevi barem po učinku jednakovrijedni obvezama utvrđenima u ovoj Direktivi, te bi se odredbe, uključujući odredbe o nadzoru i izvršavanju, trebale primjenjivati na te subjekte. Ako sektorski pravni akt Unije ne obuhvaća sve subjekte u određenom sektoru koji su obuhvaćeni područjem primjene ove Direktive, relevantne odredbe ove Direktive i dalje bi se trebale primjenjivati na subjekte koji nisu obuhvaćeni tim aktom.

| (24) | Ako se odredbama sektorskog pravnog akta Unije od ključnih ili važnih subjekata zahtijeva ispunjavanje obveza izvješćivanja koje su barem po učinku jednakovrijedne obvezama izvješćivanja utvrđene u ovoj Direktivi, trebalo bi osigurati dosljednost i djelotvornost postupanja s obavijestima o incidentima. U tu bi svrhu odredbama sektorskog pravnog akta Unije u vezi s obavješćivanjem o incidentima CSIRT-ovima, nadležnim tijelima ili jedinstvenim kontaktnim točkama za kibersigurnost (jedinstvene kontaktne točke) na temelju ove Direktive trebalo omogućiti neposredan pristup obavijestima o incidentima podnesenima u skladu sa sektorskim pravnim aktom Unije. Konkretno, takav se neposredan pristup može osigurati ako se obavijesti o incidentima bez nepotrebne odgode prosljeđuju CSIRT-u, nadležnom tijelu ili jedinstvenoj kontaktnoj točki u skladu s ovom Direktivom. Prema potrebi, države članice trebale bi uspostaviti mehanizam automatskog i izravnog izvješćivanja kojim se osigurava sustavna i neposredna razmjena informacija s CSIRT-ovima, nadležnim tijelima ili jedinstvenim kontaktnim točkama u pogledu postupanja s takvim obavijestima o incidentima. U svrhu pojednostavnjenja izvješćivanja i provedbe mehanizma automatskog i izravnog izvješćivanja, države članice mogle bi se, u skladu sa sektorskim pravnim aktom Unije, koristiti jedinstvenom ulaznom točkom. |
| --- | --- |

(24)

Ako se odredbama sektorskog pravnog akta Unije od ključnih ili važnih subjekata zahtijeva ispunjavanje obveza izvješćivanja koje su barem po učinku jednakovrijedne obvezama izvješćivanja utvrđene u ovoj Direktivi, trebalo bi osigurati dosljednost i djelotvornost postupanja s obavijestima o incidentima. U tu bi svrhu odredbama sektorskog pravnog akta Unije u vezi s obavješćivanjem o incidentima CSIRT-ovima, nadležnim tijelima ili jedinstvenim kontaktnim točkama za kibersigurnost (jedinstvene kontaktne točke) na temelju ove Direktive trebalo omogućiti neposredan pristup obavijestima o incidentima podnesenima u skladu sa sektorskim pravnim aktom Unije. Konkretno, takav se neposredan pristup može osigurati ako se obavijesti o incidentima bez nepotrebne odgode prosljeđuju CSIRT-u, nadležnom tijelu ili jedinstvenoj kontaktnoj točki u skladu s ovom Direktivom. Prema potrebi, države članice trebale bi uspostaviti mehanizam automatskog i izravnog izvješćivanja kojim se osigurava sustavna i neposredna razmjena informacija s CSIRT-ovima, nadležnim tijelima ili jedinstvenim kontaktnim točkama u pogledu postupanja s takvim obavijestima o incidentima. U svrhu pojednostavnjenja izvješćivanja i provedbe mehanizma automatskog i izravnog izvješćivanja, države članice mogle bi se, u skladu sa sektorskim pravnim aktom Unije, koristiti jedinstvenom ulaznom točkom.

| (25) | Sektorskim pravnim aktima Unije kojima su predviđene mjere upravljanja kibersigurnosnim rizicima ili obveze izvješćivanja koje su barem po učinku jednakovrijedne onima utvrđenima u ovoj Direktivi moglo bi se predvidjeti da nadležna tijela na temelju takvih akata izvršavaju svoje nadzorne ovlasti i ovlasti izvršavanja u vezi s takvim mjerama ili obvezama uz pomoć nadležnih tijela na temelju ove Direktive. Predmetna nadležna tijela mogla bi u tu svrhu uspostaviti dogovore o suradnji. Takvim dogovorima o suradnji mogli bi se, među ostalim, utvrditi postupci koji se odnose na koordinaciju nadzornih aktivnosti, uključujući postupke istraga i inspekcije na lokaciji u skladu s nacionalnim pravom te mehanizam za razmjenu relevantnih informacija o nadzoru i izvršavanju među nadležnim tijelima, uključujući pristup informacijama povezanima s kibersigurnošću koje zahtijevaju nadležna tijela na temelju ove Direktive. |
| --- | --- |

(25)

Sektorskim pravnim aktima Unije kojima su predviđene mjere upravljanja kibersigurnosnim rizicima ili obveze izvješćivanja koje su barem po učinku jednakovrijedne onima utvrđenima u ovoj Direktivi moglo bi se predvidjeti da nadležna tijela na temelju takvih akata izvršavaju svoje nadzorne ovlasti i ovlasti izvršavanja u vezi s takvim mjerama ili obvezama uz pomoć nadležnih tijela na temelju ove Direktive. Predmetna nadležna tijela mogla bi u tu svrhu uspostaviti dogovore o suradnji. Takvim dogovorima o suradnji mogli bi se, među ostalim, utvrditi postupci koji se odnose na koordinaciju nadzornih aktivnosti, uključujući postupke istraga i inspekcije na lokaciji u skladu s nacionalnim pravom te mehanizam za razmjenu relevantnih informacija o nadzoru i izvršavanju među nadležnim tijelima, uključujući pristup informacijama povezanima s kibersigurnošću koje zahtijevaju nadležna tijela na temelju ove Direktive.

| (26) | Ako se sektorskim pravnim aktima Unije zahtijeva ili se subjektima pružaju poticaji za obavješćivanje o ozbiljnim kiberprijetnjama, države članice trebale bi poticati i razmjenu ozbiljnih kiberprijetnji s CSIRT-ovima, nadležnim tijelima ili jedinstvenim kontaktnim točkama u skladu s ovom Direktivom kako bi se osigurala veća razina osviještenosti tih tijela o kiberprijetnjama i kako bi im se omogućilo da učinkovito i pravodobno odgovore u slučaju da se ozbiljne kiberprijetnje ostvare. |
| --- | --- |

(26)

Ako se sektorskim pravnim aktima Unije zahtijeva ili se subjektima pružaju poticaji za obavješćivanje o ozbiljnim kiberprijetnjama, države članice trebale bi poticati i razmjenu ozbiljnih kiberprijetnji s CSIRT-ovima, nadležnim tijelima ili jedinstvenim kontaktnim točkama u skladu s ovom Direktivom kako bi se osigurala veća razina osviještenosti tih tijela o kiberprijetnjama i kako bi im se omogućilo da učinkovito i pravodobno odgovore u slučaju da se ozbiljne kiberprijetnje ostvare.

| (27) | U budućim sektorskim pravnim aktima Unije trebalo bi uzeti u obzir definicije te okvir za nadzor i izvršavanje utvrđen u ovoj Direktivi. |
| --- | --- |

(27)

U budućim sektorskim pravnim aktima Unije trebalo bi uzeti u obzir definicije te okvir za nadzor i izvršavanje utvrđen u ovoj Direktivi.

| (28) | Uredbu (EU) 2022/2554 Europskog parlamenta i Vijeća (10) trebalo bi smatrati sektorskim pravnim aktom Unije u odnosu na ovu Direktivu u pogledu financijskih subjekata. Umjesto odredaba predviđenih ovom Direktivom trebale bi se primjenjivati odredbe Uredbe (EU) 2022/2554 koje se odnose na upravljanje rizicima informacijskih i komunikacijskih tehnologija (IKT), upravljanje IKT incidentima, a posebno izvješćivanje o značajnim IKT incidentima, kao i na testiranje digitalne operativne otpornosti, mehanizme razmjene informacija i IKT rizik treće strane. Države članice stoga ne bi trebale primjenjivati odredbe ove Direktive o upravljanju kibersigurnosnim rizicima i obvezama izvješćivanja te nadzoru i izvršavanju na financijske subjekte obuhvaćene Uredbom (EU) 2022/2554 Istodobno je važno održavati blizak odnos i razmjenu informacija s financijskim sektorom na temelju ove Direktive. U tu svrhu Uredbom (EU) 2022/2554 europskim nadzornim tijelima i nadležnim tijelima na temelju te uredbe omogućuje se sudjelovanje u aktivnostima skupine za suradnju te razmjena informacija i suradnja s jedinstvenim kontaktnim točkama, kao i s CSIRT-ovima i nadležnim tijelima na temelju ove Direktive. Nadležna tijela na temelju Uredbe (EU) 2022/2554 trebala bi i podatke o značajnim IKT incidentima i, ako je to relevantno, ozbiljnim kiberprijetnjama slati CSIRT-ovima, nadležnim tijelima ili jedinstvenim kontaktnim točkama u skladu s ovom Direktivom. To se može postići pružanjem neposrednog pristupa obavijestima o incidentima i prosljeđivanjem tih obavijesti bilo izravno ili putem jedinstvene ulazne točke. Osim toga, države članice trebale bi nastaviti uključivati financijski sektor u svoje strategije za kibersigurnost, a CSIRT-ovi ga mogu obuhvatiti svojim aktivnostima. |
| --- | --- |

(28)

Uredbu (EU) 2022/2554 Europskog parlamenta i Vijeća (10) trebalo bi smatrati sektorskim pravnim aktom Unije u odnosu na ovu Direktivu u pogledu financijskih subjekata. Umjesto odredaba predviđenih ovom Direktivom trebale bi se primjenjivati odredbe Uredbe (EU) 2022/2554 koje se odnose na upravljanje rizicima informacijskih i komunikacijskih tehnologija (IKT), upravljanje IKT incidentima, a posebno izvješćivanje o značajnim IKT incidentima, kao i na testiranje digitalne operativne otpornosti, mehanizme razmjene informacija i IKT rizik treće strane. Države članice stoga ne bi trebale primjenjivati odredbe ove Direktive o upravljanju kibersigurnosnim rizicima i obvezama izvješćivanja te nadzoru i izvršavanju na financijske subjekte obuhvaćene Uredbom (EU) 2022/2554 Istodobno je važno održavati blizak odnos i razmjenu informacija s financijskim sektorom na temelju ove Direktive. U tu svrhu Uredbom (EU) 2022/2554 europskim nadzornim tijelima i nadležnim tijelima na temelju te uredbe omogućuje se sudjelovanje u aktivnostima skupine za suradnju te razmjena informacija i suradnja s jedinstvenim kontaktnim točkama, kao i s CSIRT-ovima i nadležnim tijelima na temelju ove Direktive. Nadležna tijela na temelju Uredbe (EU) 2022/2554 trebala bi i podatke o značajnim IKT incidentima i, ako je to relevantno, ozbiljnim kiberprijetnjama slati CSIRT-ovima, nadležnim tijelima ili jedinstvenim kontaktnim točkama u skladu s ovom Direktivom. To se može postići pružanjem neposrednog pristupa obavijestima o incidentima i prosljeđivanjem tih obavijesti bilo izravno ili putem jedinstvene ulazne točke. Osim toga, države članice trebale bi nastaviti uključivati financijski sektor u svoje strategije za kibersigurnost, a CSIRT-ovi ga mogu obuhvatiti svojim aktivnostima.

| (29) | Kako bi se izbjegle praznine u području kibersigurnosnih obveza uvedenih subjektima u zrakoplovnom sektoru ili udvostručavanje tih obveza, nacionalna tijela na temelju uredbi (EZ) br. 300/2008 (11) i (EU) 2018/1139 (12) Europskog parlamenta i Vijeća te nadležna tijela na temelju ove Direktive trebala bi surađivati u vezi s provedbom mjera upravljanja kibersigurnosnim rizicima i nadzorom nad usklađenošću s tim mjerama na nacionalnoj razini. Nadležna tijela na temelju ove Direktive mogla bi smatrati da usklađenost subjekta sa sigurnosnim zahtjevima utvrđenima u uredbama (EZ) br. 300/2008 i (EU) 2018/1139 te relevantnim delegiranim i provedbenim aktima donesenima u skladu s tim uredbama predstavlja usklađenost s odgovarajućim zahtjevima utvrđenima u ovoj Direktivi. |
| --- | --- |

(29)

Kako bi se izbjegle praznine u području kibersigurnosnih obveza uvedenih subjektima u zrakoplovnom sektoru ili udvostručavanje tih obveza, nacionalna tijela na temelju uredbi (EZ) br. 300/2008 (11) i (EU) 2018/1139 (12) Europskog parlamenta i Vijeća te nadležna tijela na temelju ove Direktive trebala bi surađivati u vezi s provedbom mjera upravljanja kibersigurnosnim rizicima i nadzorom nad usklađenošću s tim mjerama na nacionalnoj razini. Nadležna tijela na temelju ove Direktive mogla bi smatrati da usklađenost subjekta sa sigurnosnim zahtjevima utvrđenima u uredbama (EZ) br. 300/2008 i (EU) 2018/1139 te relevantnim delegiranim i provedbenim aktima donesenima u skladu s tim uredbama predstavlja usklađenost s odgovarajućim zahtjevima utvrđenima u ovoj Direktivi.

| (30) | S obzirom na međupovezanost kibersigurnosti i fizičke sigurnosti subjekata, trebalo bi osigurati koherentan pristup između Direktive (EU) 2022/2557 Europskog parlamenta i Vijeća (13) i ove Direktive. Kako bi se to postiglo, subjekti utvrđeni kao kritični na temelju Direktive (EU) 2022/2557 trebali bi se smatrati ključnim subjektima na temelju ove Direktive. Osim toga, svaka države članica trebala bi osigurati da se njezinom nacionalnom strategijom za kibersigurnost osigurava okvir politike za bolju koordinaciju u toj državi članici između njezinih nadležnih tijela na temelju ove Direktive i nadležnih tijela na temelju Direktive 2022/2557 u kontekstu razmjene informacija o rizicima, kiberprijetnjama i incidentima te rizicima, prijetnjama i incidentima izvan kiberprostora, kao i izvršavanje nadzornih zadaća. Nadležna tijela na temelju ove Direktive i nadležna tijela na temelju Direktive (EU) 2022/2557 direktiva trebala bi bez nepotrebne odgode surađivati i razmjenjivati informacije, posebno u pogledu utvrđivanja kritičnih subjekata, rizika, kiberprijetnji i incidenata, kao i u vezi s rizicima, prijetnjama i incidentima izvan kiberprostora koji utječu na kritične subjekte, uključujući kibersigurnosne i fizičke mjere koje ti subjekti poduzimaju, kao i rezultate nadzornih aktivnosti provedenih u pogledu takvih subjekata.
  Nadalje, kako bi se pojednostavnile nadzorne aktivnosti među nadležnim tijelima na temelju ove Direktive i nadležnih tijela na temelju Direktive (EU) 2022/2557 te kako bi se smanjilo administrativno opterećenje za predmetne subjekte, ta nadležna tijela trebala bi nastojati uskladiti predloške za obavijesti o incidentima i nadzorne postupke. Prema potrebi, nadležna tijela na temelju Direktive (EU) 2022/2557 trebala bi moći zatražiti od nadležnih tijela na temelju ove Direktive da izvršavaju svoje nadzorne ovlasti i ovlasti izvršavanja u vezi s subjektom koji je utvrđen kao kritičan subjekt na temelju Direktive (EU) 2022/2557. Nadležna tijela na temelju ove Direktive i nadležna tijela na temelju Direktive (EU) 2022/2557 po mogućnosti u stvarnom vremenu, trebala bi surađivati i razmjenjivati informacije u tu svrhu. |
| --- | --- |

(30)

S obzirom na međupovezanost kibersigurnosti i fizičke sigurnosti subjekata, trebalo bi osigurati koherentan pristup između Direktive (EU) 2022/2557 Europskog parlamenta i Vijeća (13) i ove Direktive. Kako bi se to postiglo, subjekti utvrđeni kao kritični na temelju Direktive (EU) 2022/2557 trebali bi se smatrati ključnim subjektima na temelju ove Direktive. Osim toga, svaka države članica trebala bi osigurati da se njezinom nacionalnom strategijom za kibersigurnost osigurava okvir politike za bolju koordinaciju u toj državi članici između njezinih nadležnih tijela na temelju ove Direktive i nadležnih tijela na temelju Direktive 2022/2557 u kontekstu razmjene informacija o rizicima, kiberprijetnjama i incidentima te rizicima, prijetnjama i incidentima izvan kiberprostora, kao i izvršavanje nadzornih zadaća. Nadležna tijela na temelju ove Direktive i nadležna tijela na temelju Direktive (EU) 2022/2557 direktiva trebala bi bez nepotrebne odgode surađivati i razmjenjivati informacije, posebno u pogledu utvrđivanja kritičnih subjekata, rizika, kiberprijetnji i incidenata, kao i u vezi s rizicima, prijetnjama i incidentima izvan kiberprostora koji utječu na kritične subjekte, uključujući kibersigurnosne i fizičke mjere koje ti subjekti poduzimaju, kao i rezultate nadzornih aktivnosti provedenih u pogledu takvih subjekata.

Nadalje, kako bi se pojednostavnile nadzorne aktivnosti među nadležnim tijelima na temelju ove Direktive i nadležnih tijela na temelju Direktive (EU) 2022/2557 te kako bi se smanjilo administrativno opterećenje za predmetne subjekte, ta nadležna tijela trebala bi nastojati uskladiti predloške za obavijesti o incidentima i nadzorne postupke. Prema potrebi, nadležna tijela na temelju Direktive (EU) 2022/2557 trebala bi moći zatražiti od nadležnih tijela na temelju ove Direktive da izvršavaju svoje nadzorne ovlasti i ovlasti izvršavanja u vezi s subjektom koji je utvrđen kao kritičan subjekt na temelju Direktive (EU) 2022/2557. Nadležna tijela na temelju ove Direktive i nadležna tijela na temelju Direktive (EU) 2022/2557 po mogućnosti u stvarnom vremenu, trebala bi surađivati i razmjenjivati informacije u tu svrhu.

| (31) | Subjekti koji pripadaju sektoru digitalne infrastrukture u suštini se temelje na mrežnim i informacijskim sustavima te bi se stoga obvezama koje su ovom Direktivom uvedene za te subjekte trebalo na sveobuhvatan način obuhvatiti fizičku sigurnost takvih sustava kao dio njihovih mjera upravljanja kibersigurnosnim rizicima i obveza izvješćivanja. S obzirom na to da su ta pitanja obuhvaćena ovom Direktivom, obveze utvrđene u poglavljima III., IV. i VI. Direktive (EU) 2022/2557 ne primjenjuju se na takve subjekte. |
| --- | --- |

(31)

Subjekti koji pripadaju sektoru digitalne infrastrukture u suštini se temelje na mrežnim i informacijskim sustavima te bi se stoga obvezama koje su ovom Direktivom uvedene za te subjekte trebalo na sveobuhvatan način obuhvatiti fizičku sigurnost takvih sustava kao dio njihovih mjera upravljanja kibersigurnosnim rizicima i obveza izvješćivanja. S obzirom na to da su ta pitanja obuhvaćena ovom Direktivom, obveze utvrđene u poglavljima III., IV. i VI. Direktive (EU) 2022/2557 ne primjenjuju se na takve subjekte.

| (32) | Podrška pouzdanom, otpornom i sigurnom sustavu naziva domena (DNS) i njegovo održavanje ključni su za očuvanje cjelovitosti interneta te njegov kontinuiran i stabilan rad, o kojem ovise digitalno gospodarstvo i društvo. Stoga bi se ova Direktiva trebala primjenjivati na registre naziva vršnih domena i pružatelje usluga DNS-a koje treba shvatiti kao subjekte koji pružaju javno dostupne rekurzivne usluge razlučivanja naziva domena za krajnje korisnike interneta ili mjerodavne usluge razlučivanja naziva domena za treće strane. Ova se Direktiva ne bi trebala primjenjivati na korijenske poslužitelje naziva. |
| --- | --- |

(32)

Podrška pouzdanom, otpornom i sigurnom sustavu naziva domena (DNS) i njegovo održavanje ključni su za očuvanje cjelovitosti interneta te njegov kontinuiran i stabilan rad, o kojem ovise digitalno gospodarstvo i društvo. Stoga bi se ova Direktiva trebala primjenjivati na registre naziva vršnih domena i pružatelje usluga DNS-a koje treba shvatiti kao subjekte koji pružaju javno dostupne rekurzivne usluge razlučivanja naziva domena za krajnje korisnike interneta ili mjerodavne usluge razlučivanja naziva domena za treće strane. Ova se Direktiva ne bi trebala primjenjivati na korijenske poslužitelje naziva.

| (33) | Usluge računalstva u oblaku trebale bi obuhvaćati digitalne usluge koje omogućuju administraciju na zahtjev i široki daljinski pristup nadogradivom i elastičnom skupu djeljivih računalnih resursa, među ostalim kada su takvi resursi raspoređeni na nekoliko lokacija. Računalni resursi uključuju mreže, poslužitelje ili drugu infrastrukturu, operacijske sustave, softver, pohranu, aplikacije i usluge. Modeli usluga računalstva u oblaku obuhvaćaju, među ostalim, infrastrukturu kao uslugu (IaaS), platformu kao uslugu (PaaS), softver kao uslugu (SaaS) i mrežu kao uslugu (NaaS). Modeli uvođenja računalstva u oblaku trebali bi uključivati privatne, zajedničke, javne i hibridne oblake. Usluga računalstva u oblaku i modeli uvođenja imaju isto značenje kao modeli usluga i uvođenja definirani u normi ISO/IEC 17788:2014. Sposobnost korisnika računalstva u oblaku da jednostrano samostalno pruža računalne kapacitete, kao što je vrijeme korištenja poslužitelja ili mrežna pohrana, bez ljudske interakcije pružatelja usluga računalstva u oblaku, može se opisati kao administracija na zahtjev.
  Pojam „široki daljinski pristup” upotrebljava se kako bi se opisalo da se kapaciteti u oblaku osiguravaju preko mreže i da im se pristupa putem mehanizama kojima se promiče upotreba heterogenih tankih ili debelih klijentskih platformi, uključujući mobilne telefone, tablete, prijenosna računala i radne stanice. Pojam „nadogradiv” odnosi se na računalne usluge koje pružatelj usluga u oblaku dodjeljuje fleksibilno, bez obzira na zemljopisni položaj resursa, kako bi se riješile fluktuacije u potražnji. Pojam „elastičan skup” upotrebljava se za opisivanje računalnih resursa koji se pružaju i isporučuju u skladu s potražnjom kako bi se raspoloživi resursi mogli brzo povećati i smanjiti ovisno o radnom opterećenju. Pojam „djeljiv” upotrebljava se za opisivanje računalnih resursa koji se pružaju većem broju korisnika sa zajedničkim pristupom usluzi, pri čemu se obrada provodi odvojeno za svakog korisnika, iako se usluga pruža putem iste elektroničke opreme. Pojam „distribuiran” upotrebljava se za opisivanje računalnih resursa koji se nalaze na različitim umreženim računalima ili uređajima te čija se međusobna komunikacija i koordinacija odvija slanjem poruka. |
| --- | --- |

(33)

Usluge računalstva u oblaku trebale bi obuhvaćati digitalne usluge koje omogućuju administraciju na zahtjev i široki daljinski pristup nadogradivom i elastičnom skupu djeljivih računalnih resursa, među ostalim kada su takvi resursi raspoređeni na nekoliko lokacija. Računalni resursi uključuju mreže, poslužitelje ili drugu infrastrukturu, operacijske sustave, softver, pohranu, aplikacije i usluge. Modeli usluga računalstva u oblaku obuhvaćaju, među ostalim, infrastrukturu kao uslugu (IaaS), platformu kao uslugu (PaaS), softver kao uslugu (SaaS) i mrežu kao uslugu (NaaS). Modeli uvođenja računalstva u oblaku trebali bi uključivati privatne, zajedničke, javne i hibridne oblake. Usluga računalstva u oblaku i modeli uvođenja imaju isto značenje kao modeli usluga i uvođenja definirani u normi ISO/IEC 17788:2014. Sposobnost korisnika računalstva u oblaku da jednostrano samostalno pruža računalne kapacitete, kao što je vrijeme korištenja poslužitelja ili mrežna pohrana, bez ljudske interakcije pružatelja usluga računalstva u oblaku, može se opisati kao administracija na zahtjev.

Pojam „široki daljinski pristup” upotrebljava se kako bi se opisalo da se kapaciteti u oblaku osiguravaju preko mreže i da im se pristupa putem mehanizama kojima se promiče upotreba heterogenih tankih ili debelih klijentskih platformi, uključujući mobilne telefone, tablete, prijenosna računala i radne stanice. Pojam „nadogradiv” odnosi se na računalne usluge koje pružatelj usluga u oblaku dodjeljuje fleksibilno, bez obzira na zemljopisni položaj resursa, kako bi se riješile fluktuacije u potražnji. Pojam „elastičan skup” upotrebljava se za opisivanje računalnih resursa koji se pružaju i isporučuju u skladu s potražnjom kako bi se raspoloživi resursi mogli brzo povećati i smanjiti ovisno o radnom opterećenju. Pojam „djeljiv” upotrebljava se za opisivanje računalnih resursa koji se pružaju većem broju korisnika sa zajedničkim pristupom usluzi, pri čemu se obrada provodi odvojeno za svakog korisnika, iako se usluga pruža putem iste elektroničke opreme. Pojam „distribuiran” upotrebljava se za opisivanje računalnih resursa koji se nalaze na različitim umreženim računalima ili uređajima te čija se međusobna komunikacija i koordinacija odvija slanjem poruka.

| (34) | S obzirom na razvoj inovativnih tehnologija i novih poslovnih modela, očekuje se da će se na tržištu pojaviti novi modeli usluga računalstva u oblaku i uvođenja kao odgovor na rastuće potrebe korisnika. U tom se kontekstu usluge računalstva u oblaku mogu pružati u vrlo distribuiranom obliku, još bliže mjestu na kojem se podaci generiraju ili prikupljaju, čime se prelazi s tradicionalnog modela na visoko distribuirani model (računalstvo na rubu). |
| --- | --- |

(34)

S obzirom na razvoj inovativnih tehnologija i novih poslovnih modela, očekuje se da će se na tržištu pojaviti novi modeli usluga računalstva u oblaku i uvođenja kao odgovor na rastuće potrebe korisnika. U tom se kontekstu usluge računalstva u oblaku mogu pružati u vrlo distribuiranom obliku, još bliže mjestu na kojem se podaci generiraju ili prikupljaju, čime se prelazi s tradicionalnog modela na visoko distribuirani model (računalstvo na rubu).

| (35) | Usluge koje nude pružatelji usluga podatkovnog centra ne mogu se uvijek pružati u obliku usluge računalstva u oblaku. Stoga podatkovni centri ne mogu uvijek biti dio infrastrukture računalstva u oblaku. Kako bi se upravljalo svim rizicima za sigurnost mrežnih i informacijskih sustava, ovom bi Direktivom trebalo obuhvatiti pružatelje usluga podatkovnog centra koje nisu usluge računalstva u oblaku. Za potrebe ove Direktive, pojam „usluga podatkovnog centra” trebao bi obuhvaćati pružanje usluge koja uključuje strukture ili skupine struktura namijenjenih centraliziranom smještaju, međupovezivanju i radu opreme informacijske tehnologije (IT) i mreže za usluge pohrane, obrade i prijenosa podataka, uključujući sve objekte i infrastrukturu za distribuciju električne energije i kontrolu okoliša. Pojam „usluga podatkovnog centra” ne bi se trebao primjenjivati na interne korporativne podatkovne centre kojima predmetni subjekt u čijem su vlasništvu upravlja za vlastite potrebe. |
| --- | --- |

(35)

Usluge koje nude pružatelji usluga podatkovnog centra ne mogu se uvijek pružati u obliku usluge računalstva u oblaku. Stoga podatkovni centri ne mogu uvijek biti dio infrastrukture računalstva u oblaku. Kako bi se upravljalo svim rizicima za sigurnost mrežnih i informacijskih sustava, ovom bi Direktivom trebalo obuhvatiti pružatelje usluga podatkovnog centra koje nisu usluge računalstva u oblaku. Za potrebe ove Direktive, pojam „usluga podatkovnog centra” trebao bi obuhvaćati pružanje usluge koja uključuje strukture ili skupine struktura namijenjenih centraliziranom smještaju, međupovezivanju i radu opreme informacijske tehnologije (IT) i mreže za usluge pohrane, obrade i prijenosa podataka, uključujući sve objekte i infrastrukturu za distribuciju električne energije i kontrolu okoliša. Pojam „usluga podatkovnog centra” ne bi se trebao primjenjivati na interne korporativne podatkovne centre kojima predmetni subjekt u čijem su vlasništvu upravlja za vlastite potrebe.

| (36) | Istraživačke aktivnosti imaju ključnu ulogu u razvoju novih proizvoda i procesa. Mnoge od tih aktivnosti provode subjekti koji rezultate svojih istraživanja dijele, šire ili iskorištavaju u komercijalne svrhe. Ti subjekti stoga mogu biti važni akteri u lancima vrijednosti, zbog čega je sigurnost njihovih mrežnih i informacijskih sustava sastavni dio cjelokupne kibersigurnosti unutarnjeg tržišta. Trebalo bi se podrazumijevati da istraživačke organizacije uključuju subjekte koji ključni dio svojih aktivnosti usmjeravaju na provođenje primijenjenog istraživanja ili eksperimentalnog razvoja, u smislu Priručnika Frascati Organizacije za gospodarsku suradnju i razvoj iz 2015.: Smjernice za prikupljanje podataka o istraživanju i eksperimentalnom razvoju i izvješćivanje o njima, s ciljem iskorištavanja njihovih rezultata u komercijalne svrhe, kao što su proizvodnja ili razvoj proizvoda ili procesa, pružanje usluge ili njihovo stavljanje na tržište. |
| --- | --- |

(36)

Istraživačke aktivnosti imaju ključnu ulogu u razvoju novih proizvoda i procesa. Mnoge od tih aktivnosti provode subjekti koji rezultate svojih istraživanja dijele, šire ili iskorištavaju u komercijalne svrhe. Ti subjekti stoga mogu biti važni akteri u lancima vrijednosti, zbog čega je sigurnost njihovih mrežnih i informacijskih sustava sastavni dio cjelokupne kibersigurnosti unutarnjeg tržišta. Trebalo bi se podrazumijevati da istraživačke organizacije uključuju subjekte koji ključni dio svojih aktivnosti usmjeravaju na provođenje primijenjenog istraživanja ili eksperimentalnog razvoja, u smislu Priručnika Frascati Organizacije za gospodarsku suradnju i razvoj iz 2015.: Smjernice za prikupljanje podataka o istraživanju i eksperimentalnom razvoju i izvješćivanje o njima, s ciljem iskorištavanja njihovih rezultata u komercijalne svrhe, kao što su proizvodnja ili razvoj proizvoda ili procesa, pružanje usluge ili njihovo stavljanje na tržište.

| (37) | Rastuće međuovisnosti rezultat su sve veće prekogranične i međuovisne mreže pružanja usluga koja upotrebljava ključnu infrastrukturu u cijeloj Uniji u sektorima kao što su energetika, promet, digitalna infrastruktura, voda za piće i otpadne vode, zdravlje, određeni aspekti javne uprave, kao i u svemirski sektor u pogledu pružanja određenih usluga koje ovise o zemaljskoj infrastrukturi koja je u vlasništvu i kojom upravljaju države članice ili privatne strane te stoga ne obuhvaća infrastrukturu koja je u vlasništvu Unije, kojom Unija upravlja ili kojom se upravlja u ime Unije kao dijelom njezina svemirskog programa. Te međuovisnosti znače da svaki poremećaj, čak i onaj koji je prvotno ograničen na jedan subjekt ili jedan sektor, može imati kaskadne učinke u širem smislu, što može dovesti do dalekosežnih i dugotrajnih negativnih učinaka na pružanje usluga na cijelom unutarnjem tržištu. Intenzivniji kibernapadi tijekom pandemije bolesti COVID-19 pokazali su ranjivost naših sve više međuovisnih društava suočenih s rizicima male vjerojatnosti. |
| --- | --- |

(37)

Rastuće međuovisnosti rezultat su sve veće prekogranične i međuovisne mreže pružanja usluga koja upotrebljava ključnu infrastrukturu u cijeloj Uniji u sektorima kao što su energetika, promet, digitalna infrastruktura, voda za piće i otpadne vode, zdravlje, određeni aspekti javne uprave, kao i u svemirski sektor u pogledu pružanja određenih usluga koje ovise o zemaljskoj infrastrukturi koja je u vlasništvu i kojom upravljaju države članice ili privatne strane te stoga ne obuhvaća infrastrukturu koja je u vlasništvu Unije, kojom Unija upravlja ili kojom se upravlja u ime Unije kao dijelom njezina svemirskog programa. Te međuovisnosti znače da svaki poremećaj, čak i onaj koji je prvotno ograničen na jedan subjekt ili jedan sektor, može imati kaskadne učinke u širem smislu, što može dovesti do dalekosežnih i dugotrajnih negativnih učinaka na pružanje usluga na cijelom unutarnjem tržištu. Intenzivniji kibernapadi tijekom pandemije bolesti COVID-19 pokazali su ranjivost naših sve više međuovisnih društava suočenih s rizicima male vjerojatnosti.

| (38) | S obzirom na razlike u nacionalnim upravljačkim strukturama i radi zaštite postojećih sektorskih dogovora ili nadzornih i regulatornih tijela Unije, države članice trebale bi moći imenovati ili uspostaviti jedno ili više nadležnih tijela odgovornih za kibersigurnost i za nadzorne zadaće na temelju ove Direktive. |
| --- | --- |

(38)

S obzirom na razlike u nacionalnim upravljačkim strukturama i radi zaštite postojećih sektorskih dogovora ili nadzornih i regulatornih tijela Unije, države članice trebale bi moći imenovati ili uspostaviti jedno ili više nadležnih tijela odgovornih za kibersigurnost i za nadzorne zadaće na temelju ove Direktive.

| (39) | Kako bi se olakšala prekogranična suradnja i komunikacija među tijelima i kako bi se omogućila djelotvorna provedba ove Direktive, nužno je da svaka država članica imenuje jedinstvenu kontaktnu točku odgovornu za koordinaciju pitanja sigurnosti mrežnih i informacijskih sustava te za prekograničnu suradnju na razini Unije. |
| --- | --- |

(39)

Kako bi se olakšala prekogranična suradnja i komunikacija među tijelima i kako bi se omogućila djelotvorna provedba ove Direktive, nužno je da svaka država članica imenuje jedinstvenu kontaktnu točku odgovornu za koordinaciju pitanja sigurnosti mrežnih i informacijskih sustava te za prekograničnu suradnju na razini Unije.

| (40) | Jedinstvene kontaktne točke trebale bi osigurati učinkovitu prekograničnu suradnju s relevantnim tijelima drugih država članica i, prema potrebi, s Komisijom i ENISA-om. Jedinstvene kontaktne točke stoga bi trebale biti zadužene za prosljeđivanje obavijesti o značajnim incidentima s prekograničnim učinkom jedinstvenim kontaktnim točkama drugih pogođenih država članica na zahtjev CSIRT-a ili nadležnog tijela. Na nacionalnoj razini jedinstvene kontaktne točke trebale bi omogućiti neometanu međusektorsku suradnju s drugim nadležnim tijelima. Jedinstvene kontaktne točke mogle bi također bi primati relevantne informacije o incidentima koji se odnose na subjekte financijskog sektora od nadležnih tijela na temelju Uredbe (EU) 2022/2554, koje bi, prema potrebi, trebale moći proslijediti CSIRT-ovima ili nacionalnim nadležnim tijelima iz ove Direktive. |
| --- | --- |

(40)

Jedinstvene kontaktne točke trebale bi osigurati učinkovitu prekograničnu suradnju s relevantnim tijelima drugih država članica i, prema potrebi, s Komisijom i ENISA-om. Jedinstvene kontaktne točke stoga bi trebale biti zadužene za prosljeđivanje obavijesti o značajnim incidentima s prekograničnim učinkom jedinstvenim kontaktnim točkama drugih pogođenih država članica na zahtjev CSIRT-a ili nadležnog tijela. Na nacionalnoj razini jedinstvene kontaktne točke trebale bi omogućiti neometanu međusektorsku suradnju s drugim nadležnim tijelima. Jedinstvene kontaktne točke mogle bi također bi primati relevantne informacije o incidentima koji se odnose na subjekte financijskog sektora od nadležnih tijela na temelju Uredbe (EU) 2022/2554, koje bi, prema potrebi, trebale moći proslijediti CSIRT-ovima ili nacionalnim nadležnim tijelima iz ove Direktive.

| (41) | Države članice trebale bi biti dostatno opremljene, u smislu tehničkih i organizacijskih sposobnosti, za sprečavanje i otkrivanje incidenata i rizika, reagiranje na njih te za ublažavanje njihova učinka. Države članice stoga bi trebale uspostaviti ili imenovati jedan ili više CSIRT-ova na temelju ove Direktive i osigurati da imaju odgovarajuće resurse i tehničke sposobnosti. CSIRT-ovi bi trebali poštovati zahtjeve utvrđene u ovoj Direktivi kako bi se zajamčile djelotvorne i uskladive sposobnosti za rješavanje incidenata i rizika te kako bi se osigurala učinkovita suradnja na razini Unije. Države članice trebale bi moći kao CSIRT-ove imenovati postojeće timove za hitne računalne intervencije (CERT-ovi). U cilju jačanja odnosa povjerenja između subjekata i CSIRT-ova, u slučajevima kada je CSIRT dio nadležnog tijela, države članice trebale bi moći razmotriti funkcionalno odvajanje operativnih zadaća koje obavljaju CSIRT-ovi, posebno u vezi s razmjenom informacija i podrškom koja se pruža subjektima, te nadzornih aktivnosti nadležnih tijela. |
| --- | --- |

(41)

Države članice trebale bi biti dostatno opremljene, u smislu tehničkih i organizacijskih sposobnosti, za sprečavanje i otkrivanje incidenata i rizika, reagiranje na njih te za ublažavanje njihova učinka. Države članice stoga bi trebale uspostaviti ili imenovati jedan ili više CSIRT-ova na temelju ove Direktive i osigurati da imaju odgovarajuće resurse i tehničke sposobnosti. CSIRT-ovi bi trebali poštovati zahtjeve utvrđene u ovoj Direktivi kako bi se zajamčile djelotvorne i uskladive sposobnosti za rješavanje incidenata i rizika te kako bi se osigurala učinkovita suradnja na razini Unije. Države članice trebale bi moći kao CSIRT-ove imenovati postojeće timove za hitne računalne intervencije (CERT-ovi). U cilju jačanja odnosa povjerenja između subjekata i CSIRT-ova, u slučajevima kada je CSIRT dio nadležnog tijela, države članice trebale bi moći razmotriti funkcionalno odvajanje operativnih zadaća koje obavljaju CSIRT-ovi, posebno u vezi s razmjenom informacija i podrškom koja se pruža subjektima, te nadzornih aktivnosti nadležnih tijela.

| (42) | CSIRT-ovi su zaduženi za postupanje s incidentima. To uključuje obradu velikih količina ponekad osjetljivih podataka. Države članice trebale bi osigurati da CSIRT-ovi raspolažu infrastrukturom za razmjenu i obradu informacija kao i dobro opremljenim osobljem, čime se osigurava povjerljivost i pouzdanost njihovih operacija. CSIRT-ovi bi mogli donijeti i kodekse ponašanja u tom pogledu. |
| --- | --- |

(42)

CSIRT-ovi su zaduženi za postupanje s incidentima. To uključuje obradu velikih količina ponekad osjetljivih podataka. Države članice trebale bi osigurati da CSIRT-ovi raspolažu infrastrukturom za razmjenu i obradu informacija kao i dobro opremljenim osobljem, čime se osigurava povjerljivost i pouzdanost njihovih operacija. CSIRT-ovi bi mogli donijeti i kodekse ponašanja u tom pogledu.

| (43) | Kad je riječ o osobnim podacima, CSIRT-ovi bi, u skladu s Uredbom (EU) 2016/679, na zahtjev ključnog ili važnog subjekta, trebali moći osigurati proaktivno skeniranje mrežnih i informacijskih sustava koji se upotrebljavaju za pružanje usluga subjekta. Ako je to primjenjivo, države članice trebale bi nastojati osigurati jednaku razinu tehničkih sposobnosti za sve sektorske CSIRT-ove. Države članice trebale bi moći zatražiti podršku ENISA-e u razvijanju svojih CSIRT-ova. |
| --- | --- |

(43)

Kad je riječ o osobnim podacima, CSIRT-ovi bi, u skladu s Uredbom (EU) 2016/679, na zahtjev ključnog ili važnog subjekta, trebali moći osigurati proaktivno skeniranje mrežnih i informacijskih sustava koji se upotrebljavaju za pružanje usluga subjekta. Ako je to primjenjivo, države članice trebale bi nastojati osigurati jednaku razinu tehničkih sposobnosti za sve sektorske CSIRT-ove. Države članice trebale bi moći zatražiti podršku ENISA-e u razvijanju svojih CSIRT-ova.

| (44) | CSIRT-ovi bi trebali imati mogućnost na zahtjev ključnog ili važnog subjekta pratiti imovinu subjekta s internetskim sučeljem, kako u fizičkim prostorima tako i izvan njih, kako bi utvrdili i razumjeli ukupne organizacijske rizike subjekta u pogledu novootkrivenih slučajeva ugrožavanja lanaca opskrbe ili kritičnih ranjivosti te upravljali njima. Subjekt bi trebalo poticati da obavijesti CSIRT o tome ima li povlašteno upravljačko sučelje jer bi to moglo utjecati na brzinu poduzimanja mjera ublažavanja. |
| --- | --- |

(44)

CSIRT-ovi bi trebali imati mogućnost na zahtjev ključnog ili važnog subjekta pratiti imovinu subjekta s internetskim sučeljem, kako u fizičkim prostorima tako i izvan njih, kako bi utvrdili i razumjeli ukupne organizacijske rizike subjekta u pogledu novootkrivenih slučajeva ugrožavanja lanaca opskrbe ili kritičnih ranjivosti te upravljali njima. Subjekt bi trebalo poticati da obavijesti CSIRT o tome ima li povlašteno upravljačko sučelje jer bi to moglo utjecati na brzinu poduzimanja mjera ublažavanja.

| (45) | S obzirom na važnost međunarodne suradnje za kibersigurnost, CSIRT-ovi bi trebali moći, uz mrežu CSIRT-ova uspostavljenu ovom Direktivom, sudjelovati i u međunarodnim mrežama suradnje. Stoga bi CSIRT-ovi i nadležna tijela za potrebe obavljanja svojih zadaća trebali moći razmjenjivati informacije, uključujući osobne podatke, s nacionalnim timovima za odgovor na računalne sigurnosne incidente ili nadležnim tijelima trećih zemalja pod uvjetom da su ispunjeni uvjeti iz prava Unije o zaštiti podataka za prijenose osobnih podataka trećim zemljama, među ostalim uvjeti iz članka 49. Uredbe (EU) 2016/679. |
| --- | --- |

(45)

S obzirom na važnost međunarodne suradnje za kibersigurnost, CSIRT-ovi bi trebali moći, uz mrežu CSIRT-ova uspostavljenu ovom Direktivom, sudjelovati i u međunarodnim mrežama suradnje. Stoga bi CSIRT-ovi i nadležna tijela za potrebe obavljanja svojih zadaća trebali moći razmjenjivati informacije, uključujući osobne podatke, s nacionalnim timovima za odgovor na računalne sigurnosne incidente ili nadležnim tijelima trećih zemalja pod uvjetom da su ispunjeni uvjeti iz prava Unije o zaštiti podataka za prijenose osobnih podataka trećim zemljama, među ostalim uvjeti iz članka 49. Uredbe (EU) 2016/679.

| (46) | Ključno je osigurati odgovarajuće resurse za ispunjavanje ciljeva ove Direktive i omogućavanje nadležnim tijelima i CSIRT-ovima izvršavanje u njoj utvrđenih zadaća. Države članice mogu na nacionalnoj razini uvesti mehanizam financiranja za pokrivanje potrebnih rashoda povezanih s obavljanjem zadaća javnih tijela odgovornih za kibersigurnost u državi članici u skladu s ovom Direktivom. Takav mehanizam trebao bi biti u skladu s pravom Unije i trebao bi biti razmjeran i nediskriminirajući te uzeti u obzir različite pristupe pružanju sigurnih usluga. |
| --- | --- |

(46)

Ključno je osigurati odgovarajuće resurse za ispunjavanje ciljeva ove Direktive i omogućavanje nadležnim tijelima i CSIRT-ovima izvršavanje u njoj utvrđenih zadaća. Države članice mogu na nacionalnoj razini uvesti mehanizam financiranja za pokrivanje potrebnih rashoda povezanih s obavljanjem zadaća javnih tijela odgovornih za kibersigurnost u državi članici u skladu s ovom Direktivom. Takav mehanizam trebao bi biti u skladu s pravom Unije i trebao bi biti razmjeran i nediskriminirajući te uzeti u obzir različite pristupe pružanju sigurnih usluga.

| (47) | Mreža CSIRT-ova trebala bi nastaviti doprinositi jačanju povjerenja i pouzdanja te promicati brzu i djelotvornu operativnu suradnju među državama članicama. Kako bi se poboljšala operativna suradnja na razini Unije, mreža CSIRT-ova trebala bi razmotriti mogućnost pozivanja tijela i agencija Unije uključenih u politiku kibersigurnosti, kao što je Europol, da sudjeluju u njezinu radu. |
| --- | --- |

(47)

Mreža CSIRT-ova trebala bi nastaviti doprinositi jačanju povjerenja i pouzdanja te promicati brzu i djelotvornu operativnu suradnju među državama članicama. Kako bi se poboljšala operativna suradnja na razini Unije, mreža CSIRT-ova trebala bi razmotriti mogućnost pozivanja tijela i agencija Unije uključenih u politiku kibersigurnosti, kao što je Europol, da sudjeluju u njezinu radu.

| (48) | U svrhu postizanja i održavanja visoke razine kibersigurnosti, nacionalne strategije za kibersigurnost koje se zahtijevaju ovom Direktivom trebale bi se sastojati od koherentnih okvira kojima se pružaju strateški ciljevi i prioriteti u području kibersigurnosti i upravljanja u cilju njihova postizanja. Te strategije mogu se sastojati od jednog ili više zakonodavnih ili nezakonodavnih instrumenata. |
| --- | --- |

(48)

U svrhu postizanja i održavanja visoke razine kibersigurnosti, nacionalne strategije za kibersigurnost koje se zahtijevaju ovom Direktivom trebale bi se sastojati od koherentnih okvira kojima se pružaju strateški ciljevi i prioriteti u području kibersigurnosti i upravljanja u cilju njihova postizanja. Te strategije mogu se sastojati od jednog ili više zakonodavnih ili nezakonodavnih instrumenata.

| (49) | Politikama o kiberhigijeni pružaju se temelji za zaštitu infrastruktura mrežnih i informacijskih sustava, sigurnost hardvera, softvera i internetskih aplikacija te poslovnih podataka ili podataka krajnjih korisnika na koje se subjekti oslanjaju. Politike o kiberhigijeni sastoje se od zajedničkog temeljnog skupa praksi koje uključuju ažuriranja softvera i hardvera, promjene lozinki, upravljanje novim instalacijama, ograničenje računa za pristup na razini administratora i sigurnosno kopiranje podataka, te se njima omogućuje stvaranje proaktivnog okvira za pripravnost i opću sigurnost u slučaju incidenata ili kiberprijetnji. ENISA bi trebala pratiti i analizirati politike država članica u području kiberhigijene. |
| --- | --- |

(49)

Politikama o kiberhigijeni pružaju se temelji za zaštitu infrastruktura mrežnih i informacijskih sustava, sigurnost hardvera, softvera i internetskih aplikacija te poslovnih podataka ili podataka krajnjih korisnika na koje se subjekti oslanjaju. Politike o kiberhigijeni sastoje se od zajedničkog temeljnog skupa praksi koje uključuju ažuriranja softvera i hardvera, promjene lozinki, upravljanje novim instalacijama, ograničenje računa za pristup na razini administratora i sigurnosno kopiranje podataka, te se njima omogućuje stvaranje proaktivnog okvira za pripravnost i opću sigurnost u slučaju incidenata ili kiberprijetnji. ENISA bi trebala pratiti i analizirati politike država članica u području kiberhigijene.

| (50) | Svijest o kibersigurnosti i kiberhigijena ključni su za povećanje razine kibersigurnosti u Uniji, posebno s obzirom na sve veći broj povezanih uređaja koji se sve više upotrebljavaju u kibernapadima. Trebalo bi uložiti napore kako bi se povećala opća svijest o rizicima povezanima s takvim proizvodima, dok bi ocjenjivanja na razini Unije mogla pomoći u osiguravanju zajedničkog razumijevanja takvih rizika na unutarnjem tržištu. |
| --- | --- |

(50)

Svijest o kibersigurnosti i kiberhigijena ključni su za povećanje razine kibersigurnosti u Uniji, posebno s obzirom na sve veći broj povezanih uređaja koji se sve više upotrebljavaju u kibernapadima. Trebalo bi uložiti napore kako bi se povećala opća svijest o rizicima povezanima s takvim proizvodima, dok bi ocjenjivanja na razini Unije mogla pomoći u osiguravanju zajedničkog razumijevanja takvih rizika na unutarnjem tržištu.

| (51) | Države članice trebale bi poticati upotrebu svih inovativnih tehnologija čija bi upotreba mogla poboljšati otkrivanje i sprečavanje kibernapada, uključujući umjetnu inteligenciju, čime bi se omogućilo učinkovitije preusmjeravanje resursa na kibernapade. Stoga bi države članice u svojim nacionalnim strategijama za kibersigurnost trebale poticati aktivnosti u području istraživanja i razvoja kako bi olakšale upotrebu takvih tehnologija, posebno onih koje se odnose na automatizirane ili poluautomatizirane alate u području kibersigurnosti, i, prema potrebi, razmjenu podataka potrebnih za osposobljavanje korisnika takve tehnologije i njezino poboljšanje. Upotreba svih inovativnih tehnologija, uključujući umjetnu inteligenciju, trebala bi biti u skladu s pravom Unije o zaštiti podataka, uključujući načela zaštite podataka u pogledu točnosti podataka, smanjenja količine podataka, pravednosti i transparentnosti te sigurnosti podataka, kao što je najsuvremenije kriptiranje. Trebalo bi se u potpunosti koristiti zahtjevima za tehničku i integriranu zaštitu podataka utvrđenima u Uredbi (EU) 2016/679. |
| --- | --- |

(51)

Države članice trebale bi poticati upotrebu svih inovativnih tehnologija čija bi upotreba mogla poboljšati otkrivanje i sprečavanje kibernapada, uključujući umjetnu inteligenciju, čime bi se omogućilo učinkovitije preusmjeravanje resursa na kibernapade. Stoga bi države članice u svojim nacionalnim strategijama za kibersigurnost trebale poticati aktivnosti u području istraživanja i razvoja kako bi olakšale upotrebu takvih tehnologija, posebno onih koje se odnose na automatizirane ili poluautomatizirane alate u području kibersigurnosti, i, prema potrebi, razmjenu podataka potrebnih za osposobljavanje korisnika takve tehnologije i njezino poboljšanje. Upotreba svih inovativnih tehnologija, uključujući umjetnu inteligenciju, trebala bi biti u skladu s pravom Unije o zaštiti podataka, uključujući načela zaštite podataka u pogledu točnosti podataka, smanjenja količine podataka, pravednosti i transparentnosti te sigurnosti podataka, kao što je najsuvremenije kriptiranje. Trebalo bi se u potpunosti koristiti zahtjevima za tehničku i integriranu zaštitu podataka utvrđenima u Uredbi (EU) 2016/679.

| (52) | Alatima i aplikacijama za kibersigurnost otvorenoga koda može se doprinijeti višem stupnju otvorenosti i stvarati pozitivan učinak na učinkovitost industrijskih inovacija. Otvoreni standardi olakšavaju interoperabilnost između sigurnosnih alata, pogodujući sigurnosti industrijskih dionika. Alati i aplikacije za kibersigurnost otvorenog koda mogu utjecati na širu zajednicu programera, omogućujući diversifikaciju dobavljača. Otvoreni kod može dovesti do transparentnijeg procesa provjere alata koji se odnose na kibersigurnost i procesa otkrivanja ranjivosti koji pokreće zajednica. Države članice stoga bi trebale moći promicati usvajanje softvera otvorenog koda i otvorenih standarda provođenjem politika koje se odnose na korištenje otvorenih podataka i otvorenog koda kao dijela sigurnosti pomoću transparentnosti. Politike koje promiču uvođenje i održivu upotrebu alata za kibersigurnost otvorenog koda od posebne su važnosti za mala i srednja poduzeća koja se suočavaju sa znatnim troškovima provedbe, koje bi mogli minimalizirati smanjenjem potrebe za posebnim aplikacijama ili alatima. |
| --- | --- |

(52)

Alatima i aplikacijama za kibersigurnost otvorenoga koda može se doprinijeti višem stupnju otvorenosti i stvarati pozitivan učinak na učinkovitost industrijskih inovacija. Otvoreni standardi olakšavaju interoperabilnost između sigurnosnih alata, pogodujući sigurnosti industrijskih dionika. Alati i aplikacije za kibersigurnost otvorenog koda mogu utjecati na širu zajednicu programera, omogućujući diversifikaciju dobavljača. Otvoreni kod može dovesti do transparentnijeg procesa provjere alata koji se odnose na kibersigurnost i procesa otkrivanja ranjivosti koji pokreće zajednica. Države članice stoga bi trebale moći promicati usvajanje softvera otvorenog koda i otvorenih standarda provođenjem politika koje se odnose na korištenje otvorenih podataka i otvorenog koda kao dijela sigurnosti pomoću transparentnosti. Politike koje promiču uvođenje i održivu upotrebu alata za kibersigurnost otvorenog koda od posebne su važnosti za mala i srednja poduzeća koja se suočavaju sa znatnim troškovima provedbe, koje bi mogli minimalizirati smanjenjem potrebe za posebnim aplikacijama ili alatima.

| (53) | Komunalne usluge sve su više povezane s digitalnim mrežama u gradovima u svrhu poboljšanja mreža gradskog prijevoza, nadogradnje infrastrukture za opskrbu vodom i zbrinjavanje otpada te povećanja učinkovitosti rasvjete i grijanja zgrada. Te digitalizirane komunalne usluge podložne su kibernapadima te, u slučaju da su ti napadi uspješni, građanima prijeti velika šteta zbog njihove međusobne povezanosti. Države članice trebale bi u okviru svojih nacionalnih strategija za kibersigurnost razviti politiku koja se bavi razvojem takvih povezanih ili pametnih gradova i njihovim mogućim učincima na društvo. |
| --- | --- |

(53)

Komunalne usluge sve su više povezane s digitalnim mrežama u gradovima u svrhu poboljšanja mreža gradskog prijevoza, nadogradnje infrastrukture za opskrbu vodom i zbrinjavanje otpada te povećanja učinkovitosti rasvjete i grijanja zgrada. Te digitalizirane komunalne usluge podložne su kibernapadima te, u slučaju da su ti napadi uspješni, građanima prijeti velika šteta zbog njihove međusobne povezanosti. Države članice trebale bi u okviru svojih nacionalnih strategija za kibersigurnost razviti politiku koja se bavi razvojem takvih povezanih ili pametnih gradova i njihovim mogućim učincima na društvo.

| (54) | Posljednjih se godina Unija suočila s eksponencijalnim porastom napada ucjenjivačkim softverom, u kojima zlonamjerni softver kriptira podatke i sustave te zahtijeva plaćanje otkupnine kako bi ih odblokirao. Sve veća učestalost i ozbiljnost napada ucjenjivačkim softverom može biti posljedica nekoliko čimbenika, kao što su različiti obrasci napada, kriminalni poslovni modeli povezani s „ucjenjivačkim softverom kao uslugom” i kriptovalutama, zahtjevi za otkupninu te porast napada u lancu opskrbe. Države članice trebale bi u okviru svojih nacionalnih strategija za kibersigurnost donijeti politike za rješavanje porasta napada ucjenjivačkim softverom. |
| --- | --- |

(54)

Posljednjih se godina Unija suočila s eksponencijalnim porastom napada ucjenjivačkim softverom, u kojima zlonamjerni softver kriptira podatke i sustave te zahtijeva plaćanje otkupnine kako bi ih odblokirao. Sve veća učestalost i ozbiljnost napada ucjenjivačkim softverom može biti posljedica nekoliko čimbenika, kao što su različiti obrasci napada, kriminalni poslovni modeli povezani s „ucjenjivačkim softverom kao uslugom” i kriptovalutama, zahtjevi za otkupninu te porast napada u lancu opskrbe. Države članice trebale bi u okviru svojih nacionalnih strategija za kibersigurnost donijeti politike za rješavanje porasta napada ucjenjivačkim softverom.

| (55) | Javno-privatna partnerstva u području kibersigurnosti mogu pružiti odgovarajući okvir za razmjenu znanja i najbolje prakse te uspostavljanje zajedničke razine razumijevanja među dionicima. Države članice trebale bi promicati politike kojima se potiče uspostava javno-privatnih partnerstava za kibersigurnost. Kad je riječ o javno-privatnim partnerstvima, tim bi se politikama, među ostalim, trebali razjasniti područje primjene i uključeni dionici, model upravljanja, dostupne mogućnosti financiranja i interakcija među uključenim dionicima. Javno-privatna partnerstva mogu se koristiti stručnim znanjem subjekata iz privatnog sektora kako bi pomogla nadležnim tijelima u razvoju najsuvremenijih usluga i procesa koji uključuju razmjenu informacija, rana upozorenja, vježbe za slučajeve kiberprijetnji i kiberincidenata, upravljanje rizicima i planiranje otpornosti. |
| --- | --- |

(55)

Javno-privatna partnerstva u području kibersigurnosti mogu pružiti odgovarajući okvir za razmjenu znanja i najbolje prakse te uspostavljanje zajedničke razine razumijevanja među dionicima. Države članice trebale bi promicati politike kojima se potiče uspostava javno-privatnih partnerstava za kibersigurnost. Kad je riječ o javno-privatnim partnerstvima, tim bi se politikama, među ostalim, trebali razjasniti područje primjene i uključeni dionici, model upravljanja, dostupne mogućnosti financiranja i interakcija među uključenim dionicima. Javno-privatna partnerstva mogu se koristiti stručnim znanjem subjekata iz privatnog sektora kako bi pomogla nadležnim tijelima u razvoju najsuvremenijih usluga i procesa koji uključuju razmjenu informacija, rana upozorenja, vježbe za slučajeve kiberprijetnji i kiberincidenata, upravljanje rizicima i planiranje otpornosti.

| (56) | U svojim nacionalnim strategijama za kibersigurnost, države članice trebale bi riješiti pitanje posebnih potreba malih i srednjih poduzeća u području kibersigurnosti. Mala i srednja poduzeća predstavljaju, širom Unije, velik postotak industrijskog i poslovnog tržišta i često nailaze na poteškoće u prilagodbi novim poslovnim praksama u povezanijem svijetu i digitalnom okruženju s obzirom na to da zaposlenici rade od kuće, a poslovanje se sve više vodi na internetu. Neka se mala i srednja poduzeća suočavaju s posebnim izazovima u području kibersigurnosti, kao što su slaba osviještenost o kibersigurnosti, nedostatak informatičke sigurnosti na daljinu, visok trošak kibersigurnosnih rješenja i povećana razina prijetnje, kao što su ucjenjivački softveri, te bi trebali primiti smjernice i potporu. Mala i srednja poduzeća sve više postaju meta napada u lancu opskrbe zbog svojih manje strogih mjera upravljanja kibersigurnosnim rizicima i upravljanja napadima te činjenice da imaju ograničene resurse za sigurnost. Takvi napadi u lancu opskrbe ne utječu samo na mala i srednja poduzeća i njihovo poslovanje, već mogu imati i kaskadni učinak na veće napade na subjekte kojima isporučuju robu. Države članice trebale bi kroz svoje nacionalne strategije za kibersigurnost pomoći malim i srednjim poduzećima u rješavanju izazova s kojima se suočavaju u svojim lancima opskrbe. Države članice trebale bi na nacionalnoj ili regionalnoj razini imati kontaktnu točku za mala i srednja poduzeća koja pruža smjernice i pomoć malim i srednjim poduzećima ili ih usmjerava na odgovarajuća tijela koja pružaju smjernice i pomoć u pogledu pitanja povezanih s kibersigurnošću. Države članice također se potiču da ponude usluge kao što su omogućavanje konfiguracije internetskih stranica i bilježenja podataka za mikropoduzeća i mala poduzeća kojima nedostaju te mogućnosti. |
| --- | --- |

(56)

U svojim nacionalnim strategijama za kibersigurnost, države članice trebale bi riješiti pitanje posebnih potreba malih i srednjih poduzeća u području kibersigurnosti. Mala i srednja poduzeća predstavljaju, širom Unije, velik postotak industrijskog i poslovnog tržišta i često nailaze na poteškoće u prilagodbi novim poslovnim praksama u povezanijem svijetu i digitalnom okruženju s obzirom na to da zaposlenici rade od kuće, a poslovanje se sve više vodi na internetu. Neka se mala i srednja poduzeća suočavaju s posebnim izazovima u području kibersigurnosti, kao što su slaba osviještenost o kibersigurnosti, nedostatak informatičke sigurnosti na daljinu, visok trošak kibersigurnosnih rješenja i povećana razina prijetnje, kao što su ucjenjivački softveri, te bi trebali primiti smjernice i potporu. Mala i srednja poduzeća sve više postaju meta napada u lancu opskrbe zbog svojih manje strogih mjera upravljanja kibersigurnosnim rizicima i upravljanja napadima te činjenice da imaju ograničene resurse za sigurnost. Takvi napadi u lancu opskrbe ne utječu samo na mala i srednja poduzeća i njihovo poslovanje, već mogu imati i kaskadni učinak na veće napade na subjekte kojima isporučuju robu. Države članice trebale bi kroz svoje nacionalne strategije za kibersigurnost pomoći malim i srednjim poduzećima u rješavanju izazova s kojima se suočavaju u svojim lancima opskrbe. Države članice trebale bi na nacionalnoj ili regionalnoj razini imati kontaktnu točku za mala i srednja poduzeća koja pruža smjernice i pomoć malim i srednjim poduzećima ili ih usmjerava na odgovarajuća tijela koja pružaju smjernice i pomoć u pogledu pitanja povezanih s kibersigurnošću. Države članice također se potiču da ponude usluge kao što su omogućavanje konfiguracije internetskih stranica i bilježenja podataka za mikropoduzeća i mala poduzeća kojima nedostaju te mogućnosti.

| (57) | U okviru svojih nacionalnih strategija za kibersigurnost države članice trebale bi donijeti politike o promicanju aktivne kiberzaštite kao dijela šire obrambene strategije. Umjesto reaktivnog odgovora, kiberzaštita podrazumijeva aktivno sprečavanje, otkrivanje, praćenje, analizu i ublažavanje povreda sigurnosti mreže, u kombinaciji s upotrebom kapaciteta koji se primjenjuju unutar i izvan mreže koja je žrtva kibernapada. To bi, među ostalim, moglo uključivati mogućnost da države članice određenim subjektima ponude besplatne usluge ili alate, uključujući samoposlužne provjere, alate za otkrivanje i usluge uklanjanja. Sposobnost brze i automatske razmjene i razumijevanja informacija o prijetnji i analize prijetnji, upozorenja o kiberaktivnostima i odgovora ključna je za omogućivanje udruženih napora za uspješno sprečavanje, otkrivanje, rješavanje i blokiranje napada na mrežne i informacijske sustave. Aktivna kiberzaštita temelji se na strategiji obrane u kojoj su isključene ofenzivne mjere. |
| --- | --- |

(57)

U okviru svojih nacionalnih strategija za kibersigurnost države članice trebale bi donijeti politike o promicanju aktivne kiberzaštite kao dijela šire obrambene strategije. Umjesto reaktivnog odgovora, kiberzaštita podrazumijeva aktivno sprečavanje, otkrivanje, praćenje, analizu i ublažavanje povreda sigurnosti mreže, u kombinaciji s upotrebom kapaciteta koji se primjenjuju unutar i izvan mreže koja je žrtva kibernapada. To bi, među ostalim, moglo uključivati mogućnost da države članice određenim subjektima ponude besplatne usluge ili alate, uključujući samoposlužne provjere, alate za otkrivanje i usluge uklanjanja. Sposobnost brze i automatske razmjene i razumijevanja informacija o prijetnji i analize prijetnji, upozorenja o kiberaktivnostima i odgovora ključna je za omogućivanje udruženih napora za uspješno sprečavanje, otkrivanje, rješavanje i blokiranje napada na mrežne i informacijske sustave. Aktivna kiberzaštita temelji se na strategiji obrane u kojoj su isključene ofenzivne mjere.

| (58) | Budući da iskorištavanje ranjivosti u mrežnim i informacijskim sustavima može uzrokovati znatne poremećaje i štetu, brzo prepoznavanje i otklanjanje takvih ranjivosti važan je čimbenik u smanjenju rizika. Subjekti koji razvijaju mrežne i informacijske sustave ili upravljaju njima trebali bi stoga uspostaviti odgovarajuće postupke za postupanje s ranjivostima kada ih se otkrije. Budući da ranjivosti često prepoznaju i otkrivaju treće strane, proizvođač ili pružatelj IKT proizvoda ili IKT usluga trebao bi uspostaviti i postupke potrebne za primanje informacija o ranjivosti od trećih strana. U tom pogledu međunarodne norme ISO/IEC 30111 i ISO/IEC 29147 pružaju smjernice o postupanju s ranjivostima i otkrivanju ranjivosti. Jačanje koordinacije između fizičkih i pravnih osoba koji podliježu obvezi izvješćivanja i proizvođača ili pružatelja IKT proizvoda ili IKT usluga posebno je važno u svrhu olakšavanja dobrovoljnog okvira otkrivanja ranjivosti. Koordinirano otkrivanje ranjivosti odvija se strukturiranim postupkom u okviru kojeg se ranjivosti prijavljuju proizvođaču ili pružatelju potencijalno ranjivih IKT proizvoda ili IKT usluga na način kojim im se omogućuje dijagnosticiranje i otklanjanje ranjivosti prije nego što se detaljne informacije o ranjivosti otkriju trećim stranama ili javnosti. Koordinirano otkrivanje ranjivosti trebalo bi obuhvaćati i koordinaciju između fizičke ili pravne osobe koja podliježe obvezi izvješćivanja i proizvođača ili pružatelja potencijalno ranjivih IKT proizvoda ili IKT usluga u pogledu vremena otklanjanja i objave ranjivosti. |
| --- | --- |

(58)

Budući da iskorištavanje ranjivosti u mrežnim i informacijskim sustavima može uzrokovati znatne poremećaje i štetu, brzo prepoznavanje i otklanjanje takvih ranjivosti važan je čimbenik u smanjenju rizika. Subjekti koji razvijaju mrežne i informacijske sustave ili upravljaju njima trebali bi stoga uspostaviti odgovarajuće postupke za postupanje s ranjivostima kada ih se otkrije. Budući da ranjivosti često prepoznaju i otkrivaju treće strane, proizvođač ili pružatelj IKT proizvoda ili IKT usluga trebao bi uspostaviti i postupke potrebne za primanje informacija o ranjivosti od trećih strana. U tom pogledu međunarodne norme ISO/IEC 30111 i ISO/IEC 29147 pružaju smjernice o postupanju s ranjivostima i otkrivanju ranjivosti. Jačanje koordinacije između fizičkih i pravnih osoba koji podliježu obvezi izvješćivanja i proizvođača ili pružatelja IKT proizvoda ili IKT usluga posebno je važno u svrhu olakšavanja dobrovoljnog okvira otkrivanja ranjivosti. Koordinirano otkrivanje ranjivosti odvija se strukturiranim postupkom u okviru kojeg se ranjivosti prijavljuju proizvođaču ili pružatelju potencijalno ranjivih IKT proizvoda ili IKT usluga na način kojim im se omogućuje dijagnosticiranje i otklanjanje ranjivosti prije nego što se detaljne informacije o ranjivosti otkriju trećim stranama ili javnosti. Koordinirano otkrivanje ranjivosti trebalo bi obuhvaćati i koordinaciju između fizičke ili pravne osobe koja podliježe obvezi izvješćivanja i proizvođača ili pružatelja potencijalno ranjivih IKT proizvoda ili IKT usluga u pogledu vremena otklanjanja i objave ranjivosti.

| (59) | Komisija, ENISA i države članice trebale bi nastaviti poticati usklađivanje s međunarodnim normama i postojećim najboljim praksama u industriji u području upravljanja kibersigurnosnim rizicima, na primjer u područjima procjene sigurnosti lanca opskrbe, razmjene informacija i otkrivanja ranjivosti. |
| --- | --- |

(59)

Komisija, ENISA i države članice trebale bi nastaviti poticati usklađivanje s međunarodnim normama i postojećim najboljim praksama u industriji u području upravljanja kibersigurnosnim rizicima, na primjer u područjima procjene sigurnosti lanca opskrbe, razmjene informacija i otkrivanja ranjivosti.

| (60) | Države članice trebale bi, u suradnji s ENISA-om, poduzeti mjere za olakšavanje koordiniranog otkrivanja ranjivosti uspostavom relevantne nacionalne politike. U okviru svojih nacionalnih politika i u skladu s nacionalnim pravom države članice trebale bi, u mjeri u kojoj je to moguće, nastojati odgovoriti na izazove s kojima se suočavaju oni koji istražuju ranjivosti, uključujući njihovu moguću izloženost kaznenoj odgovornosti. S obzirom na to da bi fizičke i pravne osobe koje istražuju ranjivosti u nekim državama članicama mogle biti izložene kaznenoj i građanskopravnoj odgovornosti, države članice potiču se da donesu smjernice u pogledu neprovođenja kaznenog progona istraživača u području informacijske sigurnosti i izuzeća od građanskopravne odgovornosti za njihove aktivnosti. |
| --- | --- |

(60)

Države članice trebale bi, u suradnji s ENISA-om, poduzeti mjere za olakšavanje koordiniranog otkrivanja ranjivosti uspostavom relevantne nacionalne politike. U okviru svojih nacionalnih politika i u skladu s nacionalnim pravom države članice trebale bi, u mjeri u kojoj je to moguće, nastojati odgovoriti na izazove s kojima se suočavaju oni koji istražuju ranjivosti, uključujući njihovu moguću izloženost kaznenoj odgovornosti. S obzirom na to da bi fizičke i pravne osobe koje istražuju ranjivosti u nekim državama članicama mogle biti izložene kaznenoj i građanskopravnoj odgovornosti, države članice potiču se da donesu smjernice u pogledu neprovođenja kaznenog progona istraživača u području informacijske sigurnosti i izuzeća od građanskopravne odgovornosti za njihove aktivnosti.

| (61) | Države članice trebale bi jednog od svojih CSIRT-ova imenovati koordinatorom koji će prema potrebi djelovati kao pouzdani posrednik između fizičkih i pravnih osoba koje podliježu obvezi izvješćivanja i proizvođača ili pružatelja IKT proizvoda ili IKT usluga na koje će vjerojatno utjecati ranjivost. Zadaće CSIRT-a koji je imenovan koordinatorom trebale bi uključivati utvrđivanje predmetnih subjekata i kontaktiranje s njima, pomaganje fizičkim ili pravnim osobama koje prijavljuju ranjivost, pregovaranje o vremenskom okviru za otkrivanje i upravljanje ranjivostima koje utječu na više subjekata (koordinirano otkrivanje ranjivosti koje uključuje više strana). U slučajevima u kojima bi prijavljena ranjivost mogla imati znatan učinak na subjekte u više država članica, CSIRT-ovi koji su imenovani koordinatorima trebali bi, prema potrebi, surađivati u okviru mreže CSIRT-ova. |
| --- | --- |

(61)

Države članice trebale bi jednog od svojih CSIRT-ova imenovati koordinatorom koji će prema potrebi djelovati kao pouzdani posrednik između fizičkih i pravnih osoba koje podliježu obvezi izvješćivanja i proizvođača ili pružatelja IKT proizvoda ili IKT usluga na koje će vjerojatno utjecati ranjivost. Zadaće CSIRT-a koji je imenovan koordinatorom trebale bi uključivati utvrđivanje predmetnih subjekata i kontaktiranje s njima, pomaganje fizičkim ili pravnim osobama koje prijavljuju ranjivost, pregovaranje o vremenskom okviru za otkrivanje i upravljanje ranjivostima koje utječu na više subjekata (koordinirano otkrivanje ranjivosti koje uključuje više strana). U slučajevima u kojima bi prijavljena ranjivost mogla imati znatan učinak na subjekte u više država članica, CSIRT-ovi koji su imenovani koordinatorima trebali bi, prema potrebi, surađivati u okviru mreže CSIRT-ova.

| (62) | Pristup točnim i pravodobnim informacijama o ranjivostima koje utječu na IKT proizvode i IKT usluge doprinosi boljem upravljanju kibersigurnosnim rizicima. Izvori javno dostupnih informacija o ranjivostima važan su alat za subjekte i korisnike njihovih usluga, ali i za nadležna tijela i CSIRT-ove. Zbog toga bi ENISA trebala uspostaviti europsku bazu podataka o ranjivosti u kojoj subjekti, neovisno o tome jesu li obuhvaćeni područjem primjene ove Direktive, i njihovi dobavljači mrežnih i informacijskih sustava, kao i nadležna tijela i CSIRT-ovi, mogu na dobrovoljnoj osnovi otkriti i registrirati javno poznate ranjivosti kako bi se korisnicima omogućilo da poduzmu odgovarajuće mjere ublažavanja. Cilj je te baze podataka riješiti jedinstvene izazove koje rizici predstavljaju za subjekte u Uniji. Nadalje, ENISA bi trebala uspostaviti odgovarajuću proceduru u vezi s postupkom objavljivanja kako bi subjektima dala vremena da poduzmu mjere za ublažavanje svojih ranjivosti i upotrijebe najsuvremenije mjere upravljanja kibersigurnosnim rizicima, kao i strojno čitljive skupove podataka i odgovarajuća sučelja. Kako bi se potaknula kultura otkrivanja ranjivosti, objavljivanje ne bi smjelo imati štetne učinke na fizičku ili pravnu osobu koja podliježe obvezi izvješćivanja. |
| --- | --- |

(62)

Pristup točnim i pravodobnim informacijama o ranjivostima koje utječu na IKT proizvode i IKT usluge doprinosi boljem upravljanju kibersigurnosnim rizicima. Izvori javno dostupnih informacija o ranjivostima važan su alat za subjekte i korisnike njihovih usluga, ali i za nadležna tijela i CSIRT-ove. Zbog toga bi ENISA trebala uspostaviti europsku bazu podataka o ranjivosti u kojoj subjekti, neovisno o tome jesu li obuhvaćeni područjem primjene ove Direktive, i njihovi dobavljači mrežnih i informacijskih sustava, kao i nadležna tijela i CSIRT-ovi, mogu na dobrovoljnoj osnovi otkriti i registrirati javno poznate ranjivosti kako bi se korisnicima omogućilo da poduzmu odgovarajuće mjere ublažavanja. Cilj je te baze podataka riješiti jedinstvene izazove koje rizici predstavljaju za subjekte u Uniji. Nadalje, ENISA bi trebala uspostaviti odgovarajuću proceduru u vezi s postupkom objavljivanja kako bi subjektima dala vremena da poduzmu mjere za ublažavanje svojih ranjivosti i upotrijebe najsuvremenije mjere upravljanja kibersigurnosnim rizicima, kao i strojno čitljive skupove podataka i odgovarajuća sučelja. Kako bi se potaknula kultura otkrivanja ranjivosti, objavljivanje ne bi smjelo imati štetne učinke na fizičku ili pravnu osobu koja podliježe obvezi izvješćivanja.

| (63) | Iako slični registri ili baze podataka o ranjivosti postoje, na poslužitelju ih smještaju i vode subjekti koji nemaju poslovni nastan u Uniji. Europska baza podataka o ranjivosti koju bi vodila ENISA omogućila bi veću transparentnost u pogledu postupka objavljivanja prije javnog otkrivanja ranjivosti i otpornost u slučaju poremećaja ili prekida u pružanju sličnih usluga. Kako bi se, u mjeri u kojoj je to moguće, izbjeglo udvostručavanje napora i postigla komplementarnost, ENISA bi trebala istražiti mogućnost sklapanja sporazuma o strukturiranoj suradnji sa sličnim registrima ili bazama podataka koji su u nadležnosti trećih zemalja. ENISA bi posebno trebala istražiti mogućnost bliske suradnje s operatorima sustava čestih ranjivosti i izloženosti (CVE). |
| --- | --- |

(63)

Iako slični registri ili baze podataka o ranjivosti postoje, na poslužitelju ih smještaju i vode subjekti koji nemaju poslovni nastan u Uniji. Europska baza podataka o ranjivosti koju bi vodila ENISA omogućila bi veću transparentnost u pogledu postupka objavljivanja prije javnog otkrivanja ranjivosti i otpornost u slučaju poremećaja ili prekida u pružanju sličnih usluga. Kako bi se, u mjeri u kojoj je to moguće, izbjeglo udvostručavanje napora i postigla komplementarnost, ENISA bi trebala istražiti mogućnost sklapanja sporazuma o strukturiranoj suradnji sa sličnim registrima ili bazama podataka koji su u nadležnosti trećih zemalja. ENISA bi posebno trebala istražiti mogućnost bliske suradnje s operatorima sustava čestih ranjivosti i izloženosti (CVE).

| (64) | Skupina za suradnju trebala bi podupirati i olakšavati stratešku suradnju i razmjenu informacija te jačati povjerenje među državama članicama. Skupina za suradnju trebala bi svake dvije godine uspostaviti program rada. Taj bi program rada trebao sadržavati mjere koje skupina mora poduzeti radi provedbe svojih ciljeva i zadaća. Vremenski okvir za donošenje prvog programa na temelju ove Direktive trebalo bi uskladiti s vremenskim okvirom posljednjeg programa donesenog na temelju Direktive (EU) 2016/1148 kako bi se izbjegli mogući poremećaji u radu skupine za suradnju. |
| --- | --- |

(64)

Skupina za suradnju trebala bi podupirati i olakšavati stratešku suradnju i razmjenu informacija te jačati povjerenje među državama članicama. Skupina za suradnju trebala bi svake dvije godine uspostaviti program rada. Taj bi program rada trebao sadržavati mjere koje skupina mora poduzeti radi provedbe svojih ciljeva i zadaća. Vremenski okvir za donošenje prvog programa na temelju ove Direktive trebalo bi uskladiti s vremenskim okvirom posljednjeg programa donesenog na temelju Direktive (EU) 2016/1148 kako bi se izbjegli mogući poremećaji u radu skupine za suradnju.

| (65) | Prilikom izrade smjernica, skupina za suradnju trebala bi biti dosljedna u mapiranju nacionalnih rješenja i iskustava, procjenjivanju učinka rezultata skupine za suradnju na nacionalne pristupe, raspravljanju o izazovima u provedbi i izradi posebnih preporuka koje će se nastojati ispuniti boljom provedbom postojećih pravila, osobito u pogledu lakšeg usklađivanja prilikom prenošenja ove Direktive u državama članicama. Skupina za suradnju mogla bi mapirati i nacionalna rješenja kako bi promicala kompatibilnost kibersigurnosnih rješenja koja se primjenjuju u svakom pojedinom sektoru širom Unije. To je od osobite važnosti za sektore međunarodne i prekogranične prirode. |
| --- | --- |

(65)

Prilikom izrade smjernica, skupina za suradnju trebala bi biti dosljedna u mapiranju nacionalnih rješenja i iskustava, procjenjivanju učinka rezultata skupine za suradnju na nacionalne pristupe, raspravljanju o izazovima u provedbi i izradi posebnih preporuka koje će se nastojati ispuniti boljom provedbom postojećih pravila, osobito u pogledu lakšeg usklađivanja prilikom prenošenja ove Direktive u državama članicama. Skupina za suradnju mogla bi mapirati i nacionalna rješenja kako bi promicala kompatibilnost kibersigurnosnih rješenja koja se primjenjuju u svakom pojedinom sektoru širom Unije. To je od osobite važnosti za sektore međunarodne i prekogranične prirode.

| (66) | Skupina za suradnju trebala bi ostati fleksibilan forum i trebala bi moći odgovoriti na nove i promjenjive političke prioritete i izazove, uzimajući pritom u obzir raspoloživost resursa. Mogla bi organizirati redovite zajedničke sastanke s relevantnim privatnim dionicima širom Unije na kojima bi se raspravljalo o aktivnostima skupine za suradnju i prikupljali podaci i informacije o novim izazovima u pogledu politike. Osim toga, skupina za suradnju trebala bi provoditi redovitu procjenu stanja kiberprijetnji ili kiberincidenata, kao što je ucjenjivački softver. Kako bi se poboljšala suradnja na razini Unije, skupina za suradnju trebala bi razmotriti mogućnost pozivanja relevantnih institucija, tijela, ureda i agencija Unije uključenih u politiku kibersigurnosti, kao što su Europski parlament, Europol, Europski odbor za zaštitu podataka, Agencija Europske unije za sigurnost zračnog prometa osnovana Uredbom (EU) 2018/1139 i Agencija Europske unije za svemirski program, osnovana Uredbom (EU) 2021/696 Europskog parlamenta i Vijeća (14), da sudjeluju u njezinu radu. |
| --- | --- |

(66)

Skupina za suradnju trebala bi ostati fleksibilan forum i trebala bi moći odgovoriti na nove i promjenjive političke prioritete i izazove, uzimajući pritom u obzir raspoloživost resursa. Mogla bi organizirati redovite zajedničke sastanke s relevantnim privatnim dionicima širom Unije na kojima bi se raspravljalo o aktivnostima skupine za suradnju i prikupljali podaci i informacije o novim izazovima u pogledu politike. Osim toga, skupina za suradnju trebala bi provoditi redovitu procjenu stanja kiberprijetnji ili kiberincidenata, kao što je ucjenjivački softver. Kako bi se poboljšala suradnja na razini Unije, skupina za suradnju trebala bi razmotriti mogućnost pozivanja relevantnih institucija, tijela, ureda i agencija Unije uključenih u politiku kibersigurnosti, kao što su Europski parlament, Europol, Europski odbor za zaštitu podataka, Agencija Europske unije za sigurnost zračnog prometa osnovana Uredbom (EU) 2018/1139 i Agencija Europske unije za svemirski program, osnovana Uredbom (EU) 2021/696 Europskog parlamenta i Vijeća (14), da sudjeluju u njezinu radu.

| (67) | Nadležna tijela i CSIRT-ovi trebali bi moći sudjelovati u programima razmjene za službenike iz drugih država članica, unutar posebnog okvira i, ako je to primjenjivo, podložno potrebnoj sigurnosnoj provjeri službenika koji sudjeluju u takvim programima razmjene, u cilju poboljšanja suradnje i jačanja povjerenja među državama članicama. Nadležna tijela trebala bi poduzeti potrebne mjere kako bi službenicima iz drugih država članica omogućila da imaju djelotvornu ulogu u aktivnostima nadležnog tijela domaćina ili CSIRT-a domaćina. |
| --- | --- |

(67)

Nadležna tijela i CSIRT-ovi trebali bi moći sudjelovati u programima razmjene za službenike iz drugih država članica, unutar posebnog okvira i, ako je to primjenjivo, podložno potrebnoj sigurnosnoj provjeri službenika koji sudjeluju u takvim programima razmjene, u cilju poboljšanja suradnje i jačanja povjerenja među državama članicama. Nadležna tijela trebala bi poduzeti potrebne mjere kako bi službenicima iz drugih država članica omogućila da imaju djelotvornu ulogu u aktivnostima nadležnog tijela domaćina ili CSIRT-a domaćina.

| (68) | Države članice trebale bi doprinijeti uspostavi okvira EU-a za odgovor na kiberkrize utvrđenog u Preporuci Komisije (EU) 2017/1584 (15) putem postojećih mreža suradnje, posebno Europske mreže organizacija za vezu za kiberkrize (mreža EU-CyCLONe), mreže CSIRT-ova i skupine za suradnju. Mreža EU-CyCLONe i mreža CSIRT-ova trebali bi surađivati na temelju postupovnih aranžmana kojima se utvrđuju detalji te suradnje i izbjegavati udvostručavanje zadaća. U poslovniku mreže EU-CyCLONe trebalo bi dodatno utvrditi načine funkcioniranja mreže, uključujući uloge te mreže, oblike suradnje, interakcije s drugim relevantnim akterima i predloške za razmjenu informacija, kao i sredstva komunikacije. Za upravljanje krizama na razini Unije relevantne stranke trebale bi se oslanjati na aranžmane EU-a za integrirani politički odgovor na krizu na temelju Provedbene odluke Vijeća (EU) 2018/1993 (16) (aranžmani za IPCR). Komisija bi u tu svrhu trebala primjenjivati međusektorski postupak koordiniranja krize na visokoj razini ARGUS. Ako kriza ima znatan utjecaj na vanjsku ili zajedničku sigurnosnu i obrambenu politiku, trebalo bi aktivirati mehanizam za odgovor na krize Europske službe za vanjsko djelovanje. |
| --- | --- |

(68)

Države članice trebale bi doprinijeti uspostavi okvira EU-a za odgovor na kiberkrize utvrđenog u Preporuci Komisije (EU) 2017/1584 (15) putem postojećih mreža suradnje, posebno Europske mreže organizacija za vezu za kiberkrize (mreža EU-CyCLONe), mreže CSIRT-ova i skupine za suradnju. Mreža EU-CyCLONe i mreža CSIRT-ova trebali bi surađivati na temelju postupovnih aranžmana kojima se utvrđuju detalji te suradnje i izbjegavati udvostručavanje zadaća. U poslovniku mreže EU-CyCLONe trebalo bi dodatno utvrditi načine funkcioniranja mreže, uključujući uloge te mreže, oblike suradnje, interakcije s drugim relevantnim akterima i predloške za razmjenu informacija, kao i sredstva komunikacije. Za upravljanje krizama na razini Unije relevantne stranke trebale bi se oslanjati na aranžmane EU-a za integrirani politički odgovor na krizu na temelju Provedbene odluke Vijeća (EU) 2018/1993 (16) (aranžmani za IPCR). Komisija bi u tu svrhu trebala primjenjivati međusektorski postupak koordiniranja krize na visokoj razini ARGUS. Ako kriza ima znatan utjecaj na vanjsku ili zajedničku sigurnosnu i obrambenu politiku, trebalo bi aktivirati mehanizam za odgovor na krize Europske službe za vanjsko djelovanje.

| (69) | U skladu s Prilogom Preporuci (EU) 2017/1584, kibersigurnosni incident velikih razmjera trebao bi značiti incident koji uzrokuje razinu poremećaja koja premašuje sposobnost države članice da na njega odgovori ili koji ima znatan učinak na najmanje dvije države članice. Ovisno o svojem uzroku i utjecaju, kibersigurnosni incidenti velikih razmjera mogu se proširiti i pretvoriti u prave krize koje onemogućavaju pravilno funkcioniranje unutarnjeg tržišta ili predstavljaju ozbiljne rizike za javnu sigurnost i zaštitu za subjekte ili građane u nekoliko država članica ili u Uniji u cjelini. S obzirom na širok opseg i, u većini slučajeva, prekograničnu prirodu takvih incidenata, države članice i relevantne institucije, tijela, uredi i agencije Unije trebali bi surađivati na tehničkoj, operativnoj i političkoj razini kako bi pravilno koordinirali odgovor širom Unije. |
| --- | --- |

(69)

U skladu s Prilogom Preporuci (EU) 2017/1584, kibersigurnosni incident velikih razmjera trebao bi značiti incident koji uzrokuje razinu poremećaja koja premašuje sposobnost države članice da na njega odgovori ili koji ima znatan učinak na najmanje dvije države članice. Ovisno o svojem uzroku i utjecaju, kibersigurnosni incidenti velikih razmjera mogu se proširiti i pretvoriti u prave krize koje onemogućavaju pravilno funkcioniranje unutarnjeg tržišta ili predstavljaju ozbiljne rizike za javnu sigurnost i zaštitu za subjekte ili građane u nekoliko država članica ili u Uniji u cjelini. S obzirom na širok opseg i, u većini slučajeva, prekograničnu prirodu takvih incidenata, države članice i relevantne institucije, tijela, uredi i agencije Unije trebali bi surađivati na tehničkoj, operativnoj i političkoj razini kako bi pravilno koordinirali odgovor širom Unije.

| (70) | Kibersigurnosni incidenti velikih razmjera i krize na razini Unije zahtijevaju koordinirano djelovanje kako bi se osigurao brz i učinkovit odgovor zbog visokog stupnja međuovisnosti između sektora i država članica. Dostupnost mreža i informacijskih sustava otpornih na kibernapade te dostupnost, povjerljivost i cjelovitost podataka ključni su za sigurnost Unije i zaštitu njezinih građana, poduzeća i institucija od incidenata i kiberprijetnji, kao i za jačanje povjerenja pojedinaca i organizacija u sposobnost Unije da promiče i štiti globalan, otvoren, slobodan, stabilan i siguran kiberprostor utemeljen na ljudskim pravima, temeljnim slobodama, demokraciji i vladavini prava. |
| --- | --- |

(70)

Kibersigurnosni incidenti velikih razmjera i krize na razini Unije zahtijevaju koordinirano djelovanje kako bi se osigurao brz i učinkovit odgovor zbog visokog stupnja međuovisnosti između sektora i država članica. Dostupnost mreža i informacijskih sustava otpornih na kibernapade te dostupnost, povjerljivost i cjelovitost podataka ključni su za sigurnost Unije i zaštitu njezinih građana, poduzeća i institucija od incidenata i kiberprijetnji, kao i za jačanje povjerenja pojedinaca i organizacija u sposobnost Unije da promiče i štiti globalan, otvoren, slobodan, stabilan i siguran kiberprostor utemeljen na ljudskim pravima, temeljnim slobodama, demokraciji i vladavini prava.

| (71) | Mreža EU-CyCLONe trebala bi djelovati kao posrednik između tehničke i političke razine tijekom kibersigurnosnih incidenata velikih razmjera i kriza te poboljšati suradnju na operativnoj razini i podupirati donošenje odluka na političkoj razini. U suradnji s Komisijom i s obzirom na njezinu nadležnost u području upravljanja krizama, mreža EU-CyCLONe trebala bi se nadovezati na nalaze mreže CSIRT-ova i koristiti se vlastitim kapacitetima pri izradi analize učinka kibersigurnosnih incidenata velikih razmjera i kriza. |
| --- | --- |

(71)

Mreža EU-CyCLONe trebala bi djelovati kao posrednik između tehničke i političke razine tijekom kibersigurnosnih incidenata velikih razmjera i kriza te poboljšati suradnju na operativnoj razini i podupirati donošenje odluka na političkoj razini. U suradnji s Komisijom i s obzirom na njezinu nadležnost u području upravljanja krizama, mreža EU-CyCLONe trebala bi se nadovezati na nalaze mreže CSIRT-ova i koristiti se vlastitim kapacitetima pri izradi analize učinka kibersigurnosnih incidenata velikih razmjera i kriza.

| (72) | Kibernapadi su prekogranične naravi, a značajan incident može poremetiti i oštetiti ključne informacijske infrastrukture o kojima ovisi neometano funkcioniranje unutarnjeg tržišta. Preporuka (EU) 2017/1584 bavi se ulogom svih relevantnih dionika. Nadalje, Komisija je u okviru Mehanizma Unije za civilnu zaštitu uspostavljenog Odlukom br. 1313/2013/EU Europskog parlamenta i Vijeća (17) odgovorna za opća djelovanja u području pripravnosti, uključujući upravljanje Koordinacijskim centrom za odgovor na hitne situacije i Zajedničkim komunikacijskim i informacijskim sustavom za hitne situacije, održavanje i daljnji razvoj sposobnosti za informiranost o stanju i njegovu analizu te uspostavu i upravljanje sposobnošću za mobilizaciju i slanje timova stručnjaka u slučaju zahtjeva za pomoć države članice ili treće zemlje. Komisija je odgovorna i za dostavljanje analitičkih izvješća za aranžmane za politički odgovor na krizu (IPCR) u skladu s Provedbenom odlukom (EU) 2018/1993, među ostalim u pogledu informiranosti o stanju i pripravnosti u području kibersigurnosti, kao i za informiranost o stanju i odgovor na krizu u područjima poljoprivrede, nepovoljnih vremenskih uvjeta, mapiranja i predviđanja sukoba, sustava ranog upozoravanja na prirodne katastrofe, zdravstvenih hitnih stanja, nadzora zaraznih bolesti, zdravlja bilja, kemijskih incidenata, sigurnosti hrane i hrane za životinje, zdravlja životinja, migracija, carina, nuklearnih i radioloških hitnih stanja te energije. |
| --- | --- |

(72)

Kibernapadi su prekogranične naravi, a značajan incident može poremetiti i oštetiti ključne informacijske infrastrukture o kojima ovisi neometano funkcioniranje unutarnjeg tržišta. Preporuka (EU) 2017/1584 bavi se ulogom svih relevantnih dionika. Nadalje, Komisija je u okviru Mehanizma Unije za civilnu zaštitu uspostavljenog Odlukom br. 1313/2013/EU Europskog parlamenta i Vijeća (17) odgovorna za opća djelovanja u području pripravnosti, uključujući upravljanje Koordinacijskim centrom za odgovor na hitne situacije i Zajedničkim komunikacijskim i informacijskim sustavom za hitne situacije, održavanje i daljnji razvoj sposobnosti za informiranost o stanju i njegovu analizu te uspostavu i upravljanje sposobnošću za mobilizaciju i slanje timova stručnjaka u slučaju zahtjeva za pomoć države članice ili treće zemlje. Komisija je odgovorna i za dostavljanje analitičkih izvješća za aranžmane za politički odgovor na krizu (IPCR) u skladu s Provedbenom odlukom (EU) 2018/1993, među ostalim u pogledu informiranosti o stanju i pripravnosti u području kibersigurnosti, kao i za informiranost o stanju i odgovor na krizu u područjima poljoprivrede, nepovoljnih vremenskih uvjeta, mapiranja i predviđanja sukoba, sustava ranog upozoravanja na prirodne katastrofe, zdravstvenih hitnih stanja, nadzora zaraznih bolesti, zdravlja bilja, kemijskih incidenata, sigurnosti hrane i hrane za životinje, zdravlja životinja, migracija, carina, nuklearnih i radioloških hitnih stanja te energije.

| (73) | Unija prema potrebi može sklapati međunarodne sporazume s trećim zemljama ili međunarodnim organizacijama, u skladu s člankom 218. UFEU-a, kojima im se dopušta i organizira sudjelovanje u posebnim aktivnostima skupine za suradnju, mreže CSIRT-ova te mreže EU-CyCLONe. Takvim bi se sporazumima trebali osigurati interesi Unije i odgovarajuća zaštita podataka. Time se države članice ne bi trebalo spriječiti da ostvaruju pravo na suradnju s trećim zemljama u području upravljanja ranjivostima i kibersigurnosnim rizicima, čime se olakšava izvješćivanje i razmjena općih informacija u skladu s pravom Unije. |
| --- | --- |

(73)

Unija prema potrebi može sklapati međunarodne sporazume s trećim zemljama ili međunarodnim organizacijama, u skladu s člankom 218. UFEU-a, kojima im se dopušta i organizira sudjelovanje u posebnim aktivnostima skupine za suradnju, mreže CSIRT-ova te mreže EU-CyCLONe. Takvim bi se sporazumima trebali osigurati interesi Unije i odgovarajuća zaštita podataka. Time se države članice ne bi trebalo spriječiti da ostvaruju pravo na suradnju s trećim zemljama u području upravljanja ranjivostima i kibersigurnosnim rizicima, čime se olakšava izvješćivanje i razmjena općih informacija u skladu s pravom Unije.

| (74) | Kako bi se olakšala djelotvorna provedba Direktive u pogledu, među ostalim, upravljanja ranjivostima, mjera upravljanja kibersigurnosnim rizicima, obveza izvješćivanja i mehanizama za razmjenu informacija u području kibersigurnosti, države članice mogu surađivati s trećim zemljama i poduzimati aktivnosti koje se smatraju primjerenima u tu svrhu, uključujući razmjenu informacija o kiberprijetnjama, incidentima, ranjivostima, alatima i metodama, taktikama, tehnikama i postupcima, pripravnosti i vježbama za upravljanje kibersigurnosnom krizom, osposobljavanju, izgradnji povjerenja i strukturiranim mehanizmima za razmjenu informacija. |
| --- | --- |

(74)

Kako bi se olakšala djelotvorna provedba Direktive u pogledu, među ostalim, upravljanja ranjivostima, mjera upravljanja kibersigurnosnim rizicima, obveza izvješćivanja i mehanizama za razmjenu informacija u području kibersigurnosti, države članice mogu surađivati s trećim zemljama i poduzimati aktivnosti koje se smatraju primjerenima u tu svrhu, uključujući razmjenu informacija o kiberprijetnjama, incidentima, ranjivostima, alatima i metodama, taktikama, tehnikama i postupcima, pripravnosti i vježbama za upravljanje kibersigurnosnom krizom, osposobljavanju, izgradnji povjerenja i strukturiranim mehanizmima za razmjenu informacija.

| (75) | Trebalo bi uvesti istorazinska ocjenjivanja kako bi se pomoglo u stjecanju znanja iz zajedničkih iskustava, jačanju uzajamnog povjerenja i postizanju visoke zajedničke razine kibersigurnosti. Istorazinska ocjenjivanja mogu rezultirati dragocjenim uvidima i preporukama kojima se jačaju sveukupni kapaciteti u području kibersigurnosti, stvarajući još jedan funkcionalan način za razmjenu najboljih praksi među državama članicama i doprinoseći većim razinama zrelosti država članica u području kibersigurnosti. Nadalje, pri istorazinskom ocjenjivanju trebalo bi uzeti u obzir rezultate sličnih mehanizama, kao što je sustav istorazinskog ocjenjivanja mreže CSIRT-ova, te bi trebalo stvoriti dodatnu vrijednost i izbjeći udvostručavanje. Pri provedbi istorazinskog ocjenjivanja ne bi se trebalo dovesti u pitanje pravo Unije ili nacionalno pravo o zaštiti povjerljivih i klasificiranih podataka. |
| --- | --- |

(75)

Trebalo bi uvesti istorazinska ocjenjivanja kako bi se pomoglo u stjecanju znanja iz zajedničkih iskustava, jačanju uzajamnog povjerenja i postizanju visoke zajedničke razine kibersigurnosti. Istorazinska ocjenjivanja mogu rezultirati dragocjenim uvidima i preporukama kojima se jačaju sveukupni kapaciteti u području kibersigurnosti, stvarajući još jedan funkcionalan način za razmjenu najboljih praksi među državama članicama i doprinoseći većim razinama zrelosti država članica u području kibersigurnosti. Nadalje, pri istorazinskom ocjenjivanju trebalo bi uzeti u obzir rezultate sličnih mehanizama, kao što je sustav istorazinskog ocjenjivanja mreže CSIRT-ova, te bi trebalo stvoriti dodatnu vrijednost i izbjeći udvostručavanje. Pri provedbi istorazinskog ocjenjivanja ne bi se trebalo dovesti u pitanje pravo Unije ili nacionalno pravo o zaštiti povjerljivih i klasificiranih podataka.

| (76) | Skupina za suradnju trebala bi uspostaviti metodologiju za samoocjenu za države članice kako bi obuhvatila čimbenike kao što su razina provedbe mjera upravljanja kibersigurnosnim rizicima i obveza izvješćivanja, razina sposobnosti i djelotvornosti izvršavanja zadaća nadležnih tijela, operativne sposobnosti CSIRT-ova, razina provedbe uzajamne pomoći, razina provedbe mehanizama za razmjenu informacija o kibersigurnosti ili specifična pitanja prekogranične ili međusektorske prirode. Države članice trebalo bi poticati da redovito provode samoocjene te da u okviru skupine za suradnju predstavljaju rezultate svoje samoocjene i raspravljaju o njima. |
| --- | --- |

(76)

Skupina za suradnju trebala bi uspostaviti metodologiju za samoocjenu za države članice kako bi obuhvatila čimbenike kao što su razina provedbe mjera upravljanja kibersigurnosnim rizicima i obveza izvješćivanja, razina sposobnosti i djelotvornosti izvršavanja zadaća nadležnih tijela, operativne sposobnosti CSIRT-ova, razina provedbe uzajamne pomoći, razina provedbe mehanizama za razmjenu informacija o kibersigurnosti ili specifična pitanja prekogranične ili međusektorske prirode. Države članice trebalo bi poticati da redovito provode samoocjene te da u okviru skupine za suradnju predstavljaju rezultate svoje samoocjene i raspravljaju o njima.

| (77) | Ključni i važni subjekti u velikoj mjeri snose odgovornost za osiguravanje sigurnosti mrežnih i informacijskih sustava. Trebalo bi promicati i razvijati kulturu upravljanja rizicima, uključujući procjene rizika i provedbu mjera upravljanja kibersigurnosnim rizicima primjerenih rizicima s kojima se suočava. |
| --- | --- |

(77)

Ključni i važni subjekti u velikoj mjeri snose odgovornost za osiguravanje sigurnosti mrežnih i informacijskih sustava. Trebalo bi promicati i razvijati kulturu upravljanja rizicima, uključujući procjene rizika i provedbu mjera upravljanja kibersigurnosnim rizicima primjerenih rizicima s kojima se suočava.

| (78) | Mjerama upravljanja kibersigurnosnim rizicima trebalo bi uzeti u obzir stupanj ovisnosti ključnog ili važnog subjekta o mrežnim i informacijskim sustavima te bi one trebale uključivati mjere za utvrđivanje rizika od incidenata, sprečavanje i otkrivanje incidenata te odgovor na njih i oporavak od njih kao i ublažavanje njihova učinka. Sigurnost mrežnih i informacijskih sustava trebala bi uključivati sigurnost podataka koji se pohranjuju, prenose i obrađuju. Mjere upravljanja kibersigurnosnim rizicima trebale bi osigurati sustavnu analizu, uzimajući u obzir ljudski faktor, kako bi se stekla cjelovita slika sigurnosti mrežnog i informacijskog sustava. |
| --- | --- |

(78)

Mjerama upravljanja kibersigurnosnim rizicima trebalo bi uzeti u obzir stupanj ovisnosti ključnog ili važnog subjekta o mrežnim i informacijskim sustavima te bi one trebale uključivati mjere za utvrđivanje rizika od incidenata, sprečavanje i otkrivanje incidenata te odgovor na njih i oporavak od njih kao i ublažavanje njihova učinka. Sigurnost mrežnih i informacijskih sustava trebala bi uključivati sigurnost podataka koji se pohranjuju, prenose i obrađuju. Mjere upravljanja kibersigurnosnim rizicima trebale bi osigurati sustavnu analizu, uzimajući u obzir ljudski faktor, kako bi se stekla cjelovita slika sigurnosti mrežnog i informacijskog sustava.

| (79) | Budući da prijetnje sigurnosti mrežnih i informacijskih sustava mogu biti različitog podrijetla, mjere upravljanja kibersigurnosnim rizicima trebale bi se temeljiti na pristupu kojim se uzimaju u obzir sve opasnosti i čiji je cilj zaštita mrežnih i informacijskih sustava i fizičkog okruženja tih sustava od događaja kao što su krađa, požar, poplava, prekid u telekomunikacijama ili prekid opskrbe električnom energijom ili od bilo kojeg neovlaštenog fizičkog pristupa te oštećenja i ometanja podataka i objekata za obradu podataka ključnog ili važnog subjekta koji bi mogli ugroziti dostupnost, autentičnost, cjelovitost ili povjerljivost pohranjenih, prenesenih ili obrađenih podataka ili usluga koji se nude i kojima se pristupa putem mrežnih i informacijskih sustava. Mjere upravljanja kibersigurnosnim rizicima trebale bi se stoga odnositi i na fizičku sigurnost i sigurnost okruženja mrežnih i informacijskih sustava tako što će uključivati mjere zaštite tih sustava od kvarova u sustavu, ljudske pogreške, zlonamjernih radnji ili prirodnih pojava u skladu s europskim ili međunarodnim normama, kao što su one iz serije ISO/IEC 27000. U tom pogledu ključni i važni subjekti bi se u okviru svojih mjera upravljanja kibersigurnosnim rizicima trebali baviti i sigurnošću ljudskih resursa te bi trebali uspostaviti odgovarajuće politike kontrole pristupa. Te bi mjere trebale biti u skladu s Direktivom (EU) 2022/2557. |
| --- | --- |

(79)

Budući da prijetnje sigurnosti mrežnih i informacijskih sustava mogu biti različitog podrijetla, mjere upravljanja kibersigurnosnim rizicima trebale bi se temeljiti na pristupu kojim se uzimaju u obzir sve opasnosti i čiji je cilj zaštita mrežnih i informacijskih sustava i fizičkog okruženja tih sustava od događaja kao što su krađa, požar, poplava, prekid u telekomunikacijama ili prekid opskrbe električnom energijom ili od bilo kojeg neovlaštenog fizičkog pristupa te oštećenja i ometanja podataka i objekata za obradu podataka ključnog ili važnog subjekta koji bi mogli ugroziti dostupnost, autentičnost, cjelovitost ili povjerljivost pohranjenih, prenesenih ili obrađenih podataka ili usluga koji se nude i kojima se pristupa putem mrežnih i informacijskih sustava. Mjere upravljanja kibersigurnosnim rizicima trebale bi se stoga odnositi i na fizičku sigurnost i sigurnost okruženja mrežnih i informacijskih sustava tako što će uključivati mjere zaštite tih sustava od kvarova u sustavu, ljudske pogreške, zlonamjernih radnji ili prirodnih pojava u skladu s europskim ili međunarodnim normama, kao što su one iz serije ISO/IEC 27000. U tom pogledu ključni i važni subjekti bi se u okviru svojih mjera upravljanja kibersigurnosnim rizicima trebali baviti i sigurnošću ljudskih resursa te bi trebali uspostaviti odgovarajuće politike kontrole pristupa. Te bi mjere trebale biti u skladu s Direktivom (EU) 2022/2557.

| (80) | Za potrebu dokazivanja usklađenosti s mjerama upravljanja kibersigurnosnim rizicima i u nedostatku odgovarajućih europskih programa kibersigurnosne certifikacije donesenih u skladu s Uredbom (EU) 2019/881 Europskog parlamenta i Vijeća (18), države članice trebale bi, uz savjetovanje sa skupinom za suradnju i Europskom skupinom za kibersigurnosnu certifikaciju, promicati upotrebu relevantnih europskih i međunarodnih normi od strane ključnih i važnih subjekata ili pak mogu od subjekata zahtijevati korištenje certificiranih IKT proizvoda, IKT usluga i IKT procesa. |
| --- | --- |

(80)

Za potrebu dokazivanja usklađenosti s mjerama upravljanja kibersigurnosnim rizicima i u nedostatku odgovarajućih europskih programa kibersigurnosne certifikacije donesenih u skladu s Uredbom (EU) 2019/881 Europskog parlamenta i Vijeća (18), države članice trebale bi, uz savjetovanje sa skupinom za suradnju i Europskom skupinom za kibersigurnosnu certifikaciju, promicati upotrebu relevantnih europskih i međunarodnih normi od strane ključnih i važnih subjekata ili pak mogu od subjekata zahtijevati korištenje certificiranih IKT proizvoda, IKT usluga i IKT procesa.

| (81) | Kako bi se izbjeglo nerazmjerno financijsko i administrativno opterećenje za ključne i važne subjekte, mjere upravljanja kibersigurnosnim rizicima trebale bi biti razmjerne rizicima kojima je izložen predmetni mrežni i informacijski sustav, uzimajući u obzir suvremenost takvih mjera i, ako je to primjenjivo, relevantne europske i međunarodne norme, kao i trošak njihove provedbe. |
| --- | --- |

(81)

Kako bi se izbjeglo nerazmjerno financijsko i administrativno opterećenje za ključne i važne subjekte, mjere upravljanja kibersigurnosnim rizicima trebale bi biti razmjerne rizicima kojima je izložen predmetni mrežni i informacijski sustav, uzimajući u obzir suvremenost takvih mjera i, ako je to primjenjivo, relevantne europske i međunarodne norme, kao i trošak njihove provedbe.

| (82) | Mjere upravljanja kibersigurnosnim rizicima trebale bi biti razmjerne stupnju izloženosti ključnog ili važnog subjekta rizicima te društvenom i gospodarskom učinku koji bi incident imao. Pri utvrđivanju mjera upravljanja kibersigurnosnim rizicima prilagođenih ključnim i važnim subjektima trebalo bi uzeti u obzir različite izloženosti ključnih i važnih subjekata riziku, kao što su kritičnost subjekta, rizici, uključujući društvene rizike, kojima je subjekt izložen, veličina subjekta te vjerojatnost nastanka incidenata i njihova ozbiljnost, uključujući njihov društveni i gospodarski učinak. |
| --- | --- |

(82)

Mjere upravljanja kibersigurnosnim rizicima trebale bi biti razmjerne stupnju izloženosti ključnog ili važnog subjekta rizicima te društvenom i gospodarskom učinku koji bi incident imao. Pri utvrđivanju mjera upravljanja kibersigurnosnim rizicima prilagođenih ključnim i važnim subjektima trebalo bi uzeti u obzir različite izloženosti ključnih i važnih subjekata riziku, kao što su kritičnost subjekta, rizici, uključujući društvene rizike, kojima je subjekt izložen, veličina subjekta te vjerojatnost nastanka incidenata i njihova ozbiljnost, uključujući njihov društveni i gospodarski učinak.

| (83) | Ključni i važni subjekti trebali bi jamčiti sigurnost mrežnih i informacijskih sustava koje upotrebljavaju u svojim djelatnostima. Ti sustavi ponajprije su privatni mrežni i informacijski sustavi kojima upravlja interno osoblje u IT-u ključnih i važnih subjekata ili vanjsko osoblje koji se brinu o sigurnosti. Mjere upravljanja kibersigurnosnim rizicima i obveze izvješćivanja utvrđeni u ovoj Direktivi trebali bi se primjenjivati na relevantne ključne i važne subjekte bez obzira na to održavaju li ti subjekti sami svoje mrežne i informacijske sustave ili eksternaliziraju njihovo održavanje. |
| --- | --- |

(83)

Ključni i važni subjekti trebali bi jamčiti sigurnost mrežnih i informacijskih sustava koje upotrebljavaju u svojim djelatnostima. Ti sustavi ponajprije su privatni mrežni i informacijski sustavi kojima upravlja interno osoblje u IT-u ključnih i važnih subjekata ili vanjsko osoblje koji se brinu o sigurnosti. Mjere upravljanja kibersigurnosnim rizicima i obveze izvješćivanja utvrđeni u ovoj Direktivi trebali bi se primjenjivati na relevantne ključne i važne subjekte bez obzira na to održavaju li ti subjekti sami svoje mrežne i informacijske sustave ili eksternaliziraju njihovo održavanje.

| (84) | Uzimajući u obzir njihovu prekograničnu prirodu, pružatelji usluga DNS-a, registri naziva vršnih domena, pružatelji usluga računalstva u oblaku, pružatelji usluga podatkovnog centra, pružatelji mreža za isporuku sadržaja, pružatelji upravljanih usluga, pružatelji upravljanih sigurnosnih usluga, pružatelji internetskih tržišta, pružatelji internetskih tražilica, pružatelji platformi za usluge društvenih mreža i pružatelji usluga povjerenja trebali bi podlijegati visokom stupnju usklađenosti na razini Unije. Stoga bi provedbu mjera upravljanja kibersigurnosnim rizicima u odnosu na te subjekte trebalo olakšati putem provedbenog akta. |
| --- | --- |

(84)

Uzimajući u obzir njihovu prekograničnu prirodu, pružatelji usluga DNS-a, registri naziva vršnih domena, pružatelji usluga računalstva u oblaku, pružatelji usluga podatkovnog centra, pružatelji mreža za isporuku sadržaja, pružatelji upravljanih usluga, pružatelji upravljanih sigurnosnih usluga, pružatelji internetskih tržišta, pružatelji internetskih tražilica, pružatelji platformi za usluge društvenih mreža i pružatelji usluga povjerenja trebali bi podlijegati visokom stupnju usklađenosti na razini Unije. Stoga bi provedbu mjera upravljanja kibersigurnosnim rizicima u odnosu na te subjekte trebalo olakšati putem provedbenog akta.

| (85) | Suzbijanje rizika koji proizlaze iz lanca opskrbe subjekta i njegova odnosa s dobavljačima, kao što su pružatelji usluga pohrane i obrade podataka ili pružatelji upravljanih sigurnosnih usluga i proizvođači softvera, posebno je važno s obzirom na učestalost incidenata u kojima su subjekti postali žrtve kibernapada i u kojima su zlonamjerni počinitelji mogli ugroziti sigurnost mrežnih i informacijskih sustava subjekta iskorištavanjem ranjivosti koje utječu na proizvode i usluge trećih strana. Ključni i važni subjekti bi stoga trebali procijeniti i uzeti u obzir ukupnu kvalitetu i otpornost proizvoda i usluga, mjera upravljanja kibersigurnosnim rizicima koje su ugrađene u njih, i kibersigurnosnih praksi svojih dobavljača i pružatelja usluga, uključujući njihove sigurne razvojne postupke. Ključne i važne subjekte bi trebalo posebno poticati da uključe mjere upravljanja kibersigurnosnim rizicima u ugovorne aranžmane sa svojim izravnim dobavljačima i pružateljima usluga. Ti subjekti bi mogli razmotriti rizike koji proizlaze iz drugih razina dobavljača i pružatelja usluga. |
| --- | --- |

(85)

Suzbijanje rizika koji proizlaze iz lanca opskrbe subjekta i njegova odnosa s dobavljačima, kao što su pružatelji usluga pohrane i obrade podataka ili pružatelji upravljanih sigurnosnih usluga i proizvođači softvera, posebno je važno s obzirom na učestalost incidenata u kojima su subjekti postali žrtve kibernapada i u kojima su zlonamjerni počinitelji mogli ugroziti sigurnost mrežnih i informacijskih sustava subjekta iskorištavanjem ranjivosti koje utječu na proizvode i usluge trećih strana. Ključni i važni subjekti bi stoga trebali procijeniti i uzeti u obzir ukupnu kvalitetu i otpornost proizvoda i usluga, mjera upravljanja kibersigurnosnim rizicima koje su ugrađene u njih, i kibersigurnosnih praksi svojih dobavljača i pružatelja usluga, uključujući njihove sigurne razvojne postupke. Ključne i važne subjekte bi trebalo posebno poticati da uključe mjere upravljanja kibersigurnosnim rizicima u ugovorne aranžmane sa svojim izravnim dobavljačima i pružateljima usluga. Ti subjekti bi mogli razmotriti rizike koji proizlaze iz drugih razina dobavljača i pružatelja usluga.

| (86) | U područjima kao što su odgovor na incidente, penetracijska testiranja, revizije sigurnosti i savjetovanje, pružatelji upravljane sigurnosne usluge imaju posebno važnu ulogu među pružateljima usluga u pomaganju subjektima u njihovim nastojanjima da spriječe i otkriju incidente te odgovore na njih ili se oporave od njih. Pružatelji upravljane sigurnosne usluge i sami su, međutim, bili meta kibernapada te zbog svoje bliske integracije u rad operatora predstavljaju poseban kibersigurnosni rizik. Ključni i važni subjekti bi stoga trebali postupati s većom pažnjom pri odabiru pružatelja upravljane sigurnosne usluge. |
| --- | --- |

(86)

U područjima kao što su odgovor na incidente, penetracijska testiranja, revizije sigurnosti i savjetovanje, pružatelji upravljane sigurnosne usluge imaju posebno važnu ulogu među pružateljima usluga u pomaganju subjektima u njihovim nastojanjima da spriječe i otkriju incidente te odgovore na njih ili se oporave od njih. Pružatelji upravljane sigurnosne usluge i sami su, međutim, bili meta kibernapada te zbog svoje bliske integracije u rad operatora predstavljaju poseban kibersigurnosni rizik. Ključni i važni subjekti bi stoga trebali postupati s većom pažnjom pri odabiru pružatelja upravljane sigurnosne usluge.

| (87) | U kontekstu svojih nadzornih zadaća i nadležna tijela mogu imati koristi od kibersigurnosnih usluga kao što su revizije sigurnosti, penetracijska testiranja ili odgovori na incidente. |
| --- | --- |

(87)

U kontekstu svojih nadzornih zadaća i nadležna tijela mogu imati koristi od kibersigurnosnih usluga kao što su revizije sigurnosti, penetracijska testiranja ili odgovori na incidente.

| (88) | Ključni i važni subjekti bi trebali odgovoriti na rizike koji proizlaze iz njihove interakcije i odnosa s drugim dionicima unutar šireg ekosustava, među ostalim u pogledu borbe protiv industrijske špijunaže i štićenja poslovne tajne. Konkretno, ti subjekti bi trebali poduzeti odgovarajuće mjere kako bi osigurali da se njihova suradnja s akademskim i istraživačkim institucijama odvija u skladu s njihovim kibersigurnosnim politikama i da slijedi dobre prakse u pogledu sigurnog pristupa informacijama i širenja informacija općenito, a posebno u pogledu zaštite intelektualnog vlasništva. Isto tako, s obzirom na važnost i vrijednost podataka za aktivnosti ključnih i važnih subjekata, pri oslanjanju na usluge transformacije i analize podataka koje pružaju treće strane ti subjekti bi trebali poduzeti sve odgovarajuće mjere upravljanja kibersigurnosnim rizicima. |
| --- | --- |

(88)

Ključni i važni subjekti bi trebali odgovoriti na rizike koji proizlaze iz njihove interakcije i odnosa s drugim dionicima unutar šireg ekosustava, među ostalim u pogledu borbe protiv industrijske špijunaže i štićenja poslovne tajne. Konkretno, ti subjekti bi trebali poduzeti odgovarajuće mjere kako bi osigurali da se njihova suradnja s akademskim i istraživačkim institucijama odvija u skladu s njihovim kibersigurnosnim politikama i da slijedi dobre prakse u pogledu sigurnog pristupa informacijama i širenja informacija općenito, a posebno u pogledu zaštite intelektualnog vlasništva. Isto tako, s obzirom na važnost i vrijednost podataka za aktivnosti ključnih i važnih subjekata, pri oslanjanju na usluge transformacije i analize podataka koje pružaju treće strane ti subjekti bi trebali poduzeti sve odgovarajuće mjere upravljanja kibersigurnosnim rizicima.

| (89) | Ključni i važni subjekti bi trebali usvojiti niz osnovnih praksi računalne kiberhigijene, kao što su načela nultog povjerenja, ažuriranja softvera, konfiguracija uređaja, segmentacija mreže, upravljanje identitetima i pristupom ili informiranje korisnika, organizirati osposobljavanje svojeg osoblja i podizati razinu osviještenosti u području kiberprijetnji, phishinga ili tehnika društvenog inženjeringa. Nadalje, ti subjekti bi trebali procijeniti vlastite kibersigurnosne sposobnosti i, ako je prikladno, integrirati tehnologije kojima se jača kibersigurnost, kao što su umjetna inteligencija ili sustavi strojnog učenja u cilju jačanja svojih sposobnosti i zaštite mrežnih i informacijskih sustava. |
| --- | --- |

(89)

Ključni i važni subjekti bi trebali usvojiti niz osnovnih praksi računalne kiberhigijene, kao što su načela nultog povjerenja, ažuriranja softvera, konfiguracija uređaja, segmentacija mreže, upravljanje identitetima i pristupom ili informiranje korisnika, organizirati osposobljavanje svojeg osoblja i podizati razinu osviještenosti u području kiberprijetnji, phishinga ili tehnika društvenog inženjeringa. Nadalje, ti subjekti bi trebali procijeniti vlastite kibersigurnosne sposobnosti i, ako je prikladno, integrirati tehnologije kojima se jača kibersigurnost, kao što su umjetna inteligencija ili sustavi strojnog učenja u cilju jačanja svojih sposobnosti i zaštite mrežnih i informacijskih sustava.

| (90) | Kako bi se dodatno suzbili ključni rizici u lancu opskrbe i pomoglo ključnim i važnim subjektima koji djeluju u sektorima obuhvaćenima ovom Direktivom da na odgovarajući način upravljaju rizicima u lancu opskrbe i rizicima povezanima s dobavljačima, skupina za suradnju, u suradnji s Komisijom i ENISA-om te, prema potrebi, nakon savjetovanja s relevantnim dionicima, među ostalim iz industrije, trebala bi provoditi koordinirane procjene sigurnosnih rizika kritičnih lanaca opskrbe, kao što je učinjeno za 5G mreže u skladu s Preporukom Komisije (EU) 2019/534 (19), u cilju utvrđivanja ključnih IKT usluga, IKT sustava ili IKT proizvoda, relevantnih prijetnji i ranjivosti za pojedini sektor. Takvim koordiniranim procjenama sigurnosnog rizika trebale bi se utvrditi mjere, planovi ublažavanja i najbolje prakse za borbu protiv ključnih ovisnosti, potencijalnih pojedinačnih točaka prekida, prijetnji, ranjivosti i drugih rizika povezanih s lancem opskrbe te bi se u okviru njih trebali istražiti načini za daljnje poticanje njihovog šireg usvajanja od strane kritičnih i važnih subjekata. Potencijalni netehnički čimbenici rizika, kao što je neprimjeren utjecaj treće zemlje na dobavljače i pružatelje usluga, posebno u slučaju alternativnih modela upravljanja, uključuju prikrivene slabosti ili pristup stražnjeg ulaza i moguće sistemske poremećaje u opskrbi, posebno u slučaju ovisnosti o određenoj tehnologiji ili ovisnosti pružatelja. |
| --- | --- |

(90)

Kako bi se dodatno suzbili ključni rizici u lancu opskrbe i pomoglo ključnim i važnim subjektima koji djeluju u sektorima obuhvaćenima ovom Direktivom da na odgovarajući način upravljaju rizicima u lancu opskrbe i rizicima povezanima s dobavljačima, skupina za suradnju, u suradnji s Komisijom i ENISA-om te, prema potrebi, nakon savjetovanja s relevantnim dionicima, među ostalim iz industrije, trebala bi provoditi koordinirane procjene sigurnosnih rizika kritičnih lanaca opskrbe, kao što je učinjeno za 5G mreže u skladu s Preporukom Komisije (EU) 2019/534 (19), u cilju utvrđivanja ključnih IKT usluga, IKT sustava ili IKT proizvoda, relevantnih prijetnji i ranjivosti za pojedini sektor. Takvim koordiniranim procjenama sigurnosnog rizika trebale bi se utvrditi mjere, planovi ublažavanja i najbolje prakse za borbu protiv ključnih ovisnosti, potencijalnih pojedinačnih točaka prekida, prijetnji, ranjivosti i drugih rizika povezanih s lancem opskrbe te bi se u okviru njih trebali istražiti načini za daljnje poticanje njihovog šireg usvajanja od strane kritičnih i važnih subjekata. Potencijalni netehnički čimbenici rizika, kao što je neprimjeren utjecaj treće zemlje na dobavljače i pružatelje usluga, posebno u slučaju alternativnih modela upravljanja, uključuju prikrivene slabosti ili pristup stražnjeg ulaza i moguće sistemske poremećaje u opskrbi, posebno u slučaju ovisnosti o određenoj tehnologiji ili ovisnosti pružatelja.

| (91) | U koordiniranim procjenama sigurnosnog rizika u kritičnom lancu opskrbe, s obzirom na značajke predmetnog sektora, trebalo bi uzeti u obzir i tehničke i, ako je to relevantno, netehničke čimbenike, uključujući one definirane u Preporuci (EU) 2019/534, u usklađenoj procjeni rizika kibersigurnosti 5G mreža EU-a i u paketu instrumenata EU-a za kibersigurnost 5G tehnologije oko kojih se suglasila skupina za suradnju. Pri utvrđivanju lanaca opskrbe koji bi trebali biti podložni koordiniranoj procjeni sigurnosnog rizika, u obzir bi trebalo uzeti sljedeće kriterije: i. mjera u kojoj se ključni i važni subjekti koriste određenim ključnim IKT uslugama, IKT sustavima ili IKT proizvodima i oslanjaju na njih; ii. važnost specifičnih ključnih IKT usluga, IKT sustava ili IKT proizvoda u obavljanju ključnih ili osjetljivih funkcija, uključujući obradu osobnih podataka; iii. dostupnost alternativnih IKT usluga, IKT sustava ili IKT proizvoda; iv. otpornost cjelokupnog lanca opskrbe IKT uslugama, IKT sustavima ili IKT proizvodima tijekom njihovog životnog ciklusa na ometajuće događaje i v. potencijalna buduća važnost novih IKT usluga, IKT sustava ili IKT proizvoda za aktivnosti subjekata. Nadalje, poseban bi naglasak trebalo staviti na IKT usluge, IKT sustave ili IKT proizvode koji podliježu posebnim zahtjevima koji proizlaze iz trećih zemalja. |
| --- | --- |

(91)

U koordiniranim procjenama sigurnosnog rizika u kritičnom lancu opskrbe, s obzirom na značajke predmetnog sektora, trebalo bi uzeti u obzir i tehničke i, ako je to relevantno, netehničke čimbenike, uključujući one definirane u Preporuci (EU) 2019/534, u usklađenoj procjeni rizika kibersigurnosti 5G mreža EU-a i u paketu instrumenata EU-a za kibersigurnost 5G tehnologije oko kojih se suglasila skupina za suradnju. Pri utvrđivanju lanaca opskrbe koji bi trebali biti podložni koordiniranoj procjeni sigurnosnog rizika, u obzir bi trebalo uzeti sljedeće kriterije: i. mjera u kojoj se ključni i važni subjekti koriste određenim ključnim IKT uslugama, IKT sustavima ili IKT proizvodima i oslanjaju na njih; ii. važnost specifičnih ključnih IKT usluga, IKT sustava ili IKT proizvoda u obavljanju ključnih ili osjetljivih funkcija, uključujući obradu osobnih podataka; iii. dostupnost alternativnih IKT usluga, IKT sustava ili IKT proizvoda; iv. otpornost cjelokupnog lanca opskrbe IKT uslugama, IKT sustavima ili IKT proizvodima tijekom njihovog životnog ciklusa na ometajuće događaje i v. potencijalna buduća važnost novih IKT usluga, IKT sustava ili IKT proizvoda za aktivnosti subjekata. Nadalje, poseban bi naglasak trebalo staviti na IKT usluge, IKT sustave ili IKT proizvode koji podliježu posebnim zahtjevima koji proizlaze iz trećih zemalja.

| (92) | Kako bi se pojednostavnile obveze određene pružateljima javnih elektroničkih komunikacijskih mreža ili javno dostupnih elektroničkih komunikacijskih usluga i pružateljima usluga povjerenja povezane sa sigurnošću njihovih mrežnih i informacijskih sustava te kako bi se tim subjektima i nadležnim tijelima na temelju Direktive (EU) 2018/1972 Europskog parlamenta i Vijeća (20) odnosno Uredbe (EU) br. 910/2014 omogućilo ostvarivanje koristi od pravnog okvira uspostavljenog ovom Direktivom, uključujući imenovanje CSIRT-a odgovornog za postupanje s incidentima, sudjelovanje predmetnih nadležnih tijela u aktivnostima skupine za suradnju i mreže CSIRT-ova, ta bi tijela trebalo obuhvatiti područjem primjene ove Direktive. Stoga bi trebalo izbrisati odgovarajuće odredbe utvrđene Uredbom (EU) br. 910/2014 i Direktivom (EU) 2018/1972 koje se odnose na uvođenje zahtjeva u pogledu sigurnosti i obavješćivanja za te vrste subjekata. Pravilima o obvezama izvješćivanja utvrđenima u ovoj Direktivi ne bi se trebala dovoditi u pitanje Uredba (EU) 2016/679 i Direktiva 2002/58/EZ. |
| --- | --- |

(92)

Kako bi se pojednostavnile obveze određene pružateljima javnih elektroničkih komunikacijskih mreža ili javno dostupnih elektroničkih komunikacijskih usluga i pružateljima usluga povjerenja povezane sa sigurnošću njihovih mrežnih i informacijskih sustava te kako bi se tim subjektima i nadležnim tijelima na temelju Direktive (EU) 2018/1972 Europskog parlamenta i Vijeća (20) odnosno Uredbe (EU) br. 910/2014 omogućilo ostvarivanje koristi od pravnog okvira uspostavljenog ovom Direktivom, uključujući imenovanje CSIRT-a odgovornog za postupanje s incidentima, sudjelovanje predmetnih nadležnih tijela u aktivnostima skupine za suradnju i mreže CSIRT-ova, ta bi tijela trebalo obuhvatiti područjem primjene ove Direktive. Stoga bi trebalo izbrisati odgovarajuće odredbe utvrđene Uredbom (EU) br. 910/2014 i Direktivom (EU) 2018/1972 koje se odnose na uvođenje zahtjeva u pogledu sigurnosti i obavješćivanja za te vrste subjekata. Pravilima o obvezama izvješćivanja utvrđenima u ovoj Direktivi ne bi se trebala dovoditi u pitanje Uredba (EU) 2016/679 i Direktiva 2002/58/EZ.

| (93) | Kibersigurnosne obveze utvrđene u ovoj Direktivi trebale bi se smatrati dopunom zahtjeva uvedenih za pružatelje usluga povjerenja na temelju Uredbe (EU) br. 910/2014. Od pružatelja usluga povjerenja trebalo bi se zahtijevati da poduzmu sve odgovarajuće i razmjerne mjere za upravljanje rizicima kojima su izložene njihove usluge, među ostalim u odnosu na korisnike i ovisne treće strane, te da prijavljuju incidente na temelju ove Direktive. Takve kibersigurnosne obveze i obveze izvješćivanja trebale bi se odnositi i na fizičku zaštitu pruženih usluga. I dalje se primjenjuju zahtjevi za kvalificirane pružatelje usluga povjerenja utvrđeni u članku 24. Uredbe (EU) br. 910/2014. |
| --- | --- |

(93)

Kibersigurnosne obveze utvrđene u ovoj Direktivi trebale bi se smatrati dopunom zahtjeva uvedenih za pružatelje usluga povjerenja na temelju Uredbe (EU) br. 910/2014. Od pružatelja usluga povjerenja trebalo bi se zahtijevati da poduzmu sve odgovarajuće i razmjerne mjere za upravljanje rizicima kojima su izložene njihove usluge, među ostalim u odnosu na korisnike i ovisne treće strane, te da prijavljuju incidente na temelju ove Direktive. Takve kibersigurnosne obveze i obveze izvješćivanja trebale bi se odnositi i na fizičku zaštitu pruženih usluga. I dalje se primjenjuju zahtjevi za kvalificirane pružatelje usluga povjerenja utvrđeni u članku 24. Uredbe (EU) br. 910/2014.

| (94) | Države članice mogu dodijeliti ulogu nadležnih tijela za usluge povjerenja nadzornim tijelima u skladu s Uredbom (EU) br. 910/2014 kako bi se osigurao nastavak postojećih praksi i nadogradilo znanje i iskustvo stečeni u primjeni te uredbe. U takvom slučaju, nadležna tijela na temelju ove Direktive trebala bi blisko i pravodobno surađivati s tim nadzornim tijelima razmjenjujući relevantne informacije kako bi se osigurao djelotvoran nadzor i usklađenost pružatelja usluga povjerenja sa zahtjevima utvrđenima u ovoj Direktivi i Uredbi (EU) br. 910/2014. Ako je to primjenjivo, CSIRT ili nadležno tijelo iz ove Direktive trebali bi odmah obavijestiti nadzorno tijelo iz Uredbe (EU) br. 910/2014 o svim ozbiljnim kiberprijetnjama ili značajnim incidentima o kojima su obaviješteni, a koji utječu na usluge povjerenja te o svim povredama ove Direktive od strane pružatelja usluga povjerenja. Za potrebe izvješćivanja, države članice mogu se, ako je to primjenjivo, koristiti jedinstvenom kontaktnom točkom uspostavljenom kako bi se postiglo zajedničko i automatsko izvješćivanje i nadzornog tijela iz Uredbe (EU) br. 910/2014 i CSIRT-a ili nadležnog tijela iz ove Direktive o incidentima. |
| --- | --- |

(94)

Države članice mogu dodijeliti ulogu nadležnih tijela za usluge povjerenja nadzornim tijelima u skladu s Uredbom (EU) br. 910/2014 kako bi se osigurao nastavak postojećih praksi i nadogradilo znanje i iskustvo stečeni u primjeni te uredbe. U takvom slučaju, nadležna tijela na temelju ove Direktive trebala bi blisko i pravodobno surađivati s tim nadzornim tijelima razmjenjujući relevantne informacije kako bi se osigurao djelotvoran nadzor i usklađenost pružatelja usluga povjerenja sa zahtjevima utvrđenima u ovoj Direktivi i Uredbi (EU) br. 910/2014. Ako je to primjenjivo, CSIRT ili nadležno tijelo iz ove Direktive trebali bi odmah obavijestiti nadzorno tijelo iz Uredbe (EU) br. 910/2014 o svim ozbiljnim kiberprijetnjama ili značajnim incidentima o kojima su obaviješteni, a koji utječu na usluge povjerenja te o svim povredama ove Direktive od strane pružatelja usluga povjerenja. Za potrebe izvješćivanja, države članice mogu se, ako je to primjenjivo, koristiti jedinstvenom kontaktnom točkom uspostavljenom kako bi se postiglo zajedničko i automatsko izvješćivanje i nadzornog tijela iz Uredbe (EU) br. 910/2014 i CSIRT-a ili nadležnog tijela iz ove Direktive o incidentima.

| (95) | Prema potrebi i kako bi se izbjegli nepotrebni poremećaji, pri prenošenju ove Direktive trebalo bi uzeti u obzir postojeće nacionalne smjernice donesene za prenošenje pravila povezanih sa sigurnosnim mjerama utvrđenima u člancima 40. i 41. Direktive (EU) 2018/1972, čime bi se nadogradilo znanje i vještine stečene na temelju Direktive (EU) 2018/1972 u pogledu sigurnosnih mjera i obavijesti o incidentima. ENISA ujedno može izraditi smjernice o sigurnosnim zahtjevima i obvezama izvješćivanja za pružatelje javnih elektroničkih komunikacijskih mreža ili javno dostupnih elektroničkih komunikacijskih usluga kako bi se olakšalo usklađivanje i prijelaz, a poremećaji sveli na najmanju moguću mjeru. Države članice nacionalnim regulatornim tijelima na temelju Direktive (EU) 2018/1972 mogu dodijeliti ulogu nadležnih tijela za elektroničke komunikacije kako bi se osigurao nastavak postojećih praksi i nadogradilo znanje i iskustvo stečeni kao rezultat primjene te direktive. |
| --- | --- |

(95)

Prema potrebi i kako bi se izbjegli nepotrebni poremećaji, pri prenošenju ove Direktive trebalo bi uzeti u obzir postojeće nacionalne smjernice donesene za prenošenje pravila povezanih sa sigurnosnim mjerama utvrđenima u člancima 40. i 41. Direktive (EU) 2018/1972, čime bi se nadogradilo znanje i vještine stečene na temelju Direktive (EU) 2018/1972 u pogledu sigurnosnih mjera i obavijesti o incidentima. ENISA ujedno može izraditi smjernice o sigurnosnim zahtjevima i obvezama izvješćivanja za pružatelje javnih elektroničkih komunikacijskih mreža ili javno dostupnih elektroničkih komunikacijskih usluga kako bi se olakšalo usklađivanje i prijelaz, a poremećaji sveli na najmanju moguću mjeru. Države članice nacionalnim regulatornim tijelima na temelju Direktive (EU) 2018/1972 mogu dodijeliti ulogu nadležnih tijela za elektroničke komunikacije kako bi se osigurao nastavak postojećih praksi i nadogradilo znanje i iskustvo stečeni kao rezultat primjene te direktive.

| (96) | S obzirom na sve veću važnost brojevno neovisnih interpersonalnih komunikacijskih usluga kako su definirane u Direktivi (EU) 2018/1972, potrebno je osigurati da se i na takve usluge primjenjuju odgovarajući sigurnosni zahtjevi u skladu s njihovim posebnostima i gospodarskom važnošću. Budući da se prostor za napad nastavlja širiti, brojevno neovisne interpersonalne komunikacijske usluge, kao što su usluge razmjene poruka, postaju rašireni vektori napada. Zlonamjerni počinitelji služe se platformama za komuniciranje sa žrtvama i poticanje žrtava na otvaranje nesigurnih internetskih stranica, čime se povećava vjerojatnost incidenata koji uključuju iskorištavanje osobnih podataka, a time i sigurnosti mrežnih i informacijskih sustava. Stoga bi pružatelji brojevno neovisnih interpersonalnih komunikacijskih usluga trebali osigurati odgovarajuću razinu sigurnosti mrežnih i informacijskih sustava s obzirom na rizike kojima su izloženi. S obzirom na to da pružatelji brojevno neovisnih interpersonalnih komunikacijskih usluga obično nemaju stvarnu kontrolu nad prijenosom signala mrežama, stupanj rizika za takve usluge može se u nekim aspektima smatrati nižim od rizika za tradicionalne elektroničke komunikacijske usluge. Isto bi trebalo primijeniti na interpersonalne komunikacijske usluge kako su definirane u Direktivi (EU) 2018/1972 koje se koriste brojevima, a koje nemaju stvarnu kontrolu nad prijenosom signala mrežama. |
| --- | --- |

(96)

S obzirom na sve veću važnost brojevno neovisnih interpersonalnih komunikacijskih usluga kako su definirane u Direktivi (EU) 2018/1972, potrebno je osigurati da se i na takve usluge primjenjuju odgovarajući sigurnosni zahtjevi u skladu s njihovim posebnostima i gospodarskom važnošću. Budući da se prostor za napad nastavlja širiti, brojevno neovisne interpersonalne komunikacijske usluge, kao što su usluge razmjene poruka, postaju rašireni vektori napada. Zlonamjerni počinitelji služe se platformama za komuniciranje sa žrtvama i poticanje žrtava na otvaranje nesigurnih internetskih stranica, čime se povećava vjerojatnost incidenata koji uključuju iskorištavanje osobnih podataka, a time i sigurnosti mrežnih i informacijskih sustava. Stoga bi pružatelji brojevno neovisnih interpersonalnih komunikacijskih usluga trebali osigurati odgovarajuću razinu sigurnosti mrežnih i informacijskih sustava s obzirom na rizike kojima su izloženi. S obzirom na to da pružatelji brojevno neovisnih interpersonalnih komunikacijskih usluga obično nemaju stvarnu kontrolu nad prijenosom signala mrežama, stupanj rizika za takve usluge može se u nekim aspektima smatrati nižim od rizika za tradicionalne elektroničke komunikacijske usluge. Isto bi trebalo primijeniti na interpersonalne komunikacijske usluge kako su definirane u Direktivi (EU) 2018/1972 koje se koriste brojevima, a koje nemaju stvarnu kontrolu nad prijenosom signala mrežama.

| (97) | Unutarnje tržište ovisi o funkcioniranju interneta više nego ikad. Usluge gotovo svih ključnih i važnih subjekata ovise o uslugama koje se pružaju putem interneta. Kako bi se osiguralo neometano pružanje usluga koje pružaju ključni i važni subjekti, važno je da svi pružatelji javnih elektroničkih komunikacijskih mreža imaju uspostavljene odgovarajuće mjere upravljanja kibersigurnosnim rizicima i da prijave značajne incidente povezane s njima. Države članice trebale bi osigurati održavanje sigurnosti javnih elektroničkih komunikacijskih mreža i zaštitu svojih ključnih sigurnosnih interesa od sabotaže i špijunaže. Budući da međunarodna povezivost poboljšava i ubrzava konkurentnu digitalizaciju Unije i njezina gospodarstva, incidente koji utječu na podmorske komunikacijske kabele trebalo bi prijaviti CSIRT-u ili, ako je to primjenjivo, nadležnom tijelu. U nacionalnoj strategiji za kibersigurnost trebalo bi, prema potrebi, uzeti u obzir kibersigurnost podmorskih komunikacijskih kabela i uključiti mapiranje potencijalnih kibersigurnosnih rizika i mjera ublažavanja kako bi se osigurala najviša razina njihove zaštite. |
| --- | --- |

(97)

Unutarnje tržište ovisi o funkcioniranju interneta više nego ikad. Usluge gotovo svih ključnih i važnih subjekata ovise o uslugama koje se pružaju putem interneta. Kako bi se osiguralo neometano pružanje usluga koje pružaju ključni i važni subjekti, važno je da svi pružatelji javnih elektroničkih komunikacijskih mreža imaju uspostavljene odgovarajuće mjere upravljanja kibersigurnosnim rizicima i da prijave značajne incidente povezane s njima. Države članice trebale bi osigurati održavanje sigurnosti javnih elektroničkih komunikacijskih mreža i zaštitu svojih ključnih sigurnosnih interesa od sabotaže i špijunaže. Budući da međunarodna povezivost poboljšava i ubrzava konkurentnu digitalizaciju Unije i njezina gospodarstva, incidente koji utječu na podmorske komunikacijske kabele trebalo bi prijaviti CSIRT-u ili, ako je to primjenjivo, nadležnom tijelu. U nacionalnoj strategiji za kibersigurnost trebalo bi, prema potrebi, uzeti u obzir kibersigurnost podmorskih komunikacijskih kabela i uključiti mapiranje potencijalnih kibersigurnosnih rizika i mjera ublažavanja kako bi se osigurala najviša razina njihove zaštite.

| (98) | Kako bi se zaštitila sigurnost javnih elektroničkih komunikacijskih mreža i javno dostupnih elektroničkih komunikacijskih usluga, trebalo bi promicati upotrebu tehnologija šifriranja, posebno prolaznog kriptiranja, kao i sigurnosnih koncepata usmjerenih na podatke, kao što su kartografija, segmentacija, označivanje, politika pristupa i upravljanje pristupom te odluke o automatiziranom pristupu. Prema potrebi, uporaba kriptiranja, posebno prolaznog kriptiranja, trebala bi biti obvezna za pružatelje javnih elektroničkih komunikacijskih mreža ili javno dostupnih elektroničkih komunikacijskih usluga u skladu s načelima zadane i integrirane sigurnosti i privatnosti za potrebe ove Direktive. Upotrebu prolaznog kriptiranja trebalo bi uskladiti s ovlastima država članica da osiguraju zaštitu svojih ključnih sigurnosnih interesa i javne sigurnosti te da dopuste sprečavanje, istragu, otkrivanje i progon kaznenih djela u skladu s pravom Unije. Međutim, to ne bi trebalo oslabiti prolazno kriptiranje, koje je kritična tehnologija za učinkovitu zaštitu podataka i privatnosti i sigurnost komunikacija. |
| --- | --- |

(98)

Kako bi se zaštitila sigurnost javnih elektroničkih komunikacijskih mreža i javno dostupnih elektroničkih komunikacijskih usluga, trebalo bi promicati upotrebu tehnologija šifriranja, posebno prolaznog kriptiranja, kao i sigurnosnih koncepata usmjerenih na podatke, kao što su kartografija, segmentacija, označivanje, politika pristupa i upravljanje pristupom te odluke o automatiziranom pristupu. Prema potrebi, uporaba kriptiranja, posebno prolaznog kriptiranja, trebala bi biti obvezna za pružatelje javnih elektroničkih komunikacijskih mreža ili javno dostupnih elektroničkih komunikacijskih usluga u skladu s načelima zadane i integrirane sigurnosti i privatnosti za potrebe ove Direktive. Upotrebu prolaznog kriptiranja trebalo bi uskladiti s ovlastima država članica da osiguraju zaštitu svojih ključnih sigurnosnih interesa i javne sigurnosti te da dopuste sprečavanje, istragu, otkrivanje i progon kaznenih djela u skladu s pravom Unije. Međutim, to ne bi trebalo oslabiti prolazno kriptiranje, koje je kritična tehnologija za učinkovitu zaštitu podataka i privatnosti i sigurnost komunikacija.

| (99) | Kako bi se zaštitila sigurnost i spriječile zlouporaba javnih elektroničkih komunikacijskih mreža i javno dostupnih elektroničkih komunikacijskih usluga te manipulacija njima, trebalo bi promicati primjenu standarda sigurnog usmjeravanja kako bi se osigurale cjelovitost i pouzdanost funkcija usmjeravanja u cijelom ekosustavu pružatelja usluga pristupa internetu. |
| --- | --- |

(99)

Kako bi se zaštitila sigurnost i spriječile zlouporaba javnih elektroničkih komunikacijskih mreža i javno dostupnih elektroničkih komunikacijskih usluga te manipulacija njima, trebalo bi promicati primjenu standarda sigurnog usmjeravanja kako bi se osigurale cjelovitost i pouzdanost funkcija usmjeravanja u cijelom ekosustavu pružatelja usluga pristupa internetu.

| (100) | Kako bi se zaštitila funkcionalnost i cjelovitost interneta te promicala sigurnost i otpornost DNS-a, relevantne dionike, uključujući subjekte iz privatnog sektora Unije, pružatelje javno dostupnih elektroničkih komunikacijskih usluga, posebno pružatelje usluga pristupa internetu, i pružatelje internetskih tražilica trebalo bi poticati na donošenje strategije diversifikacije prevođenja DNS-a. Nadalje, države članice trebale bi poticati razvoj i upotrebu javne i sigurne usluge europskih prevoditelja DNS-a. |
| --- | --- |

(100)

Kako bi se zaštitila funkcionalnost i cjelovitost interneta te promicala sigurnost i otpornost DNS-a, relevantne dionike, uključujući subjekte iz privatnog sektora Unije, pružatelje javno dostupnih elektroničkih komunikacijskih usluga, posebno pružatelje usluga pristupa internetu, i pružatelje internetskih tražilica trebalo bi poticati na donošenje strategije diversifikacije prevođenja DNS-a. Nadalje, države članice trebale bi poticati razvoj i upotrebu javne i sigurne usluge europskih prevoditelja DNS-a.

| (101) | Ovom se Direktivom utvrđuje pristup izvješćivanju o značajnim incidentima u više faza kako bi se uspostavila prava ravnoteža između, s jedne strane, brzog izvješćivanja koje doprinosi ublažavanju potencijalnog širenja značajnih incidenata i omogućuje ključnim i važnim subjektima da traže podršku te, s druge strane, detaljnog izvješćivanja kojim se iz pojedinačnih incidenata izvlače vrijedne pouke i s vremenom poboljšava otpornost na kiberprijetnje pojedinačnih subjekata i cijelih sektora. U tom pogledu ova bi Direktiva trebala uključivati i izvješćivanje o incidentima koji bi, na temelju početne procjene koju dotični subjekt provodi, mogli uzrokovati ozbiljne poremećaje u funkcioniranju usluga ili financijske gubitke za taj subjekt ili utjecati na druge fizičke ili pravne osobe uzrokovanjem znatne materijalne ili nematerijalne štete. Takvom početnom procjenom trebalo bi uzeti u obzir, između ostalog, pogođene mrežne i informacijske sustave, a posebno njihovu važnost u pružanju usluga predmetnog subjekta, ozbiljnost i tehničke značajke kiberprijetnje te sve temeljne ranjivosti koje se iskorištavaju kao i iskustvo subjekta sa sličnim incidentima. Pokazatelji kao što su mjera u kojoj je ugroženo funkcioniranje usluge, trajanje incidenta ili broj primatelja usluga na koje je incident utjecao mogli bi imati važnu ulogu u utvrđivanju toga je li poremećaj u funkcioniranju usluge ozbiljan. |
| --- | --- |

(101)

Ovom se Direktivom utvrđuje pristup izvješćivanju o značajnim incidentima u više faza kako bi se uspostavila prava ravnoteža između, s jedne strane, brzog izvješćivanja koje doprinosi ublažavanju potencijalnog širenja značajnih incidenata i omogućuje ključnim i važnim subjektima da traže podršku te, s druge strane, detaljnog izvješćivanja kojim se iz pojedinačnih incidenata izvlače vrijedne pouke i s vremenom poboljšava otpornost na kiberprijetnje pojedinačnih subjekata i cijelih sektora. U tom pogledu ova bi Direktiva trebala uključivati i izvješćivanje o incidentima koji bi, na temelju početne procjene koju dotični subjekt provodi, mogli uzrokovati ozbiljne poremećaje u funkcioniranju usluga ili financijske gubitke za taj subjekt ili utjecati na druge fizičke ili pravne osobe uzrokovanjem znatne materijalne ili nematerijalne štete. Takvom početnom procjenom trebalo bi uzeti u obzir, između ostalog, pogođene mrežne i informacijske sustave, a posebno njihovu važnost u pružanju usluga predmetnog subjekta, ozbiljnost i tehničke značajke kiberprijetnje te sve temeljne ranjivosti koje se iskorištavaju kao i iskustvo subjekta sa sličnim incidentima. Pokazatelji kao što su mjera u kojoj je ugroženo funkcioniranje usluge, trajanje incidenta ili broj primatelja usluga na koje je incident utjecao mogli bi imati važnu ulogu u utvrđivanju toga je li poremećaj u funkcioniranju usluge ozbiljan.

| (102) | Kada ključni ili važni subjekti saznaju za značajan incident, trebali bi biti obvezni bez nepotrebne odgode, a u svakom slučaju u roku od 24 sata, podnijeti rano upozorenje. Nakon tog ranog upozorenja trebala bi uslijediti obavijest o incidentu. Dotični subjekti bi trebali podnijeti obavijest o incidentu bez nepotrebne odgode, a u svakom slučaju u roku od 72 sata otkad saznaju za značajan incident, u prvom redu kako bi ažurirali informacije podnesene u ranom upozorenju i naveli početnu procjenu značajnog incidenta, uključujući njegovu ozbiljnosti i učinak te, ako su dostupni, pokazatelje ugroženosti. Završno izvješće trebalo bi podnijeti najkasnije jedan mjesec nakon obavijesti o incidentu. Rano upozorenje trebalo bi sadržavati samo informacije koje su nužne kako bi CSIRT-ovi ili, ako je to primjenjivo, nadležno tijelo bili upoznati s značajnim incidentom i kako bi se dotičnom subjektu, prema potrebi, omogućilo traženje pomoći. U takvom ranom upozoravanju, ako je to primjenjivo, trebalo bi navesti postoji li sumnja da je značajan incident uzrokovan nezakonitim ili zlonamjernim djelovanjem te postoji li vjerojatnost da će imati prekograničan učinak. Države članice trebale bi osigurati da se zbog obveze podnošenja tog ranog upozorenja ili naknadne obavijesti o incidentu resursi subjekta koji obavješćuje ne preusmjeruju s aktivnosti povezanih s postupanjem sa značajnim incidentima koje bi trebale biti prioritetne kako bi se spriječilo da se zbog obveza izvješćivanja o incidentima resursi za postupanje sa značajnim incidentima preusmjere ili na drugi način ugroze aktivnosti subjekta u tom pogledu. U slučaju incidenta koji je u tijeku u trenutku podnošenja završnog izvješća države članice trebale bi osigurati da dotični subjekti dostave izvješće o napretku u tom trenutku te završno izvješće u roku od jednog mjeseca od postupanja sa značajnim incidentom. |
| --- | --- |

(102)

Kada ključni ili važni subjekti saznaju za značajan incident, trebali bi biti obvezni bez nepotrebne odgode, a u svakom slučaju u roku od 24 sata, podnijeti rano upozorenje. Nakon tog ranog upozorenja trebala bi uslijediti obavijest o incidentu. Dotični subjekti bi trebali podnijeti obavijest o incidentu bez nepotrebne odgode, a u svakom slučaju u roku od 72 sata otkad saznaju za značajan incident, u prvom redu kako bi ažurirali informacije podnesene u ranom upozorenju i naveli početnu procjenu značajnog incidenta, uključujući njegovu ozbiljnosti i učinak te, ako su dostupni, pokazatelje ugroženosti. Završno izvješće trebalo bi podnijeti najkasnije jedan mjesec nakon obavijesti o incidentu. Rano upozorenje trebalo bi sadržavati samo informacije koje su nužne kako bi CSIRT-ovi ili, ako je to primjenjivo, nadležno tijelo bili upoznati s značajnim incidentom i kako bi se dotičnom subjektu, prema potrebi, omogućilo traženje pomoći. U takvom ranom upozoravanju, ako je to primjenjivo, trebalo bi navesti postoji li sumnja da je značajan incident uzrokovan nezakonitim ili zlonamjernim djelovanjem te postoji li vjerojatnost da će imati prekograničan učinak. Države članice trebale bi osigurati da se zbog obveze podnošenja tog ranog upozorenja ili naknadne obavijesti o incidentu resursi subjekta koji obavješćuje ne preusmjeruju s aktivnosti povezanih s postupanjem sa značajnim incidentima koje bi trebale biti prioritetne kako bi se spriječilo da se zbog obveza izvješćivanja o incidentima resursi za postupanje sa značajnim incidentima preusmjere ili na drugi način ugroze aktivnosti subjekta u tom pogledu. U slučaju incidenta koji je u tijeku u trenutku podnošenja završnog izvješća države članice trebale bi osigurati da dotični subjekti dostave izvješće o napretku u tom trenutku te završno izvješće u roku od jednog mjeseca od postupanja sa značajnim incidentom.

| (103) | Ako je to primjenjivo, ključni i važni subjekti bi trebali bez nepotrebnog odgađanja obavijestiti svoje primatelje usluga o svim mjerama ili pravnim sredstvima koje mogu poduzeti kako bi ublažili rizike koji proizlaze iz ozbiljne kiberprijetnje. Ti subjekti bi trebali, prema potrebi, a posebno ako je vjerojatno da će se ozbiljna kiberprijetnja ostvariti, svoje primatelje usluga obavijestiti i o samoj prijetnji. Zahtjev za izvješćivanje tih primatelja usluga o ozbiljnim kiberprijetnjama trebao bi se ispuniti u najvećoj mogućoj mjeri, ali ne bi smio podrazumijevati oslobađanje tih subjekata od obveze da o vlastitom trošku poduzme odgovarajuće i hitne mjere kako bi se spriječile ili uklonile sve takve prijetnje i ponovno uspostavila normalna sigurnosna razina usluge. Pružanje takvih informacija o ozbiljnim kiberprijetnjama trebalo bi biti besplatno za primatelje usluga i sastavljeno na lako razumljivom jeziku. |
| --- | --- |

(103)

Ako je to primjenjivo, ključni i važni subjekti bi trebali bez nepotrebnog odgađanja obavijestiti svoje primatelje usluga o svim mjerama ili pravnim sredstvima koje mogu poduzeti kako bi ublažili rizike koji proizlaze iz ozbiljne kiberprijetnje. Ti subjekti bi trebali, prema potrebi, a posebno ako je vjerojatno da će se ozbiljna kiberprijetnja ostvariti, svoje primatelje usluga obavijestiti i o samoj prijetnji. Zahtjev za izvješćivanje tih primatelja usluga o ozbiljnim kiberprijetnjama trebao bi se ispuniti u najvećoj mogućoj mjeri, ali ne bi smio podrazumijevati oslobađanje tih subjekata od obveze da o vlastitom trošku poduzme odgovarajuće i hitne mjere kako bi se spriječile ili uklonile sve takve prijetnje i ponovno uspostavila normalna sigurnosna razina usluge. Pružanje takvih informacija o ozbiljnim kiberprijetnjama trebalo bi biti besplatno za primatelje usluga i sastavljeno na lako razumljivom jeziku.

| (104) | Pružatelji javnih elektroničkih komunikacijskih mreža ili javno dostupnih elektroničkih komunikacijskih usluga trebali bi provoditi tehničku i integriranu sigurnost i obavijestiti primatelje svojih usluga o ozbiljnim kiberprijetnjama te o mjerama koje mogu poduzeti kako bi očuvali sigurnost svojih uređaja i komunikacija, na primjer upotrebom posebnih vrsta softvera ili tehnologija kriptiranja. |
| --- | --- |

(104)

Pružatelji javnih elektroničkih komunikacijskih mreža ili javno dostupnih elektroničkih komunikacijskih usluga trebali bi provoditi tehničku i integriranu sigurnost i obavijestiti primatelje svojih usluga o ozbiljnim kiberprijetnjama te o mjerama koje mogu poduzeti kako bi očuvali sigurnost svojih uređaja i komunikacija, na primjer upotrebom posebnih vrsta softvera ili tehnologija kriptiranja.

| (105) | Proaktivan pristup kiberprijetnjama ključna je sastavnica upravljanja kibersigurnosnim rizikom te bi nadležnim tijelima trebao omogućiti da učinkovito spriječe da se kiberprijetnje pretvore u incidente koji mogu uzrokovati znatnu materijalnu ili nematerijalnu štetu. Zato je obavješćivanje o kiberprijetnjama od presudne važnosti i subjekte se u tu svrhu potiče da dobrovoljno izvješćuju o kiberprijetnjama. |
| --- | --- |

(105)

Proaktivan pristup kiberprijetnjama ključna je sastavnica upravljanja kibersigurnosnim rizikom te bi nadležnim tijelima trebao omogućiti da učinkovito spriječe da se kiberprijetnje pretvore u incidente koji mogu uzrokovati znatnu materijalnu ili nematerijalnu štetu. Zato je obavješćivanje o kiberprijetnjama od presudne važnosti i subjekte se u tu svrhu potiče da dobrovoljno izvješćuju o kiberprijetnjama.

| (106) | Kako bi se pojednostavnilo izvješćivanje o informacijama koje se zahtijevaju na temelju ove Direktive te usto smanjilo administrativno opterećenje za subjekte, države članice trebale bi osigurati tehnička sredstva za podnošenje relevantnih informacija o kojima se treba izvješćivati, kao što su jedinstvena ulazna točka, automatizirani sustavi, internetski obrasci, sučelja prilagođena korisnicima, predlošci, namjenske platforme koje upotrebljavaju subjekti, neovisno o tome jesu li obuhvaćeni područjem primjene ove Direktive ili su iz njega isključeni. Financiranje Unije kojim se podupire provedba ove Direktive, osobito u okviru programa Digitalna Europa, uspostavljenog Uredbom (EU) 2021/694 Europskog parlamenta i Vijeća (21), moglo bi uključivati potporu za jedinstvene ulazne točke. Nadalje, subjekti često određeni incident, zbog njegovih značajki, moraju prijaviti različitim tijelima u skladu s obvezama obavješćivanja uključenima u razne pravne instrumente. Takvi slučajevi stvaraju dodatno administrativno opterećenje te bi također mogli dovesti do nesigurnosti u pogledu oblika obavijesti i postupanja s njima. Ako je uspostavljena jedinstvena ulazna točka, države članice potiču se i na to da upotrebljavaju tu jedinstvenu ulaznu točku za obavješćivanje o sigurnosnim incidentima koje se zahtijeva u skladu s drugim pravom Unije, kao što su Uredba (EU) 2016/679 i Direktiva 2002/58/EZ. Upotreba takve jedinstvene ulazne točke za izvješćivanja o sigurnosnim incidentima u skladu s Uredbom (EU) 2016/679 i Direktivom 2002/58/EZ ne bi trebala utjecati na primjenu odredaba Uredbe (EU) 2016/679 i Direktive 2002/58/EZ, posebno onih koje se odnose na neovisnost tijela navedenih u njima. U suradnji sa skupinom za suradnju ENISA bi trebala izraditi zajedničke predloške za obavješćivanje s pomoću smjernica za pojednostavljivanje i usklađivanje informacija o kojima se treba izvješćivati koje se zahtijevaju u skladu s pravom Unije, čime bi se smanjilo administrativno opterećenje za subjekte koji obavješćuju. |
| --- | --- |

(106)

Kako bi se pojednostavnilo izvješćivanje o informacijama koje se zahtijevaju na temelju ove Direktive te usto smanjilo administrativno opterećenje za subjekte, države članice trebale bi osigurati tehnička sredstva za podnošenje relevantnih informacija o kojima se treba izvješćivati, kao što su jedinstvena ulazna točka, automatizirani sustavi, internetski obrasci, sučelja prilagođena korisnicima, predlošci, namjenske platforme koje upotrebljavaju subjekti, neovisno o tome jesu li obuhvaćeni područjem primjene ove Direktive ili su iz njega isključeni. Financiranje Unije kojim se podupire provedba ove Direktive, osobito u okviru programa Digitalna Europa, uspostavljenog Uredbom (EU) 2021/694 Europskog parlamenta i Vijeća (21), moglo bi uključivati potporu za jedinstvene ulazne točke. Nadalje, subjekti često određeni incident, zbog njegovih značajki, moraju prijaviti različitim tijelima u skladu s obvezama obavješćivanja uključenima u razne pravne instrumente. Takvi slučajevi stvaraju dodatno administrativno opterećenje te bi također mogli dovesti do nesigurnosti u pogledu oblika obavijesti i postupanja s njima. Ako je uspostavljena jedinstvena ulazna točka, države članice potiču se i na to da upotrebljavaju tu jedinstvenu ulaznu točku za obavješćivanje o sigurnosnim incidentima koje se zahtijeva u skladu s drugim pravom Unije, kao što su Uredba (EU) 2016/679 i Direktiva 2002/58/EZ. Upotreba takve jedinstvene ulazne točke za izvješćivanja o sigurnosnim incidentima u skladu s Uredbom (EU) 2016/679 i Direktivom 2002/58/EZ ne bi trebala utjecati na primjenu odredaba Uredbe (EU) 2016/679 i Direktive 2002/58/EZ, posebno onih koje se odnose na neovisnost tijela navedenih u njima. U suradnji sa skupinom za suradnju ENISA bi trebala izraditi zajedničke predloške za obavješćivanje s pomoću smjernica za pojednostavljivanje i usklađivanje informacija o kojima se treba izvješćivati koje se zahtijevaju u skladu s pravom Unije, čime bi se smanjilo administrativno opterećenje za subjekte koji obavješćuju.

| (107) | Ako se sumnja da je incident povezan s aktivnostima koje se prema pravu Unije ili nacionalnom pravu smatraju ozbiljnim kriminalnim aktivnostima, države članice trebale bi ključne i važne subjekte poticati da, na temelju primjenjivih pravila kaznenog postupka u skladu s pravom Unije, relevantnim tijelima za izvršavanje zakonodavstva prijave incidente za koje se sumnja da su ozbiljne kriminalne naravi. Prema potrebi i ne dovodeći u pitanje pravila o zaštiti osobnih podataka koja se primjenjuju na Europol, poželjno je da Europski centar za kiberkriminalitet (EC3) i ENISA olakšavaju koordinaciju između nadležnih tijela i tijela za izvršavanje zakonodavstva različitih država članica. |
| --- | --- |

(107)

Ako se sumnja da je incident povezan s aktivnostima koje se prema pravu Unije ili nacionalnom pravu smatraju ozbiljnim kriminalnim aktivnostima, države članice trebale bi ključne i važne subjekte poticati da, na temelju primjenjivih pravila kaznenog postupka u skladu s pravom Unije, relevantnim tijelima za izvršavanje zakonodavstva prijave incidente za koje se sumnja da su ozbiljne kriminalne naravi. Prema potrebi i ne dovodeći u pitanje pravila o zaštiti osobnih podataka koja se primjenjuju na Europol, poželjno je da Europski centar za kiberkriminalitet (EC3) i ENISA olakšavaju koordinaciju između nadležnih tijela i tijela za izvršavanje zakonodavstva različitih država članica.

| (108) | U mnogim slučajevima osobni podaci ugroženi su zbog incidenata. U tom kontekstu nadležna tijela trebala bi surađivati i razmjenjivati informacije o svim relevantnim pitanjima s tijelima iz Uredbe (EU) 2016/679 i Direktive 2002/58/EZ. |
| --- | --- |

(108)

U mnogim slučajevima osobni podaci ugroženi su zbog incidenata. U tom kontekstu nadležna tijela trebala bi surađivati i razmjenjivati informacije o svim relevantnim pitanjima s tijelima iz Uredbe (EU) 2016/679 i Direktive 2002/58/EZ.

| (109) | Vođenje točnih i potpunih baza podataka s podacima o registraciji naziva domena (tzv. podaci WHOIS) te omogućivanje zakonitog pristupa takvim podacima ključni su za osiguravanje sigurnosti, stabilnosti i otpornosti DNS-a, što doprinosi visokoj zajedničkoj razini kibersigurnosti širom Unije. U tu specifičnu svrhu od registara naziva vršnih domena i subjekata koji pružaju usluge registracije naziva domena trebalo bi zahtijevati da obrađuju određene podatke potrebne za postizanje te svrhe. Obrada koja uključuje osobne podatke trebala bi predstavljati pravnu obvezu u smislu članka 6. stavka 1. točke (c) Uredbe (EU) 2016/679. Tom se obvezom ne dovodi u pitanje mogućnost prikupljanja podataka o registraciji naziva domena u druge svrhe, na primjer na temelju ugovornih aranžmana ili pravnih zahtjeva utvrđenih u drugom pravu Unije ili nacionalnom pravu. Tom se obvezom nastoji ostvariti potpun i točan skup registracijskih podataka te ona ne bi trebala dovesti do višestrukog prikupljanja istih podataka. Registri naziva vršnih domena i subjekti koji pružaju usluge registracije naziva domena trebali bi međusobno surađivati kako bi se izbjeglo udvostručavanje navedene zadaće. |
| --- | --- |

(109)

Vođenje točnih i potpunih baza podataka s podacima o registraciji naziva domena (tzv. podaci WHOIS) te omogućivanje zakonitog pristupa takvim podacima ključni su za osiguravanje sigurnosti, stabilnosti i otpornosti DNS-a, što doprinosi visokoj zajedničkoj razini kibersigurnosti širom Unije. U tu specifičnu svrhu od registara naziva vršnih domena i subjekata koji pružaju usluge registracije naziva domena trebalo bi zahtijevati da obrađuju određene podatke potrebne za postizanje te svrhe. Obrada koja uključuje osobne podatke trebala bi predstavljati pravnu obvezu u smislu članka 6. stavka 1. točke (c) Uredbe (EU) 2016/679. Tom se obvezom ne dovodi u pitanje mogućnost prikupljanja podataka o registraciji naziva domena u druge svrhe, na primjer na temelju ugovornih aranžmana ili pravnih zahtjeva utvrđenih u drugom pravu Unije ili nacionalnom pravu. Tom se obvezom nastoji ostvariti potpun i točan skup registracijskih podataka te ona ne bi trebala dovesti do višestrukog prikupljanja istih podataka. Registri naziva vršnih domena i subjekti koji pružaju usluge registracije naziva domena trebali bi međusobno surađivati kako bi se izbjeglo udvostručavanje navedene zadaće.

| (110) | Dostupnost i pravodobna pristupačnost podacima o registraciji naziva domena zakonitim tražiteljima pristupa ključna je za potrebe sprečavanja i borbe protiv zloupotrebe DNS-a te za sprečavanje i otkrivanje incidenta te odgovaranje na njih. Zakonitim tražiteljima pristupa smatra se svaka fizička ili pravna osoba koja podnosi zahtjev na temelju prava Unije ili nacionalnog prava. Oni mogu uključivati tijela nadležna na temelju ove Direktive i ona koja su u skladu s pravom Unije ili nacionalnim pravom nadležna za sprečavanje, istragu, otkrivanje ili progon kaznenih djela te CERT-ove ili CSIRT-ove. Od registra naziva vršnih domena i subjekata koji pružaju usluge registracije naziva domena trebalo bi zahtijevati da zakonitim tražiteljima pristupa omoguće legalan pristup podacima o registraciji određenih naziva domena, koji su nužni za potrebe zahtjeva za pristup, u skladu s pravom Unije i nacionalnim pravom. Zahtjev zakonitih tražitelja pristupa trebao bi biti popraćen obrazloženjem kojim se omogućuje procjena nužnosti pristupa podacima. |
| --- | --- |

(110)

Dostupnost i pravodobna pristupačnost podacima o registraciji naziva domena zakonitim tražiteljima pristupa ključna je za potrebe sprečavanja i borbe protiv zloupotrebe DNS-a te za sprečavanje i otkrivanje incidenta te odgovaranje na njih. Zakonitim tražiteljima pristupa smatra se svaka fizička ili pravna osoba koja podnosi zahtjev na temelju prava Unije ili nacionalnog prava. Oni mogu uključivati tijela nadležna na temelju ove Direktive i ona koja su u skladu s pravom Unije ili nacionalnim pravom nadležna za sprečavanje, istragu, otkrivanje ili progon kaznenih djela te CERT-ove ili CSIRT-ove. Od registra naziva vršnih domena i subjekata koji pružaju usluge registracije naziva domena trebalo bi zahtijevati da zakonitim tražiteljima pristupa omoguće legalan pristup podacima o registraciji određenih naziva domena, koji su nužni za potrebe zahtjeva za pristup, u skladu s pravom Unije i nacionalnim pravom. Zahtjev zakonitih tražitelja pristupa trebao bi biti popraćen obrazloženjem kojim se omogućuje procjena nužnosti pristupa podacima.

| (111) | Kako bi se osigurala dostupnost točnih i potpunih podataka o registraciji naziva domena, registri naziva vršnih domena i subjekti koji pružaju usluge registracije naziva domena trebali bi prikupljati i jamčiti cjelovitost i dostupnost podataka o registraciji naziva domena. Posebno, registri naziva vršnih domena i subjekti koji pružaju usluge registracije naziva domena trebali bi uspostaviti politike i postupke za prikupljanje i održavanje točnih i potpunih podataka o registraciji naziva domena te za sprečavanje i ispravljanje netočnih registracijskih podataka u skladu s pravom Unije o zaštiti podataka. Tim politikama i postupcima trebalo bi uzeti u obzir, u mjeri u kojoj je to moguće, norme koje su razvile strukture upravljanja s više dionika na međunarodnoj razini. Registri naziva vršnih domena i subjekti koji pružaju usluge registracije naziva domena trebali bi usvojiti i provoditi proporcionalne postupke za provjeru podataka o registraciji naziva domena. Ti bi postupci trebali odražavati najbolje prakse korištene u sektoru i, u mjeri u kojoj je to moguće, napredak postignut u području elektroničke identifikacije. Primjeri postupaka provjere mogu uključivati ex ante kontrole provedene u trenutku registracije i ex post kontrole provedene nakon registracije. Registri naziva vršnih domena i subjekti koji pružaju usluge registracije naziva domena trebali bi u prvom redu provjeriti barem jedan on načina za kontaktiranje korisnika domene. |
| --- | --- |

(111)

Kako bi se osigurala dostupnost točnih i potpunih podataka o registraciji naziva domena, registri naziva vršnih domena i subjekti koji pružaju usluge registracije naziva domena trebali bi prikupljati i jamčiti cjelovitost i dostupnost podataka o registraciji naziva domena. Posebno, registri naziva vršnih domena i subjekti koji pružaju usluge registracije naziva domena trebali bi uspostaviti politike i postupke za prikupljanje i održavanje točnih i potpunih podataka o registraciji naziva domena te za sprečavanje i ispravljanje netočnih registracijskih podataka u skladu s pravom Unije o zaštiti podataka. Tim politikama i postupcima trebalo bi uzeti u obzir, u mjeri u kojoj je to moguće, norme koje su razvile strukture upravljanja s više dionika na međunarodnoj razini. Registri naziva vršnih domena i subjekti koji pružaju usluge registracije naziva domena trebali bi usvojiti i provoditi proporcionalne postupke za provjeru podataka o registraciji naziva domena. Ti bi postupci trebali odražavati najbolje prakse korištene u sektoru i, u mjeri u kojoj je to moguće, napredak postignut u području elektroničke identifikacije. Primjeri postupaka provjere mogu uključivati ex ante kontrole provedene u trenutku registracije i ex post kontrole provedene nakon registracije. Registri naziva vršnih domena i subjekti koji pružaju usluge registracije naziva domena trebali bi u prvom redu provjeriti barem jedan on načina za kontaktiranje korisnika domene.

| (112) | Od registra vršnih domena i subjekata koji pružaju usluge registracije naziva domena trebalo bi zahtijevati da javno objave podatke o registraciji naziva domena koji su izvan područja primjene pravila Unije o zaštiti podataka, kao što su podaci o pravnim osobama, u skladu s preambulom Uredbe (EU) 2016/679. Za pravne osobe registri naziva vršnih domena i subjekti koji pružaju usluge registracije naziva domena trebali bi javno objaviti barem ime korisnika domene i broj telefona za kontakt. Trebalo bi objaviti i adresu e-pošte za kontakt pod uvjetom da ne sadržava osobne podatke, kao što je to slučaj sa pseudonimima za e-poštu ili funkcionalnim profilima. Registri naziva vršnih domena i subjekti koji pružaju usluge registracije trebali bi usto zakonitim tražiteljima pristupa omogućiti legalan pristup podacima o registraciji određenih naziva domena koji se odnose na fizičke osobe, u skladu s pravom Unije o zaštiti podataka. Države članice trebale bi zahtijevati da registri naziva vršnih domena i subjekti koji pružaju usluge registracije naziva domena bez nepotrebne odgode odgovaraju na zahtjeve za otkrivanje podataka o registraciji naziva domena koje upute zakoniti tražitelji pristupa. Registri vršnih domena i subjekti koji pružaju usluge registracije naziva domena trebali bi uspostaviti politike i postupke za objavljivanje i otkrivanje registracijskih podataka, uključujući sporazume o razini usluga za rješavanje zahtjeva za pristup zakonitih tražitelja pristupa. Tim politikama i postupcima trebalo bi uzeti u obzir, u mjeri u kojoj je to moguće, sve smjernice i standarde koje su razvile upravljačke strukture s više dionika na međunarodnoj razini. Postupak pristupa mogao bi uključivati i upotrebu sučelja, portala ili drugog tehničkog alata kako bi se osigurao učinkovit sustav za podnošenje zahtjeva i pristupanje registracijskim podacima. S ciljem promicanja usklađenih praksi na unutarnjem tržištu, Komisija može, ne dovodeći u pitanje nadležnosti Europskog odbora za zaštitu podataka, pružiti smjernice u vezi s takvim postupcima, kojima se u mogućoj mjeri uzimaju u obzir standardi koje su razvile strukture upravljanja s više dionika na međunarodnoj razini. Države članice trebale bi osigurati da sve vrste pristupa osobnim i neosobnim registracijskim podacima domena budu besplatne. |
| --- | --- |

(112)

Od registra vršnih domena i subjekata koji pružaju usluge registracije naziva domena trebalo bi zahtijevati da javno objave podatke o registraciji naziva domena koji su izvan područja primjene pravila Unije o zaštiti podataka, kao što su podaci o pravnim osobama, u skladu s preambulom Uredbe (EU) 2016/679. Za pravne osobe registri naziva vršnih domena i subjekti koji pružaju usluge registracije naziva domena trebali bi javno objaviti barem ime korisnika domene i broj telefona za kontakt. Trebalo bi objaviti i adresu e-pošte za kontakt pod uvjetom da ne sadržava osobne podatke, kao što je to slučaj sa pseudonimima za e-poštu ili funkcionalnim profilima. Registri naziva vršnih domena i subjekti koji pružaju usluge registracije trebali bi usto zakonitim tražiteljima pristupa omogućiti legalan pristup podacima o registraciji određenih naziva domena koji se odnose na fizičke osobe, u skladu s pravom Unije o zaštiti podataka. Države članice trebale bi zahtijevati da registri naziva vršnih domena i subjekti koji pružaju usluge registracije naziva domena bez nepotrebne odgode odgovaraju na zahtjeve za otkrivanje podataka o registraciji naziva domena koje upute zakoniti tražitelji pristupa. Registri vršnih domena i subjekti koji pružaju usluge registracije naziva domena trebali bi uspostaviti politike i postupke za objavljivanje i otkrivanje registracijskih podataka, uključujući sporazume o razini usluga za rješavanje zahtjeva za pristup zakonitih tražitelja pristupa. Tim politikama i postupcima trebalo bi uzeti u obzir, u mjeri u kojoj je to moguće, sve smjernice i standarde koje su razvile upravljačke strukture s više dionika na međunarodnoj razini. Postupak pristupa mogao bi uključivati i upotrebu sučelja, portala ili drugog tehničkog alata kako bi se osigurao učinkovit sustav za podnošenje zahtjeva i pristupanje registracijskim podacima. S ciljem promicanja usklađenih praksi na unutarnjem tržištu, Komisija može, ne dovodeći u pitanje nadležnosti Europskog odbora za zaštitu podataka, pružiti smjernice u vezi s takvim postupcima, kojima se u mogućoj mjeri uzimaju u obzir standardi koje su razvile strukture upravljanja s više dionika na međunarodnoj razini. Države članice trebale bi osigurati da sve vrste pristupa osobnim i neosobnim registracijskim podacima domena budu besplatne.

| (113) | Za subjekte obuhvaćene područjem primjene ove Direktive trebalo bi se smatrati da su u nadležnosti države članice u kojoj imaju poslovni nastan. Ipak, trebalo bi smatrati da su pružatelji javnih elektroničkih komunikacijskih mreža ili pružatelji javno dostupnih elektroničkih komunikacijskih usluga u nadležnosti države članice u kojoj pružaju usluge. Trebalo bi smatrati da su pružatelji usluga DNS-a, registri naziva vršnih domena, subjekti koji pružaju usluge registracije naziva domena, pružatelji usluga računalstva u oblaku, pružatelji usluga podatkovnog centra, pružatelji mreža za isporuku sadržaja, pružatelji upravljanih usluga, pružatelji upravljanih sigurnosnih usluga, pružatelji internetskih tržišta, pružatelji internetskih tražilica i pružatelji platformi za usluge društvenih mreža u nadležnosti države članice u kojoj imaju glavni poslovni nastan u Uniji. Subjekti javne uprave trebali bi biti u nadležnosti države članice koja ih je osnovala. Ako subjekt pruža usluge ili ima poslovni nastan u više država članica, trebao bi biti u zasebnoj i istodobnoj nadležnosti svake od tih država članica. Nadležna tijela tih država članica trebala bi surađivati, uzajamno si pomagati i, prema potrebi, provoditi zajedničke nadzorne aktivnosti. Ako države članice imaju nadležnost, u skladu s načelom ne bis in idem ne bi trebale izricati mjere izvršavanja ili kazne više od jedanput za isto ponašanje. |
| --- | --- |

(113)

Za subjekte obuhvaćene područjem primjene ove Direktive trebalo bi se smatrati da su u nadležnosti države članice u kojoj imaju poslovni nastan. Ipak, trebalo bi smatrati da su pružatelji javnih elektroničkih komunikacijskih mreža ili pružatelji javno dostupnih elektroničkih komunikacijskih usluga u nadležnosti države članice u kojoj pružaju usluge. Trebalo bi smatrati da su pružatelji usluga DNS-a, registri naziva vršnih domena, subjekti koji pružaju usluge registracije naziva domena, pružatelji usluga računalstva u oblaku, pružatelji usluga podatkovnog centra, pružatelji mreža za isporuku sadržaja, pružatelji upravljanih usluga, pružatelji upravljanih sigurnosnih usluga, pružatelji internetskih tržišta, pružatelji internetskih tražilica i pružatelji platformi za usluge društvenih mreža u nadležnosti države članice u kojoj imaju glavni poslovni nastan u Uniji. Subjekti javne uprave trebali bi biti u nadležnosti države članice koja ih je osnovala. Ako subjekt pruža usluge ili ima poslovni nastan u više država članica, trebao bi biti u zasebnoj i istodobnoj nadležnosti svake od tih država članica. Nadležna tijela tih država članica trebala bi surađivati, uzajamno si pomagati i, prema potrebi, provoditi zajedničke nadzorne aktivnosti. Ako države članice imaju nadležnost, u skladu s načelom ne bis in idem ne bi trebale izricati mjere izvršavanja ili kazne više od jedanput za isto ponašanje.

| (114) | Kako bi se u obzir uzela prekogranična priroda usluga i djelatnosti pružatelja usluga DNS-a, registara naziva vršnih domena, subjekata koji pružaju usluge registracije naziva domena, pružatelja usluga računalstva u oblaku, pružatelja upravljanih usluga, pružatelja upravljanih sigurnosnih usluga, pružatelja internetskih tržišta, pružatelja internetske tražilice i pružatelja platformi za usluge društvenih mreža, samo bi jedna država članica trebala imati nadležnost nad tim subjektima. Nadležnost bi se trebala dodijeliti državi članici u kojoj predmetni subjekt ima glavni poslovni nastan u Uniji. Kriterij poslovnog nastana za potrebe ove Direktive podrazumijeva učinkovito obavljanje djelatnosti u okviru stabilnih aranžmana. Pravni oblik takvih aranžmana, bilo da je riječ o podružnici ili društvu kćeri s pravnom osobnošću, nije odlučujući čimbenik u tom pogledu. Ispunjenje tog kriterija ne bi trebalo ovisiti o tome jesu li mrežni i informacijski sustavi fizički smješteni na određenom mjestu; postojanje i upotreba takvih sustava sami po sebi ne čine takav glavni poslovni nastan i stoga nisu odlučujući kriteriji za određivanje glavnog poslovnog nastana. Trebalo bi smatrati da se glavni poslovni nastan nalazi u državi članici u kojoj se, gledano na razini Unije, pretežno donose odluke povezane s mjerama upravljanja kibersigurnosnim rizicima. To obično odgovara mjestu u Uniji na kojem se nalazi središnja uprava subjekata. Ako se takva država članica ne može utvrditi ili ako se takve odluke ne donose u Uniji, trebalo bi smatrati da se glavni poslovni nastan nalazi u državi članici u kojoj se provode kibersigurnosne operacije. Ako se takva država članica ne može utvrditi, trebalo bi smatrati da se glavni poslovni nastan nalazi u državi članici u kojoj subjekti imaju poslovnu jedinicu s najvećim brojem zaposlenika u Uniji. Ako usluge pruža grupa poduzetnika, glavni poslovni nastan vladajućeg poduzetnika trebao bi se smatrati glavnim nastanom grupe poduzetnika. |
| --- | --- |

(114)

Kako bi se u obzir uzela prekogranična priroda usluga i djelatnosti pružatelja usluga DNS-a, registara naziva vršnih domena, subjekata koji pružaju usluge registracije naziva domena, pružatelja usluga računalstva u oblaku, pružatelja upravljanih usluga, pružatelja upravljanih sigurnosnih usluga, pružatelja internetskih tržišta, pružatelja internetske tražilice i pružatelja platformi za usluge društvenih mreža, samo bi jedna država članica trebala imati nadležnost nad tim subjektima. Nadležnost bi se trebala dodijeliti državi članici u kojoj predmetni subjekt ima glavni poslovni nastan u Uniji. Kriterij poslovnog nastana za potrebe ove Direktive podrazumijeva učinkovito obavljanje djelatnosti u okviru stabilnih aranžmana. Pravni oblik takvih aranžmana, bilo da je riječ o podružnici ili društvu kćeri s pravnom osobnošću, nije odlučujući čimbenik u tom pogledu. Ispunjenje tog kriterija ne bi trebalo ovisiti o tome jesu li mrežni i informacijski sustavi fizički smješteni na određenom mjestu; postojanje i upotreba takvih sustava sami po sebi ne čine takav glavni poslovni nastan i stoga nisu odlučujući kriteriji za određivanje glavnog poslovnog nastana. Trebalo bi smatrati da se glavni poslovni nastan nalazi u državi članici u kojoj se, gledano na razini Unije, pretežno donose odluke povezane s mjerama upravljanja kibersigurnosnim rizicima. To obično odgovara mjestu u Uniji na kojem se nalazi središnja uprava subjekata. Ako se takva država članica ne može utvrditi ili ako se takve odluke ne donose u Uniji, trebalo bi smatrati da se glavni poslovni nastan nalazi u državi članici u kojoj se provode kibersigurnosne operacije. Ako se takva država članica ne može utvrditi, trebalo bi smatrati da se glavni poslovni nastan nalazi u državi članici u kojoj subjekti imaju poslovnu jedinicu s najvećim brojem zaposlenika u Uniji. Ako usluge pruža grupa poduzetnika, glavni poslovni nastan vladajućeg poduzetnika trebao bi se smatrati glavnim nastanom grupe poduzetnika.

| (115) | Ako javno dostupnu rekurzivnu uslugu DNS-a pruža pružatelj javnih elektroničkih komunikacijskih mreža ili javno dostupnih elektroničkih komunikacijskih usluga samo kao dio usluge pristupa internetu, trebalo bi smatrati da je subjekt u nadležnosti svih država članica u kojima se pružaju njegove usluge. |
| --- | --- |

(115)

Ako javno dostupnu rekurzivnu uslugu DNS-a pruža pružatelj javnih elektroničkih komunikacijskih mreža ili javno dostupnih elektroničkih komunikacijskih usluga samo kao dio usluge pristupa internetu, trebalo bi smatrati da je subjekt u nadležnosti svih država članica u kojima se pružaju njegove usluge.

| (116) | Ako pružatelj usluga DNS-a, registar naziva vršnih domena, subjekt koji pruža usluge registracije naziva domena, pružatelj usluga računalstva u oblaku, pružatelj usluga podatkovnog centra, pružatelj mreža za isporuku sadržaja, pružatelj upravljanih usluga, pružatelj upravljanih sigurnosnih usluga ili pružatelj internetskih tržišta, internetskih tražilica ili platformi za usluge društvenih mreža koji nema poslovni nastan u Uniji, a nudi usluge unutar Unije, trebao bi imenovati predstavnika u Uniji. Kako bi se utvrdilo nudi li takav subjekt usluge u Uniji, trebalo bi provjeriti planira li subjekt nuditi usluge osobama u jednoj državi članici ili više njih. Sama dostupnost u Uniji internetskih stranica subjekta ili posrednog davatelja takvih usluga ili adrese e-pošte ili drugih podataka za kontakt ili korištenje jezikom koji je uobičajeno u upotrebi u trećoj zemlji u kojoj subjekt ima poslovni nastan, ne bi se trebala smatrati dovoljnom za utvrđivanje takve namjere. Međutim, čimbenici kao što su korištenje jezikom ili valutom koji su uobičajeno u uporabi u jednoj državi članica ili više njih, s mogućnošću naručivanja usluga na tom jeziku ili spominjanje kupaca ili korisnika koji se nalaze u Uniji, mogli bi ukazati na to da je očito da subjekt planira nuditi usluge u Uniji. Predstavnik bi trebao djelovati u ime subjekta te bi nadležna tijela ili CSIRT-ovi trebali moći obratiti se predstavniku. Subjekt bi trebao pisanim ovlaštenjem izričito imenovati predstavnika da djeluje u njegovo ime s obzirom na obveze tog subjekta utvrđenih u ovoj Direktivi, što uključuje izvješćivanja o incidentima. |
| --- | --- |

(116)

Ako pružatelj usluga DNS-a, registar naziva vršnih domena, subjekt koji pruža usluge registracije naziva domena, pružatelj usluga računalstva u oblaku, pružatelj usluga podatkovnog centra, pružatelj mreža za isporuku sadržaja, pružatelj upravljanih usluga, pružatelj upravljanih sigurnosnih usluga ili pružatelj internetskih tržišta, internetskih tražilica ili platformi za usluge društvenih mreža koji nema poslovni nastan u Uniji, a nudi usluge unutar Unije, trebao bi imenovati predstavnika u Uniji. Kako bi se utvrdilo nudi li takav subjekt usluge u Uniji, trebalo bi provjeriti planira li subjekt nuditi usluge osobama u jednoj državi članici ili više njih. Sama dostupnost u Uniji internetskih stranica subjekta ili posrednog davatelja takvih usluga ili adrese e-pošte ili drugih podataka za kontakt ili korištenje jezikom koji je uobičajeno u upotrebi u trećoj zemlji u kojoj subjekt ima poslovni nastan, ne bi se trebala smatrati dovoljnom za utvrđivanje takve namjere. Međutim, čimbenici kao što su korištenje jezikom ili valutom koji su uobičajeno u uporabi u jednoj državi članica ili više njih, s mogućnošću naručivanja usluga na tom jeziku ili spominjanje kupaca ili korisnika koji se nalaze u Uniji, mogli bi ukazati na to da je očito da subjekt planira nuditi usluge u Uniji. Predstavnik bi trebao djelovati u ime subjekta te bi nadležna tijela ili CSIRT-ovi trebali moći obratiti se predstavniku. Subjekt bi trebao pisanim ovlaštenjem izričito imenovati predstavnika da djeluje u njegovo ime s obzirom na obveze tog subjekta utvrđenih u ovoj Direktivi, što uključuje izvješćivanja o incidentima.

| (117) | Kako bi se osigurao jasan pregled pružatelja usluga DNS-a, registara naziva vršnih domena, subjekata koji pružaju usluge registracije naziva domena, pružatelja usluga računalstva u oblaku, pružatelja usluga podatkovnog centra, pružatelja mreža za isporuku sadržaja, pružatelja upravljanih usluga, pružatelja upravljanih sigurnosnih usluga, pružatelja internetskih tržišta, pružatelja internetskih tražilica i pružatelja platformi za usluge društvenih mreža, koji pružaju usluge obuhvaćene područjem primjene ove Direktive širom Unije, ENISA bi trebala uspostaviti i voditi registar takvih subjekata na temelju informacija koje prime države članice, ako je to primjenjivo u okviru nacionalnih mehanizama uspostavljenih kako bi se subjekti sami registrirali. Jedinstvene kontaktne točke trebale bi ENISA-i prosljeđivati informacije i sve njihove izmjene. Kako bi se osigurala točnost i potpunost informacija koje bi trebale biti uključene u taj registar, države članice mogu ENISA-i dostavljati informacije o tim subjektima koje su dostupne u bilo kojem od nacionalnih registara. ENISA i države članice trebale bi poduzeti mjere za olakšavanje interoperabilnosti takvih registara te pritom osigurati zaštitu povjerljivih ili klasificiranih podataka. ENISA bi trebala uspostaviti odgovarajuće protokole za klasifikaciju informacija i upravljanje njima kako bi se osigurala sigurnost i povjerljivost otkrivenih informacija i ograničili pristup tim informacijama predviđenim korisnicima te njihovo skladištenje i prijenos. |
| --- | --- |

(117)

Kako bi se osigurao jasan pregled pružatelja usluga DNS-a, registara naziva vršnih domena, subjekata koji pružaju usluge registracije naziva domena, pružatelja usluga računalstva u oblaku, pružatelja usluga podatkovnog centra, pružatelja mreža za isporuku sadržaja, pružatelja upravljanih usluga, pružatelja upravljanih sigurnosnih usluga, pružatelja internetskih tržišta, pružatelja internetskih tražilica i pružatelja platformi za usluge društvenih mreža, koji pružaju usluge obuhvaćene područjem primjene ove Direktive širom Unije, ENISA bi trebala uspostaviti i voditi registar takvih subjekata na temelju informacija koje prime države članice, ako je to primjenjivo u okviru nacionalnih mehanizama uspostavljenih kako bi se subjekti sami registrirali. Jedinstvene kontaktne točke trebale bi ENISA-i prosljeđivati informacije i sve njihove izmjene. Kako bi se osigurala točnost i potpunost informacija koje bi trebale biti uključene u taj registar, države članice mogu ENISA-i dostavljati informacije o tim subjektima koje su dostupne u bilo kojem od nacionalnih registara. ENISA i države članice trebale bi poduzeti mjere za olakšavanje interoperabilnosti takvih registara te pritom osigurati zaštitu povjerljivih ili klasificiranih podataka. ENISA bi trebala uspostaviti odgovarajuće protokole za klasifikaciju informacija i upravljanje njima kako bi se osigurala sigurnost i povjerljivost otkrivenih informacija i ograničili pristup tim informacijama predviđenim korisnicima te njihovo skladištenje i prijenos.

| (118) | Ako se informacije koje su klasificirane u skladu s pravom Unije ili nacionalnim pravom razmjenjuju, dostavljaju ili na drugi način dijele u skladu s ovom Direktivom, trebalo bi primjenjivati odgovarajuća posebna pravila o postupanju s klasificiranim podacima. Usto, ENISA bi trebala uspostaviti infrastrukturu, postupke i pravila za postupanje s osjetljivim i klasificiranim podacima u skladu s primjenjivim sigurnosnim pravilima za zaštitu klasificiranih podataka EU-a. |
| --- | --- |

(118)

Ako se informacije koje su klasificirane u skladu s pravom Unije ili nacionalnim pravom razmjenjuju, dostavljaju ili na drugi način dijele u skladu s ovom Direktivom, trebalo bi primjenjivati odgovarajuća posebna pravila o postupanju s klasificiranim podacima. Usto, ENISA bi trebala uspostaviti infrastrukturu, postupke i pravila za postupanje s osjetljivim i klasificiranim podacima u skladu s primjenjivim sigurnosnim pravilima za zaštitu klasificiranih podataka EU-a.

| (119) | S obzirom na to da kiberprijetnje postaju sve složenije i sofisticiranije, dobre mjere njihova otkrivanja i sprečavanja uvelike ovise o redovitoj razmjeni informacija o prijetnjama i ranjivostima među subjektima. Razmjena informacija doprinosi boljoj informiranosti o kiberprijetnjama, što pak povećava kapacitet subjekata da spriječe da se prijetnje pretvore u incidente te omogućuje subjektima da bolje ograniče učinke incidenata i učinkovitije se oporave od njih. U nedostatku smjernica na razini Unije čini se da su razni čimbenici spriječili takvu razmjenu informacija, a osobito nesigurnost u pogledu usklađenosti s pravilima o tržišnom natjecanju i odgovornosti. |
| --- | --- |

(119)

S obzirom na to da kiberprijetnje postaju sve složenije i sofisticiranije, dobre mjere njihova otkrivanja i sprečavanja uvelike ovise o redovitoj razmjeni informacija o prijetnjama i ranjivostima među subjektima. Razmjena informacija doprinosi boljoj informiranosti o kiberprijetnjama, što pak povećava kapacitet subjekata da spriječe da se prijetnje pretvore u incidente te omogućuje subjektima da bolje ograniče učinke incidenata i učinkovitije se oporave od njih. U nedostatku smjernica na razini Unije čini se da su razni čimbenici spriječili takvu razmjenu informacija, a osobito nesigurnost u pogledu usklađenosti s pravilima o tržišnom natjecanju i odgovornosti.

| (120) | Stoga bi države članice trebale poticati subjekte te bi im pomagati da zajednički iskorištavaju svoja znanja i praktična iskustva na strateškoj, taktičkoj i operativnoj razini kako bi povećali svoje sposobnosti za odgovarajuće sprečavanje, otkrivanje, pružanje odgovora i oporavak kada je riječ o incidentima ili ublažavanju njihova učinka. Stoga je potrebno omogućiti razvijanje mehanizama dobrovoljne razmjene informacija na razini Unije. U tu bi svrhu države članice trebale aktivno pomagati subjektima, kao što su subjekti koji pružaju usluge i istraživanja u području kibersigurnosti, kao i subjektima koji nisu obuhvaćeni područjem primjene ove Direktive, i poticati ih na sudjelovanje u takvim mehanizmima razmjene informacija. Ti bi se mehanizmi trebali provoditi u skladu s pravilima Unije o tržišnom natjecanju te pravom Unije o zaštiti podataka. |
| --- | --- |

(120)

Stoga bi države članice trebale poticati subjekte te bi im pomagati da zajednički iskorištavaju svoja znanja i praktična iskustva na strateškoj, taktičkoj i operativnoj razini kako bi povećali svoje sposobnosti za odgovarajuće sprečavanje, otkrivanje, pružanje odgovora i oporavak kada je riječ o incidentima ili ublažavanju njihova učinka. Stoga je potrebno omogućiti razvijanje mehanizama dobrovoljne razmjene informacija na razini Unije. U tu bi svrhu države članice trebale aktivno pomagati subjektima, kao što su subjekti koji pružaju usluge i istraživanja u području kibersigurnosti, kao i subjektima koji nisu obuhvaćeni područjem primjene ove Direktive, i poticati ih na sudjelovanje u takvim mehanizmima razmjene informacija. Ti bi se mehanizmi trebali provoditi u skladu s pravilima Unije o tržišnom natjecanju te pravom Unije o zaštiti podataka.

| (121) | Obrada osobnih podataka u mjeri u kojoj je to potrebno i razmjerno za potrebe osiguravanja sigurnosti mrežnih i informacijskih sustava koju provode ključni i važni subjekti mogla bi se smatrati zakonitom na temelju toga što je takva obrada usklađena s pravnom obvezom kojoj podliježe voditelj obrade, a u skladu sa zahtjevima iz članka 6. stavka 1. točke (c) i članka 6. stavka 3. Uredbe (EU) 2016/679. Obrada osobnih podataka mogla bi biti potrebna i zbog legitimnih interesa ključnih i važnih subjekata kao i pružatelja sigurnosnih tehnologija i usluga koji djeluju u ime tih subjekata, u skladu s člankom 6. stavkom 1. točkom (f) Uredbe (EU) 2016/679, među ostalim ako je takva obrada nužna za potrebe mehanizama razmjene informacija o kibersigurnosti ili dobrovoljno obavješćivanje o relevantnim informacijama u skladu s ovom Direktivom. Mjere za sprečavanje, otkrivanje, identifikaciju, suzbijanje, analizu i odgovor na incidente, mjere za informiranje o određenim kiberprijetnjama, razmjenu informacija u kontekstu uklanjanja i koordiniranog otkrivanja ranjivosti kao i dobrovoljnu razmjenu informacija o tim incidentima, kiberprijetnjama i ranjivostima, pokazatelji ugroženosti, taktike, tehnike i postupci, kibersigurnosna upozorenja i konfiguracijski alati mogli bi zahtijevati obradu određenih kategorija osobnih podataka, kao što su IP adrese, jedinstveni lokatori resursa (URL-ovi), nazivi domena, adrese e-pošte te vremenski žigovi ako se njima otkrivaju osobni podaci. Obrada osobnih podataka koju provode nadležna tijela, jedinstvene kontaktne točke i CSIRT-ovi mogla bi predstavljati pravnu obvezu ili se smatrati nužnom za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade podataka u skladu s člankom 6. stavkom 1. točkom (c) ili (e) te člankom 6. stavkom 3. Uredbe (EU) 2016/679 ili za ostvarivanje legitimnog interesa ključnih i važnih subjekata, kako je navedeno u članku 6. stavku 1. točki (f) te uredbe. Nadalje, nacionalnim pravom mogla bi se utvrditi pravila kojima se nadležnim tijelima, jedinstvenim kontaktnim točkama i CSIRT-ovima, u mjeri u kojoj je to potrebno i razmjerno u svrhu jamčenja sigurnosti mrežnih i informacijskih sustava ključnih i važnih subjekata, omogućuje obrada posebnih kategorija osobnih podataka u skladu s člankom 9. Uredbe (EU) 2016/679, u prvom redu na temelju predviđanja odgovarajućih i posebnih mjera za zaštitu temeljnih prava i interesa fizičkih osoba, uključujući tehnička ograničenja ponovne uporabe takvih podataka i primjenu najsuvremenijih mjera sigurnosti i zaštite privatnosti, kao što su pseudonimizacija ili kriptiranje u slučaju da anonimizacija može znatno utjecati na svrhu koja se želi postići. |
| --- | --- |

(121)

Obrada osobnih podataka u mjeri u kojoj je to potrebno i razmjerno za potrebe osiguravanja sigurnosti mrežnih i informacijskih sustava koju provode ključni i važni subjekti mogla bi se smatrati zakonitom na temelju toga što je takva obrada usklađena s pravnom obvezom kojoj podliježe voditelj obrade, a u skladu sa zahtjevima iz članka 6. stavka 1. točke (c) i članka 6. stavka 3. Uredbe (EU) 2016/679. Obrada osobnih podataka mogla bi biti potrebna i zbog legitimnih interesa ključnih i važnih subjekata kao i pružatelja sigurnosnih tehnologija i usluga koji djeluju u ime tih subjekata, u skladu s člankom 6. stavkom 1. točkom (f) Uredbe (EU) 2016/679, među ostalim ako je takva obrada nužna za potrebe mehanizama razmjene informacija o kibersigurnosti ili dobrovoljno obavješćivanje o relevantnim informacijama u skladu s ovom Direktivom. Mjere za sprečavanje, otkrivanje, identifikaciju, suzbijanje, analizu i odgovor na incidente, mjere za informiranje o određenim kiberprijetnjama, razmjenu informacija u kontekstu uklanjanja i koordiniranog otkrivanja ranjivosti kao i dobrovoljnu razmjenu informacija o tim incidentima, kiberprijetnjama i ranjivostima, pokazatelji ugroženosti, taktike, tehnike i postupci, kibersigurnosna upozorenja i konfiguracijski alati mogli bi zahtijevati obradu određenih kategorija osobnih podataka, kao što su IP adrese, jedinstveni lokatori resursa (URL-ovi), nazivi domena, adrese e-pošte te vremenski žigovi ako se njima otkrivaju osobni podaci. Obrada osobnih podataka koju provode nadležna tijela, jedinstvene kontaktne točke i CSIRT-ovi mogla bi predstavljati pravnu obvezu ili se smatrati nužnom za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade podataka u skladu s člankom 6. stavkom 1. točkom (c) ili (e) te člankom 6. stavkom 3. Uredbe (EU) 2016/679 ili za ostvarivanje legitimnog interesa ključnih i važnih subjekata, kako je navedeno u članku 6. stavku 1. točki (f) te uredbe. Nadalje, nacionalnim pravom mogla bi se utvrditi pravila kojima se nadležnim tijelima, jedinstvenim kontaktnim točkama i CSIRT-ovima, u mjeri u kojoj je to potrebno i razmjerno u svrhu jamčenja sigurnosti mrežnih i informacijskih sustava ključnih i važnih subjekata, omogućuje obrada posebnih kategorija osobnih podataka u skladu s člankom 9. Uredbe (EU) 2016/679, u prvom redu na temelju predviđanja odgovarajućih i posebnih mjera za zaštitu temeljnih prava i interesa fizičkih osoba, uključujući tehnička ograničenja ponovne uporabe takvih podataka i primjenu najsuvremenijih mjera sigurnosti i zaštite privatnosti, kao što su pseudonimizacija ili kriptiranje u slučaju da anonimizacija može znatno utjecati na svrhu koja se želi postići.

| (122) | Kako bi se ojačale nadzorne ovlasti i mjere koje pomažu u osiguravanju učinkovite usklađenosti, ovom bi se Direktivom trebao predvidjeti popis minimalnih nadzornih mjera i sredstava uz pomoć kojih nadležna tijela mogu nadzirati ključne i važne subjekte. Usto, Direktivom bi se trebalo utvrditi razlikovanje sustava nadzora između ključnih i važnih subjekata kako bi se osigurala pravedna ravnoteža obveza tih subjekata i nadležnih tijela. Stoga bi se na ključne subjekte trebao primjenjivati sveobuhvatni ex ante i ex post nadzorni sustav, dok bi se na važne subjekte trebao primjenjivati blagi sustav samo ex post nadzora. Od važnih subjekata ne bi trebalo zahtijevati da sustavno dokumentiraju usklađenost sa mjerama upravljanja kibersigurnosnim rizicima, dok bi nadležna tijela trebala primjenjivati reaktivni ex post pristup nadzoru te stoga ne bi trebala imati opću obvezu nadzora nad tim subjektima. Ex post nadzor nad važnim subjektima može se pokrenuti na temelju dokaza, naznaka ili informacija o kojima su nadležna tijela obaviještena i za koje ta tijela smatraju da upućuju na moguće povrede ove Direktive. Na primjer, takvi dokazi, naznake ili informacije mogli bi biti oni koje nadležnim tijelima dostavljaju druga tijela, subjekti, građani, mediji ili drugi izvori, javno dostupne informacije ili bi mogli proizlaziti iz drugih aktivnosti koje provode nadležna tijela pri obavljanju svojih zadaća. |
| --- | --- |

(122)

Kako bi se ojačale nadzorne ovlasti i mjere koje pomažu u osiguravanju učinkovite usklađenosti, ovom bi se Direktivom trebao predvidjeti popis minimalnih nadzornih mjera i sredstava uz pomoć kojih nadležna tijela mogu nadzirati ključne i važne subjekte. Usto, Direktivom bi se trebalo utvrditi razlikovanje sustava nadzora između ključnih i važnih subjekata kako bi se osigurala pravedna ravnoteža obveza tih subjekata i nadležnih tijela. Stoga bi se na ključne subjekte trebao primjenjivati sveobuhvatni ex ante i ex post nadzorni sustav, dok bi se na važne subjekte trebao primjenjivati blagi sustav samo ex post nadzora. Od važnih subjekata ne bi trebalo zahtijevati da sustavno dokumentiraju usklađenost sa mjerama upravljanja kibersigurnosnim rizicima, dok bi nadležna tijela trebala primjenjivati reaktivni ex post pristup nadzoru te stoga ne bi trebala imati opću obvezu nadzora nad tim subjektima. Ex post nadzor nad važnim subjektima može se pokrenuti na temelju dokaza, naznaka ili informacija o kojima su nadležna tijela obaviještena i za koje ta tijela smatraju da upućuju na moguće povrede ove Direktive. Na primjer, takvi dokazi, naznake ili informacije mogli bi biti oni koje nadležnim tijelima dostavljaju druga tijela, subjekti, građani, mediji ili drugi izvori, javno dostupne informacije ili bi mogli proizlaziti iz drugih aktivnosti koje provode nadležna tijela pri obavljanju svojih zadaća.

| (123) | Pri obavljanju nadzornih zadaća nadležna tijela ne bi trebala nepotrebno ometati poslovne aktivnosti predmetnog subjekta. Ako nadležna tijela obavljaju svoje nadzorne zadaće u vezi s ključnim subjektima, uključujući provedbu inspekcija na lokaciji i neizravnog nadzora, istragu povreda ove Direktive i provođenje revizija sigurnosti i analiza sigurnosti, ona bi na najmanju moguću mjeru trebala svesti učinak na poslovne aktivnosti predmetnog subjekta. |
| --- | --- |

(123)

Pri obavljanju nadzornih zadaća nadležna tijela ne bi trebala nepotrebno ometati poslovne aktivnosti predmetnog subjekta. Ako nadležna tijela obavljaju svoje nadzorne zadaće u vezi s ključnim subjektima, uključujući provedbu inspekcija na lokaciji i neizravnog nadzora, istragu povreda ove Direktive i provođenje revizija sigurnosti i analiza sigurnosti, ona bi na najmanju moguću mjeru trebala svesti učinak na poslovne aktivnosti predmetnog subjekta.

| (124) | Pri provedbi ex ante nadzora nadležna tijela trebala bi moći na razmjeran način odlučiti o određivanju prioriteta u pogledu primjene nadzornih mjera i sredstava koji su im na raspolaganju. To podrazumijeva da nadležna tijela mogu odlučiti o takvom određivanju prioriteta na temelju nadzornih metodologija koje bi trebale slijediti pristup utemeljen na procjeni rizika. Konkretnije, te metodologije mogle bi uključivati kriterije ili referentna mjerila za razvrstavanje ključnih subjekata u kategorije rizika i odgovarajućih nadzornih mjera i preporučenih sredstava po kategoriji rizika, kao što su upotreba, učestalost ili vrste inspekcija na lokaciji ili ciljanih revizija sigurnosti ili analiza sigurnosti, vrsta informacija koje treba zahtijevati i razina detalja tih informacija. Takve nadzorne metodologije mogle bi biti popraćene i programima rada te bi ih se moglo redovito ocjenjivati i preispitivati, među ostalim u pogledu aspekata kao što su dodjela resursa i potrebe u vezi s resursima. U odnosu na subjekte javne uprave nadzorne ovlasti trebalo bi izvršavati u skladu s nacionalnim zakonodavnim i institucionalnim okvirima. |
| --- | --- |

(124)

Pri provedbi ex ante nadzora nadležna tijela trebala bi moći na razmjeran način odlučiti o određivanju prioriteta u pogledu primjene nadzornih mjera i sredstava koji su im na raspolaganju. To podrazumijeva da nadležna tijela mogu odlučiti o takvom određivanju prioriteta na temelju nadzornih metodologija koje bi trebale slijediti pristup utemeljen na procjeni rizika. Konkretnije, te metodologije mogle bi uključivati kriterije ili referentna mjerila za razvrstavanje ključnih subjekata u kategorije rizika i odgovarajućih nadzornih mjera i preporučenih sredstava po kategoriji rizika, kao što su upotreba, učestalost ili vrste inspekcija na lokaciji ili ciljanih revizija sigurnosti ili analiza sigurnosti, vrsta informacija koje treba zahtijevati i razina detalja tih informacija. Takve nadzorne metodologije mogle bi biti popraćene i programima rada te bi ih se moglo redovito ocjenjivati i preispitivati, među ostalim u pogledu aspekata kao što su dodjela resursa i potrebe u vezi s resursima. U odnosu na subjekte javne uprave nadzorne ovlasti trebalo bi izvršavati u skladu s nacionalnim zakonodavnim i institucionalnim okvirima.

| (125) | Nadležna tijela trebala bi osigurati da njihove nadzorne zadaće u odnosu na ključne i važne subjekte obavljaju osposobljeni stručnjaci, koji bi trebali posjedovati vještine potrebne za obavljanje tih zadaća, osobito u smislu provedbe inspekcija na lokaciji i neizravnog nadzora, uključujući utvrđivanje nedostataka u bazama podataka, hardveru, vatrozidovima, kriptiranju i mrežama. Ti bi se nadzori trebali provoditi na objektivan način. |
| --- | --- |

(125)

Nadležna tijela trebala bi osigurati da njihove nadzorne zadaće u odnosu na ključne i važne subjekte obavljaju osposobljeni stručnjaci, koji bi trebali posjedovati vještine potrebne za obavljanje tih zadaća, osobito u smislu provedbe inspekcija na lokaciji i neizravnog nadzora, uključujući utvrđivanje nedostataka u bazama podataka, hardveru, vatrozidovima, kriptiranju i mrežama. Ti bi se nadzori trebali provoditi na objektivan način.

| (126) | U propisno obrazloženim slučajevima ako je nadležno tijelo upoznato s ozbiljnom kiberprijetnjom ili neposrednim rizikom, ono bi trebalo biti u stanju donijeti hitne odluke o izvršavanju radi sprečavanja incidenta ili odgovaranja na njega. |
| --- | --- |

(126)

U propisno obrazloženim slučajevima ako je nadležno tijelo upoznato s ozbiljnom kiberprijetnjom ili neposrednim rizikom, ono bi trebalo biti u stanju donijeti hitne odluke o izvršavanju radi sprečavanja incidenta ili odgovaranja na njega.

| (127) | Kako bi izvršavanje bilo učinkovito, potrebno je utvrditi popis minimalnih ovlasti izvršavanja koje se mogu primijeniti za kršenje mjera upravljanja kibersigurnosnim rizicima i obveza izvješćivanja predviđenih ovom Direktivom, čime bi se uspostavio jasan i usklađen okvir za takvo izvršavanje širom Unije. Posebna bi se pozornost trebala posvetiti prirodi, ozbiljnosti i trajanju povrede ove Direktive, uzrokovanoj materijalnoj ili nematerijalnoj šteti, bez obzira na to je li povreda bila namjerna ili nehotična, mjerama poduzetima radi sprečavanja ili ublažavanja materijalne ili nematerijalne štete, stupnju odgovornosti ili svim relevantnim prethodnim povredama, stupnju suradnje s nadležnim tijelom kao i bilo kojem drugom otegotnom ili olakotnom čimbeniku. Mjere izvršavanja, uključujući upravne novčane kazne, trebale bi biti proporcionalne, a njihovo izricanje podlijegati odgovarajućim postupovnim zaštitnim mjerama u skladu s općim načelima prava Unije i Poveljom Europske unije o temeljnim pravima („Povelja”), uključujući pravo na djelotvoran pravni lijek i pošteno suđenje, pretpostavku nedužnosti i prava na obranu. |
| --- | --- |

(127)

Kako bi izvršavanje bilo učinkovito, potrebno je utvrditi popis minimalnih ovlasti izvršavanja koje se mogu primijeniti za kršenje mjera upravljanja kibersigurnosnim rizicima i obveza izvješćivanja predviđenih ovom Direktivom, čime bi se uspostavio jasan i usklađen okvir za takvo izvršavanje širom Unije. Posebna bi se pozornost trebala posvetiti prirodi, ozbiljnosti i trajanju povrede ove Direktive, uzrokovanoj materijalnoj ili nematerijalnoj šteti, bez obzira na to je li povreda bila namjerna ili nehotična, mjerama poduzetima radi sprečavanja ili ublažavanja materijalne ili nematerijalne štete, stupnju odgovornosti ili svim relevantnim prethodnim povredama, stupnju suradnje s nadležnim tijelom kao i bilo kojem drugom otegotnom ili olakotnom čimbeniku. Mjere izvršavanja, uključujući upravne novčane kazne, trebale bi biti proporcionalne, a njihovo izricanje podlijegati odgovarajućim postupovnim zaštitnim mjerama u skladu s općim načelima prava Unije i Poveljom Europske unije o temeljnim pravima („Povelja”), uključujući pravo na djelotvoran pravni lijek i pošteno suđenje, pretpostavku nedužnosti i prava na obranu.

| (128) | Ovom se Direktivom od država članica ne zahtijeva da predvide kaznenu ili građansku odgovornost u pogledu fizičkih osoba odgovornih za osiguravanje usklađenosti subjekta s ovom Direktivom u vezi sa štetom koju su treće strane pretrpjele zbog kršenja ove Direktive. |
| --- | --- |

(128)

Ovom se Direktivom od država članica ne zahtijeva da predvide kaznenu ili građansku odgovornost u pogledu fizičkih osoba odgovornih za osiguravanje usklađenosti subjekta s ovom Direktivom u vezi sa štetom koju su treće strane pretrpjele zbog kršenja ove Direktive.

| (129) | Kako bi se osiguralo učinkovito izvršavanje obveza utvrđenih u ovoj Direktivi, svako bi nadležno tijelo trebalo imati ovlast izricati ili zahtijevati izricanje upravnih novčanih kazni. |
| --- | --- |

(129)

Kako bi se osiguralo učinkovito izvršavanje obveza utvrđenih u ovoj Direktivi, svako bi nadležno tijelo trebalo imati ovlast izricati ili zahtijevati izricanje upravnih novčanih kazni.

| (130) | Kada se upravna novčana kazne izriče ključnom ili važnom subjektu koji je poduzetnik, poduzetnik bi se u te svrhe trebao smatrati poduzetnikom u skladu s člancima 101. i 102. UFEU-a. Ako se upravna novčana kazna izriče osobi koja nije poduzetnik, pri razmatranju odgovarajućeg iznosa novčane kazne nadležno tijelo trebalo bi uzeti u obzir opću razinu dohotka u državi članici te ekonomsko stanje osobe. Države članice trebale bi utvrditi i trebaju li i do koje mjere primjenjivati upravne novčane kazne za tijela javne vlasti. Izricanje upravne novčane kazne ne utječe na primjenu ovlasti nadležnih tijela ili drugih sankcija utvrđenih u nacionalnim pravilima kojima se prenosi ova Direktiva. |
| --- | --- |

(130)

Kada se upravna novčana kazne izriče ključnom ili važnom subjektu koji je poduzetnik, poduzetnik bi se u te svrhe trebao smatrati poduzetnikom u skladu s člancima 101. i 102. UFEU-a. Ako se upravna novčana kazna izriče osobi koja nije poduzetnik, pri razmatranju odgovarajućeg iznosa novčane kazne nadležno tijelo trebalo bi uzeti u obzir opću razinu dohotka u državi članici te ekonomsko stanje osobe. Države članice trebale bi utvrditi i trebaju li i do koje mjere primjenjivati upravne novčane kazne za tijela javne vlasti. Izricanje upravne novčane kazne ne utječe na primjenu ovlasti nadležnih tijela ili drugih sankcija utvrđenih u nacionalnim pravilima kojima se prenosi ova Direktiva.

| (131) | Države članice trebale bi moći propisati pravila o kaznenim sankcijama za povrede nacionalnih pravila kojima se prenosi ova Direktiva. Međutim, izricanje kaznenih sankcija za povrede takvih nacionalnih pravila i povezanih upravnih sankcija ne bi smjelo dovesti do kršenja načela ne bis in idem, kako ga tumači Sud Europske unije. |
| --- | --- |

(131)

Države članice trebale bi moći propisati pravila o kaznenim sankcijama za povrede nacionalnih pravila kojima se prenosi ova Direktiva. Međutim, izricanje kaznenih sankcija za povrede takvih nacionalnih pravila i povezanih upravnih sankcija ne bi smjelo dovesti do kršenja načela ne bis in idem, kako ga tumači Sud Europske unije.

| (132) | Ako ovom Direktivom nisu usklađene upravne sankcije ili ako je to potrebno u drugim slučajevima, na primjer u slučaju ozbiljne povrede ove Direktive, države članice trebale bi uvesti sustav kojim se predviđaju učinkovite, proporcionalne i odvraćajuće sankcije. Prirodu tih sankcija, i to jesu li kaznenog ili upravnog karaktera, trebalo bi odrediti u nacionalnom pravu. |
| --- | --- |

(132)

Ako ovom Direktivom nisu usklađene upravne sankcije ili ako je to potrebno u drugim slučajevima, na primjer u slučaju ozbiljne povrede ove Direktive, države članice trebale bi uvesti sustav kojim se predviđaju učinkovite, proporcionalne i odvraćajuće sankcije. Prirodu tih sankcija, i to jesu li kaznenog ili upravnog karaktera, trebalo bi odrediti u nacionalnom pravu.

| (133) | Kako bi se dodatno ojačali djelotvornost i odvraćajući učinak mjera izvršavanja koje se primjenjuju na povrede ove Direktive, nadležna tijela trebala bi biti ovlaštena privremeno suspendirati ili zahtijevati privremenu suspenziju certifikata ili ovlaštenja za dio relevantnih usluga ili sve relevantne usluge koje ključni subjekt pruža ili djelatnosti koje obavlja i zahtijevati izricanje privremene zabrane obavljanja upravljačkih dužnosti svakoj fizičkoj osobi koja upravljačke dužnosti obavlja na razini glavnog izvršnog direktora ili pravnog zastupnika. S obzirom na njihovu ozbiljnost i učinak na aktivnosti subjekata te naposljetku na njihove korisnike, takve bi privremene suspenzije ili zabrane trebalo primjenjivati samo razmjerno ozbiljnosti povrede i uzimajući u obzir posebne okolnosti svakog slučaja, uključujući namjernu ili nehotičnu prirodu povrede kao i mjere poduzete radi sprečavanja ili ublažavanja materijalne ili nematerijalne štete. Takve bi se privremene suspenzije ili zabrane trebale primjenjivati samo kao ultima ratio, odnosno tek nakon što se iscrpe druge odgovarajuće mjere izvršavanja utvrđene ovom Direktivom i samo dok subjekti na koje se primjenjuju ne poduzmu potrebne mjere za otklanjanje nedostataka ili dok ne ispune zahtjeve nadležnog tijela na koje se odnose takve privremene suspenzije ili zabrane. Izricanje takvih privremenih suspenzija ili zabrana treba podlijegati odgovarajućim postupovnim zaštitnim mjerama u skladu s općim načelima prava Unije i Poveljom, uključujući pravo na djelotvoran pravni lijek i pošteno suđenje, pretpostavku nedužnosti i prava na obranu. |
| --- | --- |

(133)

Kako bi se dodatno ojačali djelotvornost i odvraćajući učinak mjera izvršavanja koje se primjenjuju na povrede ove Direktive, nadležna tijela trebala bi biti ovlaštena privremeno suspendirati ili zahtijevati privremenu suspenziju certifikata ili ovlaštenja za dio relevantnih usluga ili sve relevantne usluge koje ključni subjekt pruža ili djelatnosti koje obavlja i zahtijevati izricanje privremene zabrane obavljanja upravljačkih dužnosti svakoj fizičkoj osobi koja upravljačke dužnosti obavlja na razini glavnog izvršnog direktora ili pravnog zastupnika. S obzirom na njihovu ozbiljnost i učinak na aktivnosti subjekata te naposljetku na njihove korisnike, takve bi privremene suspenzije ili zabrane trebalo primjenjivati samo razmjerno ozbiljnosti povrede i uzimajući u obzir posebne okolnosti svakog slučaja, uključujući namjernu ili nehotičnu prirodu povrede kao i mjere poduzete radi sprečavanja ili ublažavanja materijalne ili nematerijalne štete. Takve bi se privremene suspenzije ili zabrane trebale primjenjivati samo kao ultima ratio, odnosno tek nakon što se iscrpe druge odgovarajuće mjere izvršavanja utvrđene ovom Direktivom i samo dok subjekti na koje se primjenjuju ne poduzmu potrebne mjere za otklanjanje nedostataka ili dok ne ispune zahtjeve nadležnog tijela na koje se odnose takve privremene suspenzije ili zabrane. Izricanje takvih privremenih suspenzija ili zabrana treba podlijegati odgovarajućim postupovnim zaštitnim mjerama u skladu s općim načelima prava Unije i Poveljom, uključujući pravo na djelotvoran pravni lijek i pošteno suđenje, pretpostavku nedužnosti i prava na obranu.

| (134) | Kako bi se osiguralo da subjekti ispunjavaju svoje obveze utvrđene u ovoj Direktivi, države članice trebale bi surađivati i međusobno si pomagati u pogledu nadzornih mjera i mjera izvršavanja, posebno ako subjekt pruža usluge u više od jedne države članice ili ako se njegovi mrežni i informacijski sustavi nalaze u državi članici koja nije ona u kojoj pruža usluge. Pri pružanju pomoći nadležno tijelo primatelj zahtjeva trebalo bi poduzeti nadzorne mjere ili mjere izvršavanja u skladu s nacionalnim pravom. Kako bi se osiguralo neometano funkcioniranje uzajamne pomoći na temelju ove Direktive, nadležna tijela trebala bi se koristiti skupinom za suradnju kao forumom za raspravljanje o različitim slučajevima i konkretnim zahtjevima za pomoć. |
| --- | --- |

(134)

Kako bi se osiguralo da subjekti ispunjavaju svoje obveze utvrđene u ovoj Direktivi, države članice trebale bi surađivati i međusobno si pomagati u pogledu nadzornih mjera i mjera izvršavanja, posebno ako subjekt pruža usluge u više od jedne države članice ili ako se njegovi mrežni i informacijski sustavi nalaze u državi članici koja nije ona u kojoj pruža usluge. Pri pružanju pomoći nadležno tijelo primatelj zahtjeva trebalo bi poduzeti nadzorne mjere ili mjere izvršavanja u skladu s nacionalnim pravom. Kako bi se osiguralo neometano funkcioniranje uzajamne pomoći na temelju ove Direktive, nadležna tijela trebala bi se koristiti skupinom za suradnju kao forumom za raspravljanje o različitim slučajevima i konkretnim zahtjevima za pomoć.

| (135) | Kako bi se osigurali učinkovit nadzor i izvršavanje, posebno u situacijama s prekograničnom dimenzijom, država članica koja primi zahtjev za uzajamnu pomoć trebala bi, u okvirima tog zahtjeva, poduzeti odgovarajuće nadzorne mjere i mjere izvršavanja u odnosu na subjekt koji je predmet tog zahtjeva i koji pruža usluge ili koji ima mrežni i informacijski sustav na državnom području te države članice. |
| --- | --- |

(135)

Kako bi se osigurali učinkovit nadzor i izvršavanje, posebno u situacijama s prekograničnom dimenzijom, država članica koja primi zahtjev za uzajamnu pomoć trebala bi, u okvirima tog zahtjeva, poduzeti odgovarajuće nadzorne mjere i mjere izvršavanja u odnosu na subjekt koji je predmet tog zahtjeva i koji pruža usluge ili koji ima mrežni i informacijski sustav na državnom području te države članice.

| (136) | Ovom bi se Direktivom trebala utvrditi pravila suradnje između nadležnih tijela i nadzornih tijela na temelju Uredbe (EU) 2016/679 radi postupanja u slučaju povreda ove Direktive povezanih s osobnim podacima. |
| --- | --- |

(136)

Ovom bi se Direktivom trebala utvrditi pravila suradnje između nadležnih tijela i nadzornih tijela na temelju Uredbe (EU) 2016/679 radi postupanja u slučaju povreda ove Direktive povezanih s osobnim podacima.

| (137) | Cilj ove Direktive trebao bi biti osiguravanje visoke razine odgovornosti za mjere upravljanja kibersigurnosnim rizicima i obveze izvješćivanja na razini ključnih i važnih subjekata. Stoga bi upravljačka tijela ključnih i važnih subjekata trebala odobravati mjere upravljanja kibersigurnosnim rizicima i nadzirati njihovu provedbu. |
| --- | --- |

(137)

Cilj ove Direktive trebao bi biti osiguravanje visoke razine odgovornosti za mjere upravljanja kibersigurnosnim rizicima i obveze izvješćivanja na razini ključnih i važnih subjekata. Stoga bi upravljačka tijela ključnih i važnih subjekata trebala odobravati mjere upravljanja kibersigurnosnim rizicima i nadzirati njihovu provedbu.

| (138) | Kako bi se osigurala visoka zajednička razina kibersigurnosti širom Unije na temelju ove Direktive, Komisiji bi trebalo delegirati ovlast za donošenje akata u skladu s člankom 290. UFEU-a u vezi s dopunom ove Direktive određivanjem od kojih se kategorija ključnih i važnih subjekata treba zahtijevati korištenje određenim certificiranim IKT proizvodima, IKT uslugama i IKT procesima ili pribavljanje certifikata na temelju jednog od europskih programa kibersigurnosne certifikacije. Posebno je važno da Komisija tijekom svojeg pripremnog rada provede odgovarajuća savjetovanja, uključujući ona na razini stručnjaka, te da se ta savjetovanja provedu u skladu s načelima utvrđenima u Međuinstitucijskom sporazumu o boljoj izradi zakonodavstva od 13. travnja 2016. (22). Osobito, s ciljem osiguravanja ravnopravnog sudjelovanja u pripremi delegiranih akata, Europski parlament i Vijeće primaju sve dokumente istodobno kada i stručnjaci iz država članica te njihovi stručnjaci sustavno imaju pristup sastancima stručnih skupina Komisije koji se odnose na pripremu delegiranih akata. |
| --- | --- |

(138)

Kako bi se osigurala visoka zajednička razina kibersigurnosti širom Unije na temelju ove Direktive, Komisiji bi trebalo delegirati ovlast za donošenje akata u skladu s člankom 290. UFEU-a u vezi s dopunom ove Direktive određivanjem od kojih se kategorija ključnih i važnih subjekata treba zahtijevati korištenje određenim certificiranim IKT proizvodima, IKT uslugama i IKT procesima ili pribavljanje certifikata na temelju jednog od europskih programa kibersigurnosne certifikacije. Posebno je važno da Komisija tijekom svojeg pripremnog rada provede odgovarajuća savjetovanja, uključujući ona na razini stručnjaka, te da se ta savjetovanja provedu u skladu s načelima utvrđenima u Međuinstitucijskom sporazumu o boljoj izradi zakonodavstva od 13. travnja 2016. (22). Osobito, s ciljem osiguravanja ravnopravnog sudjelovanja u pripremi delegiranih akata, Europski parlament i Vijeće primaju sve dokumente istodobno kada i stručnjaci iz država članica te njihovi stručnjaci sustavno imaju pristup sastancima stručnih skupina Komisije koji se odnose na pripremu delegiranih akata.

| (139) | Radi osiguranja jedinstvenih uvjeta za provedbu ove Direktive, Komisiji bi trebalo dodijeliti provedbene ovlasti za utvrđivanje postupovnih aranžmana potrebnih za funkcioniranje skupine za suradnju te tehničkih, metodoloških i sektorskih zahtjeva u pogledu mjera upravljanja kibersigurnosnim rizicima i za dodatno utvrđivanje vrste informacija, oblika i postupka obavješćivanja o incidentima, kiberprijetnjama i izbjegnutim incidentima te dodatno utvrđivanje komunikacije o ozbiljnim kiberprijetnjama kao i o slučajevima u kojima se incident treba smatrati značajnim. Te bi ovlasti trebalo izvršavati u skladu s Uredbom (EU) br. 182/2011 Europskog parlamenta i Vijeća (23). |
| --- | --- |

(139)

Radi osiguranja jedinstvenih uvjeta za provedbu ove Direktive, Komisiji bi trebalo dodijeliti provedbene ovlasti za utvrđivanje postupovnih aranžmana potrebnih za funkcioniranje skupine za suradnju te tehničkih, metodoloških i sektorskih zahtjeva u pogledu mjera upravljanja kibersigurnosnim rizicima i za dodatno utvrđivanje vrste informacija, oblika i postupka obavješćivanja o incidentima, kiberprijetnjama i izbjegnutim incidentima te dodatno utvrđivanje komunikacije o ozbiljnim kiberprijetnjama kao i o slučajevima u kojima se incident treba smatrati značajnim. Te bi ovlasti trebalo izvršavati u skladu s Uredbom (EU) br. 182/2011 Europskog parlamenta i Vijeća (23).

| (140) | Komisija bi periodično trebala preispitivati ovu Direktivu, nakon savjetovanja s dionicima, naročito u cilju utvrđivanja je li potrebno predlagati amandmane u svjetlu promjene društvenih, političkih, tehnoloških i tržišnih uvjeta. U tim preispitivanjima Komisija bi trebala ocijeniti relevantnost veličine dotičnih subjekata, te sektora, podsektora i vrste subjekata iz prilogâ ovoj Direktivi za funkcioniranje gospodarstva i društva u pogledu kibersigurnosti. Komisija bi, između ostalog, trebala ocijeniti može li se pružatelje obuhvaćene područjem primjene ove Direktive koji su određeni kao vrlo velike internetske platforme u smislu članka 33. Uredbe (EU) 2022/2065 Europskog parlamenta i Vijeća (24) utvrditi kao ključna tijela na temelju ove Direktive. |
| --- | --- |

(140)

Komisija bi periodično trebala preispitivati ovu Direktivu, nakon savjetovanja s dionicima, naročito u cilju utvrđivanja je li potrebno predlagati amandmane u svjetlu promjene društvenih, političkih, tehnoloških i tržišnih uvjeta. U tim preispitivanjima Komisija bi trebala ocijeniti relevantnost veličine dotičnih subjekata, te sektora, podsektora i vrste subjekata iz prilogâ ovoj Direktivi za funkcioniranje gospodarstva i društva u pogledu kibersigurnosti. Komisija bi, između ostalog, trebala ocijeniti može li se pružatelje obuhvaćene područjem primjene ove Direktive koji su određeni kao vrlo velike internetske platforme u smislu članka 33. Uredbe (EU) 2022/2065 Europskog parlamenta i Vijeća (24) utvrditi kao ključna tijela na temelju ove Direktive.

| (141) | Ova Direktiva stvara nove zadaće za ENISA-u, čime se jača njezina uloga, a mogla bi također dovesti do toga da se od ENISA-e zahtijeva izvršavanje njezinih postojećih zadaća u skladu s Uredbom (EU) 2019/881 na višoj razini nego prije. Kako bi se osiguralo da ENISA raspolaže potrebnim financijskim i ljudskim resursima za obavljanje postojećih i novih zadaća kao i za ispunjavanje svih viših razina provedbe koje proizlaze iz njezine snažnije uloge, treba povećati njezin proračun. Osim toga, kako bi se osiguralo učinkovito korištenje resursima, ENISA-i treba dati veću fleksibilnost u načinu na koji ona može interno dodjeljivati resurse kako bi učinkovito izvršavala svoje zadaće i ispunila očekivanja. |
| --- | --- |

(141)

Ova Direktiva stvara nove zadaće za ENISA-u, čime se jača njezina uloga, a mogla bi također dovesti do toga da se od ENISA-e zahtijeva izvršavanje njezinih postojećih zadaća u skladu s Uredbom (EU) 2019/881 na višoj razini nego prije. Kako bi se osiguralo da ENISA raspolaže potrebnim financijskim i ljudskim resursima za obavljanje postojećih i novih zadaća kao i za ispunjavanje svih viših razina provedbe koje proizlaze iz njezine snažnije uloge, treba povećati njezin proračun. Osim toga, kako bi se osiguralo učinkovito korištenje resursima, ENISA-i treba dati veću fleksibilnost u načinu na koji ona može interno dodjeljivati resurse kako bi učinkovito izvršavala svoje zadaće i ispunila očekivanja.

| (142) | S obzirom na to da cilj ove Direktive, to jest postizanje visoke zajedničke razine kibersigurnosti širom Unije, ne mogu dostatno ostvariti države članice, nego se zbog učinka djelovanja on na bolji način može ostvariti na razini Unije, Unija može donijeti mjere u skladu s načelom supsidijarnosti utvrđenim u članku 5. Ugovora o Europskoj uniji. U skladu s načelom proporcionalnosti utvrđenim u tom članku, ova Direktiva ne prelazi ono što je potrebno za ostvarivanje tog cilja. |
| --- | --- |

(142)

S obzirom na to da cilj ove Direktive, to jest postizanje visoke zajedničke razine kibersigurnosti širom Unije, ne mogu dostatno ostvariti države članice, nego se zbog učinka djelovanja on na bolji način može ostvariti na razini Unije, Unija može donijeti mjere u skladu s načelom supsidijarnosti utvrđenim u članku 5. Ugovora o Europskoj uniji. U skladu s načelom proporcionalnosti utvrđenim u tom članku, ova Direktiva ne prelazi ono što je potrebno za ostvarivanje tog cilja.

| (143) | Ovom Direktivom poštuju se temeljna prava i načela priznata Poveljom, posebno pravo na poštovanje privatnog života i komuniciranja, zaštita osobnih podataka, sloboda poduzetništva, pravo na vlasništvo, pravo na djelotvoran pravni lijek i na pošteno suđenje, pretpostavka nedužnosti i prava na obranu. Pravo na djelotvoran pravni lijek obuhvaća i primatelje usluga koje pružaju ključni i važni subjekti. Ova Direktiva trebala bi se provoditi u skladu s tim pravima i načelima. |
| --- | --- |

(143)

Ovom Direktivom poštuju se temeljna prava i načela priznata Poveljom, posebno pravo na poštovanje privatnog života i komuniciranja, zaštita osobnih podataka, sloboda poduzetništva, pravo na vlasništvo, pravo na djelotvoran pravni lijek i na pošteno suđenje, pretpostavka nedužnosti i prava na obranu. Pravo na djelotvoran pravni lijek obuhvaća i primatelje usluga koje pružaju ključni i važni subjekti. Ova Direktiva trebala bi se provoditi u skladu s tim pravima i načelima.

| (144) | Provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 42. stavkom 1. Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća (25) te je on dao mišljenje 11. ožujka 2021. (26), |
| --- | --- |

(144)

Provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 42. stavkom 1. Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća (25) te je on dao mišljenje 11. ožujka 2021. (26),

DONIJELI SU OVU DIREKTIVU:

POGLAVLJE I.

OPĆE ODREDBE

Članak 1.

Predmet

1.   Ovom se Direktivom utvrđuju mjere čiji je cilj postići visoku zajedničku razinu kibersigurnosti širom Unije kako bi se poboljšalo funkcioniranje unutarnjeg tržišta.

2.   U tu svrhu, ovom se Direktivom utvrđuju:

| (a) | obveze kojima se zahtjeva da države članice donesu nacionalne strategije za kibersigurnost i imenuju ili uspostave nadležna tijela, tijela za upravljanje kiberkrizama, jedinstvene kontaktne točke za kibersigurnost (jedinstvene kontaktne točke) i timove za odgovor na računalne sigurnosne incidente (CSIRT-ovi); |
| --- | --- |

(a)

obveze kojima se zahtjeva da države članice donesu nacionalne strategije za kibersigurnost i imenuju ili uspostave nadležna tijela, tijela za upravljanje kiberkrizama, jedinstvene kontaktne točke za kibersigurnost (jedinstvene kontaktne točke) i timove za odgovor na računalne sigurnosne incidente (CSIRT-ovi);

| (b) | mjere upravljanja kibersigurnosnim rizicima i obveze izvješćivanja za subjekte koji pripadaju vrstama navedenim u Prilogu I. i u Prilogu II kao i za subjekte utvrđene kao kritični subjekti na temelju Direktive (EU) 2022/2557; |
| --- | --- |

(b)

mjere upravljanja kibersigurnosnim rizicima i obveze izvješćivanja za subjekte koji pripadaju vrstama navedenim u Prilogu I. i u Prilogu II kao i za subjekte utvrđene kao kritični subjekti na temelju Direktive (EU) 2022/2557;

| (c) | pravila i obveze u pogledu razmjene informacija o kibersigurnosti; |
| --- | --- |

(c)

pravila i obveze u pogledu razmjene informacija o kibersigurnosti;

| (d) | obveze nadzora i izvršavanja za države članice. |
| --- | --- |

(d)

obveze nadzora i izvršavanja za države članice.

Članak 2.

Područje primjene

1.   Ova se Direktiva primjenjuje na javne ili privatne subjekata koji pripadaju vrstama navedenim u Prilogu I. ili u Prilogu II. koji se smatraju srednjim poduzećima na temelju članka 2. Priloga Preporuci 2003/361/EZ, ili koji prelaze gornje granice za srednja poduzeća iz stavka 1. tog članka i pružaju svoje usluge ili obavljaju svoje djelatnosti unutar Unije.

Članak 3. stavak 4. Priloga toj Preporuci ne primjenjuje se za potrebe ove Direktive.

2.   Ova se Direktiva primjenjuje i na subjekte koji pripadaju vrstama navedenim u Prilogu I. ili u Prilogu II, neovisno o njihovoj veličini:

| (a) | ako usluge pružaju:






  i. | pružatelji javnih elektroničkih komunikacijskih mreža ili javno dostupnih elektroničkih komunikacijskih usluga; |
| --- | --- | --- |

(a)

ako usluge pružaju:

i.

pružatelji javnih elektroničkih komunikacijskih mreža ili javno dostupnih elektroničkih komunikacijskih usluga;

| ii. | pružatelji usluga povjerenja; |
| --- | --- |

ii.

pružatelji usluga povjerenja;

| iii. | registri naziva vršnih domena i pružatelji usluga sustava naziva domena; |
| --- | --- |

iii.

registri naziva vršnih domena i pružatelji usluga sustava naziva domena;

| (b) | ako je subjekt u nekoj državi članici jedini pružatelj usluge koja je ključna za održavanje ključnih društvenih ili gospodarskih djelatnosti; |
| --- | --- |

(b)

ako je subjekt u nekoj državi članici jedini pružatelj usluge koja je ključna za održavanje ključnih društvenih ili gospodarskih djelatnosti;

| (c) | ako bi poremećaj u funkcioniranju usluge koju pruža subjekt mogao imati znatan učinak na javnu sigurnost, javnu zaštitu ili javno zdravlje; |
| --- | --- |

(c)

ako bi poremećaj u funkcioniranju usluge koju pruža subjekt mogao imati znatan učinak na javnu sigurnost, javnu zaštitu ili javno zdravlje;

| (d) | ako bi poremećaj u funkcioniranju usluge koju pruža subjekt mogao uzrokovati znatne sistemske rizike, posebno u sektorima u kojima bi takav poremećaj mogao imati prekogranični učinak; |
| --- | --- |

(d)

ako bi poremećaj u funkcioniranju usluge koju pruža subjekt mogao uzrokovati znatne sistemske rizike, posebno u sektorima u kojima bi takav poremećaj mogao imati prekogranični učinak;

| (e) | ako je subjekt ključan zbog svoje posebne važnosti na nacionalnoj ili regionalnoj razini za određeni sektor ili vrstu usluge ili za druge međuovisne sektore u državi članici; |
| --- | --- |

(e)

ako je subjekt ključan zbog svoje posebne važnosti na nacionalnoj ili regionalnoj razini za određeni sektor ili vrstu usluge ili za druge međuovisne sektore u državi članici;

| (f) | ako se radi o subjektu javne uprave:






  i. | na razini državne uprave kako ga definira država članica u skladu s nacionalnim pravom; ili |
| --- | --- | --- |

(f)

ako se radi o subjektu javne uprave:

i.

na razini državne uprave kako ga definira država članica u skladu s nacionalnim pravom; ili

| ii. | na regionalnoj razini kako ga definira država članica u skladu s nacionalnim pravom koji nakon procjene utemeljene na riziku pruža usluge čiji bi poremećaj mogao imati znatan učinak na ključne društvene ili gospodarske djelatnosti. |
| --- | --- |

ii.

na regionalnoj razini kako ga definira država članica u skladu s nacionalnim pravom koji nakon procjene utemeljene na riziku pruža usluge čiji bi poremećaj mogao imati znatan učinak na ključne društvene ili gospodarske djelatnosti.

3.   Neovisno o njihovoj veličini, ova se Direktiva primjenjuje na subjekte utvrđene kao kritične subjekte na temelju Direktive (EU) 2022/2557.

4.   Neovisno o njihovoj veličini, ova se Direktiva primjenjuje na subjekte utvrđene kao kritične subjekte koji pružaju usluge registracije naziva domena.

5.   Države članice mogu predvidjeti da se ova Direktiva primjenjuje na:

| (a) | subjekte javne uprave na lokalnoj razini; |
| --- | --- |

(a)

subjekte javne uprave na lokalnoj razini;

| (b) | obrazovne ustanove, posebno ako provode ključne istraživačke aktivnosti. |
| --- | --- |

(b)

obrazovne ustanove, posebno ako provode ključne istraživačke aktivnosti.

6.   Ovom Direktivom ne dovodi se u pitanje odgovornost država članica za zaštitu nacionalne sigurnosti ili njihove ovlasti za zaštitu drugih ključnih državnih funkcija, uključujući osiguravanje teritorijalne cjelovitosti države i održavanje javnog poretka.

7.   Ova se Direktiva ne primjenjuje na subjekte javne uprave koji obavljaju svoje aktivnosti u području nacionalne sigurnosti, javne sigurnosti, obrane ili izvršavanja zakonodavstva, uključujući sprečavanje, istragu, otkrivanje i progon kaznenih djela.

8.   Države članice mogu izuzeti određene subjekte koji obavljaju aktivnosti u području nacionalne sigurnosti, javne sigurnosti, obrane ili izvršavanja zakonodavstva, uključujući sprečavanje, istragu, otkrivanje i progon kaznenih djela, ili koji pružaju usluge isključivo subjektima javne uprave iz stavka 7. ovog članka od obveza iz članka 21 ili članka 23. u pogledu tih aktivnosti ili usluga. U takvim se slučajevima nadzorne mjere i mjere izvršavanja iz poglavlja VII. ne primjenjuju na te posebne aktivnosti ili usluge. Ako subjekti obavljaju aktivnosti ili pružaju usluge isključivo one vrste koja je navedena u ovom stavku, države članice mogu i odlučiti izuzeti te subjekte od obveza utvrđenih u člancima 3. i 27.

9.   Stavci 7. i 8. ne primjenjuju se ako subjekt djeluje kao pružatelj usluga povjerenja.

10.   Ova se Direktiva ne primjenjuje na subjekte koje su države članice izuzele iz područja primjene Uredbe (EU) 2022/2554 u skladu s člankom 2. stavkom 4. te Uredbe.

11.   Obveze utvrđene u ovoj Direktivi ne podrazumijevaju dostavu informacija čije bi otkrivanje bilo u suprotnosti s osnovnim interesima u pogledu nacionalne sigurnosti, javne sigurnosti ili obrane država članica.

12.   Ova se Direktiva primjenjuje ne dovodeći u pitanje Uredbu (EU) 2016/679, Direktivu 2002/58/EZ, direktive 2011/93/EU (27) i 2013/40/EU (28) Europskog parlamenta i Vijeća te Direktivu 2022/2557.

13.   Ne dovodeći u pitanje članak 346. UFEU-a, informacije koje se smatraju povjerljivima u skladu s pravilima Unije ili nacionalnim pravilima, kao što su pravila o poslovnoj tajni, razmjenjuju se s Komisijom i drugim relevantnim tijelima u skladu s ovom Direktivom samo u slučaju kad je takva razmjena nužna za primjenu ove Direktive. Razmijenjene informacije ograničuju se na ono što je relevantno i razmjerno svrsi te razmjene. Pri razmjeni informacija čuva se njihova povjerljivost te se štite sigurnost i komercijalni interesi predmetnih subjekata.

14.   Subjekti, nadležna tijela, jedinstvene kontaktne točke i CSIRT-ovi obrađuju osobne podatke u mjeri u kojoj je to potrebno za svrhe ove Direktive i u skladu s Uredbom (EU) 2016/679, a takva obrada posebno se oslanja na njezin članak 6.

Obradu osobnih podataka na temelju ove Direktive provode pružatelji javnih elektroničkih komunikacijskih mreža ili pružatelji javno dostupnih elektroničkih komunikacijskih usluga u skladu s pravom Unije o zaštiti podataka i pravom Unije o zaštiti privatnosti, a posebno s Direktivom 2002/58/EZ.

Članak 3.

Ključni i važni subjekti

1.   Za potrebe ove Direktive sljedeći subjekti smatraju se ključnim subjektima:

| (a) | subjekti koji pripadaju vrstama iz Priloga I. koji premašuju gornje granice za srednja poduzeća iz članka 2. stavka 1. Priloga Preporuci 2003/361/EZ; |
| --- | --- |

(a)

subjekti koji pripadaju vrstama iz Priloga I. koji premašuju gornje granice za srednja poduzeća iz članka 2. stavka 1. Priloga Preporuci 2003/361/EZ;

| (b) | kvalificirani pružatelji usluga povjerenja i registri naziva vršnih domena te pružatelji usluga DNS-a, neovisno o njihovoj veličini; |
| --- | --- |

(b)

kvalificirani pružatelji usluga povjerenja i registri naziva vršnih domena te pružatelji usluga DNS-a, neovisno o njihovoj veličini;

| (c) | pružatelji javnih elektroničkih komunikacijskih mreža ili javno dostupnih elektroničkih komunikacijskih usluga koji se smatraju srednjim poduzećima na temelju članka 2. Priloga Preporuci 2003/361/EZ; |
| --- | --- |

(c)

pružatelji javnih elektroničkih komunikacijskih mreža ili javno dostupnih elektroničkih komunikacijskih usluga koji se smatraju srednjim poduzećima na temelju članka 2. Priloga Preporuci 2003/361/EZ;

| (d) | subjekti javne uprave iz članka 2. stavka 2. točke (f) podtočke (i); |
| --- | --- |

(d)

subjekti javne uprave iz članka 2. stavka 2. točke (f) podtočke (i);

| (e) | svi drugi subjekti koji pripadaju vrstama iz priloga I. ili II. koje je država članica utvrdila kao ključne subjekte na temelju članka 2. stavka 2. točaka od (b) do (e); |
| --- | --- |

(e)

svi drugi subjekti koji pripadaju vrstama iz priloga I. ili II. koje je država članica utvrdila kao ključne subjekte na temelju članka 2. stavka 2. točaka od (b) do (e);

| (f) | subjekti koji su utvrđeni kao kritični subjekti na temelju Direktive (EU) 2022/2557, iz članka 2. stavka 3. ove Direktive; |
| --- | --- |

(f)

subjekti koji su utvrđeni kao kritični subjekti na temelju Direktive (EU) 2022/2557, iz članka 2. stavka 3. ove Direktive;

| (g) | ako država članica tako odredi, subjekti koje je ta država članica utvrdila prije 16. siječnja 2023. kao operatore ključnih usluga u skladu s Direktivom (EU) 2016/1148 ili nacionalnim pravom. |
| --- | --- |

(g)

ako država članica tako odredi, subjekti koje je ta država članica utvrdila prije 16. siječnja 2023. kao operatore ključnih usluga u skladu s Direktivom (EU) 2016/1148 ili nacionalnim pravom.

2.   Za potrebe ove Direktive, svi subjekti koji pripadaju vrstama iz priloga I. ili II. koji se ne smatraju ključnim subjektima na temelju stavka 1. ovog članka smatraju se važnim subjektima. To uključuje subjekte koje je država članica utvrdila kao važne subjekte na temelju članka 2. stavka 2. točaka od (b) do (e).

3.   Do 17. travnja 2025. države članice utvrđuju popis ključnih i važnih subjekata te subjekata koji pružaju usluge registracije naziva domena. Države članice redovito, a najmanje svake dvije godine, preispituju taj popis te ga prema potrebi ažuriraju.

4.   Za potrebe utvrđivanja popisa iz stavka 3. države članice zahtijevaju od subjekata iz tog stavka da nadležnim tijelima dostave barem sljedeće informacije:

| (a) | naziv subjekta; |
| --- | --- |

(a)

naziv subjekta;

| (b) | adresu i ažurirane podatke za kontakt, uključujući adrese e-pošte, IP raspone i telefonske brojeve; |
| --- | --- |

(b)

adresu i ažurirane podatke za kontakt, uključujući adrese e-pošte, IP raspone i telefonske brojeve;

| (c) | ako je to primjenjivo, relevantni sektor i podsektor iz priloga I. ili II.; i |
| --- | --- |

(c)

ako je to primjenjivo, relevantni sektor i podsektor iz priloga I. ili II.; i

| (d) | ako je to primjenjivo, popis država članica u kojima pružaju usluge obuhvaćene područjem primjene ove Direktive. |
| --- | --- |

(d)

ako je to primjenjivo, popis država članica u kojima pružaju usluge obuhvaćene područjem primjene ove Direktive.

Subjekti iz stavka 3. bez odgode, a u svakom slučaju u roku od dva tjedna od datuma promjene, obavješćuju o svim promjenama podataka koje su dostavili u skladu s prvim podstavkom ovog stavka.

Komisija uz pomoć Agencije Europske unije za kibersigurnost (ENISA) bez nepotrebne odgode pruža smjernice i predloške u vezi s obvezama utvrđenim u ovom stavku.

Države članice mogu uspostaviti nacionalne mehanizme za registraciju subjekata.

5.   Do 17. travnja 2025. i svake dvije godine nakon toga nadležna tijela obavješćuju:

| (a) | Komisiju i skupinu za suradnju o broju svih ključnih i važnih subjekata navedenih u skladu sa stavkom 3. za svaki sektor i podsektor iz priloga I. ili II.; i |
| --- | --- |

(a)

Komisiju i skupinu za suradnju o broju svih ključnih i važnih subjekata navedenih u skladu sa stavkom 3. za svaki sektor i podsektor iz priloga I. ili II.; i

| (b) | Komisiju o relevantnim informacijama o broju ključnih i važnih subjekata utvrđenih na temelju članka 2. stavka 2. točaka od (b) do (e), sektoru i podsektoru iz priloga I. ili II. kojima pripadaju, vrsti usluge koju pružaju i odredbama iz članka 2. stavka 2. točaka od (b) do (e), na temelju kojih su utvrđeni. |
| --- | --- |

(b)

Komisiju o relevantnim informacijama o broju ključnih i važnih subjekata utvrđenih na temelju članka 2. stavka 2. točaka od (b) do (e), sektoru i podsektoru iz priloga I. ili II. kojima pripadaju, vrsti usluge koju pružaju i odredbama iz članka 2. stavka 2. točaka od (b) do (e), na temelju kojih su utvrđeni.

6.   Do 17. travnja 2025. i na zahtjev Komisije države članice mogu obavijestiti Komisiju o nazivima ključnih i važnih subjekata iz stavka 5. točke (b).

Članak 4.

Sektorski pravni akti Unije

1.   Ako se sektorskim pravnim aktima Unije od ključnih ili važnih subjekata zahtijeva donošenje mjera upravljanja kibersigurnosnim rizicima ili obavješćivanje o značajnim incidentima i ako su ti zahtjevi po učinku barem jednakovrijedni obvezama utvrđenima u ovoj Direktivi, relevantne odredbe ove Direktive, uključujući odredbe o nadzoru i izvršavanju iz poglavlja VII., ne primjenjuju se na te subjekte. Ako sektorski pravni akti Unije ne obuhvaćaju sve subjekte u određenom sektoru koji su obuhvaćeni područjem primjene ove Direktive, relevantne odredbe ove Direktive i dalje se primjenjuju na subjekte koji nisu obuhvaćeni tim sektorskim pravnim aktima Unije.

2.   Zahtjevi iz stavka 1. ovog članka smatraju se po učinku jednakovrijednim obvezama utvrđenima u ovoj Direktivi ako:

| (a) | mjere upravljanja kibersigurnosnim rizicima po učinku su barem jednakovrijedne mjerama utvrđenima u članku 21. stavcima 1. i 2.; ili |
| --- | --- |

(a)

mjere upravljanja kibersigurnosnim rizicima po učinku su barem jednakovrijedne mjerama utvrđenima u članku 21. stavcima 1. i 2.; ili

| (b) | sektorskim pravnim aktom Unije predviđa se neposredan, prema potrebi automatski i izravan, pristup obavijestima o incidentima od strane CSIRT-ova, nadležnih tijela ili jedinstvenih kontaktnih točaka na temelju ove Direktive te kada su zahtjevi za obavješćivanje o značajnim incidentima po učinku barem jednakovrijedni onima utvrđenima u članku 23. stavcima od 1. do 6. ove Direktive. |
| --- | --- |

(b)

sektorskim pravnim aktom Unije predviđa se neposredan, prema potrebi automatski i izravan, pristup obavijestima o incidentima od strane CSIRT-ova, nadležnih tijela ili jedinstvenih kontaktnih točaka na temelju ove Direktive te kada su zahtjevi za obavješćivanje o značajnim incidentima po učinku barem jednakovrijedni onima utvrđenima u članku 23. stavcima od 1. do 6. ove Direktive.

3.   Komisija do 17. srpnja 2023. pruža smjernice kojima se pojašnjava primjena stavaka 1. i 2. Komisija redovito preispituje te smjernice. Kod pripreme tih smjernica Komisija uzima u obzir primjedbe skupine za suradnju i ENISA-e.

Članak 5.

Minimalno usklađivanje

Ovom Direktivom ne sprečava se države članice da donesu ili zadrže odredbe kojima se osigurava viša razina kibersigurnosti, pod uvjetom da su te odredbe u skladu s obvezama država članica utvrđenih pravom Unije.

Članak 6.

Definicije

Za potrebe ove Direktive primjenjuju se sljedeće definicije:

| 1. | „mrežni i informacijski sustav” znači:






  (a) | elektronička komunikacijska mreža kako je definirana u članku 2. točki 1. Direktive (EU) 2018/1972; |
| --- | --- | --- |

1.

„mrežni i informacijski sustav” znači:

(a)

elektronička komunikacijska mreža kako je definirana u članku 2. točki 1. Direktive (EU) 2018/1972;

| (b) | svaki uređaj ili skupina povezanih ili srodnih uređaja, od kojih jedan ili više njih programski izvršava automatsku obradu digitalnih podataka; ili |
| --- | --- |

(b)

svaki uređaj ili skupina povezanih ili srodnih uređaja, od kojih jedan ili više njih programski izvršava automatsku obradu digitalnih podataka; ili

| (c) | digitalni podaci koji se pohranjuju, obrađuju, dobivaju ili prenose elementima opisanima u točkama (a) i (b) u svrhu njihova rada, uporabe, zaštite i održavanja; |
| --- | --- |

(c)

digitalni podaci koji se pohranjuju, obrađuju, dobivaju ili prenose elementima opisanima u točkama (a) i (b) u svrhu njihova rada, uporabe, zaštite i održavanja;

| 2. | „sigurnost mrežnih i informacijskih sustava” znači sposobnost mrežnih i informacijskih sustava da na određenoj razini pouzdanosti odolijevaju svim događajima koji mogu ugroziti dostupnost, autentičnost, cjelovitost ili povjerljivost pohranjenih, prenesenih ili obrađenih podataka ili usluga koje ti mrežni i informacijski sustavi nude ili kojima omogućuju pristup; |
| --- | --- |

2.

„sigurnost mrežnih i informacijskih sustava” znači sposobnost mrežnih i informacijskih sustava da na određenoj razini pouzdanosti odolijevaju svim događajima koji mogu ugroziti dostupnost, autentičnost, cjelovitost ili povjerljivost pohranjenih, prenesenih ili obrađenih podataka ili usluga koje ti mrežni i informacijski sustavi nude ili kojima omogućuju pristup;

| 3. | „kibersigurnost” znači kibersigurnost kako je definirana u članku 2. točki 1. Uredbe (EU) 2019/881; |
| --- | --- |

3.

„kibersigurnost” znači kibersigurnost kako je definirana u članku 2. točki 1. Uredbe (EU) 2019/881;

| 4. | „nacionalna strategija za kibersigurnost” znači koherentan okvir države članice kojim se predviđaju strateški ciljevi i prioriteti u području kibersigurnosti i upravljanje za njihovo postizanje u toj državi članici; |
| --- | --- |

4.

„nacionalna strategija za kibersigurnost” znači koherentan okvir države članice kojim se predviđaju strateški ciljevi i prioriteti u području kibersigurnosti i upravljanje za njihovo postizanje u toj državi članici;

| 5. | „izbjegnuti incident” znači svaki događaj koji je mogao ugroziti dostupnost, autentičnost, cjelovitost ili povjerljivost pohranjenih, prenesenih ili obrađenih podataka ili usluga koje mrežni i informacijski sustavi nude ili kojima omogućuju pristup, ali je uspješno spriječen ili se nije ostvario; |
| --- | --- |

5.

„izbjegnuti incident” znači svaki događaj koji je mogao ugroziti dostupnost, autentičnost, cjelovitost ili povjerljivost pohranjenih, prenesenih ili obrađenih podataka ili usluga koje mrežni i informacijski sustavi nude ili kojima omogućuju pristup, ali je uspješno spriječen ili se nije ostvario;

| 6. | „incident” znači događaj koji ugrožava dostupnost, autentičnost, cjelovitost ili povjerljivost pohranjenih, prenesenih ili obrađenih podataka ili usluga koje mrežni i informacijski sustavi nude ili kojima omogućuju pristup; |
| --- | --- |

6.

„incident” znači događaj koji ugrožava dostupnost, autentičnost, cjelovitost ili povjerljivost pohranjenih, prenesenih ili obrađenih podataka ili usluga koje mrežni i informacijski sustavi nude ili kojima omogućuju pristup;

| 7. | „kibersigurnosni incident velikih razmjera” znači incident koji uzrokuje razinu poremećaja koja premašuje sposobnost države članice da na njega odgovori ili koji ima znatan učinak na najmanje dvije države članice; |
| --- | --- |

7.

„kibersigurnosni incident velikih razmjera” znači incident koji uzrokuje razinu poremećaja koja premašuje sposobnost države članice da na njega odgovori ili koji ima znatan učinak na najmanje dvije države članice;

| 8. | „postupanje s incidentom” znači sve radnje i postupci čiji je cilj sprečavanje, otkrivanje, analiza, zaustavljanje incidenta ili odgovor na njega te oporavak od incidenta; |
| --- | --- |

8.

„postupanje s incidentom” znači sve radnje i postupci čiji je cilj sprečavanje, otkrivanje, analiza, zaustavljanje incidenta ili odgovor na njega te oporavak od incidenta;

| 9. | „rizik” znači mogućnost gubitka ili poremećaja uzrokovana incidentom i treba ga izražavati kao kombinaciju opsega takvog gubitka ili poremećaja i vjerojatnosti pojave tog incidenta; |
| --- | --- |

9.

„rizik” znači mogućnost gubitka ili poremećaja uzrokovana incidentom i treba ga izražavati kao kombinaciju opsega takvog gubitka ili poremećaja i vjerojatnosti pojave tog incidenta;

| 10. | „kiberprijetnja” znači kiberprijetnja kako je definirana u članku 2. točki 8. Uredbe (EU) 2019/881; |
| --- | --- |

10.

„kiberprijetnja” znači kiberprijetnja kako je definirana u članku 2. točki 8. Uredbe (EU) 2019/881;

| 11. | „ozbiljna kiberprijetnja” znači kiberprijetnja za koju se na temelju njezinih tehničkih obilježja može pretpostaviti da može imati ozbiljan učinak na mrežne i informacijske sustave nekog subjekta ili korisnike usluga subjekta uzrokovanjem znatne materijalne ili nematerijalne štete; |
| --- | --- |

11.

„ozbiljna kiberprijetnja” znači kiberprijetnja za koju se na temelju njezinih tehničkih obilježja može pretpostaviti da može imati ozbiljan učinak na mrežne i informacijske sustave nekog subjekta ili korisnike usluga subjekta uzrokovanjem znatne materijalne ili nematerijalne štete;

| 12. | „IKT proizvod” znači IKT proizvod kako je definiran u članku 2. točki 12. Uredbe (EU) 2019/881; |
| --- | --- |

12.

„IKT proizvod” znači IKT proizvod kako je definiran u članku 2. točki 12. Uredbe (EU) 2019/881;

| 13. | „IKT usluga” znači IKT usluga kako je definirana u članku 2. točki 13. Uredbe (EU) 2019/881; |
| --- | --- |

13.

„IKT usluga” znači IKT usluga kako je definirana u članku 2. točki 13. Uredbe (EU) 2019/881;

| 14. | „IKT proces” znači IKT proces kako je definiran u članku 2. točki 14. Uredbe (EU) 2019/881; |
| --- | --- |

14.

„IKT proces” znači IKT proces kako je definiran u članku 2. točki 14. Uredbe (EU) 2019/881;

| 15. | „ranjivost” znači slabost, osjetljivost ili nedostatak IKT proizvoda ili IKT usluga koje kiberprijetnja može iskoristiti; |
| --- | --- |

15.

„ranjivost” znači slabost, osjetljivost ili nedostatak IKT proizvoda ili IKT usluga koje kiberprijetnja može iskoristiti;

| 16. | „norma” znači norma kako je definirana u članku 2. točki 1. Uredbe (EU) br. 1025/2012 Europskog parlamenta i Vijeća (29); |
| --- | --- |

16.

„norma” znači norma kako je definirana u članku 2. točki 1. Uredbe (EU) br. 1025/2012 Europskog parlamenta i Vijeća (29);

29

| 17. | „tehnička specifikacija” znači tehnička specifikacija kako je definirana u članku 2. točki 4. Uredbe (EU) br. 1025/2012; |
| --- | --- |

17.

„tehnička specifikacija” znači tehnička specifikacija kako je definirana u članku 2. točki 4. Uredbe (EU) br. 1025/2012;

| 18. | „središte za razmjenu internetskog prometa” znači mrežni instrument koji omogućuje međupovezivanje više od dviju neovisnih mreža (autonomnih sustava), prvenstveno u svrhu olakšavanja razmjene internetskog prometa, koji omogućuje međupovezivanje samo za autonomne sustave i za koji nije potrebno da internetski promet između bilo kojih dvaju autonomnih sustava sudionika prođe kroz bilo koji treći autonomni sustav te koji takav promet ne mijenja i ne utječe na njega ni na koji drugi način; |
| --- | --- |

18.

„središte za razmjenu internetskog prometa” znači mrežni instrument koji omogućuje međupovezivanje više od dviju neovisnih mreža (autonomnih sustava), prvenstveno u svrhu olakšavanja razmjene internetskog prometa, koji omogućuje međupovezivanje samo za autonomne sustave i za koji nije potrebno da internetski promet između bilo kojih dvaju autonomnih sustava sudionika prođe kroz bilo koji treći autonomni sustav te koji takav promet ne mijenja i ne utječe na njega ni na koji drugi način;

| 19. | „sustav naziva domena” ili „(DNS)” znači hijerarhijsko raspoređeni sustav imenovanja koji omogućuje utvrđivanje internetskih usluga i resursa, čime se krajnjim korisnicima uređaja omogućuje da korištenje internetskim uslugama usmjeravanja i povezivosti za pristupanje tim uslugama i resursima; |
| --- | --- |

19.

„sustav naziva domena” ili „(DNS)” znači hijerarhijsko raspoređeni sustav imenovanja koji omogućuje utvrđivanje internetskih usluga i resursa, čime se krajnjim korisnicima uređaja omogućuje da korištenje internetskim uslugama usmjeravanja i povezivosti za pristupanje tim uslugama i resursima;

| 20. | „pružatelj usluga DNS-a” znači subjekt koji pruža:






  (a) | javno dostupne rekurzivne usluge razlučivanja naziva domena krajnjim korisnicima interneta; ili |
| --- | --- | --- |

20.

„pružatelj usluga DNS-a” znači subjekt koji pruža:

(a)

javno dostupne rekurzivne usluge razlučivanja naziva domena krajnjim korisnicima interneta; ili

| (b) | mjerodavne usluge razlučivanja naziva domena za upotrebu trećih strana, uz iznimku korijenskih poslužitelja naziva; |
| --- | --- |

(b)

mjerodavne usluge razlučivanja naziva domena za upotrebu trećih strana, uz iznimku korijenskih poslužitelja naziva;

| 21. | „registar naziva vršnih domena” znači subjekt kojem je delegirana određena vršna domena i koji je odgovoran za upravljanje njome, uključujući registraciju naziva domena u okviru vršne domene i tehničko upravljanje vršnom domenom, uključujući upravljanje njezinim poslužiteljima naziva, održavanje njezinih baza podataka i distribuciju datoteka iz zone vršne domene u poslužitelje naziva, neovisno o tome obavlja li sam subjekt bilo koju od tih operacija ili njihovo obavljanje eksternalizira, ali su isključene situacije u kojima registar koristi nazive vršnih domena samo za vlastitu upotrebu; |
| --- | --- |

21.

„registar naziva vršnih domena” znači subjekt kojem je delegirana određena vršna domena i koji je odgovoran za upravljanje njome, uključujući registraciju naziva domena u okviru vršne domene i tehničko upravljanje vršnom domenom, uključujući upravljanje njezinim poslužiteljima naziva, održavanje njezinih baza podataka i distribuciju datoteka iz zone vršne domene u poslužitelje naziva, neovisno o tome obavlja li sam subjekt bilo koju od tih operacija ili njihovo obavljanje eksternalizira, ali su isključene situacije u kojima registar koristi nazive vršnih domena samo za vlastitu upotrebu;

| 22. | „subjekt koji pruža usluge registracije naziva domena” znači registrar ili zastupnik koji djeluje u ime registrara, kao što je pružatelj ili preprodavatelj usluga zaštite privatnosti i proxy registracije; |
| --- | --- |

22.

„subjekt koji pruža usluge registracije naziva domena” znači registrar ili zastupnik koji djeluje u ime registrara, kao što je pružatelj ili preprodavatelj usluga zaštite privatnosti i proxy registracije;

| 23. | „digitalna usluga” znači usluga kako je definirana u članku 1. stavku 1. točki (b) Direktive (EU) 2015/1535 Europskog parlamenta i Vijeća (30); |
| --- | --- |

23.

„digitalna usluga” znači usluga kako je definirana u članku 1. stavku 1. točki (b) Direktive (EU) 2015/1535 Europskog parlamenta i Vijeća (30);

30

| 24. | „usluga povjerenja” znači usluga povjerenja kako je definirana u članku 3. točki 16. Uredbe (EU) br. 910/2014; |
| --- | --- |

24.

„usluga povjerenja” znači usluga povjerenja kako je definirana u članku 3. točki 16. Uredbe (EU) br. 910/2014;

| 25. | „pružatelj usluga povjerenja” znači pružatelj usluga povjerenja kako je definiran u članku 3. točki 19. Uredbe (EU) br. 910/2014; |
| --- | --- |

25.

„pružatelj usluga povjerenja” znači pružatelj usluga povjerenja kako je definiran u članku 3. točki 19. Uredbe (EU) br. 910/2014;

| 26. | „kvalificirana usluga povjerenja” znači kvalificirana usluga povjerenja kako je definirana u članku 3. točki 17. Uredbe (EU) br. 910/2014; |
| --- | --- |

26.

„kvalificirana usluga povjerenja” znači kvalificirana usluga povjerenja kako je definirana u članku 3. točki 17. Uredbe (EU) br. 910/2014;

| 27. | „kvalificirani pružatelj usluga povjerenja” znači kvalificirani pružatelj usluga povjerenja kako je definiran u članku 3. točki 20. Uredbe (EU) br. 910/2014; |
| --- | --- |

27.

„kvalificirani pružatelj usluga povjerenja” znači kvalificirani pružatelj usluga povjerenja kako je definiran u članku 3. točki 20. Uredbe (EU) br. 910/2014;

| 28. | „internetsko tržište” znači internetsko tržište kako je definirano u članku 2. točki (n) Direktive 2005/29/EZ Europskog parlamenta i Vijeća (31); |
| --- | --- |

28.

„internetsko tržište” znači internetsko tržište kako je definirano u članku 2. točki (n) Direktive 2005/29/EZ Europskog parlamenta i Vijeća (31);

31

| 29. | „internetska tražilica” znači internetska tražilica kako je definirana u članku 2. točki 5. Uredbe (EU) 2019/1150 Europskog parlamenta i Vijeća (32); |
| --- | --- |

29.

„internetska tražilica” znači internetska tražilica kako je definirana u članku 2. točki 5. Uredbe (EU) 2019/1150 Europskog parlamenta i Vijeća (32);

32

| 30. | „usluga računalstva u oblaku” znači digitalna usluga koja omogućuje administraciju na zahtjev i široki daljinski pristup nadogradivom i elastičnom skupu djeljivih računalnih resursa, među ostalim kad su takvi resursi raspoređeni na nekoliko lokacija; |
| --- | --- |

30.

„usluga računalstva u oblaku” znači digitalna usluga koja omogućuje administraciju na zahtjev i široki daljinski pristup nadogradivom i elastičnom skupu djeljivih računalnih resursa, među ostalim kad su takvi resursi raspoređeni na nekoliko lokacija;

| 31. | „usluga podatkovnog centra” znači usluga koja uključuje strukture ili skupine struktura namijenjenih centraliziranom smještaju, međupovezivanju i radu opreme informacijske tehnologije i mreža za usluge pohrane, obrade i prijenosa podataka, uključujući sve objekte i infrastrukturu za distribuciju električne energije i kontrolu okoliša; |
| --- | --- |

31.

„usluga podatkovnog centra” znači usluga koja uključuje strukture ili skupine struktura namijenjenih centraliziranom smještaju, međupovezivanju i radu opreme informacijske tehnologije i mreža za usluge pohrane, obrade i prijenosa podataka, uključujući sve objekte i infrastrukturu za distribuciju električne energije i kontrolu okoliša;

| 32. | „mreža za isporuku sadržaja” znači mreža zemljopisno raspoređenih poslužitelja u svrhu osiguravanja visoke dostupnosti, pristupačnosti ili brze isporuke digitalnog sadržaja i usluga korisnicima interneta u ime pružateljâ sadržaja i usluga; |
| --- | --- |

32.

„mreža za isporuku sadržaja” znači mreža zemljopisno raspoređenih poslužitelja u svrhu osiguravanja visoke dostupnosti, pristupačnosti ili brze isporuke digitalnog sadržaja i usluga korisnicima interneta u ime pružateljâ sadržaja i usluga;

| 33. | „platforma za usluge društvenih mreža” znači platforma koja krajnjim korisnicima omogućuje da se međusobno povežu, dijele i otkrivaju sadržaj te da komuniciraju na više uređaja, posebno preko razgovora, objava, videozapisa i preporuka; |
| --- | --- |

33.

„platforma za usluge društvenih mreža” znači platforma koja krajnjim korisnicima omogućuje da se međusobno povežu, dijele i otkrivaju sadržaj te da komuniciraju na više uređaja, posebno preko razgovora, objava, videozapisa i preporuka;

| 34. | „predstavnik” znači fizička ili pravna osoba koja ima poslovni nastan u Uniji koju su pružatelj usluga DNS-a, registar naziva vršnih domena, subjekt koji pruža usluge registracije naziva domena, pružatelj usluga računalstva u oblaku, pružatelj usluga podatkovnog centra, pružatelj mreža za isporuku sadržaja, pružatelj upravljanih usluga, pružatelj upravljanih sigurnosnih usluga, ili pružatelj internetskog tržišta, pružatelj internetske tražilice ili pružatelj platforme za usluge društvenih mreža koji nema poslovni nastan u Uniji izričito imenovali da djeluje u njihovo ime i kojoj se nadležno tijelo ili CSIRT mogu obratiti umjesto samom subjektu u pogledu obveza tog subjekta na temelju ove Direktive; |
| --- | --- |

34.

„predstavnik” znači fizička ili pravna osoba koja ima poslovni nastan u Uniji koju su pružatelj usluga DNS-a, registar naziva vršnih domena, subjekt koji pruža usluge registracije naziva domena, pružatelj usluga računalstva u oblaku, pružatelj usluga podatkovnog centra, pružatelj mreža za isporuku sadržaja, pružatelj upravljanih usluga, pružatelj upravljanih sigurnosnih usluga, ili pružatelj internetskog tržišta, pružatelj internetske tražilice ili pružatelj platforme za usluge društvenih mreža koji nema poslovni nastan u Uniji izričito imenovali da djeluje u njihovo ime i kojoj se nadležno tijelo ili CSIRT mogu obratiti umjesto samom subjektu u pogledu obveza tog subjekta na temelju ove Direktive;

| 35. | „subjekt javne uprave” znači subjekt koji je kao takav priznat u državi članici u skladu s nacionalnim pravom, ne uključujući sudstvo, parlamente ili središnje banke i koji ispunjava sljedeće kriterije:






  (a) | uspostavljen je u svrhu zadovoljavanja potreba od općeg interesa i nije industrijske ili komercijalne naravi; |
| --- | --- | --- |

35.

„subjekt javne uprave” znači subjekt koji je kao takav priznat u državi članici u skladu s nacionalnim pravom, ne uključujući sudstvo, parlamente ili središnje banke i koji ispunjava sljedeće kriterije:

(a)

uspostavljen je u svrhu zadovoljavanja potreba od općeg interesa i nije industrijske ili komercijalne naravi;

| (b) | ima pravnu osobnost ili ima zakonsko pravo djelovati u ime drugog subjekta s pravnom osobnošću; |
| --- | --- |

(b)

ima pravnu osobnost ili ima zakonsko pravo djelovati u ime drugog subjekta s pravnom osobnošću;

| (c) | većim dijelom financiraju ga državna, regionalna ili druga javnopravna tijela, ili podliježe upravljačkom nadzoru tih tijela, ili ima upravni, upravljački ili nadzorni odbor u kojem su više od polovine članova imenovala državna, regionalna ili druga javnopravna tijela; |
| --- | --- |

(c)

većim dijelom financiraju ga državna, regionalna ili druga javnopravna tijela, ili podliježe upravljačkom nadzoru tih tijela, ili ima upravni, upravljački ili nadzorni odbor u kojem su više od polovine članova imenovala državna, regionalna ili druga javnopravna tijela;

| (d) | ovlašten je fizičkim ili pravnim osobama upućivati upravne ili regulatorne odluke koje utječu na njihova prava u prekograničnom kretanju osoba, robe, usluga ili kapitala. |
| --- | --- |

(d)

ovlašten je fizičkim ili pravnim osobama upućivati upravne ili regulatorne odluke koje utječu na njihova prava u prekograničnom kretanju osoba, robe, usluga ili kapitala.

| 36. | „javna elektronička komunikacijska mreža” znači javna elektronička komunikacijska mreža kako je definirana u članku 2. točki (8) Direktive (EU) 2018/1972; |
| --- | --- |

36.

„javna elektronička komunikacijska mreža” znači javna elektronička komunikacijska mreža kako je definirana u članku 2. točki (8) Direktive (EU) 2018/1972;

| 37. | „elektronička komunikacijska usluga” znači elektronička komunikacijska usluga kako je definirana u članku 2. točki (4) Direktive (EU) 2018/1972; |
| --- | --- |

37.

„elektronička komunikacijska usluga” znači elektronička komunikacijska usluga kako je definirana u članku 2. točki (4) Direktive (EU) 2018/1972;

| 38. | „subjekt” znači fizička ili pravna osoba osnovana i priznata kao takva na temelju nacionalnog prava mjesta svojeg poslovnog nastana, koja može, djelujući u vlastito ime, ostvarivati prava i preuzimati obveze; |
| --- | --- |

38.

„subjekt” znači fizička ili pravna osoba osnovana i priznata kao takva na temelju nacionalnog prava mjesta svojeg poslovnog nastana, koja može, djelujući u vlastito ime, ostvarivati prava i preuzimati obveze;

| 39. | „pružatelj upravljanih usluga” znači subjekt koji pruža usluge povezane s instalacijom, upravljanjem, radom ili održavanjem IKT proizvoda, mreža, infrastrukture, aplikacija ili bilo kojih drugih mrežnih i informacijskih sustava, u obliku pomoći ili aktivnog upravljanja koje se provodi u prostorima klijenata ili na daljinu; |
| --- | --- |

39.

„pružatelj upravljanih usluga” znači subjekt koji pruža usluge povezane s instalacijom, upravljanjem, radom ili održavanjem IKT proizvoda, mreža, infrastrukture, aplikacija ili bilo kojih drugih mrežnih i informacijskih sustava, u obliku pomoći ili aktivnog upravljanja koje se provodi u prostorima klijenata ili na daljinu;

| 40. | „pružatelj upravljanih sigurnosnih usluga” znači pružatelj upravljanih usluga koji provodi ili pruža pomoć za aktivnosti povezane s upravljanjem kibersigurnosnim rizicima; |
| --- | --- |

40.

„pružatelj upravljanih sigurnosnih usluga” znači pružatelj upravljanih usluga koji provodi ili pruža pomoć za aktivnosti povezane s upravljanjem kibersigurnosnim rizicima;

| 41. | „istraživačka organizacija” znači subjekt čiji je primarni cilj provođenje primijenjenog istraživanja ili eksperimentalnog razvoja radi iskorištavanja rezultata tog istraživanja u komercijalne svrhe, ali koji ne uključuje obrazovne ustanove. |
| --- | --- |

41.

„istraživačka organizacija” znači subjekt čiji je primarni cilj provođenje primijenjenog istraživanja ili eksperimentalnog razvoja radi iskorištavanja rezultata tog istraživanja u komercijalne svrhe, ali koji ne uključuje obrazovne ustanove.

POGLAVLJE II.

KOORDINIRANI OKVIRI ZA KIBERSIGURNOST

Članak 7.

Nacionalna strategija za kibersigurnost

1.   Svaka država članica donosi nacionalnu strategiju za kibersigurnost u kojoj se utvrđuju strateški ciljevi, resursi potrebni za postizanje tih ciljeva i odgovarajuće mjere politike i regulatorne mjere radi postizanja i održavanja visoke razine kibersigurnosti. Nacionalna strategija za kibersigurnost uključuje:

| (a) | ciljeve i prioritete strategije za kibersigurnost države članice koji posebno obuhvaćaju sektore i podsektore iz priloga I. i II.; |
| --- | --- |

(a)

ciljeve i prioritete strategije za kibersigurnost države članice koji posebno obuhvaćaju sektore i podsektore iz priloga I. i II.;

| (b) | upravljački okvir za postizanje ciljeva i prioriteta iz točke (a) ovog stavka, uključujući politike iz stavka 2. ; |
| --- | --- |

(b)

upravljački okvir za postizanje ciljeva i prioriteta iz točke (a) ovog stavka, uključujući politike iz stavka 2. ;

| (c) | upravljački okvir kojim se pojašnjavaju uloge i odgovornosti relevantnih dionika na nacionalnoj razini, kojim se podupire suradnja i koordinacija na nacionalnoj razini među nadležnim tijelima, jedinstvenim kontaktnim točkama i CSIRT-ovima na temelju ove Direktive, kao i koordinacija i suradnja između tih tijela i nadležnih tijela na temelju sektorskih pravnih akata Unije; |
| --- | --- |

(c)

upravljački okvir kojim se pojašnjavaju uloge i odgovornosti relevantnih dionika na nacionalnoj razini, kojim se podupire suradnja i koordinacija na nacionalnoj razini među nadležnim tijelima, jedinstvenim kontaktnim točkama i CSIRT-ovima na temelju ove Direktive, kao i koordinacija i suradnja između tih tijela i nadležnih tijela na temelju sektorskih pravnih akata Unije;

| (d) | mehanizam za utvrđivanje relevantne imovine i procjenu rizika u toj državi članici; |
| --- | --- |

(d)

mehanizam za utvrđivanje relevantne imovine i procjenu rizika u toj državi članici;

| (e) | određivanje mjera za osiguravanje pripravnosti i sposobnosti reagiranja na incidente i oporavka od incidenata, uključujući suradnju javnog i privatnog sektora; |
| --- | --- |

(e)

određivanje mjera za osiguravanje pripravnosti i sposobnosti reagiranja na incidente i oporavka od incidenata, uključujući suradnju javnog i privatnog sektora;

| (f) | popis različitih tijela i dionika koji su uključeni u provedbu nacionalne strategije za kibersigurnost; |
| --- | --- |

(f)

popis različitih tijela i dionika koji su uključeni u provedbu nacionalne strategije za kibersigurnost;

| (g) | okvir politike za bolju koordinaciju između nadležnih tijela na temelju ove Direktive i nadležnih tijela na temelju Direktive (EU) 2022/2557 u svrhu razmjene informacija o rizicima, kiberprijetnjama i incidentima te o rizicima, prijetnjama i incidentima izvan kiberprostora i izvršavanja nadzornih zadaća, prema potrebi; |
| --- | --- |

(g)

okvir politike za bolju koordinaciju između nadležnih tijela na temelju ove Direktive i nadležnih tijela na temelju Direktive (EU) 2022/2557 u svrhu razmjene informacija o rizicima, kiberprijetnjama i incidentima te o rizicima, prijetnjama i incidentima izvan kiberprostora i izvršavanja nadzornih zadaća, prema potrebi;

| (h) | plan, uključujući potrebne mjere, za povećanje opće razine osviještenosti o kibersigurnosti među građanima. |
| --- | --- |

(h)

plan, uključujući potrebne mjere, za povećanje opće razine osviještenosti o kibersigurnosti među građanima.

2.   U okviru nacionalne strategije za kibersigurnost države članice posebno donose politike:

| (a) | za rješavanje kibersigurnosnih pitanja u lancu opskrbe za IKT proizvode i IKT usluge kojima se koriste subjekti za pružanje svojih usluga; |
| --- | --- |

(a)

za rješavanje kibersigurnosnih pitanja u lancu opskrbe za IKT proizvode i IKT usluge kojima se koriste subjekti za pružanje svojih usluga;

| (b) | za uključivanje i definiranje kibersigurnosnih zahtjeva za IKT proizvode i IKT usluge u području javne nabave, uključujući u odnosu na kibersigurnosnu certifikaciju, kriptiranje i upotrebu kibersigurnosnih proizvoda otvorenog koda; |
| --- | --- |

(b)

za uključivanje i definiranje kibersigurnosnih zahtjeva za IKT proizvode i IKT usluge u području javne nabave, uključujući u odnosu na kibersigurnosnu certifikaciju, kriptiranje i upotrebu kibersigurnosnih proizvoda otvorenog koda;

| (c) | za upravljanje ranjivostima, uključujući promicanje i olakšavanje koordiniranog otkrivanja ranjivosti u skladu s člankom 12. stavkom 1.; |
| --- | --- |

(c)

za upravljanje ranjivostima, uključujući promicanje i olakšavanje koordiniranog otkrivanja ranjivosti u skladu s člankom 12. stavkom 1.;

| (d) | koje se odnose na održavanje opće dostupnosti, cjelovitosti i povjerljivosti javne jezgre otvorenog interneta, uključujući, ako je to potrebno, kibersigurnost podmorskih komunikacijskih kabela; |
| --- | --- |

(d)

koje se odnose na održavanje opće dostupnosti, cjelovitosti i povjerljivosti javne jezgre otvorenog interneta, uključujući, ako je to potrebno, kibersigurnost podmorskih komunikacijskih kabela;

| (e) | za promicanje razvoja i integracije relevantnih naprednih tehnologija radi provedbe najsuvremenijih mjera upravljanja kibersigurnosnim rizicima; |
| --- | --- |

(e)

za promicanje razvoja i integracije relevantnih naprednih tehnologija radi provedbe najsuvremenijih mjera upravljanja kibersigurnosnim rizicima;

| (f) | za promicanje i razvoj obrazovanja i osposobljavanja u području kibersigurnosti, vještina u području kibersigurnosti, informiranja te istraživačkih i razvojnih inicijativa u području kibersigurnosti, kao i smjernica o dobroj praksi i kontrolama kiberhigijene namijenjenih građanima, dionicima i subjektima; |
| --- | --- |

(f)

za promicanje i razvoj obrazovanja i osposobljavanja u području kibersigurnosti, vještina u području kibersigurnosti, informiranja te istraživačkih i razvojnih inicijativa u području kibersigurnosti, kao i smjernica o dobroj praksi i kontrolama kiberhigijene namijenjenih građanima, dionicima i subjektima;

| (g) | za potporu akademskim i istraživačkim institucijama u razvoju, unapređivanju i poticanju uvođenja alata za kibersigurnost i sigurne mrežne infrastrukture; |
| --- | --- |

(g)

za potporu akademskim i istraživačkim institucijama u razvoju, unapređivanju i poticanju uvođenja alata za kibersigurnost i sigurne mrežne infrastrukture;

| (h) | koje uključuju relevantne postupke i odgovarajuće alate za razmjenu informacija u cilju podupiranja dobrovoljne razmjene informacija o kibersigurnosti među subjektima u skladu s pravom Unije; |
| --- | --- |

(h)

koje uključuju relevantne postupke i odgovarajuće alate za razmjenu informacija u cilju podupiranja dobrovoljne razmjene informacija o kibersigurnosti među subjektima u skladu s pravom Unije;

| (i) | za jačanje kiberotpornosti i osnovne razine kiberhigijene malih i srednjih poduzeća, osobito onih koji su izuzeti iz područja primjene ove Direktive, pružanjem lako dostupnih smjernica i pomoći za njihove specifične potrebe; |
| --- | --- |

(i)

za jačanje kiberotpornosti i osnovne razine kiberhigijene malih i srednjih poduzeća, osobito onih koji su izuzeti iz područja primjene ove Direktive, pružanjem lako dostupnih smjernica i pomoći za njihove specifične potrebe;

| (j) | za promicanje aktivne kiberzaštite. |
| --- | --- |

(j)

za promicanje aktivne kiberzaštite.

3.   Države članice obavješćuju Komisiju o svojim nacionalnim strategijama za kibersigurnost u roku od tri mjeseca od njihova donošenja. Države članice mogu iz takvih obavijesti izostaviti informacije koje se odnose na njihovu nacionalnu sigurnost.

4.   Države članice redovito, a najmanje svakih pet godina ocjenjuju svoje nacionalne strategije za kibersigurnost na temelju ključnih pokazatelja uspješnosti te ih prema potrebi ažuriraju. ENISA pomaže državama članicama, na njihov zahtjev u razvoju ili ažuriranju nacionalne strategije za kibersigurnost i ključnih pokazatelja uspješnosti za ocjenjivanje te strategije kako bi je uskladila sa zahtjevima i obvezama utvrđenim u ovoj Direktivi.

Članak 8.

Nadležna tijela i jedinstvene kontaktne točke

1.   Svaka država članica imenuje ili uspostavlja jedno ili više nadležnih tijela odgovornih za kibersigurnost i za nadzorne zadaće iz poglavlja VII. (nadležna tijela).

2.   Nadležna tijela iz stavka 1. prate provedbu ove Direktive na nacionalnoj razini.

3.   Svaka država članica imenuje ili uspostavlja jedinstvenu kontaktnu točku. Ako država članica imenuje ili uspostavi samo jedno nadležno tijelo u skladu sa stavkom 1., to nadležno tijelo ujedno je jedinstvena kontaktna točka te države članice.

4.   Svaka jedinstvena kontaktna točka izvršava funkciju povezivanja kako bi osigurala prekograničnu suradnju tijela svoje države članice s relevantnim tijelima u drugim državama članicama, i prema potrebi s Komisijom i ENISA-om, te međusektorsku suradnju s drugim nadležnim tijelima u svojoj državi članici.

5.   Države članice osiguravaju da njihova nadležna tijela i jedinstvene kontaktne točke imaju odgovarajuće resurse za učinkovitu i efikasnu provedbu zadaća koje su im dodijeljene te da time ispune ciljeve ove Direktive.

6.   Svaka država članica bez nepotrebne odgode obavješćuje Komisiju o identitetu nadležnog tijela iz stavka 1. i jedinstvene kontaktne točke iz stavka 3., o zadaćama tih tijela i o svim naknadnim promjenama. Svaka država članica objavljuje identitet svojeg nadležnog tijela. Komisija javno objavljuje popis jedinstvenih kontaktnih točaka.

Članak 9.

Nacionalni okviri za upravljanje kiberkrizama

1.   Svaka država članica imenuje ili uspostavlja jedno ili više nadležnih tijela odgovornih za upravljanje kibersigurnosnim incidentima velikih razmjera i krizama (tijela za upravljanje kiberkrizama). Države članice osiguravaju da ta tijela imaju odgovarajuće resurse za učinkovito i efikasno obavljanje zadaća koje su im dodijeljene. Države članice osiguravaju koherentnost s postojećim nacionalnim okvirima za opće upravljanje krizama.

2.   Ako pojedina država članica imenuje ili uspostavi više od jednog tijela za upravljanje kiberkrizama u skladu sa stavkom 1., jasno navodi koje od tih tijela treba služiti kao koordinator za upravljanje kibersigurnosnim incidentima velikih razmjera i krizama.

3.   Svaka država članica utvrđuje kapacitete, sredstva i postupke koji se mogu primijeniti u slučaju krize za potrebe ove Direktive.

4.   Svaka država članica donosi nacionalni plan za odgovor na kibersigurnosne incidente velikih razmjera i krize u kojem se utvrđuju ciljevi i načini upravljanja kibersigurnosnim incidentima velikih razmjera i krizama. U tom planu se konkretno utvrđuju:

| (a) | ciljevi mjera i aktivnosti za nacionalnu pripravnost; |
| --- | --- |

(a)

ciljevi mjera i aktivnosti za nacionalnu pripravnost;

| (b) | zadaće i odgovornosti tijela za upravljanje kiberkrizama; |
| --- | --- |

(b)

zadaće i odgovornosti tijela za upravljanje kiberkrizama;

| (c) | postupci upravljanja kiberkrizama, uključujući njihovu integraciju u opći nacionalni okvir za upravljanje krizama, i kanali za razmjenu informacija; |
| --- | --- |

(c)

postupci upravljanja kiberkrizama, uključujući njihovu integraciju u opći nacionalni okvir za upravljanje krizama, i kanali za razmjenu informacija;

| (d) | nacionalne mjere pripravnosti, uključujući vježbe i aktivnosti osposobljavanja; |
| --- | --- |

(d)

nacionalne mjere pripravnosti, uključujući vježbe i aktivnosti osposobljavanja;

| (e) | relevantni javni i privatni dionici i uključena infrastruktura; |
| --- | --- |

(e)

relevantni javni i privatni dionici i uključena infrastruktura;

| (f) | nacionalni postupci i dogovori između relevantnih nacionalnih tijela i drugih tijela kako bi se osiguralo učinkovito sudjelovanje država članica u koordiniranom upravljanju kibersigurnosnim incidentima velikih razmjera i krizama na razini Unije i njihova potpora takvom upravljanju. |
| --- | --- |

(f)

nacionalni postupci i dogovori između relevantnih nacionalnih tijela i drugih tijela kako bi se osiguralo učinkovito sudjelovanje država članica u koordiniranom upravljanju kibersigurnosnim incidentima velikih razmjera i krizama na razini Unije i njihova potpora takvom upravljanju.

5.   U roku od tri mjeseca od imenovanja ili uspostave tijela za upravljanje kiberkrizama iz stavka 1. svaka država članica obavješćuje Komisiju o identitetu svojeg tijela i o svim naknadnim promjenama. Države članice dostavljaju Komisiji i Europskoj mreži organizacija za vezu za kiberkrize (mreža EU-CyCLONe) relevantne informacije u vezi sa zahtjevima iz stavka 4. o svojim nacionalnim planovima za odgovor na kibersigurnosne incidente velikih razmjera i krize u roku od tri mjeseca od donošenja tih planova. Države članice mogu izostaviti određene informacije ako je to potrebno i u mjeri u kojoj je takvo izostavljanje potrebno za nacionalnu sigurnost.

Članak 10.

Timovi za odgovor na računalne sigurnosne incidente (CSIRT-ovi)

1.   Svaka država članica imenuje ili uspostavlja jedan ili više CSIRT-ova. CSIRT-ovi se mogu imenovati ili uspostaviti u okviru nadležnog tijela. CSIRT-ovi ispunjavaju zahtjeve utvrđene u članku 11. stavku 1. i obuhvaćaju barem sektore, podsektore ili vrste subjekata iz priloga I. i II. te su odgovorni za postupanje s incidentima u skladu s točno propisanim postupkom.

2.   Države članice osiguravaju da svaki CSIRT ima odgovarajuće resurse za učinkovito izvršavanje zadaća utvrđenih u članku 11. stavku 3.

3.   Države članice osiguravaju da svaki CSIRT raspolaže odgovarajućom, sigurnom i otpornom komunikacijskom i informacijskom infrastrukturom za razmjenu informacija s ključnim i važnim subjektima te drugim relevantnim dionicima. Države članice u tu svrhu osiguravaju da svaki CSIRT doprinosi uvođenju sigurnih alata za razmjenu informacija.

4.   CSIRT-ovi surađuju i, prema potrebi, razmjenjuju relevantne informacije u skladu s člankom 29. sa sektorskim ili međusektorskim zajednicama ključnih i važnih subjekata.

5.   CSIRT-ovi sudjeluju u istorazinskim ocjenjivanjima organiziranima u skladu s člankom 19.

6.   Države članice osiguravaju učinkovitu, efikasnu i sigurnu suradnju svojih CSIRT-ova u mreži CSIRT-ova.

7.   CSIRT-ovi mogu uspostaviti odnose suradnje s nacionalnim timovima za odgovor na računalne sigurnosne incidente iz trećih zemalja. Kao dio takvih odnosa suradnje, države članice olakšavaju učinkovitu, efikasnu i sigurnu razmjenu informacija s tim nacionalnim timovima za odgovor na računalne sigurnosne incidente iz trećih zemalja koristeći se odgovarajućim protokolima za razmjenu informacija, uključujući Protokol o semaforu. CSIRT-ovi mogu razmjenjivati relevantne informacije s nacionalnim timovima za odgovor na računalne sigurnosne incidente iz trećih zemalja, uključujući osobne podatke u skladu s pravom Unije o zaštiti podataka.

8.   CSIRT-ovi mogu surađivati s nacionalnim timovima za odgovor na računalne sigurnosne incidente iz trećih zemalja ili istovjetnim tijelima iz trećih zemalja, posebno kako bi im se pružila pomoć u području kibersigurnosti.

9.   Svaka država članica bez nepotrebne odgode obavješćuje Komisiju o identitetu CSIRT-a iz stavka 1. ovog članka i CSIRT-a koji je imenovan koordinatorom u skladu s člankom 12. stavkom 1., o zadaćama u odnosu na ključne i važne subjekte i o svim naknadnim promjenama.

10.   Države članice mogu zatražiti podršku ENISA-e u razvijanju svojih CSIRT-ova.

Članak 11.

Zahtjevi, tehničke sposobnosti u pogledu CSIRT-ova i njihove zadaće

1.   CSIRT-ovi moraju ispunjavati sljedeće zahtjeve:

| (a) | CSIRT-ovi osiguravaju visoku razinu dostupnosti svojih komunikacijskih kanala izbjegavanjem jedinstvenih točki prekida te u svakom trenutku imaju na raspolaganju više sredstava za dvosmjerno kontaktiranje; oni jasno određuju komunikacijske kanale i o njima obavješćuju klijente i suradnike; |
| --- | --- |

(a)

CSIRT-ovi osiguravaju visoku razinu dostupnosti svojih komunikacijskih kanala izbjegavanjem jedinstvenih točki prekida te u svakom trenutku imaju na raspolaganju više sredstava za dvosmjerno kontaktiranje; oni jasno određuju komunikacijske kanale i o njima obavješćuju klijente i suradnike;

| (b) | prostori CSIRT-ova i informacijski sustavi za potporu smješteni su na sigurnim lokacijama; |
| --- | --- |

(b)

prostori CSIRT-ova i informacijski sustavi za potporu smješteni su na sigurnim lokacijama;

| (c) | CSIRT-ovi su opremljeni odgovarajućim sustavom za upravljanje zahtjevima i njihovim usmjeravanjem, posebno kako bi se olakšale učinkovite i efikasne primopredaje; |
| --- | --- |

(c)

CSIRT-ovi su opremljeni odgovarajućim sustavom za upravljanje zahtjevima i njihovim usmjeravanjem, posebno kako bi se olakšale učinkovite i efikasne primopredaje;

| (d) | CSIRT-ovi osiguravaju povjerljivost i pouzdanost svojih operacija; |
| --- | --- |

(d)

CSIRT-ovi osiguravaju povjerljivost i pouzdanost svojih operacija;

| (e) | CSIRT-ovi imaju dovoljno osoblja kako bi se osigurala dostupnost njihovih usluga u svako doba i osiguravaju da je njihovo osoblje osposobljeno na odgovarajući način; |
| --- | --- |

(e)

CSIRT-ovi imaju dovoljno osoblja kako bi se osigurala dostupnost njihovih usluga u svako doba i osiguravaju da je njihovo osoblje osposobljeno na odgovarajući način;

| (f) | CSIRT-ovi su opremljeni redundantnim sustavima i rezervnim radnim prostorom kako bi se osigurao kontinuitet njihovih usluga. |
| --- | --- |

(f)

CSIRT-ovi su opremljeni redundantnim sustavima i rezervnim radnim prostorom kako bi se osigurao kontinuitet njihovih usluga.

CSIRT-ovi mogu sudjelovati u međunarodnim mrežama za suradnju.

2.   Države članice osiguravaju da njihovi CSIRT-ovi zajedno imaju tehničke sposobnosti potrebne za izvršavanje zadaća iz stavka 3. Države članice osiguravaju da se njihovim CSIRT-ovima dodijele dostatni resursi za osiguravanje dovoljno osoblja kako bi se CSIRT-ovima omogućilo da razviju svoje tehničke sposobnosti.

3.   CSIRT-ovi obavljaju sljedeće zadaće:

| (a) | praćenje i analiziranje kiberprijetnji, ranjivosti i incidenata na nacionalnoj razini i, na zahtjev, pružanje pomoći predmetnim ključnim i važnim subjektima u vezi s praćenjem njihovih mrežnih i informacijskih sustava u stvarnom ili gotovo stvarnom vremenu; |
| --- | --- |

(a)

praćenje i analiziranje kiberprijetnji, ranjivosti i incidenata na nacionalnoj razini i, na zahtjev, pružanje pomoći predmetnim ključnim i važnim subjektima u vezi s praćenjem njihovih mrežnih i informacijskih sustava u stvarnom ili gotovo stvarnom vremenu;

| (b) | pružanje ranih upozorenja i najava te informiranje predmetnih ključnih i važnih subjekata, kao i nadležnih tijela i drugih relevantnih dionika o kiberprijetnjama, ranjivostima i incidentima, ako je moguće u gotovo stvarnom vremenu; |
| --- | --- |

(b)

pružanje ranih upozorenja i najava te informiranje predmetnih ključnih i važnih subjekata, kao i nadležnih tijela i drugih relevantnih dionika o kiberprijetnjama, ranjivostima i incidentima, ako je moguće u gotovo stvarnom vremenu;

| (c) | odgovaranje na incidente i, ako je to primjenjivo, pružanje pomoći predmetnim ključnim i važnim subjektima; |
| --- | --- |

(c)

odgovaranje na incidente i, ako je to primjenjivo, pružanje pomoći predmetnim ključnim i važnim subjektima;

| (d) | prikupljanje i analiziranje forenzičkih podataka te osiguravanje dinamičke analize rizika i incidenata te informiranosti o stanju u pogledu kibersigurnosti; |
| --- | --- |

(d)

prikupljanje i analiziranje forenzičkih podataka te osiguravanje dinamičke analize rizika i incidenata te informiranosti o stanju u pogledu kibersigurnosti;

| (e) | osiguravanje, na zahtjev predmetnog ključnog ili važnog subjekta, proaktivnog skeniranja mrežnih i informacijskih sustava predmetnog subjekta radi otkrivanja ranjivosti s potencijalno znatnim učinkom; |
| --- | --- |

(e)

osiguravanje, na zahtjev predmetnog ključnog ili važnog subjekta, proaktivnog skeniranja mrežnih i informacijskih sustava predmetnog subjekta radi otkrivanja ranjivosti s potencijalno znatnim učinkom;

| (f) | sudjelovanje u mreži CSIRT-ova i pružanje uzajamne pomoći u skladu sa svojim kapacitetima i kompetencijama drugim članovima mreže CSIRT-ova na njihov zahtjev; |
| --- | --- |

(f)

sudjelovanje u mreži CSIRT-ova i pružanje uzajamne pomoći u skladu sa svojim kapacitetima i kompetencijama drugim članovima mreže CSIRT-ova na njihov zahtjev;

| (g) | ako je to primjenjivo, djelovanje u svojstvu koordinatora za potrebe postupka koordiniranog otkrivanja ranjivosti iz članka 12. stavka 1.; |
| --- | --- |

(g)

ako je to primjenjivo, djelovanje u svojstvu koordinatora za potrebe postupka koordiniranog otkrivanja ranjivosti iz članka 12. stavka 1.;

| (h) | doprinošenje korištenju alata za sigurnu razmjenu informacija na temelju članka 10. stavka 3. |
| --- | --- |

(h)

doprinošenje korištenju alata za sigurnu razmjenu informacija na temelju članka 10. stavka 3.

CSIRT-ovi mogu provoditi proaktivno neintruzivno skeniranje javno dostupnih mrežnih i informacijskih sustava ključnih i važnih subjekata. Takvo skeniranje provodi se kako bi se otkrili ranjivi ili nesigurno konfigurirani mrežni i informacijski sustavi te kako bi se obavijestili dotični subjekti. Takvo skeniranje ne smije imati negativan učinak na funkcioniranje usluga subjekata.

Pri obavljanju zadaća iz prvog podstavka CSIRT-ovi mogu dati prednost određenim zadaćama na temelju pristupa utemeljenog na procjeni rizika.

4.   CSIRT-ovi uspostavljaju odnose suradnje s relevantnim dionicima u privatnom sektoru radi ostvarenja ciljeva ove Direktive.

5.   Kako bi olakšali suradnju iz stavka 4., CSIRT-ovi promiču donošenje i primjenu zajedničkih ili standardiziranih praksi, planova za klasifikaciju i taksonomija u odnosu na:

| (a) | postupke za postupanje s incidentima; |
| --- | --- |

(a)

postupke za postupanje s incidentima;

| (b) | upravljanje krizama; i |
| --- | --- |

(b)

upravljanje krizama; i

| (c) | koordinirano otkrivanje ranjivosti na temelju članka 12. stavka 1. |
| --- | --- |

(c)

koordinirano otkrivanje ranjivosti na temelju članka 12. stavka 1.

Članak 12.

Koordinirano otkrivanje ranjivosti i europska baza podataka o ranjivosti

1.   Svaka država članica imenuje jednog od svojih CSIRT-ova koordinatorom za potrebe koordiniranog otkrivanja ranjivosti. CSIRT koji je imenovan koordinatorom djeluje kao pouzdani posrednik koji, prema potrebi, olakšava interakciju između fizičke ili pravne osobe koja prijavljuje ranjivost i proizvođača ili pružatelja potencijalno ranjivih IKT proizvoda ili IKT usluga, na zahtjev bilo koje strane. Zadaće CSIRT-a koji je imenovan koordinatorom uključuju:

| (a) | utvrđivanje predmetnih subjekata i kontaktiranje s njima; |
| --- | --- |

(a)

utvrđivanje predmetnih subjekata i kontaktiranje s njima;

| (b) | pomaganje fizičkim ili pravnim osobama koje prijavljuju ranjivost; i |
| --- | --- |

(b)

pomaganje fizičkim ili pravnim osobama koje prijavljuju ranjivost; i

| (c) | pregovaranje o vremenskom okviru za otkrivanje i upravljanje ranjivostima koje utječu na više subjekata. |
| --- | --- |

(c)

pregovaranje o vremenskom okviru za otkrivanje i upravljanje ranjivostima koje utječu na više subjekata.

Države članice osiguravaju da fizičke ili pravne osobe, kad to zatraže, mogu anonimno prijaviti ranjivost CSIRT-u koji je imenovan koordinatorom. CSIRT koji je imenovan koordinatorom osigurava provedbu pažljivih daljnjih mjera u pogledu prijavljene ranjivosti i osigurava anonimnost fizičke ili pravne osobe koja prijavljuje ranjivost. Ako bi prijavljena ranjivost mogla imati znatan učinak na subjekte u više od jedne države članice, CSIRT koji je imenovan koordinatorom svake dotične države članice, prema potrebi, surađuje s drugim CSIRT-ovima koji su imenovani koordinatorima u okviru mreže CSIRT-ova.

2.   ENISA nakon savjetovanja sa skupinom za suradnju razvija i vodi europsku bazu podataka o ranjivosti. U tu svrhu ENISA uspostavlja i održava odgovarajuće informacijske sustave, politike i postupke te usvaja potrebne tehničke i organizacijske mjere za osiguravanje sigurnosti i cjelovitosti europske baze podataka o ranjivosti, osobito kako bi omogućila subjektima, neovisno jesu li obuhvaćeni područjem primjene ove Direktive, kao i njihovim dobavljačima mrežnih i informacijskih sustava, da, na dobrovoljnoj osnovi, otkriju i registriraju javno poznate ranjivosti u IKT proizvodima ili IKT uslugama. Svim dionicima omogućuje se pristup informacijama o ranjivostima sadržanima u europskoj bazi podataka o ranjivosti. Ta baza podataka uključuje:

| (a) | informacije koje opisuju ranjivost; |
| --- | --- |

(a)

informacije koje opisuju ranjivost;

| (b) | IKT proizvode ili IKT usluge na koje ona utječe i ozbiljnost ranjivosti s obzirom na okolnosti u kojima se može iskoristiti; |
| --- | --- |

(b)

IKT proizvode ili IKT usluge na koje ona utječe i ozbiljnost ranjivosti s obzirom na okolnosti u kojima se može iskoristiti;

| (c) | dostupnost odgovarajućih popravaka i ako nisu dostupni popravci, smjernice koje pružaju nadležna tijela ili CSIRT-ovi namijenjene korisnicima ranjivih IKT proizvoda i IKT usluga o načinu na koji se mogu ublažiti rizici koji proizlaze iz otkrivenih ranjivosti. |
| --- | --- |

(c)

dostupnost odgovarajućih popravaka i ako nisu dostupni popravci, smjernice koje pružaju nadležna tijela ili CSIRT-ovi namijenjene korisnicima ranjivih IKT proizvoda i IKT usluga o načinu na koji se mogu ublažiti rizici koji proizlaze iz otkrivenih ranjivosti.

Članak 13.

Suradnja na nacionalnoj razini

1.   Ako su različiti, nadležna tijela, jedinstvena kontaktna točka i CSIRT-ovi iste države članice surađuju u ispunjavanju obveza utvrđenih u ovoj Direktivi.

2.   Države članice osiguravaju da njihovi CSIRT-ovi ili, ako je to primjenjivo, njihova nadležna tijela, primaju obavijesti o značajnim incidentima u skladu s člankom 23. i incidentima, kiberprijetnjama i izbjegnutim incidentima u skladu s člankom 30.

3.   Države članice osiguravaju da njihovi CSIRT-ovi ili, ako je to primjenjivo, njihova nadležna tijela obavješćuju njezinu jedinstvenu kontaktnu točku o obavijestima o incidentima, kiberprijetnjama i izbjegnutim incidentima koje su im dostavljene skladu s ovom Direktivom.

4.   Kako bi se osiguralo učinkovito obavljanje zadaća i obveza nadležnih tijela, jedinstvenih kontaktnih točaka i CSIRT-ova, države članice, u mjeri u kojoj je to moguće, osiguravaju odgovarajuću suradnju između tih tijela i tijela za izvršavanje zakonodavstva, tijela za zaštitu podataka, nacionalnih tijela na temelju uredaba (EZ) br. 300/2008 i (EU) 2018/1139, nadzornih tijela na temelju Uredbe (EU) br. 910/2014, nadležnih tijela na temelju Uredbe (EU) 2022/2554, nacionalnih regulatornih tijela na temelju Direktive (EU) 2018/1972, nadležnih tijela na temelju Direktive (EU) 2022/2557, kao i nadležnih tijela na temelju drugih sektorskih pravnih akta Unije, unutar te države članice.

5.   Države članice osiguravaju da njihova nadležna tijela na temelju ove Direktive i njihova nadležna tijela na temelju Direktive (EU) 2022/2557 redovito surađuju i razmjenjuju informacije u pogledu utvrđivanja kritičnih subjekata, o rizicima, kiberprijetnjama i incidentima, kao i o rizicima, prijetnjama i incidentima izvan kiberprostora koji utječu na ključne subjekte koji su utvrđeni kao kritični subjekti na temelju Direktive (EU) 2022/2557, kao i o poduzetim mjerama kao odgovor na takve rizike, prijetnje i incidente. Države članice osiguravaju i da njihova nadležna tijela u skladu s ovom Direktivom i njihova nadležna tijela na temelju Uredbe (EU) br. 910/2014, Uredbe (EU) 2022/2554 i Direktive (EU) 2018/1972 redovito razmjenjuju relevantne informacije, među ostalim o bitnim incidentima i kiberprijetnjama.

6.   Države članice pojednostavnjuju izvješćivanje tehničkim sredstvima za obavijesti iz članaka 23. i 30.

POGLAVLJE III.

SURADNJA NA RAZINI UNIJE I MEĐUNARODNOJ RAZINI

Članak 14.

Skupina za suradnju

1.   Kako bi se podupirala i olakšavala strateška suradnja i razmjena informacija među državama članicama te jačalo povjerenje, osniva se skupina za suradnju.

2.   Skupina za suradnju izvršava svoje zadaće na temelju dvogodišnjih programa rada iz stavka 7.

3.   Skupina za suradnju sastoji se od predstavnika država članica, Komisije i ENISA-e. Europska služba za vanjsko djelovanje sudjeluje u aktivnostima skupine za suradnju kao promatrač. Europska nadzorna tijela i nadležna tijela na temelju Uredbe (EU) 2022/2554 mogu sudjelovati u aktivnostima skupine za suradnju u skladu s člankom 47. stavkom 1. te uredbe.

Skupina za suradnju može, prema potrebi, pozvati Europski parlament i predstavnike relevantnih dionika da sudjeluju u njezinu radu.

Komisija osigurava tajništvo.

4.   Zadaće su skupine za suradnju:

| (a) | pružanje smjernica nadležnim tijelima za prenošenje i provedbu ove Direktive; |
| --- | --- |

(a)

pružanje smjernica nadležnim tijelima za prenošenje i provedbu ove Direktive;

| (b) | pružanje smjernica nadležnim tijelima u vezi s razvojem i provedbom politika o koordiniranom otkrivanju ranjivosti, kako je navedeno u članku 7. stavku 2. točki (c); |
| --- | --- |

(b)

pružanje smjernica nadležnim tijelima u vezi s razvojem i provedbom politika o koordiniranom otkrivanju ranjivosti, kako je navedeno u članku 7. stavku 2. točki (c);

| (c) | razmjena najbolje prakse i informacija povezanih s provedbom ove Direktive, među ostalim u pogledu kiberprijetnji, incidenata, ranjivosti, izbjegnutih incidenata, inicijativa za informiranje, osposobljavanja, vježbi i vještina, izgradnje kapaciteta, normi i tehničkih specifikacija te utvrđivanja ključnih i važnih subjekata na temelju članka 2. stavka 2. točaka od (b) do (e); |
| --- | --- |

(c)

razmjena najbolje prakse i informacija povezanih s provedbom ove Direktive, među ostalim u pogledu kiberprijetnji, incidenata, ranjivosti, izbjegnutih incidenata, inicijativa za informiranje, osposobljavanja, vježbi i vještina, izgradnje kapaciteta, normi i tehničkih specifikacija te utvrđivanja ključnih i važnih subjekata na temelju članka 2. stavka 2. točaka od (b) do (e);

| (d) | savjetovanje i suradnja s Komisijom u pogledu novih inicijativa kibersigurnosne politike i ukupne dosljednosti sektorskih kibersigurnosnih zahtjeva; |
| --- | --- |

(d)

savjetovanje i suradnja s Komisijom u pogledu novih inicijativa kibersigurnosne politike i ukupne dosljednosti sektorskih kibersigurnosnih zahtjeva;

| (e) | savjetovanje i suradnja s Komisijom u pogledu nacrta delegiranih ili provedbenih akata donesenih u skladu s ovom Direktivom; |
| --- | --- |

(e)

savjetovanje i suradnja s Komisijom u pogledu nacrta delegiranih ili provedbenih akata donesenih u skladu s ovom Direktivom;

| (f) | razmjena najbolje prakse i informacija s relevantnim institucijama, tijelima, uredima i agencijama Unije; |
| --- | --- |

(f)

razmjena najbolje prakse i informacija s relevantnim institucijama, tijelima, uredima i agencijama Unije;

| (g) | razmjena mišljenja o provedbi sektorskih pravnih akata Unije koji sadržavaju odredbe o kibersigurnosti; |
| --- | --- |

(g)

razmjena mišljenja o provedbi sektorskih pravnih akata Unije koji sadržavaju odredbe o kibersigurnosti;

| (h) | ako je to relevantno, rasprava o izvješćivanju o istorazinskom ocjenjivanju iz članka 19. stavka 9. te donošenje zaključaka i preporuka; |
| --- | --- |

(h)

ako je to relevantno, rasprava o izvješćivanju o istorazinskom ocjenjivanju iz članka 19. stavka 9. te donošenje zaključaka i preporuka;

| (i) | provedba koordinirane procjene sigurnosnih rizika kritičnih lanaca opskrbe u skladu s člankom 22. stavkom 1.; |
| --- | --- |

(i)

provedba koordinirane procjene sigurnosnih rizika kritičnih lanaca opskrbe u skladu s člankom 22. stavkom 1.;

| (j) | rasprava o slučajevima uzajamne pomoći, uključujući iskustva i rezultate prekograničnih zajedničkih nadzornih aktivnosti iz članka 37.; |
| --- | --- |

(j)

rasprava o slučajevima uzajamne pomoći, uključujući iskustva i rezultate prekograničnih zajedničkih nadzornih aktivnosti iz članka 37.;

| (k) | na zahtjev jedne ili više dotičnih država članica, rasprava o posebnim zahtjevima za uzajamnu pomoć iz članka 37.; |
| --- | --- |

(k)

na zahtjev jedne ili više dotičnih država članica, rasprava o posebnim zahtjevima za uzajamnu pomoć iz članka 37.;

| (l) | pružanje strateških smjernica mreži CSIRT-ova i mreži EU-CyCLONe o određenim novonastalim pitanjima; |
| --- | --- |

(l)

pružanje strateških smjernica mreži CSIRT-ova i mreži EU-CyCLONe o određenim novonastalim pitanjima;

| (m) | razmjena mišljenja o politici daljnjih mjera nakon kibersigurnosnih incidenata velikih razmjera i kriza na temelju iskustava stečenih u okviru mreže CSIRT-ova i mreže EU-CyCLONe; |
| --- | --- |

(m)

razmjena mišljenja o politici daljnjih mjera nakon kibersigurnosnih incidenata velikih razmjera i kriza na temelju iskustava stečenih u okviru mreže CSIRT-ova i mreže EU-CyCLONe;

| (n) | doprinos kibersigurnosnim kapacitetima širom Unije olakšavanjem razmjene nacionalnih službenika putem programa za izgradnju kapaciteta koji uključuje osoblje iz nadležnih tijela ili CSIRT-ova; |
| --- | --- |

(n)

doprinos kibersigurnosnim kapacitetima širom Unije olakšavanjem razmjene nacionalnih službenika putem programa za izgradnju kapaciteta koji uključuje osoblje iz nadležnih tijela ili CSIRT-ova;

| (o) | organiziranje redovitih zajedničkih sastanaka s relevantnim privatnim dionicima iz cijele Unije u svrhu rasprave o aktivnostima skupine za suradnju i prikupljanja informacija o novim izazovima u pogledu politike; |
| --- | --- |

(o)

organiziranje redovitih zajedničkih sastanaka s relevantnim privatnim dionicima iz cijele Unije u svrhu rasprave o aktivnostima skupine za suradnju i prikupljanja informacija o novim izazovima u pogledu politike;

| (p) | rasprava o radu obavljenom u vezi s vježbama u području kibersigurnosti, uključujući rad ENISA-e; |
| --- | --- |

(p)

rasprava o radu obavljenom u vezi s vježbama u području kibersigurnosti, uključujući rad ENISA-e;

| (q) | utvrđivanje metodologije i organizacijskih aspekata istorazinskog ocjenjivanja iz članka 19. stavka 1. te utvrđivanje metodologije samoocjene za države članice u skladu s člankom 19. stavkom 5. uz pomoć Komisije i ENISA-e te, u suradnji s Komisijom i ENISA-om, izrađivanje kodeksa ponašanja na kojima se temelje metode rada imenovanih stručnjaka za kibersigurnost u skladu s člankom 19. stavkom 6.; |
| --- | --- |

(q)

utvrđivanje metodologije i organizacijskih aspekata istorazinskog ocjenjivanja iz članka 19. stavka 1. te utvrđivanje metodologije samoocjene za države članice u skladu s člankom 19. stavkom 5. uz pomoć Komisije i ENISA-e te, u suradnji s Komisijom i ENISA-om, izrađivanje kodeksa ponašanja na kojima se temelje metode rada imenovanih stručnjaka za kibersigurnost u skladu s člankom 19. stavkom 6.;

| (r) | priprema izvješća u svrhu preispitivanja iz članka 40. o iskustvu stečenom na strateškoj i operativnoj razini te iz istorazinskih ocjenjivanja; |
| --- | --- |

(r)

priprema izvješća u svrhu preispitivanja iz članka 40. o iskustvu stečenom na strateškoj i operativnoj razini te iz istorazinskih ocjenjivanja;

| (s) | rasprava i redovita provedba procjene stanja kiberprijetnji ili kiberincidenata, kao što su ucjenjivački softveri. |
| --- | --- |

(s)

rasprava i redovita provedba procjene stanja kiberprijetnji ili kiberincidenata, kao što su ucjenjivački softveri.

Izvješća iz prvog podstavka točke (r) skupina za suradnju podnosi Komisiji, Europskom parlamentu i Vijeću.

5.   Države članice osiguravaju učinkovitu, djelotvornu i sigurnu suradnju svojih predstavnika u skupini za suradnju.

6.   Skupina za suradnju može od mreže CSIRT-ova zatražiti tehničko izvješće o odabranim temama.

7.   Do 1. veljače 2024., a nakon toga svake dvije godine, skupina za suradnju sastavlja program rada u pogledu mjera koje treba poduzeti za provedbu svojih ciljeva i zadaća.

8.   Komisija može donijeti provedbene akte kojima se utvrđuju postupovni aranžmani potrebni za funkcioniranje skupine za suradnju.

Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 39. stavka 2.

Komisija u skladu sa stavkom 4. točkom (e) razmjenjuje savjete i surađuje sa skupinom za suradnju na nacrtima provedbenih akata iz prvog podstavka ovog stavka.

9.   Skupina za suradnju sastaje se redovito, a u svakom slučaju jednom godišnje, sa skupinom za otpornost kritičnih subjekata, osnovanom na temelju Direktive (EU) 2022/2557 radi promicanja i olakšavanja strateške suradnje i razmjene informacija.

Članak 15.

Mreža CSIRT-ova

1.   Kako bi se doprinijelo razvoju povjerenja i pouzdanja te promicanja brze i učinkovite operativne suradnje među državama članicama, osniva se mreža nacionalnih CSIRT-ova.

2.   Mreža CSIRT-ova sastoji se od predstavnika CSIRT-ova imenovanih ili uspostavljenih u skladu s člankom 10. i tima za hitne računalne intervencije za institucije, tijela i agencije Unije (CERT-EU). Komisija u mreži CSIRT-ova sudjeluje kao promatrač. ENISA osigurava tajništvo i aktivno pruža pomoć za suradnju među CSIRT-ovima.

3.   Zadaće su mreže CSIRT-ova:

| (a) | razmjena informacija o kapacitetima CSIRT-ova; |
| --- | --- |

(a)

razmjena informacija o kapacitetima CSIRT-ova;

| (b) | olakšavanje dijeljenja, prijenosa i razmjene tehnologije i relevantnih mjera, politika, alata, procesa, najbolje prakse i okvira među CSIRT-ovima; |
| --- | --- |

(b)

olakšavanje dijeljenja, prijenosa i razmjene tehnologije i relevantnih mjera, politika, alata, procesa, najbolje prakse i okvira među CSIRT-ovima;

| (c) | razmjena relevantnih informacija o incidentima, izbjegnutim incidentima, kiberprijetnjama, rizicima i ranjivostima; |
| --- | --- |

(c)

razmjena relevantnih informacija o incidentima, izbjegnutim incidentima, kiberprijetnjama, rizicima i ranjivostima;

| (d) | razmjena informacija o publikacijama i preporukama u području kibersigurnosti; |
| --- | --- |

(d)

razmjena informacija o publikacijama i preporukama u području kibersigurnosti;

| (e) | osiguravanje interoperabilnosti u pogledu specifikacija i protokola za razmjenu informacija; |
| --- | --- |

(e)

osiguravanje interoperabilnosti u pogledu specifikacija i protokola za razmjenu informacija;

| (f) | na zahtjev člana mreže CSIRT-ova na koju bi incident mogao utjecati, razmjena i rasprava o informacijama o tom incidentu te povezanim kiberprijetnjama, rizicima i ranjivostima; |
| --- | --- |

(f)

na zahtjev člana mreže CSIRT-ova na koju bi incident mogao utjecati, razmjena i rasprava o informacijama o tom incidentu te povezanim kiberprijetnjama, rizicima i ranjivostima;

| (g) | na zahtjev člana mreže CSIRT-ova, razmatranje te, ako je moguće, i provedba koordiniranog odgovora na incident koji je utvrđen u području za koje je nadležna ta država članica; |
| --- | --- |

(g)

na zahtjev člana mreže CSIRT-ova, razmatranje te, ako je moguće, i provedba koordiniranog odgovora na incident koji je utvrđen u području za koje je nadležna ta država članica;

| (h) | pružanje pomoći državama članicama u rješavanju prekograničnih incidenata u skladu s ovom Direktivom; |
| --- | --- |

(h)

pružanje pomoći državama članicama u rješavanju prekograničnih incidenata u skladu s ovom Direktivom;

| (i) | suradnja, razmjena najbolje prakse i pružanje pomoći CSIRT-ovima koji su imenovani koordinatorima u skladu s člankom 12. stavkom 1. u pogledu upravljanja koordiniranim otkrivanjem ranjivosti koje bi mogle imati znatan učinak na subjekte u više od jedne države članice; |
| --- | --- |

(i)

suradnja, razmjena najbolje prakse i pružanje pomoći CSIRT-ovima koji su imenovani koordinatorima u skladu s člankom 12. stavkom 1. u pogledu upravljanja koordiniranim otkrivanjem ranjivosti koje bi mogle imati znatan učinak na subjekte u više od jedne države članice;

| (j) | rasprava o daljnjim oblicima operativne suradnje te njihovo utvrđivanje, među ostalim u odnosu na:






  i. | kategorije kiberprijetnji i incidenata; |
| --- | --- | --- |

(j)

rasprava o daljnjim oblicima operativne suradnje te njihovo utvrđivanje, među ostalim u odnosu na:

i.

kategorije kiberprijetnji i incidenata;

| ii. | rana upozorenja; |
| --- | --- |

ii.

rana upozorenja;

| iii. | uzajamnu pomoć; |
| --- | --- |

iii.

uzajamnu pomoć;

| iv. | načela i načine koordinacije u odgovoru na prekogranične rizike i incidente; |
| --- | --- |

iv.

načela i načine koordinacije u odgovoru na prekogranične rizike i incidente;

| v. | doprinos nacionalnom planu za odgovor na kibersigurnosne incidente velikih razmjera i krize iz članka 9. stavka 4. na zahtjev države članice; |
| --- | --- |

v.

doprinos nacionalnom planu za odgovor na kibersigurnosne incidente velikih razmjera i krize iz članka 9. stavka 4. na zahtjev države članice;

| (k) | obavješćivanje skupine za suradnju o svojim aktivnostima i daljnjim oblicima operativne suradnje razmotrenima na temelju točke (j) te prema potrebi traženje smjernica u tom pogledu; |
| --- | --- |

(k)

obavješćivanje skupine za suradnju o svojim aktivnostima i daljnjim oblicima operativne suradnje razmotrenima na temelju točke (j) te prema potrebi traženje smjernica u tom pogledu;

| (l) | razmatranje vježbi u području kibersigurnosti, među ostalim onih koje organizira ENISA; |
| --- | --- |

(l)

razmatranje vježbi u području kibersigurnosti, među ostalim onih koje organizira ENISA;

| (m) | na zahtjev pojedinačnog CSIRT-a, rasprava o kapacitetima i pripravnosti tog CSIRT-a; |
| --- | --- |

(m)

na zahtjev pojedinačnog CSIRT-a, rasprava o kapacitetima i pripravnosti tog CSIRT-a;

| (n) | suradnja i razmjena informacija s centrima za sigurnosne operacije (SOC-ovi) na regionalnoj razini i na razini Unije kako bi se poboljšala zajednička informiranost o stanju u pogledu na incidenata i kiberprijetnji širom Unije; |
| --- | --- |

(n)

suradnja i razmjena informacija s centrima za sigurnosne operacije (SOC-ovi) na regionalnoj razini i na razini Unije kako bi se poboljšala zajednička informiranost o stanju u pogledu na incidenata i kiberprijetnji širom Unije;

| (o) | ako je to relevantno, rasprava o izvješćima o istorazinskom ocjenjivanju iz članka 19. stavka 9.; |
| --- | --- |

(o)

ako je to relevantno, rasprava o izvješćima o istorazinskom ocjenjivanju iz članka 19. stavka 9.;

| (p) | pružanje smjernica radi olakšavanja konvergencije operativnih praksi u cilju primjene odredaba ovog članka o operativnoj suradnji. |
| --- | --- |

(p)

pružanje smjernica radi olakšavanja konvergencije operativnih praksi u cilju primjene odredaba ovog članka o operativnoj suradnji.

4.   U svrhu preispitivanja iz članka 40. mreža CSIRT-ova do 17. siječnja 2025., a nakon toga svake dvije godine, ocjenjuje napredak ostvaren u operativnoj suradnji i donosi izvješće. U izvješću se posebno donose zaključci i preporuke na temelju ishoda istorazinskih ocjenjivanja iz članka 19. provedenih u pogledu nacionalnih CSIRT-ova. To se izvješće dostavlja skupini za suradnju.

5.   Mreža CSIRT-ova donosi svoj poslovnik.

6.   Mreža CSIRT-a i mreža EU-CyCLONe dogovaraju postupovne aranžmane na temelju kojih surađuju.

Članak 16.

Europska mreža organizacija za vezu za kiberkrize (mreža EU-CyCLONe)

1.   Mreža EU-CyCLONe osniva se kako bi se poduprlo koordinirano upravljanje kibersigurnosnim incidentima velikih razmjera i krizama na operativnoj razini i osigurala redovita razmjena relevantnih informacija među državama članicama te institucijama, tijelima, uredima i agencijama Unije.

2.   Mreža EU-CyCLONe čine predstavnici tijela država članica za upravljanje kiberkrizama te, u slučajevima kada potencijalni ili aktualni kibersigurnosni incident velikih razmjera ima ili bi mogao imati znatan učinak na usluge i djelatnosti obuhvaćene područjem primjene ove Direktive, Komisija. U drugim slučajevima Komisija u aktivnostima mreže EU-CyCLONe sudjeluje kao promatrač.

ENISA osigurava tajništvo mreže EU-CyCLONe i podupire sigurnu razmjenu informacija te osigurava potrebne alate za potporu suradnji među državama članicama osiguravajući pritom sigurnu razmjenu informacija.

Mreža EU-CyCLONe može, prema potrebi, pozvati predstavnike relevantnih dionika da u njegovu radu sudjeluju kao promatrači.

3.   Mreža EU-CyCLONe ima sljedeće zadaće:

| (a) | povećanje razine pripravnosti za upravljanje kibersigurnosnim incidentima velikih razmjera i krizama; |
| --- | --- |

(a)

povećanje razine pripravnosti za upravljanje kibersigurnosnim incidentima velikih razmjera i krizama;

| (b) | poboljšanje zajedničke informiranosti o kibersigurnosnim incidentima velikih razmjera i krizama; |
| --- | --- |

(b)

poboljšanje zajedničke informiranosti o kibersigurnosnim incidentima velikih razmjera i krizama;

| (c) | procjena posljedica i učinka relevantnih kibersigurnosnih incidenata velikih razmjera i kriza te predlaganje mogućih mjera ublažavanja; |
| --- | --- |

(c)

procjena posljedica i učinka relevantnih kibersigurnosnih incidenata velikih razmjera i kriza te predlaganje mogućih mjera ublažavanja;

| (d) | koordinacija upravljanja kibersigurnosnim incidentima velikih razmjera i krizama te pomoć pri odlučivanju na političkoj razini u pogledu takvih incidenata i kriza; |
| --- | --- |

(d)

koordinacija upravljanja kibersigurnosnim incidentima velikih razmjera i krizama te pomoć pri odlučivanju na političkoj razini u pogledu takvih incidenata i kriza;

| (e) | rasprava, na zahtjev dotične države članice, o nacionalnim planovima za odgovor na kibersigurnosne incidente velikih razmjera i krize iz članka 9. stavka 4. |
| --- | --- |

(e)

rasprava, na zahtjev dotične države članice, o nacionalnim planovima za odgovor na kibersigurnosne incidente velikih razmjera i krize iz članka 9. stavka 4.

4.   Mreža EU-CyCLONe donosi svoj poslovnik.

5.   Mreža EU-CyCLONe redovito izvješćuje skupinu za suradnju o upravljanju kibersigurnosnim incidentima velikih razmjera i krizama te o trendovima, posvećujući posebnu pažnju njihovu učinku na ključne i važne subjekte.

6.   Mreža EU-CyCLONe surađuje s mrežom CSIRT-ova na temelju dogovorenih postupovnih aranžmana iz članka 15. stavka 6.

7.   Mreža EU-CyCLONe do 17. srpnja 2024. i svakih 18 mjeseci nakon toga, Europskom parlamentu i Vijeću podnosi izvješće u kojem ocjenjuje svoj rad.

Članak 17.

Međunarodna suradnja

Unija, prema potrebi, može sklapati međunarodne sporazume s trećim zemljama ili međunarodnim organizacijama, u skladu s člankom 218. UFEU-a, kojima im se dopušta i organizira sudjelovanje u određenim aktivnostima skupine za suradnju, mreže CSIRT-ova i mreže EU-CyCLONe. Takvi sporazumi moraju biti u skladu s pravom Unije o zaštiti podataka.

Članak 18.

Izvješće o stanju kibersigurnosti u Uniji

1.   ENISA u suradnji s Komisijom i skupinom za suradnju donosi dvogodišnje izvješće o stanju kibersigurnosti u Uniji te podnosi i predstavlja to izvješće Europskom parlamentu. Izvješće se, među ostalim, čini dostupnim u strojno čitljivom formatu i obuhvaća sljedeće:

| (a) | procjenu rizika u području kibersigurnosti na razini Unije, uzimajući u obzir kiberprijetnje; |
| --- | --- |

(a)

procjenu rizika u području kibersigurnosti na razini Unije, uzimajući u obzir kiberprijetnje;

| (b) | ocjenu razvoja kibersigurnosnih kapaciteta u javnim i privatnim sektorima širom Unije; |
| --- | --- |

(b)

ocjenu razvoja kibersigurnosnih kapaciteta u javnim i privatnim sektorima širom Unije;

| (c) | procjenu opće razine informiranosti o kibersigurnosti i kiberhigijeni među građanima i subjektima, uključujući mala i srednja poduzeća; |
| --- | --- |

(c)

procjenu opće razine informiranosti o kibersigurnosti i kiberhigijeni među građanima i subjektima, uključujući mala i srednja poduzeća;

| (d) | skupnu ocjenu ishoda istorazinskih ocjenjivanja iz članka 19.; |
| --- | --- |

(d)

skupnu ocjenu ishoda istorazinskih ocjenjivanja iz članka 19.;

| (e) | skupnu ocjenu razine razvijenosti kibersigurnosnih kapaciteta i resursa širom Unije, uključujući one na sektorskoj razini, te do koje su mjere usklađene nacionalne strategije država članica za kibersigurnost. |
| --- | --- |

(e)

skupnu ocjenu razine razvijenosti kibersigurnosnih kapaciteta i resursa širom Unije, uključujući one na sektorskoj razini, te do koje su mjere usklađene nacionalne strategije država članica za kibersigurnost.

2.   Izvješće sadržava posebne preporuke o politikama u cilju rješavanja nedostataka i povećanja razine kibersigurnosti širom Unije te sažetak zaključaka za određeno razdoblje iz tehničkih izvješća o stanju kibersigurnosti u EU-u koje sastavlja ENISA u skladu s člankom 7. stavkom 6. Uredbe (EU) 2019/881.

3.   ENISA u suradnji Komisijom, skupinom za suradnju i mrežom CSIRT-ova razvija metodologiju, uključujući relevantne varijable, kao što su kvantitativni i kvalitativni pokazatelji, skupnih ocjena iz stavka 1. točke (e).

Članak 19.

Istorazinska ocjenjivanja

1.   Skupina za suradnju, uz pomoć Komisije i ENISA-e te, ako je to relevantno, mreže CSIRT-ova, do 17. siječnja 2025. utvrđuje metodologiju i organizacijske aspekte istorazinskih ocjenjivanja s ciljem učenja iz zajedničkih iskustava, jačanja uzajamnog povjerenja, postizanja visoke zajedničke razine kibersigurnosti te jačanja kibersigurnosnih kapaciteta i politika država članica potrebnih za provedbu ove Direktive. Sudjelovanje u istorazinskim ocjenjivanjima je dobrovoljno. Istorazinska ocjenjivanja provode stručnjaci za kibersigurnost. Stručnjake za kibersigurnost imenuju najmanje dvije države članice, koje nisu država članica koja se ocjenjuje.

Istorazinska ocjenjivanja obuhvaćaju barem jedno od sljedećeg:

| (a) | razinu provedbe mjera upravljanja kibersigurnosnim rizicima i obveza izvješćivanja iz članaka 21. i 23.; |
| --- | --- |

(a)

razinu provedbe mjera upravljanja kibersigurnosnim rizicima i obveza izvješćivanja iz članaka 21. i 23.;

| (b) | razinu kapaciteta, uključujući dostupne financijske, tehničke i ljudske resurse te djelotvornost izvršavanja zadaća nadležnih tijela; |
| --- | --- |

(b)

razinu kapaciteta, uključujući dostupne financijske, tehničke i ljudske resurse te djelotvornost izvršavanja zadaća nadležnih tijela;

| (c) | operativni kapacitet CSIRT-ova; |
| --- | --- |

(c)

operativni kapacitet CSIRT-ova;

| (d) | razinu provedbe uzajamne pomoći iz članka 37.; |
| --- | --- |

(d)

razinu provedbe uzajamne pomoći iz članka 37.;

| (e) | razinu provedbe mehanizama za razmjenu informacija o kibersigurnosti iz članka 29.; |
| --- | --- |

(e)

razinu provedbe mehanizama za razmjenu informacija o kibersigurnosti iz članka 29.;

| (f) | posebne probleme prekogranične ili međusektorske prirode. |
| --- | --- |

(f)

posebne probleme prekogranične ili međusektorske prirode.

2.   Metodologija iz stavka 1. uključuje objektivne, nediskriminirajuće, pravedne i transparentne kriterije na temelju kojih države članice imenuju stručnjake za kibersigurnost koji su kvalificirani za provedbu istorazinskih ocjenjivanja. ENISA i Komisija sudjeluju u istorazinskom ocjenjivanju kao promatrači.

3.   Države članice mogu identificirati posebne probleme iz stavka 1. točke (f) koje treba ocijeniti za potrebe istorazinskog ocjenjivanja.

4.   Prije početka istorazinskog ocjenjivanja iz stavka 1., države članice obavješćuju države članice koje sudjeluju o opsegu takvog ocjenjivanja, među ostalim o specifičnim problemima identificiranim u skladu sa stavkom 3.

5.   Prije početka istorazinskog ocjenjivanja, država članica može provesti samoocjenu aspekata koji se ocjenjuju i tu samoocjenu dostaviti imenovanim stručnjacima za kibersigurnost. Skupina za suradnju uz pomoć Komisije i ENISA-e utvrđuje metodologiju za samoocjenu koju provode države članice.

6.   Istorazinska ocjenjivanja uključuju fizičke ili virtualne posjete na lokaciji i razmjene informacija izvan lokacije. U skladu s načelom dobre suradnje, država članica za koju se provodi istorazinsko ocjenjivanje dostavlja imenovanim stručnjacima za kibersigurnost informacije potrebne za ocjenu, ne dovodeći u pitanje pravo Unije ili nacionalno pravo u vezi sa zaštitom povjerljivih ili klasificiranih podataka i zaštitom ključnih državnih funkcija, kao što je nacionalna sigurnost. Skupina za suradnju, u suradnji s Komisijom i ENISA-om, razvija odgovarajuće kodekse ponašanja koji podupiru metode rada imenovanih stručnjaka za kibersigurnost. Sve informacije dobivene tijekom istorazinskog ocjenjivanja smiju se upotrebljavati isključivo u tu svrhu. Stručnjaci za kibersigurnost koji sudjeluju u istorazinskom ocjenjivanju ne smiju trećim stranama otkrivati osjetljive ili povjerljive informacije dobivene tijekom tog istorazinskog ocjenjivanja.

7.   Nakon provedenog istorazinskog ocjenjivanja isti aspekti ocijenjeni u određenoj državi članici ne podvrgavaju se daljnjem istorazinskom ocjenjivanju u toj državi članici tijekom dvije godine nakon završetka tog istorazinskog ocjenjivanja, osim ako država članica to ne zatraži ili na to ne pristane nakon prijedloga skupine za suradnju.

8.   Države članice osiguravaju da se druge države članice, skupina za suradnju, Komisija i ENISA-a prije početka istorazinskog ocjenjivanja budu obaviještene o svakom riziku od sukoba interesa imenovanih stručnjaka za kibersigurnost. Država članica za koju se provodi istorazinsko ocjenjivanje može se usprotiviti imenovanju pojedinih stručnjaka za kibersigurnost iz opravdanih razloga, o kojima obavještava državu članicu koja ih imenuje.

9.   Stručnjaci za kibersigurnost koji sudjeluju u istorazinskim ocjenjivanjima sastavljaju izvješća o nalazima i zaključcima ocjenjivanja. Države članice za koje se provodi istorazinsko ocjenjivanje mogu dostaviti primjedbe na nacrte izvješća koja se na njih odnose, a takve se primjedbe prilažu izvješćima. Izvješća sadržavaju preporuke kako bi se omogućilo poboljšanje aspekata obuhvaćenih istorazinskim ocjenjivanjem. Izvješća se podnose skupini za suradnju i, ako je to relevantno, mreži CSIRT-ova. Država članica za koju se provodi istorazinsko ocjenjivanje može odlučiti javno objaviti svoje izvješće ili njegovu redigiranu verziju.

POGLAVLJE IV.

MJERE UPRAVLJANJA KIBERSIGURNOSNIM RIZICIMA I OBVEZE IZVJEŠĆIVANJA

Članak 20.

Upravljanje

1.   Države članice osiguravaju da upravljačka tijela ključnih i važnih subjekata odobravaju mjere upravljanja kibersigurnosnim rizicima koje su ti subjekti poduzeli radi usklađivanja s člankom 21., nadgledaju njegovu provedbu i mogu se smatrati odgovornima za povrede tog članka od strane subjekata.

Primjenom ovog stavka ne dovodi se u pitanje nacionalno pravo u pogledu pravila o odgovornosti koja se primjenjuju na javne institucije ni odgovornosti javnih službenika te izabranih ili imenovanih dužnosnika.

2.   Države članice osiguravaju da članovi upravljačkih tijela ključnih i važnih subjekata moraju pohađati osposobljavanja te potiču ključne i važne subjekte da slično osposobljavanje redovito nude svojim zaposlenicima kako bi stekli dovoljno znanja i vještina za prepoznavanje i procjenu praksi upravljanja kibersigurnosnim rizicima i njihova učinka na usluge koje taj subjekt pruža.

Članak 21.

Mjere upravljanja kibersigurnosnim rizicima

1.   Države članice osiguravaju da ključni i važni subjekti poduzimaju odgovarajuće i razmjerne tehničke, operativne i organizacijske mjere za upravljanje rizicima kojima su izloženi mrežni i informacijski sustavi kojima se ti subjekti služe u svom poslovanju ili u pružanju svojih usluga te za sprečavanje ili smanjivanje na najmanju moguću mjeru učinka incidenata na primatelje njihovih usluga i na druge usluge.

Uzimajući u obzir najnovija dostignuća i, ako je to primjenjivo, relevantne europske i međunarodne norme te trošak provedbe, mjerama iz stavka prvog podstavka osigurava se razina sigurnosti mrežnih i informacijskih sustava primjerena postojećem riziku. Pri procjeni proporcionalnosti tih mjera u obzir se uzima stupanj izloženosti subjekta rizicima, veličina subjekta, vjerojatnost pojave incidenata i njihova ozbiljnost, uključujući njihov društveni i gospodarski učinak.

2.   Mjere iz stavka 1. temelje se na pristupu kojim se uzimaju u obzir sve opasnosti i čiji je cilj zaštita mrežnih i informacijskih sustava i fizičkog okruženja tih sustava od incidenata te uključuju najmanje sljedeće:

| (a) | politike analize rizika i sigurnosti informacijskih sustava; |
| --- | --- |

(a)

politike analize rizika i sigurnosti informacijskih sustava;

| (b) | postupanje s incidentima; |
| --- | --- |

(b)

postupanje s incidentima;

| (c) | kontinuitet poslovanja, kao što je upravljanje sigurnosnim kopijama i oporavak od katastrofe, te upravljanje krizama; |
| --- | --- |

(c)

kontinuitet poslovanja, kao što je upravljanje sigurnosnim kopijama i oporavak od katastrofe, te upravljanje krizama;

| (d) | sigurnost lanca opskrbe, uključujući sigurnosne aspekte u pogledu odnosa između svakog subjekta i njegovih izravnih dobavljača ili pružatelja usluga; |
| --- | --- |

(d)

sigurnost lanca opskrbe, uključujući sigurnosne aspekte u pogledu odnosa između svakog subjekta i njegovih izravnih dobavljača ili pružatelja usluga;

| (e) | sigurnost u nabavi, razvoju i održavanju mrežnih i informacijskih sustava, uključujući rješavanje ranjivosti i njihovo otkrivanje; |
| --- | --- |

(e)

sigurnost u nabavi, razvoju i održavanju mrežnih i informacijskih sustava, uključujući rješavanje ranjivosti i njihovo otkrivanje;

| (f) | politike i postupke za procjenu djelotvornosti mjera upravljanja kibersigurnosnim rizicima; |
| --- | --- |

(f)

politike i postupke za procjenu djelotvornosti mjera upravljanja kibersigurnosnim rizicima;

| (g) | osnovne prakse kiberhigijene i osposobljavanje o kibersigurnosti; |
| --- | --- |

(g)

osnovne prakse kiberhigijene i osposobljavanje o kibersigurnosti;

| (h) | politike i postupke u pogledu kriptografije i, prema potrebi, kriptiranja; |
| --- | --- |

(h)

politike i postupke u pogledu kriptografije i, prema potrebi, kriptiranja;

| (i) | sigurnost ljudskih resursa, politike kontrole pristupa i upravljanje imovinom; |
| --- | --- |

(i)

sigurnost ljudskih resursa, politike kontrole pristupa i upravljanje imovinom;

| (j) | korištenje višefaktorske provjere autentičnosti ili rješenja kontinuirane provjere autentičnosti, zaštićene glasovne, video i tekstualne komunikacije te sigurnih komunikacijskih sustava u hitnim slučajevima unutar subjekta, prema potrebi. |
| --- | --- |

(j)

korištenje višefaktorske provjere autentičnosti ili rješenja kontinuirane provjere autentičnosti, zaštićene glasovne, video i tekstualne komunikacije te sigurnih komunikacijskih sustava u hitnim slučajevima unutar subjekta, prema potrebi.

3.   Države članice osiguravaju da subjekti, kada razmatraju koje su mjere iz stavka 2. točke (d) ovog članka primjerene, uzimaju u obzir ranjivosti specifične za svakog izravnog dobavljača i pružatelja usluge te opću kvalitetu proizvoda i kibersigurnosnu praksu svojih dobavljača i pružatelja usluga, uključujući njihove sigurne razvojne postupke. Države članice također osiguravaju da se od subjekata zahtijeva da, kada razmatraju koje su mjere iz te točke primjerene, uzmu u obzir rezultate koordiniranih procjena sigurnosnih rizika ključnih lanaca opskrbe provedenih u skladu s člankom 22. stavkom 1.

4.   Države članice osiguravaju da subjekt koji utvrdi da ne poštuje mjere iz stavka 2. bez nepotrebne odgode poduzme sve potrebne, primjerene i razmjerne korektivne mjere.

5.   Komisija do 17. listopada 2024. donosi provedbene akte kojima se utvrđuju tehnički i metodološki zahtjevi za mjere iz stavka 2. u pogledu pružatelja usluga DNS-a, registara naziva vršnih domena, pružatelja usluga računalstva u oblaku, pružatelja usluga podatkovnog centra, pružatelja mreža za isporuku sadržaja, pružatelja upravljanih usluga, pružatelja upravljanih sigurnosnih usluga, pružatelja internetskih tržišta, pružatelja internetskih tražilica i pružatelja platformi za usluge društvenih mreža i pružatelja usluga povjerenja.

Komisija može donijeti provedbene akte kojima se utvrđuju tehnički i metodološki zahtjevi te, prema potrebi, sektorski zahtjevi za mjere iz stavka 2. i u pogledu ključnih i važnih subjekata koji nisu navedeni u prvom podstavku ovog stavka.

U pripremi provedbenih akata iz prvog i drugog podstavka ovog stavka Komisija, u mjeri u kojoj je to moguće, prati europske i međunarodne norme te relevantne tehničke specifikacije. Komisija razmjenjuje savjete i surađuje sa skupinom za suradnju i ENISA-om na nacrtima provedbenih akata u skladu s člankom 14. stavkom 4. točkom (e).

Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 39. stavka 2.

Članak 22.

Koordinirane procjene rizika ključnih lanaca opskrbe na razini Unije

1.   Skupina za suradnju, zajedno s Komisijom i ENISA-om, može provoditi koordinirane procjene sigurnosnih rizika za određene ključne lance opskrbe IKT uslugama, IKT sustavima ili IKT proizvodima, uzimajući u obzir tehničke i, ako je to relevantno, netehničke čimbenike rizika.

2.   Komisija, nakon savjetovanja sa skupinom za suradnju i ENISA-om i, ako je to potrebno, relevantnim dionicima, utvrđuje određene ključne IKT usluge, IKT sustave ili IKT proizvode koji mogu biti predmet koordinirane procjene sigurnosnih rizika iz stavka 1.

Članak 23.

Obveze izvješćivanja

1.   Svaka država članica osigurava da ključni i važni subjekti bez nepotrebne odgode obavješćuju svoj CSIRT ili, ako je to primjenjivo, svoje nadležno tijelo u skladu sa stavkom 4. o svakom incidentu koji ima znatan učinak na pružanje njihovih usluga kako se navodi u stavku 3. (značajan incident). Prema potrebi, dotični subjekti bez nepotrebne odgode obavješćuju primatelje svojih usluga o značajnim incidentima koji bi mogli negativno utjecati na pružanje tih usluga. Svaka država članica osigurava da ti subjekti, među ostalim, izvješćuju o svim informacijama koje CSIRT-u ili, ako je to primjenjivo, nadležnom tijelu omogućuju da utvrde sve prekogranične učinke incidenta. Subjekt koji obavješćuje ne podliježe samo zbog toga povećanoj odgovornosti.

Ako dotični subjekti obavijeste nadležno tijelo o značajnom incidentu u skladu s prvim podstavkom, država članica osigurava da to nadležno tijelo obavijest po primitku proslijedi CSIRT-u.

U slučaju prekograničnog ili međusektorskog značajnog incidenta, države članice osiguravaju da njihove jedinstvene kontaktne točke pravodobno dobiju relevantne informacije podnesene u skladu sa stavkom 4.

2.   Države članice, ako je to primjenjivo, osiguravaju da ključni i važni subjekti primatelje svojih usluga na koje bi mogla utjecati ozbiljna kiberprijetnja bez nepotrebne odgode obavješćuju o svim mjerama ili pravnim sredstvima koje ti primatelji mogu poduzeti kao odgovor na prijetnju. Prema potrebi, subjekti te primatelje obavješćuju i o samoj ozbiljnoj kiberprijetnji.

3.   Incident se smatra značajnim:

| (a) | ako je uzrokovao ili može uzrokovati ozbiljne poremećaje u funkcioniranju usluga ili financijske gubitke za predmetni subjekt; |
| --- | --- |

(a)

ako je uzrokovao ili može uzrokovati ozbiljne poremećaje u funkcioniranju usluga ili financijske gubitke za predmetni subjekt;

| (b) | ako je utjecao ili bi mogao utjecati na druge fizičke ili pravne osobe uzrokovanjem znatne materijalne ili nematerijalne štete. |
| --- | --- |

(b)

ako je utjecao ili bi mogao utjecati na druge fizičke ili pravne osobe uzrokovanjem znatne materijalne ili nematerijalne štete.

4.   Države članice osiguravaju da, za potrebe obavješćivanja iz stavka 1., predmetni subjekti CSIRT-u ili, ako je to primjenjivo, nadležnom tijelu podnose:

| (a) | bez nepotrebne odgode, a u svakom slučaju u roku od 24 sata od kad su saznali za značajan incident, rano upozorenje u kojem se, ako je to primjenjivo, navodi sumnja li se da je značajan incident uzrokovan nezakonitim ili zlonamjernim djelovanjem te bi li mogao imati prekogranični učinak; |
| --- | --- |

(a)

bez nepotrebne odgode, a u svakom slučaju u roku od 24 sata od kad su saznali za značajan incident, rano upozorenje u kojem se, ako je to primjenjivo, navodi sumnja li se da je značajan incident uzrokovan nezakonitim ili zlonamjernim djelovanjem te bi li mogao imati prekogranični učinak;

| (b) | bez nepotrebne odgode, a u svakom slučaju u roku od 72 sata od kad su saznali za značajan incident, obavijest o incidentu kojom se, ako je to primjenjivo, ažuriraju informacije iz točke (a) i navodi početna procjena značajnog incidenta, uključujući njegovu ozbiljnosti i učinak te, ako su dostupni, pokazatelje ugroženosti; |
| --- | --- |

(b)

bez nepotrebne odgode, a u svakom slučaju u roku od 72 sata od kad su saznali za značajan incident, obavijest o incidentu kojom se, ako je to primjenjivo, ažuriraju informacije iz točke (a) i navodi početna procjena značajnog incidenta, uključujući njegovu ozbiljnosti i učinak te, ako su dostupni, pokazatelje ugroženosti;

| (c) | na zahtjev CSIRT-a ili, ako je to primjenjivo, nadležnog tijela, privremeno izvješće o relevantnim ažuriranjima statusa; |
| --- | --- |

(c)

na zahtjev CSIRT-a ili, ako je to primjenjivo, nadležnog tijela, privremeno izvješće o relevantnim ažuriranjima statusa;

| (d) | završno izvješće najkasnije mjesec dana nakon podnošenja obavijesti o incidentu iz točke (b), koje uključuje sljedeće:






  i. | detaljan opis incidenta, uključujući njegovu ozbiljnost i učinak; |
| --- | --- | --- |

(d)

završno izvješće najkasnije mjesec dana nakon podnošenja obavijesti o incidentu iz točke (b), koje uključuje sljedeće:

i.

detaljan opis incidenta, uključujući njegovu ozbiljnost i učinak;

| ii. | vrstu prijetnje ili temeljni uzrok koji je vjerojatno uzrokovao incident; |
| --- | --- |

ii.

vrstu prijetnje ili temeljni uzrok koji je vjerojatno uzrokovao incident;

| iii. | primijenjene i tekuće mjere ublažavanja; |
| --- | --- |

iii.

primijenjene i tekuće mjere ublažavanja;

| iv. | ako je to primjenjivo, prekogranični učinak incidenta; |
| --- | --- |

iv.

ako je to primjenjivo, prekogranični učinak incidenta;

| (e) | u slučaju incidenta koji je u tijeku u trenutku podnošenja završnog izvješća iz točke (d), države članice osiguravaju da dotični subjekti dostave izvješće o napretku u tom trenutku te završno izvješće u roku od mjesec dana od postupanja s incidentom. |
| --- | --- |

(e)

u slučaju incidenta koji je u tijeku u trenutku podnošenja završnog izvješća iz točke (d), države članice osiguravaju da dotični subjekti dostave izvješće o napretku u tom trenutku te završno izvješće u roku od mjesec dana od postupanja s incidentom.

Odstupajući od prvog podstavka točke (b), pružatelj usluga povjerenja bez nepotrebne odgode, a u svakom slučaju u roku od 24 sata od kada je saznao za značajan incident, obavješćuje CSIRT ili, ako je to primjenjivo, nadležno tijelo o značajnim incidentima koji imaju učinak na pružanje njegovih usluga povjerenja.

5.   CSIRT ili nadležno tijelo bez nepotrebne odgode i ako je moguće u roku od 24 sata od primitka ranog upozorenja iz stavka 4. točke (a) dostavlja odgovor subjektu koji obavješćuje, uključujući početne povratne informacije o značajnom incidentu i, na zahtjev subjekta, smjernice ili operativne savjete o provedbi mogućih mjera ublažavanja. Ako CSIRT nije prvi primatelj obavijesti iz stavka 1., smjernice pruža nadležno tijelo u suradnji s CSIRT-om. CSIRT pruža dodatnu tehničku potporu ako to zatraži predmetni subjekt. Ako se sumnja da je značajan incident kriminalne naravi, CSIRT ili nadležno tijelo pruža i smjernice o prijavi tog značajnog incidenta tijelima za izvršavanje zakonodavstva.

6.   CSIRT, nadležno tijelo ili jedinstvena kontaktna točka o značajnom incidentu bez nepotrebne odgode obavješćuje ostale pogođene države članice i ENISA-u prema potrebi, a osobito ako se značajan incident odnosi na dvije države članice ili više njih. Takve informacije obuhvaćaju vrstu informacija primljenih u skladu sa stavkom 4. Pritom CSIRT, nadležno tijelo ili jedinstvena kontaktna točka, u skladu s pravom Unije ili nacionalnim pravom, čuvaju sigurnost i komercijalne interese subjekta te povjerljivost dostavljenih informacija.

7.   Ako je za sprečavanje značajnog incidenta ili rješavanje značajnog incidenta koji je u tijeku nužno obavijestiti javnost ili ako je otkrivanje značajnog incidenta u javnom interesu iz nekog drugog razloga, CSIRT ili, ako je to primjenjivo, njegovo nadležno tijelo te, prema potrebi, CSIRT-ovi ili nadležna tijela drugih pogođenih država članica mogu, nakon savjetovanja s predmetnim subjektom, obavijestiti javnost o značajnom incidentu ili zatražiti od subjekta da to učini.

8.   Na zahtjev CSIRT-a ili nadležnog tijela jedinstvena kontaktna točka prosljeđuje obavijesti primljene na temelju stavka 1. jedinstvenim kontaktnim točkama drugih pogođenih država članica.

9.   Jedinstvena kontaktna točka svaka tri mjeseca podnosi ENISA-i sažeto izvješće koje uključuje anonimizirane i agregirane podatke o značajnim incidentima, incidentima, ozbiljnim kiberprijetnjama i izbjegnutim incidentima o kojima je obaviješteno u skladu sa stavkom 1. ovog članka i člankom 30. Kako bi se doprinijelo dostavljanju usporedivih podataka, ENISA može donijeti tehničke smjernice o parametrima za informacije koje su uključene u sažeto izvješće. ENISA svakih šest mjeseci obavješćuje skupinu za suradnju i mrežu CSIRT-ova o svojim zaključcima o primljenim obavijestima.

10.   CSIRT-ovi ili, ako je to primjenjivo, nadležna tijela dostavljaju nadležnim tijelima na temelju Direktive (EU) 2022/2557 informacije o značajnim incidentima, incidentima, kiberprijetnjama i izbjegnutim incidentima o kojima su u skladu sa stavkom 1. ovog članka i člankom 30. obavijestili subjekti koji su utvrđeni kao kritični subjekti na temelju Direktive (EU) 2022/2557

11.   Komisija može donijeti provedbene akte kojima se dodatno utvrđuju vrsta informacija te oblik i postupak podnošenja obavijesti u skladu sa stavkom 1. ovog članka i člankom 30. te obavijest podnesena u skladu sa stavkom 2. ovog članka.

Komisija do 17. listopada 2024. donosi provedbene akte u pogledu pružatelja usluga DNS-a, registara naziva vršnih domena, pružatelja usluga računalstva u oblaku, pružatelja usluga podatkovnog centra, pružatelja mreža za isporuku sadržaja, pružatelja upravljanih usluga, pružatelja upravljanih sigurnosnih usluga, pružatelja internetskih tržišta, pružatelja internetskih tražilica i pružatelja platformi za usluge društvenih mreža, kojima se dodatno utvrđuju slučajevi u kojima se incident smatra značajnim, kako je navedeno u stavku 3. Komisija takve provedbene akte može donijeti u pogledu drugih ključnih i važnih subjekata.

Komisija razmjenjuje savjete i surađuje sa skupinom za suradnju na nacrtima provedbenih akata iz prvog i drugog podstavka ovog stavka u skladu s člankom 14. stavkom 4. točkom (e).

Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 39. stavka 2.

Članak 24.

Primjena europskih programa kibersigurnosne certifikacije

1.   Kako bi dokazale usklađenost s pojedinim zahtjevima iz članka 21., države članice mogu od ključnih i važnih subjekata zahtijevati korištenje određenim IKT proizvodima, IKT uslugama i IKT procesima, koje je razvio ključni ili važni subjekt ili su nabavljeni od treće strane, koji su certificirani na temelju europskih programa kibersigurnosne certifikacije donesenih u skladu s člankom 49. Uredbe (EU) 2019/881. Nadalje, države članice potiču ključne i važne subjekte da se koriste kvalificiranim uslugama povjerenja.

2.   Komisija je ovlaštena za donošenje delegiranih akata u skladu s člankom 38. radi dopune ove Direktive, kojima se određuje od kojih se kategorija ključnih i važnih subjekata treba zahtijevati korištenje određenim certificiranim IKT proizvodima, IKT uslugama i IKT procesima ili pribavljanje certifikata na temelju europskih programa kibersigurnosne certifikacije donesenih u skladu s člankom 49. Uredbe (EU) 2019/881. Ti delegirani akti donose se ako su utvrđene nedovoljne razine kibersigurnosti te obuhvaćaju razdoblje provedbe.

Prije donošenja takvih delegiranih akata Komisija provodi procjenu učinka i organizira savjetovanja u skladu s člankom 56. Uredbe (EU) 2019/881.

3.   Ako nije dostupan odgovarajući europski program kibersigurnosne certifikacije za potrebe stavka 2. ovog članka, Komisija može, nakon savjetovanja sa skupinom za suradnju i Europskom skupinom za kibersigurnosnu certifikaciju, zatražiti od ENISA-e da izradi prijedlog programa certifikacije u skladu s člankom 48. stavkom 2. Uredbe (EU) 2019/881.

Članak 25.

Normizacija

1.   Države članice, u cilju promicanja konvergentne provedbe članka 21. stavaka 1. i 2., bez nametanja ili diskriminacije u korist upotrebe određene vrste tehnologije, potiču primjenu europskih i međunarodnih normi i tehničkih specifikacija relevantnih za sigurnost mrežnih i informacijskih sustava.

2.   ENISA u suradnji s državama članicama i, prema potrebi, nakon savjetovanja s relevantnim dionicima, izrađuje savjete i smjernice u pogledu tehničkih područja koja treba razmotriti u odnosu na stavak 1. te u odnosu na postojeće norme, uključujući nacionalne norme, kojima bi se ta područja mogla obuhvatiti.

POGLAVLJE V.

NADLEŽNOST I REGISTRACIJA

Članak 26.

Nadležnost i teritorijalnost

1.   Smatra se da su subjekti obuhvaćeni područjem primjene ove Direktive u nadležnosti države članice u kojoj imaju poslovni nastan, osim u sljedećim slučajevima:

| (a) | pružatelji javnih elektroničkih komunikacijskih mreža ili pružatelji javno dostupnih elektroničkih komunikacijskih usluga, za koje se smatra da su u nadležnosti države članice u kojoj pružaju svoje usluge; |
| --- | --- |

(a)

pružatelji javnih elektroničkih komunikacijskih mreža ili pružatelji javno dostupnih elektroničkih komunikacijskih usluga, za koje se smatra da su u nadležnosti države članice u kojoj pružaju svoje usluge;

| (b) | pružatelji usluga DNS-a, registri naziva vršnih domena, subjekti koji pružaju usluge registracije naziva domena, pružatelji usluga računalstva u oblaku, pružatelji usluga podatkovnog centra, pružatelji mreža za isporuku sadržaja, pružatelji upravljanih usluga, pružatelji upravljanih sigurnosnih usluga, pružatelji internetskih tržišta, pružatelji internetskih tražilica ili pružatelji platformi za usluge društvenih mreža, za koje se smatra da su u nadležnosti države članice u kojoj imaju glavni poslovni nastan u Uniji u skladu sa stavkom 2.; |
| --- | --- |

(b)

pružatelji usluga DNS-a, registri naziva vršnih domena, subjekti koji pružaju usluge registracije naziva domena, pružatelji usluga računalstva u oblaku, pružatelji usluga podatkovnog centra, pružatelji mreža za isporuku sadržaja, pružatelji upravljanih usluga, pružatelji upravljanih sigurnosnih usluga, pružatelji internetskih tržišta, pružatelji internetskih tražilica ili pružatelji platformi za usluge društvenih mreža, za koje se smatra da su u nadležnosti države članice u kojoj imaju glavni poslovni nastan u Uniji u skladu sa stavkom 2.;

| (c) | subjekti javne uprave, za koja se smatra da su u nadležnosti države članice koja ih je osnovala. |
| --- | --- |

(c)

subjekti javne uprave, za koja se smatra da su u nadležnosti države članice koja ih je osnovala.

2.   Za potrebe ove Direktive smatra se da subjekt iz stavka 1. točke (b) ima glavni poslovni nastan u Uniji u državi članici u kojoj se pretežno donose odluke povezane s mjerama upravljanja kibersigurnosnim rizicima. Ako se takva država članica ne može utvrditi ili ako se takve odluke ne donose u Uniji, smatra se da se glavni poslovni nastan nalazi u državi članici u kojoj se provode kibersigurnosne operacije. Ako se takva država članica ne može utvrditi, smatra se da se glavni poslovni nastan nalazi u državi članici u kojoj subjekt ima poslovnu jedinicu s najvećim brojem zaposlenika u Uniji.

3.   Ako subjekt iz stavka 1. točke (b) nema poslovni nastan u Uniji, ali nudi usluge unutar Unije, dužan je imenovati predstavnika u Uniji. Predstavnik mora imati poslovni nastan u jednoj od država članica u kojima se nude usluge. Smatra se da je takav subjekt u nadležnosti one države članice u kojoj njegov predstavnik ima poslovni nastan. Ako predstavnik u Uniji nije imenovan u skladu s ovim člankom, svaka država članica u kojoj subjekt pruža usluge može poduzeti pravne mjere protiv subjekta zbog povrede ove Direktive.

4.   Imenovanjem predstavnika koje obavlja subjekt iz stavka 1. točke (b) ne dovode se u pitanje pravni postupci koji bi se mogli poduzeti protiv tog subjekta.

5.   Države članice koje su primile zahtjev za uzajamnu pomoć u vezi sa subjektom iz stavka 1. točke (b) mogu, u okvirima zahtjeva, poduzeti odgovarajuće nadzorne mjere i mjere izvršavanja u odnosu na dotični subjekt koji pruža usluge ili koji ima mrežni i informacijski sustav na njihovu državnom području.

Članak 27.

Registar subjekata

1.   ENISA uspostavlja i vodi registar pružatelja usluga DNS-a, registra naziva vršnih domena, subjekata koji pružaju usluge registracije naziva domena, pružatelja usluga računalstva u oblaku, pružatelja usluga podatkovnog centra, pružatelja mreža za isporuku sadržaja, pružatelja upravljanih usluga, pružatelja upravljanih sigurnosnih usluga, pružatelja internetskih tržišta, pružatelja internetskih tražilica ili pružatelja platformi za usluge društvenih mreža na temelju informacija dobivenih od jedinstvene kontaktne točke u skladu sa stavkom 4. ENISA na zahtjev nadležnim tijelima dopušta pristup tom registru, osiguravajući pritom, ako je to primjenjivo, zaštitu povjerljivosti informacija.

2.   Države članice do 17. siječnja 2025. zahtijevaju od subjekata iz stavka 1. da nadležnim tijelima dostavljaju sljedeće informacije:

| (a) | naziv subjekta; |
| --- | --- |

(a)

naziv subjekta;

| (b) | ako je to primjenjivo, relevantni sektor, podsektor i vrstu subjekta iz Priloga I. ili II.; |
| --- | --- |

(b)

ako je to primjenjivo, relevantni sektor, podsektor i vrstu subjekta iz Priloga I. ili II.;

| (c) | adresu glavnog poslovnog nastana subjekta i njegovih drugih zakonitih poslovnih jedinica u Uniji ili, ako nemaju poslovni nastan u Uniji, njegova predstavnika imenovanog u skladu s člankom 26. stavkom 3.; |
| --- | --- |

(c)

adresu glavnog poslovnog nastana subjekta i njegovih drugih zakonitih poslovnih jedinica u Uniji ili, ako nemaju poslovni nastan u Uniji, njegova predstavnika imenovanog u skladu s člankom 26. stavkom 3.;

| (d) | ažurirane podatke za kontakt, uključujući adrese e-pošte i telefonske brojeve subjekta i, ako je to primjenjivo, njegova predstavnika imenovanog u skladu s člankom 26. stavkom 3.; |
| --- | --- |

(d)

ažurirane podatke za kontakt, uključujući adrese e-pošte i telefonske brojeve subjekta i, ako je to primjenjivo, njegova predstavnika imenovanog u skladu s člankom 26. stavkom 3.;

| (e) | države članice u kojima subjekt pruža usluge; i |
| --- | --- |

(e)

države članice u kojima subjekt pruža usluge; i

| (f) | IP raspone subjekta. |
| --- | --- |

(f)

IP raspone subjekta.

3.   Države članice osiguravaju da subjekti iz stavka 1. bez odgode, a u svakom slučaju u roku od tri mjeseca od datuma promjene, obavješćuju nadležno tijelo o svim promjenama informacija koje su dostavili na temelju stavka 2.

4.   Po primitku informacija iz stavka 2. i stavka 3., osim informacija iz stavka 2. točke (f), jedinstvena kontaktna točka dotične države članice prosljeđuje ih bez nepotrebne odgode ENISA-i.

5.   Informacije iz stavaka 2. i 3. ovog članka podnose se, ako je to primjenjivo, putem nacionalnog mehanizma iz članka 3. stavka 4. četvrtog podstavka.

Članak 28.

Baza podataka o registraciji naziva domena

1.   Kako bi se doprinijelo sigurnosti, stabilnosti i otpornosti DNS-a, države članice zahtijevaju od registara naziva vršnih domena i subjekata koji pružaju usluge registracije naziva domena da prikupljaju i održavaju točne i potpune podatke o registraciji naziva domena u posebnoj bazi podataka uz dužnu pažnju u skladu s pravom Unije o zaštiti osobnih podataka u pogledu podataka koji su osobni podaci.

2.   Za potrebe stavka 1. države članice zahtijevaju da baza podataka o registraciji naziva domena sadržava informacije potrebne za identifikaciju nositelja naziva domena i kontaktnih točaka koje upravljaju nazivima domena u okviru vršnih domena te za kontakt s njima. Takve informacije uključuju:

| (a) | naziv domene; |
| --- | --- |

(a)

naziv domene;

| (b) | datum registracije; |
| --- | --- |

(b)

datum registracije;

| (c) | ime korisnika domene te adresu njegove e-pošte i telefonski broj za kontakt; |
| --- | --- |

(c)

ime korisnika domene te adresu njegove e-pošte i telefonski broj za kontakt;

| (d) | adresu e-pošte i telefonski broj za kontakt kontaktne točke koja upravlja nazivom domene ako su različiti od podataka korisnika domene. |
| --- | --- |

(d)

adresu e-pošte i telefonski broj za kontakt kontaktne točke koja upravlja nazivom domene ako su različiti od podataka korisnika domene.

3.   Države članice zahtijevaju da registri naziva vršnih domena i subjekti koji pružaju usluge registracije naziva domena uspostave politike i postupke, uključujući postupke provjere, kojima se osigurava da baze podataka iz stavka 1. sadržavaju točne i potpune informacije. Države članice zahtijevaju da se takve politike i postupci javno objavljuju.

4.   Države članice zahtijevaju da registri naziva vršnih domena i subjekti koji pružaju usluge registracije naziva domena bez nepotrebne odgode nakon registracije naziva domene javno objavljuju podatke o registraciji naziva domena koji nisu osobni podaci.

5.   Države članice zahtijevaju da registri naziva vršnih domena i subjekti koji pružaju usluge registracije naziva domena omoguće pristup određenim podacima o registraciji naziva domena na temelju zakonitih i opravdanih zahtjeva legitimnih tražitelja pristupa, u skladu s pravom Unije o zaštiti podataka. Države članice zahtijevaju da registri naziva vršnih domena i subjekti koji pružaju usluge registracije naziva domena odgovore bez nepotrebne odgode, a u svakom slučaju u roku od 72 sata nakon primitka svakog zahtjeva za pristup. Države članice zahtijevaju da se politike i postupci za otkrivanje takvih podataka javno objavljuju.

6.   Usklađenost s obvezama utvrđenim u stavcima od 1. do 5. ne smije dovesti do dvostrukog prikupljanja podataka o registraciji naziva domena. U tu svrhu države članice zahtijevaju da registri naziva vršnih domena i subjekti koji pružaju usluge registracije naziva domena međusobno surađuju.

POGLAVLJE VI.

RAZMJENA INFORMACIJA

Članak 29.

Mehanizmi za razmjenu informacija o kibersigurnosti

1.   Države članice osiguravaju da subjekti obuhvaćeni područjem primjene ove Direktive i, prema potrebi, drugi subjekti koji nisu obuhvaćeni područjem primjene ove Direktive mogu međusobno dobrovoljno razmjenjivati relevantne informacije o kibersigurnosti, uključujući informacije koje se odnose na kiberprijetnje, izbjegnute incidente, ranjivosti, tehnike i postupke, pokazatelje ugroženosti, neprijateljske taktike, informacije o počinitelju prijetnje, kibersigurnosna upozorenja i preporuke o konfiguraciji kibersigurnosnih alata za otkrivanje kibernapada, ako takva razmjena informacija:

| (a) | ima za cilj sprečavanje ili otkrivanje incidenata, odgovaranje na njih, oporavljanje od incidenata ili ublažavanje njihova učinka; |
| --- | --- |

(a)

ima za cilj sprečavanje ili otkrivanje incidenata, odgovaranje na njih, oporavljanje od incidenata ili ublažavanje njihova učinka;

| (b) | povećava razinu kibersigurnosti, posebno povećanjem informiranosti o kiberprijetnjama, ograničavanjem ili ometanjem mogućnosti širenja takvih prijetnji, podupiranjem niza obrambenih sposobnosti, otklanjanjem i otkrivanjem ranjivosti, tehnikama otkrivanja, zaustavljanja i sprečavanja prijetnji, strategijama ublažavanja ili fazama odgovora i oporavka ili promicanjem suradničkog istraživanja kiberprijetnji između javnih i privatnih subjekata. |
| --- | --- |

(b)

povećava razinu kibersigurnosti, posebno povećanjem informiranosti o kiberprijetnjama, ograničavanjem ili ometanjem mogućnosti širenja takvih prijetnji, podupiranjem niza obrambenih sposobnosti, otklanjanjem i otkrivanjem ranjivosti, tehnikama otkrivanja, zaustavljanja i sprečavanja prijetnji, strategijama ublažavanja ili fazama odgovora i oporavka ili promicanjem suradničkog istraživanja kiberprijetnji između javnih i privatnih subjekata.

2.   Države članice osiguravaju da se razmjena informacija odvija unutar zajednica ključnih i važnih subjekata te, prema potrebi, njihovih dobavljača ili pružatelja usluga. S obzirom na potencijalno osjetljivu prirodu informacija koje se razmjenjuju, takva se razmjena provodi putem mehanizama za razmjenu informacija o kibersigurnosti.

3.   Države članice olakšavaju uspostavu mehanizama za dijeljenje informacija o kibersigurnosti iz stavka 2. ovog članka. Takvim mehanizmima mogu se utvrditi operativni elementi, među ostalim upotreba namjenskih IKT platformi i alata za automatizaciju, sadržaj i uvjeti mehanizama za razmjenu informacija. Utvrđivanjem pojedinosti o sudjelovanju tijela javne vlasti u takvim mehanizmima države članice mogu odrediti uvjete za informacije koje nadležna tijela ili CSIRT-ovi stavljaju na raspolaganje. Države članice nude potporu primjeni takvih mehanizama u skladu sa svojim politikama iz članka 7. stavka 2. točke (h).

4.   Države članice osiguravaju da ključni i važni subjekti obavješćuju nadležna tijela o svojem sudjelovanju u mehanizmima za razmjenu informacija o kibersigurnosti iz stavka 2. nakon početka sudjelovanja u takvim mehanizmima ili, ako je primjenjivo, o svojem povlačenju iz takvih mehanizama nakon što povlačenje stupi na snagu.

5.   ENISA pruža potporu uspostavi mehanizama za razmjenu informacija o kibersigurnosti iz stavka 2. razmjenom najboljih praksi i pružanjem smjernica.

Članak 30.

Dobrovoljno obavješćivanje o relevantnim informacijama

1.   Države članice osiguravaju da, uz obvezu obavješćivanja iz članka 23., CSIRT-ovima ili, ako je to primjenjivo, nadležnim tijelima obavijesti mogu dobrovoljno podnositi:

| (a) | ključni i važni subjekti u pogledu incidenata, kiberprijetnji i izbjegnutih incidenata; |
| --- | --- |

(a)

ključni i važni subjekti u pogledu incidenata, kiberprijetnji i izbjegnutih incidenata;

| (b) | subjekti koji nisu subjekti iz točke (a), neovisno o tome jesu li obuhvaćeni područjem primjene ove Direktive, u pogledu značajnih incidenata, kiberprijetnji ili izbjegnutih incidenata. |
| --- | --- |

(b)

subjekti koji nisu subjekti iz točke (a), neovisno o tome jesu li obuhvaćeni područjem primjene ove Direktive, u pogledu značajnih incidenata, kiberprijetnji ili izbjegnutih incidenata.

2.   Države članice obrađuju obavijesti iz stavka 1. ovog članka u skladu s postupkom utvrđenim u članku 23. Države članice obradi obveznih obavijesti mogu dati prednost pred obradom obavijesti na dobrovoljnoj osnovi.

Prema potrebi, CSIRT-ovi i, ako je primjenjivo, nadležna tijela, pružaju jedinstvenim kontaktnim točkama, informacije o obavijestima primljenim na temelju ovog članka, uz istovremeno osiguravanje povjerljivosti i odgovarajuće zaštite informacija koje je dostavio subjekt koji obavješćuje. Ne dovodeći u pitanje sprečavanje, istragu, otkrivanje i progon kaznenih djela, dobrovoljno izvješćivanje ne smije dovesti do nametanja dodanih obveza subjektu koji obavješćuje kojima ne bi podlijegao da nije podnio obavijest.

POGLAVLJE VII.

NADZOR I IZVRŠAVANJE

Članak 31.

Opći aspekti nadzora i izvršavanje

1.   Države članice osiguravaju da njihova nadležna tijela djelotvorno nadziru i poduzimaju mjere potrebne za osiguravanje usklađenosti s ovom Direktivom.

2.   Države članice mogu dopustiti svojim nadležnim tijelima da daju prednost nadzornim zadaćama. Takvo davanje prednosti utemeljeno je na pristupu koji se temelji na riziku. U tu svrhu, pri izvršavanju svojih nadzornih zadaća iz stavaka 32. i 33. nadležna tijela mogu uspostaviti nadzorne metodologije kojima se omogućuje određivanje tih zadaća kao prioriteta primjenom pristupa utemeljenog na procjeni rizika.

3.   Nadležna tijela blisko surađuju s nadzornim tijelima na temelju Uredbe (EU) 2016/679 u rješavanju incidenata koji za posljedicu imaju povrede osobnih podataka ne dovodeći u pitanje nadležnosti i zadaće nadzornih tijela na temelju te uredbe.

4.   Ne dovodeći u pitanje nacionalne zakonodavne i institucionalne okvire, države članice osiguravaju da, pri nadzoru usklađenosti subjekata javne uprave s ovom Direktivom i određivanju mjera izvršavanja u odnosu na povrede ove Direktive, nadležna tijela imaju odgovarajuće ovlasti za izvršavanje takvih zadaća uz operativnu neovisnost u odnosu na subjekte javne uprave koji se nadziru. Države članice mogu odlučiti o određivanju odgovarajućih, proporcionalnih i djelotvornih nadzornih mjera i mjera izvršavanja u odnosu na te subjekte u skladu s nacionalnim zakonodavnim i institucionalnim okvirima.

Članak 32.

Nadzorne mjere i mjere izvršavanja u odnosu na ključne subjekte

1.   Države članice osiguravaju da su nadzorne mjere ili mjere izvršavanja određene ključnim subjektima u pogledu obveza utvrđenih u ovoj Direktivi učinkovite, proporcionalne i odvraćajuće, uzimajući u obzir okolnosti svakog pojedinog slučaja.

2.   Države članice osiguravaju da nadležna tijela pri izvršavanju svojih nadzornih zadaća u odnosu na ključne subjekte imaju ovlasti da te subjekte obvežu barem na sljedeće:

| (a) | inspekcije na lokaciji i neizravni nadzor, uključujući nasumične provjere, koji provode osposobljeni stručnjaci; |
| --- | --- |

(a)

inspekcije na lokaciji i neizravni nadzor, uključujući nasumične provjere, koji provode osposobljeni stručnjaci;

| (b) | redovite i ciljane revizije sigurnosti koje provodi neovisno tijelo ili nadležno tijelo; |
| --- | --- |

(b)

redovite i ciljane revizije sigurnosti koje provodi neovisno tijelo ili nadležno tijelo;

| (c) | ad hoc revizije, među ostalim i u slučajevima kad je to opravdano na temelju značajnog incidenta ili povrede ove Direktive od strane ključnog subjekta; |
| --- | --- |

(c)

ad hoc revizije, među ostalim i u slučajevima kad je to opravdano na temelju značajnog incidenta ili povrede ove Direktive od strane ključnog subjekta;

| (d) | analize sigurnosti na temelju objektivnih, nediskriminirajućih, pravednih i transparentnih kriterija za procjenu rizika, ako je to potrebno, u suradnji s dotičnim subjektom; |
| --- | --- |

(d)

analize sigurnosti na temelju objektivnih, nediskriminirajućih, pravednih i transparentnih kriterija za procjenu rizika, ako je to potrebno, u suradnji s dotičnim subjektom;

| (e) | zahtjeve za informacije potrebne za ocjenjivanje mjera upravljanja kibersigurnosnim rizicima koje je donio dotični subjekt, uključujući dokumentirane kibersigurnosne politike, te usklađenosti s obvezom podnošenja informacija nadležnim tijelima u skladu s člankom 27. ; |
| --- | --- |

(e)

zahtjeve za informacije potrebne za ocjenjivanje mjera upravljanja kibersigurnosnim rizicima koje je donio dotični subjekt, uključujući dokumentirane kibersigurnosne politike, te usklađenosti s obvezom podnošenja informacija nadležnim tijelima u skladu s člankom 27. ;

| (f) | zahtjeve za pristup podacima, dokumentima i informacijama potrebnima za izvršavanje njihovih nadzornih zadaća; |
| --- | --- |

(f)

zahtjeve za pristup podacima, dokumentima i informacijama potrebnima za izvršavanje njihovih nadzornih zadaća;

| (g) | zahtjeve za dokaze o provedbi kibersigurnosnih politika, kao što su rezultati revizija sigurnosti koje je proveo kvalificirani revizor i odgovarajući temeljni dokazi. |
| --- | --- |

(g)

zahtjeve za dokaze o provedbi kibersigurnosnih politika, kao što su rezultati revizija sigurnosti koje je proveo kvalificirani revizor i odgovarajući temeljni dokazi.

Ciljane revizije sigurnosti iz prvog podstavka točke (b) temelje se na procjenama rizika koje provodi nadležno tijelo ili subjekt revizije, ili na drugim dostupnim informacijama u vezi s rizikom.

Rezultati svake ciljane revizije sigurnosti stavljaju se na raspolaganje nadležnom tijelu. Troškove takve ciljane revizije sigurnosti koju provodi neovisno tijelo plaća subjekt nad kojim se provodi revizija, osim u propisno opravdanim slučajevima u kojima nadležno tijelo odluči drugačije.

3.   Pri izvršavanju svojih ovlasti iz stavka 2. točaka od (e), (f) ili (g), nadležna tijela navode svrhu zahtjeva i pobliže određuju tražene informacije.

4.   Države članice osiguravaju da njihova nadležna tijela pri izvršavanju svojih ovlasti izvršavanja u odnosu na ključne subjekte imaju barem sljedeće ovlasti:

| (a) | izdavati upozorenja o povredama ove Direktive od strane dotičnih subjekata; |
| --- | --- |

(a)

izdavati upozorenja o povredama ove Direktive od strane dotičnih subjekata;

| (b) | donositi obvezujuće upute, među ostalim u vezi s mjerama potrebnim za sprečavanje ili otklanjanje incidenta, kao i rokove za provedbu takvih mjera i za izvješćivanje o njihovoj provedbi, ili nalog kojim se od dotičnih subjekata zahtijeva da uklone utvrđene nedostatke ili povrede ove Direktive; |
| --- | --- |

(b)

donositi obvezujuće upute, među ostalim u vezi s mjerama potrebnim za sprečavanje ili otklanjanje incidenta, kao i rokove za provedbu takvih mjera i za izvješćivanje o njihovoj provedbi, ili nalog kojim se od dotičnih subjekata zahtijeva da uklone utvrđene nedostatke ili povrede ove Direktive;

| (c) | naložiti dotičnim subjektima da prestanu s postupanjem kojim se povređuje ova Direktiva i da ne ponavljaju takvo postupanje; |
| --- | --- |

(c)

naložiti dotičnim subjektima da prestanu s postupanjem kojim se povređuje ova Direktiva i da ne ponavljaju takvo postupanje;

| (d) | naložiti dotičnim subjektima da osiguraju da su njihove mjere upravljanja kibersigurnosnim rizicima u skladu s obvezama iz članka 21. ili da ispune obveze izvješćivanja iz članka 23. na utvrđeni način i u utvrđenom roku; |
| --- | --- |

(d)

naložiti dotičnim subjektima da osiguraju da su njihove mjere upravljanja kibersigurnosnim rizicima u skladu s obvezama iz članka 21. ili da ispune obveze izvješćivanja iz članka 23. na utvrđeni način i u utvrđenom roku;

| (e) | naložiti dotičnim subjektima da obavijeste fizičke ili pravne osobe u odnosu na koje pružaju usluge ili obavljaju djelatnosti na koje bi mogla utjecati ozbiljna kiberprijetnja o prirodi te prijetnje te o svim mogućim zaštitnim ili korektivnim mjerama koje te fizičke ili pravne osobe mogu poduzeti kao odgovor na tu prijetnju; |
| --- | --- |

(e)

naložiti dotičnim subjektima da obavijeste fizičke ili pravne osobe u odnosu na koje pružaju usluge ili obavljaju djelatnosti na koje bi mogla utjecati ozbiljna kiberprijetnja o prirodi te prijetnje te o svim mogućim zaštitnim ili korektivnim mjerama koje te fizičke ili pravne osobe mogu poduzeti kao odgovor na tu prijetnju;

| (f) | naložiti dotičnim subjektima da u razumnom roku provedu preporuke dane na temelju revizije sigurnosti; |
| --- | --- |

(f)

naložiti dotičnim subjektima da u razumnom roku provedu preporuke dane na temelju revizije sigurnosti;

| (g) | imenovati službenika za praćenje s precizno definiranim zadaćama na određeno razdoblje kako bi nadgledao usklađenost dotičnih subjekata s člancima 21. i 23.; |
| --- | --- |

(g)

imenovati službenika za praćenje s precizno definiranim zadaćama na određeno razdoblje kako bi nadgledao usklađenost dotičnih subjekata s člancima 21. i 23.;

| (h) | naložiti dotičnim subjektima da objave aspekte povreda ove Direktive na određeni način; |
| --- | --- |

(h)

naložiti dotičnim subjektima da objave aspekte povreda ove Direktive na određeni način;

| (i) | izreći ili zahtijevati da relevantna tijela ili sudovi u skladu s nacionalnim pravom izreknu upravnu novčanu kaznu u skladu s člankom 34. uz sve mjere iz točaka od (a) do (h) ovog stavka. |
| --- | --- |

(i)

izreći ili zahtijevati da relevantna tijela ili sudovi u skladu s nacionalnim pravom izreknu upravnu novčanu kaznu u skladu s člankom 34. uz sve mjere iz točaka od (a) do (h) ovog stavka.

5.   Ako su mjere izvršavanja donesene u skladu sa stavkom 4. točkama od (a) do (d) i točkom (f) neučinkovite, države članice osiguravaju da njihova nadležna tijela imaju ovlast utvrditi rok u kojem se od ključnog subjekta zahtijeva da poduzme mjere potrebne za ispravljanje nedostataka ili da ispuni zahtjeve tih tijela. Ako zatražena mjera nije poduzeta u zadanom roku, države članice osiguravaju da nadležna tijela imaju ovlasti:

| (a) | privremeno suspendirati ili zahtijevati od certifikacijskog tijela ili tijela koje izdaje ovlaštenja ili od suda, u skladu s nacionalnim pravom, da privremeno suspendira certifikat ili ovlaštenje za dio relevantnih usluga ili sve relevantne usluge koje ključni subjekt pruža ili djelatnosti koje obavlja; |
| --- | --- |

(a)

privremeno suspendirati ili zahtijevati od certifikacijskog tijela ili tijela koje izdaje ovlaštenja ili od suda, u skladu s nacionalnim pravom, da privremeno suspendira certifikat ili ovlaštenje za dio relevantnih usluga ili sve relevantne usluge koje ključni subjekt pruža ili djelatnosti koje obavlja;

| (b) | zahtijevati da relevantna tijela ili sudovi u skladu s nacionalnim pravom privremeno zabrane obavljanje upravljačkih dužnosti u ključnom subjektu svakoj fizičkoj osobi koja upravljačke dužnosti obavlja na razini glavnog izvršnog direktora ili pravnog zastupnika u tom ključnom subjektu. |
| --- | --- |

(b)

zahtijevati da relevantna tijela ili sudovi u skladu s nacionalnim pravom privremeno zabrane obavljanje upravljačkih dužnosti u ključnom subjektu svakoj fizičkoj osobi koja upravljačke dužnosti obavlja na razini glavnog izvršnog direktora ili pravnog zastupnika u tom ključnom subjektu.

Privremene suspenzije ili zabrane izrečene u skladu s ovim stavkom primjenjuju se samo dok dotični subjekt ne poduzme potrebne mjere za otklanjanje nedostataka ili dok ne ispuni zahtjeve nadležnog tijela za koje su takve mjere izvršavanja primijenjene. Izricanje takvih privremenih suspenzija ili zabrana podliježe odgovarajućim postupovnim zaštitnim mjerama u skladu s općim načelima prava Unije i Poveljom, uključujući pravo na djelotvoran pravni lijek i pošteno suđenje, pretpostavku nedužnosti i prava na obranu.

Mjere izvršavanja predviđene u ovom stavku ne primjenjuju se na subjekte javne uprave koji podliježu ovoj Direktivi.

6.   Države članice osiguravaju da svaka fizička osoba koja je odgovorna za ključni subjekt ili djeluje kao njegov pravni predstavnik na temelju ovlasti za zastupanje, ovlasti za donošenje odluka u njegovo ime ili ovlasti za izvršavanje kontrole nad tim subjektom ima ovlast osigurati njegovu usklađenost s ovom Direktivom. Države članice osiguravaju da se takve fizičke osobe mogu smatrati odgovornima za kršenje svojih dužnosti da osiguraju usklađenost s ovom Direktivom.

U pogledu subjekata javne uprave, ovim stavkom ne dovodi se u pitanje nacionalno pravo država članica u pogledu odgovornosti javnih službenika te izabranih ili imenovanih dužnosnika.

7.   Kada poduzimaju bilo koju mjeru izvršavanja iz stavka 4. ili 5., nadležna tijela poštuju prava na obranu i uzimaju u obzir okolnosti svakog pojedinačnog slučaja te propisno uzimaju u obzir barem:

| (a) | ozbiljnost povrede i važnost prekršenih odredaba, pri čemu se ozbiljnim povredama, među ostalim, smatra sljedeće:






  i. | opetovane povrede; |
| --- | --- | --- |

(a)

ozbiljnost povrede i važnost prekršenih odredaba, pri čemu se ozbiljnim povredama, među ostalim, smatra sljedeće:

i.

opetovane povrede;

| ii. | neprijavljivanje ili neispravljanje značajnih incidenata; |
| --- | --- |

ii.

neprijavljivanje ili neispravljanje značajnih incidenata;

| iii. | neuklanjanje nedostataka u skladu s obvezujućim uputama nadležnih tijela; |
| --- | --- |

iii.

neuklanjanje nedostataka u skladu s obvezujućim uputama nadležnih tijela;

| iv. | ometanje revizija ili aktivnosti praćenja koje je naložilo nadležno tijelo nakon utvrđivanja povrede; |
| --- | --- |

iv.

ometanje revizija ili aktivnosti praćenja koje je naložilo nadležno tijelo nakon utvrđivanja povrede;

| v. | pružanje lažnih ili izrazito netočnih informacija povezanih s mjerama upravljanja kibersigurnosnim rizicima ili obvezama izvješćivanja utvrđenim u člancima 21. i 23.; |
| --- | --- |

v.

pružanje lažnih ili izrazito netočnih informacija povezanih s mjerama upravljanja kibersigurnosnim rizicima ili obvezama izvješćivanja utvrđenim u člancima 21. i 23.;

| (b) | trajanje povrede; |
| --- | --- |

(b)

trajanje povrede;

| (c) | sve relevantne prethodne povrede koje je počinio dotični subjekt; |
| --- | --- |

(c)

sve relevantne prethodne povrede koje je počinio dotični subjekt;

| (d) | svaku materijalnu ili nematerijalnu štetu koja je uzrokovana, uključujući sve financijske ili gospodarske gubitke, učinke na druge usluge i broj pogođenih korisnika; |
| --- | --- |

(d)

svaku materijalnu ili nematerijalnu štetu koja je uzrokovana, uključujući sve financijske ili gospodarske gubitke, učinke na druge usluge i broj pogođenih korisnika;

| (e) | je li počinitelj povrede djelovao s namjerom ili nepažnjom; |
| --- | --- |

(e)

je li počinitelj povrede djelovao s namjerom ili nepažnjom;

| (f) | sve mjere koje je subjekt poduzeo radi sprečavanja ili ublažavanja materijalne ili nematerijalne štete; |
| --- | --- |

(f)

sve mjere koje je subjekt poduzeo radi sprečavanja ili ublažavanja materijalne ili nematerijalne štete;

| (g) | svako poštovanje odobrenih kodeksa ponašanja ili odobrenih mehanizama certificiranja; |
| --- | --- |

(g)

svako poštovanje odobrenih kodeksa ponašanja ili odobrenih mehanizama certificiranja;

| (h) | razinu suradnje fizičkih ili pravnih osoba koje se smatraju odgovornima s nadležnim tijelima. |
| --- | --- |

(h)

razinu suradnje fizičkih ili pravnih osoba koje se smatraju odgovornima s nadležnim tijelima.

8.   Nadležna tijela detaljno obrazlažu svoje mjere izvršavanja. Prije donošenja takvih mjera nadležna tijela obavješćuju predmetne subjekte o svojim preliminarnim nalazima. Ona tim subjektima također daju razuman rok za podnošenje primjedaba, osim u valjano obrazloženim slučajevima u kojima bi inače bile spriječene hitne mjere za sprečavanje incidenata ili odgovor na njih.

9.   Države članice osiguravaju da njihova nadležna tijela na temelju ove Direktive obavješćuju relevantna nadležna tijela unutar iste države članice na temelju Direktive 2022/2557 pri izvršavanju svojih nadzornih ovlasti i ovlasti izvršavanja kojima je cilj osigurati usklađenost subjekta koji je utvrđen kao kritični subjekt na temelju Direktive (EU) 2022/2557 s ovom Direktivom. Prema potrebi, nadležna tijela na temelju Direktive (EU) 2022/2557 mogu zatražiti od nadležnih tijela na temelju ove Direktive da izvršavaju svoje nadzorne ovlasti i ovlasti izvršavanja u vezi s subjektom koji je utvrđen kao kritičan subjekt na temelju Direktive (EU) 2022/2557.

10.   Države članice osiguravaju da njihova nadležna tijela na temelju ove Direktive surađuju s relevantnim nadležnim tijelima dotične države članice na temelju Uredbe (EU) 2022/2554. Posebno, države članice osiguravaju da njihova nadležna tijela na temelju ove Direktive obavješćuju Nadzorni forum osnovan na temelju članka 32. stavka 1. Uredbe (EU) 2022/2554 pri izvršavanju svojih nadzornih ovlasti i ovlasti izvršavanja usmjerenih na osiguravanje usklađenosti ključnog subjekta koji je određen kao kritična treća strana pružatelj IKT usluga na temelju članka 31. (EU) 2022/2554 s ovom Direktivom.

Članak 33.

Nadzorne mjere i mjere izvršavanja u odnosu na važne subjekte

1.   Kada dobiju dokaz, naznaku ili informaciju da važan subjekt navodno ne poštuje ovu Direktivu, a posebno njezine članke 21. i 23., države članice osiguravaju da nadležna tijela, ako je potrebno, poduzmu ex post nadzorne mjere. Države članice osiguravaju da su te mjere učinkovite, proporcionalne i odvraćajuće, uzimajući u obzir okolnosti svakog pojedinačnog slučaja.

2.   Države članice osiguravaju da nadležna tijela pri izvršavanju svojih nadzornih zadaća u odnosu na važne subjekte imaju ovlasti da te subjekte obvežu barem na sljedeće:

| (a) | inspekcije na lokaciji i neizravni ex post nadzor, koji provode osposobljeni stručnjaci; |
| --- | --- |

(a)

inspekcije na lokaciji i neizravni ex post nadzor, koji provode osposobljeni stručnjaci;

| (b) | ciljane revizije sigurnosti koje provodi neovisno tijelo ili nadležno tijelo; |
| --- | --- |

(b)

ciljane revizije sigurnosti koje provodi neovisno tijelo ili nadležno tijelo;

| (c) | analize sigurnosti na temelju objektivnih, nediskriminirajućih, pravednih i transparentnih kriterija za procjenu rizika, ako je to potrebno, u suradnji s dotičnim subjektom; |
| --- | --- |

(c)

analize sigurnosti na temelju objektivnih, nediskriminirajućih, pravednih i transparentnih kriterija za procjenu rizika, ako je to potrebno, u suradnji s dotičnim subjektom;

| (d) | zahtjeve za informacije potrebne za ex post ocjenjivanje mjera upravljanja kibersigurnosnim rizicima koje je donio dotični subjekt, uključujući dokumentirane kibersigurnosne politike, te usklađenosti s obvezom dostavljanja informacija nadležnim tijelima u skladu s člankom 27.; |
| --- | --- |

(d)

zahtjeve za informacije potrebne za ex post ocjenjivanje mjera upravljanja kibersigurnosnim rizicima koje je donio dotični subjekt, uključujući dokumentirane kibersigurnosne politike, te usklađenosti s obvezom dostavljanja informacija nadležnim tijelima u skladu s člankom 27.;

| (e) | zahtjeve za pristup podacima, dokumentima i informacijama potrebnima za izvršavanje njihovih nadzornih zadaća; |
| --- | --- |

(e)

zahtjeve za pristup podacima, dokumentima i informacijama potrebnima za izvršavanje njihovih nadzornih zadaća;

| (f) | zahtjeve za dokaze o provedbi kibersigurnosnih politika, kao što su rezultati revizija sigurnosti koje je proveo kvalificirani revizor i odgovarajući temeljni dokazi. |
| --- | --- |

(f)

zahtjeve za dokaze o provedbi kibersigurnosnih politika, kao što su rezultati revizija sigurnosti koje je proveo kvalificirani revizor i odgovarajući temeljni dokazi.

Ciljane revizije sigurnosti iz prvog podstavka točke (b) temelje se na procjenama rizika koje provodi nadležno tijelo ili subjekt revizije, ili na drugim dostupnim informacijama u vezi s rizikom.

Rezultati svake ciljane revizije sigurnosti stavljaju se na raspolaganje nadležnom tijelu. Troškove takve ciljane revizije sigurnosti koju provodi neovisno tijelo plaća subjekt nad kojim se provodi revizija, osim u propisno opravdanim slučajevima u kojima nadležno tijelo odluči drugačije.

3.   Pri izvršavanju svojih ovlasti iz stavka 2. točkama (d), (e) ili (f), nadležna tijela navode svrhu zahtjeva i pobliže određuju tražene informacije.

4.   Države članice osiguravaju da nadležna tijela pri izvršavanju svojih ovlasti izvršavanja u odnosu na važne subjekte imaju barem sljedeće ovlasti:

| (a) | izdavati upozorenja o povredama ove Direktive od strane dotičnih subjekata; |
| --- | --- |

(a)

izdavati upozorenja o povredama ove Direktive od strane dotičnih subjekata;

| (b) | donositi obvezujuće upute ili nalog kojim se od dotičnih subjekata zahtijeva da uklone utvrđene nedostatke ili povredu ove Direktive; |
| --- | --- |

(b)

donositi obvezujuće upute ili nalog kojim se od dotičnih subjekata zahtijeva da uklone utvrđene nedostatke ili povredu ove Direktive;

| (c) | naložiti dotičnim subjektima da prestanu s postupanjem kojim se povređuje ova Direktiva i da ne ponavljaju takvo postupanje; |
| --- | --- |

(c)

naložiti dotičnim subjektima da prestanu s postupanjem kojim se povređuje ova Direktiva i da ne ponavljaju takvo postupanje;

| (d) | naložiti dotičnim subjektima da osiguraju da su njihove mjere upravljanja kibersigurnosnim rizicima u skladu s obvezama iz članka 21. ili da ispune obveze izvješćivanja iz članka 23. na utvrđeni način i u utvrđenom roku; |
| --- | --- |

(d)

naložiti dotičnim subjektima da osiguraju da su njihove mjere upravljanja kibersigurnosnim rizicima u skladu s obvezama iz članka 21. ili da ispune obveze izvješćivanja iz članka 23. na utvrđeni način i u utvrđenom roku;

| (e) | naložiti dotičnim subjektima da obavijeste fizičke ili pravne osobe u odnosu na koje pružaju usluge ili obavljaju djelatnosti na koje bi mogla utjecati ozbiljna kiberprijetnja o prirodi te prijetnje te o svim mogućim zaštitnim ili korektivnim mjerama koje te fizičke ili pravne osobe mogu poduzeti kao odgovor na tu prijetnju; |
| --- | --- |

(e)

naložiti dotičnim subjektima da obavijeste fizičke ili pravne osobe u odnosu na koje pružaju usluge ili obavljaju djelatnosti na koje bi mogla utjecati ozbiljna kiberprijetnja o prirodi te prijetnje te o svim mogućim zaštitnim ili korektivnim mjerama koje te fizičke ili pravne osobe mogu poduzeti kao odgovor na tu prijetnju;

| (f) | naložiti dotičnim subjektima da u razumnom roku provedu preporuke dane na temelju revizije sigurnosti; |
| --- | --- |

(f)

naložiti dotičnim subjektima da u razumnom roku provedu preporuke dane na temelju revizije sigurnosti;

| (g) | naložiti dotičnim subjektima da objave aspekte povrede ove Direktive na određeni način; |
| --- | --- |

(g)

naložiti dotičnim subjektima da objave aspekte povrede ove Direktive na određeni način;

| (h) | izreći ili zahtijevati da relevantna tijela ili sudovi u skladu s nacionalnim pravom izreknu upravnu novčanu kaznu u skladu s člankom 34. uz sve mjere iz točaka od (a) do (g) ovog stavka. |
| --- | --- |

(h)

izreći ili zahtijevati da relevantna tijela ili sudovi u skladu s nacionalnim pravom izreknu upravnu novčanu kaznu u skladu s člankom 34. uz sve mjere iz točaka od (a) do (g) ovog stavka.

5.   Članak 32. stavci 6., 7. i 8. primjenjuju se mutatis mutandis na nadzorne mjere i mjere izvršavanja predviđene ovim člankom za važne subjekte.

6.   Države članice osiguravaju da njihova nadležna tijela na temelju ove Direktive surađuju s relevantnim nadležnim tijelima dotične države članice na temelju Uredbe (EU) 2022/2554. Posebno, države članice osiguravaju da njihova nadležna tijela na temelju ove Direktive obavješćuju Nadzorni forum osnovan na temelju članka 32. stavka 1. Uredbe (EU) 2022/2554 pri izvršavanju svojih nadzornih ovlasti i ovlasti izvršavanja usmjerenih na osiguravanje usklađenosti važnog subjekta koji je određen kao kritična treća strana pružatelj IKT usluga na temelju članka 31. (EU) 2022/2554 s ovom Direktivom.

Članak 34.

Opći uvjeti za izricanje upravnih novčanih kazni ključnim i važnim subjektima

1.   Države članice osiguravaju da su upravne novčane kazne izrečene ključnim i važnim subjektima u skladu s ovim člankom u pogledu povreda ove Direktive učinkovite, proporcionalne i odvraćajuće, uzimajući u obzir okolnosti svakog pojedinog slučaja.

2.   Upravne novčane kazne izriču se dodatno uz sve mjere iz članka 32. stavka 4. točaka od (a) do (h), članka 32. stavka 5. i članka 33. stavka 4. točaka od (a) do (g).

3.   Pri odlučivanju o izricanju upravne novčane kazne i o njezinu iznosu dužna se pažnja u svakom pojedinom slučaju posvećuje barem elementima predviđenima u članku 32. stavku 7.

4.   Države članice osiguravaju da u slučaju da povrijede članak 21. ili članak 23. ključni subjekti podliježu, u skladu sa stavcima 2. i 3. ovog članka, upravnim novčanim kaznama u najvećem iznosu od najmanje 10 000 000 EUR ili u najvećem iznosu od najmanje 2 % ukupnog godišnjeg prometa na svjetskoj razini u prethodnoj financijskoj godini poduzeća kojem pripada ključni subjekt, ovisno o tome koji je iznos veći.

5.   Države članice osiguravaju da u slučaju da povrijede članak 21. ili članak 23. važni subjekti podliježu, u skladu sa stavcima 2. i 3. ovog članka, upravnim novčanim kaznama u najvećem iznosu od najmanje 7 000 000 EUR ili u najvećem iznosu od najmanje 1,4 % ukupnog godišnjeg prometa na svjetskoj razini u prethodnoj financijskoj godini poduzeća kojem pripada važni subjekt, ovisno o tome koji je iznos veći.

6.   Države članice mogu predvidjeti ovlast izricanja periodičnih penala kako bi se ključni ili važni subjekt prisililo da prestane s povredom ove Direktive u skladu s prethodnom odlukom nadležnog tijela.

7.   Ne dovodeći u pitanje ovlasti nadležnih tijela u skladu s člancima 32. i 33., svaka država članica može utvrditi pravila o tome mogu li se i u kojoj mjeri subjektima javne uprave izreći upravne novčane kazne.

8.   Ako pravnim sustavom pojedine države članice nisu predviđene upravne novčane kazne, ta država članica osigurava da se ovaj članak primjenjuje na način da novčanu kaznu pokreće nadležno tijelo, a izriču je nadležni nacionalni sudovi, osiguravajući pritom da su ta pravna sredstva djelotvorna i imaju jednakovrijedan učinak kao upravne novčane kazne koje izriču nadležna tijela. U svakom slučaju novčane kazne koje se izriču moraju biti učinkovite, proporcionalne i odvraćajuće. Država članica najkasnije do 17. listopada 2024. obavješćuje Komisiju o svojim zakonodavnim odredbama koje donese u skladu s ovim stavkom te, bez odgode, o svim daljnjim izmjenama tih zakonodavnih odredbi ili izmjeni koja na njih utječe.

Članak 35.

Povrede koje uključuju povredu osobnih podataka

1.   Ako nadležna tijela tijekom nadzora ili izvršavanja saznaju da povreda obveza utvrđenih u člancima 21. i 23. ove Direktive koju je počinio ključni ili važni subjekt može uključivati povredu osobnih podataka iz članka 4. stavka 12. Uredbe (EU) 2016/679 o kojoj se izvješćuje na temelju članka 33. te uredbe, ta nadležna tijela bez nepotrebne odgode obavješćuju nadzorna tijela iz članaka 55. i 56. te uredbe.

2.   Ako nadzorna tijela kako su utvrđena u člancima 55. i 56. Uredbe (EU) 2016/679 izreknu upravnu novčanu kaznu u skladu s člankom 58. stavkom 2. točkom (i) te uredbe, nadležna tijela ne smiju izreći upravnu novčanu kaznu na temelju članka 34. ove Direktive za povredu iz stavka 1. ovog članka koja proizlazi iz istog postupanja koje je predmet upravne novčane kazne na temelju članka 58. stavka 2. točke (i) Uredbe (EU) 2016/679. Međutim, nadležna tijela mogu izreći mjere izvršavanja predviđene u članku 32. stavku 4. točkama od (a) do (h), članku 32. stavku 5. i članku 33. stavku 4. točkama od (a) do (g) ove Direktive.

3.   Ako je nadzorno tijelo nadležno na temelju Uredbe (EU) 2016/679 osnovano u državi članici različitoj od one u kojoj je osnovano nadležno tijelo, nadležno tijelo obavještava nadzorno tijelo osnovano u svojoj vlastitoj državi članici o potencijalnoj povredi podataka iz stavka 1.

Članak 36.

Sankcije

Države članice utvrđuju pravila o sankcijama koje se primjenjuju na kršenja nacionalnih mjera donesenih na temelju ove Direktive i poduzimaju sve potrebne mjere radi osiguranja njihove provedbe. Predviđene sankcije moraju biti učinkovite, proporcionalne i odvraćajuće. Države članice do 17. siječnja 2025. obavješćuju Komisiju o tim pravilima i tim mjerama te je bez odgode obavješćuju o svim naknadnim izmjenama koje na njih utječu.

Članak 37.

Uzajamna pomoć

1.   Ako subjekt pruža usluge u više od jedne države članice ili pruža usluge u jednoj ili više država članica, a njegovi se mrežni i informacijski sustavi nalaze u drugoj državi članici ili u više njih, nadležna tijela dotičnih država članica surađuju i međusobno si pomažu ako je potrebno. Ta suradnja podrazumijeva najmanje sljedeće:

| (a) | nadležna tijela koja primjenjuju nadzorne mjere ili mjere izvršavanja u državi članici preko jedinstvene kontaktne točke obavješćuju nadležna tijela u drugim dotičnim državama članicama o poduzetim nadzornim mjerama i mjerama izvršavanja te se savjetuju s njima; |
| --- | --- |

(a)

nadležna tijela koja primjenjuju nadzorne mjere ili mjere izvršavanja u državi članici preko jedinstvene kontaktne točke obavješćuju nadležna tijela u drugim dotičnim državama članicama o poduzetim nadzornim mjerama i mjerama izvršavanja te se savjetuju s njima;

| (b) | nadležno tijelo može zatražiti od drugog nadležnog tijela da poduzme nadzorne mjere ili mjere izvršavanja; |
| --- | --- |

(b)

nadležno tijelo može zatražiti od drugog nadležnog tijela da poduzme nadzorne mjere ili mjere izvršavanja;

| (c) | nakon primitka potkrijepljenog zahtjeva drugog nadležnog tijela nadležno tijelo pruža tom drugom nadležnom tijelu uzajamnu pomoć razmjernu vlastitim resursima kako bi se nadzorne mjere ili mjere izvršavanja mogle provesti na djelotvoran, učinkovit i dosljedan način. |
| --- | --- |

(c)

nakon primitka potkrijepljenog zahtjeva drugog nadležnog tijela nadležno tijelo pruža tom drugom nadležnom tijelu uzajamnu pomoć razmjernu vlastitim resursima kako bi se nadzorne mjere ili mjere izvršavanja mogle provesti na djelotvoran, učinkovit i dosljedan način.

Uzajamna pomoć iz prvog podstavka točke (c) može obuhvaćati zahtjeve za informacije i nadzorne mjere, uključujući zahtjeve za provođenje inspekcija na lokaciji ili neizravnog nadzora ili ciljanih revizija sigurnosti. Nadležno tijelo kojem je upućen zahtjev za pomoć ne smije odbiti taj zahtjev osim u slučaju da se utvrdi da to tijelo nema nadležnost za pružanje zatražene pomoći, da zatražena pomoć nije razmjerna nadzornim zadaćama nadležnog tijela ili da se zahtjev odnosi na informacije ili uključuje aktivnosti koje bi, u slučaju da se otkriju ili provedu, bile suprotne osnovnim interesima nacionalne sigurnosti, javne sigurnosti ili obrane države članice. Prije odbijanja takvog zahtjeva nadležno tijelo savjetuje se s drugim dotičnim nadležnim tijelima te, na zahtjev jedne od dotičnih država članica, Komisijom i ENISA-om.

2.   Prema potrebi i uz međusobnu suglasnost, nadležna tijela iz različitih država članica mogu provoditi zajedničke nadzorne aktivnosti.

POGLAVLJE VIII.

DELEGIRANI I PROVEDBENI AKTI

Članak 38.

Izvršavanje delegiranja ovlasti

1.   Ovlast za donošenje delegiranih akata dodjeljuje se Komisiji podložno uvjetima utvrđenima u ovom članku.

2.   Ovlast za donošenje delegiranih akata iz članka 24. stavka 2. dodjeljuje se Komisiji na razdoblje od pet godina počevši od 16. siječnja 2023.

3.   Europski parlament ili Vijeće u svakom trenutku mogu opozvati delegiranje ovlasti iz članka 24. stavka 2. Odlukom o opozivu prekida se delegiranje ovlasti koje je u njoj navedeno. Opoziv počinje proizvoditi učinke sljedećeg dana od dana objave spomenute odluke u Službenom listu Europske unije ili na kasniji dan naveden u spomenutoj odluci. On ne utječe na valjanost delegiranih akata koji su već na snazi.

4.   Prije donošenja delegiranog akta Komisija se savjetuje sa stručnjacima koje je imenovala svaka država članica u skladu s načelima utvrđenima u Međuinstitucijskom sporazumu o boljoj izradi zakonodavstva od 13. travnja 2016.

5.   Čim donese delegirani akt, Komisija ga istodobno priopćuje Europskom parlamentu i Vijeću.

6.   Delegirani akt donesen na temelju članka 24. stavka 2. stupa na snagu samo ako ni Europski parlament ni Vijeće u roku od dva mjeseca od priopćenja tog akta Europskom parlamentu i Vijeću na njega ne podnesu prigovor ili ako su prije isteka tog roka i Europski parlament i Vijeće obavijestili Komisiju da neće podnijeti prigovore. Taj se rok produljuje za dva mjeseca na inicijativu Europskog parlamenta ili Vijeća.

Članak 39.

Postupak odbora

1.   Komisiji pomaže odbor. Navedeni odbor je odbor u smislu Uredbe (EU) br. 182/2011.

2.   Pri upućivanju na ovaj stavak primjenjuje se članak 5. Uredbe (EU) br. 182/2011.

3.   Kada se mišljenje odbora treba dobiti pisanim postupkom, navedeni postupak završava bez rezultata kada u roku za davanje mišljenja to odluči predsjednik odbora ili to zahtijeva član odbora.

POGLAVLJE IX.

ZAVRŠNE ODREDBE

Članak 40.

Preispitivanje

Do 17. listopada 2027. i svakih 36 mjeseci nakon toga, Komisija preispituje funkcioniranje ove Direktive te o tome izvješćuje Europski parlament i Vijeće. U izvješću se posebno ocjenjuje relevantnost veličine dotičnih subjekata, te sektora, podsektora i vrsta subjekata iz priloga I. i II. za funkcioniranje gospodarstva i društva u pogledu kibersigurnosti. U tu svrhu te u cilju daljnjeg unapređivanja strateške i operativne suradnje, Komisija uzima u obzir izvješća skupine za suradnju i mreže CSIRT-ova o iskustvu stečenom na strateškoj i operativnoj razini. Uz to izvješće prilaže se, prema potrebi, zakonodavni prijedlog.

Članak 41.

Prenošenje

1.   Države članice do 17. listopada 2024. donose i objavljuju mjere potrebne radi usklađivanja s ovom Direktivom. One o tome odmah obavješćuju Komisiju.

One primjenjuju te mjere od 18. listopada 2024.

2.   Kada države članice donose mjere iz stavka 1, one sadržavaju upućivanje na ovu Direktivu ili se na nju upućuje prilikom njihove službene objave. Načine tog upućivanja određuju države članice.

Članak 42.

Izmjena Uredbe (EU) br. 910/2014

U Uredbi (EU) br. 910/2014 članak 19. briše se s učinkom od 18. listopada 2024.

Članak 43.

Izmjena Direktive (EU) 2018/1972

U Direktivi (EU) 2018/1972 članci 40. i 41. brišu se s učinkom od 18. listopada 2024.

Članak 44.

Stavljanje izvan snage

Direktiva (EU) 2016/1148 stavlja se izvan snage s učinkom od 18. listopada 2024.

Upućivanja na direktivu stavljenu izvan snage smatraju se upućivanjima na ovu Direktivu i čitaju se u skladu s korelacijskom tablicom iz Priloga III.

Članak 45.

Stupanje na snagu

Ova Direktiva stupa na snagu dvadesetog dana od dana objave u Službenom listu Europske unije.

Službenom listu Europske unije

Članak 46.

Adresati

Ova je Direktiva upućena državama članicama.

Sastavljeno u Strasbourgu 14. prosinca 2022.

Za Europski parlament

Predsjednica

R. METSOLA

Za Vijeće

Predsjednik

M. BEK

---

(1)  
  SL C 233, 16.6.2022., str. 22.

1

(2)  
  SL C 286, 16.7.2021., str. 170.

2

(3)  Stajalište Europskog parlamenta od 10. studenoga 2022. (još nije objavljeno u Službenom listu) i Odluka Vijeća od 28. studenoga 2022.

3

(4)  Direktiva (EU) 2016/1148 Europskog parlamenta i Vijeća od 6. srpnja 2016. o mjerama za visoku zajedničku razinu sigurnosti mrežnih i informacijskih sustava širom Unije (SL L 194, 19.7.2016., str. 1.).

4

(5)  Preporuka Komisije 2003/361/EZ od 6. svibnja 2003. o definiciji mikropoduzeća te malih i srednjih poduzeća (SL L 124, 20.5.2003., str. 36.).

5

(6)  Uredba (EU) br. 910/2014 Europskog parlamenta i Vijeća od 23. srpnja 2014. o elektroničkoj identifikaciji i uslugama povjerenja za elektroničke transakcije na unutarnjem tržištu i stavljanju izvan snage Direktive 1999/93/EZ (SL L 257, 28.8.2014., str. 73.).

6

(7)  Direktiva 97/67/EZ Europskog parlamenta i Vijeća od 15. prosinca 1997. o zajedničkim pravilima za razvoj unutarnjeg tržišta poštanskih usluga u Zajednici i poboljšanje kvalitete usluga (SL L 15, 21.1.1998., str. 14.).

7

(8)  Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL L 119, 4.5.2016., str. 1.).

8

(9)  Direktiva 2002/58/EZ Europskog parlamenta i Vijeća od 12. srpnja 2002. o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija (Direktiva o privatnosti i elektroničkim komunikacijama) (SL L 201, 31.7.2002., str. 37.).

9

(10)  Uredba (EU) 2022/2554 Europskog parlamenta i Vijeća od 14. prosinca 2022. o digitalnoj operativnoj otpornosti za financijski sektor i o izmjeni uredbi (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014, (EU) br. 909/2014 i (EU) 2016/1011 (vidjeti stranicu 1. ovoga Službenog lista).

10

(11)  Uredba (EZ) br. 300/2008 Europskog parlamenta i Vijeća od 11. ožujka 2008. o zajedničkim pravilima u području zaštite civilnog zračnog prometa i stavljanju izvan snage Uredbe (EZ) br. 2320/2002 (SL L 97, 9.4.2008., str. 72.).

11

(12)  Uredba (EU) 2018/1139 Europskog parlamenta i Vijeća od 4. srpnja 2018. o zajedničkim pravilima u području civilnog zrakoplovstva i osnivanju Agencije Europske unije za sigurnost zračnog prometa i izmjeni uredbi (EZ) br. 2111/2005, (EZ) br. 1008/2008, (EU) br. 996/2010, (EU) br. 376/2014 i direktiva 2014/30/EU i 2014/53/EU Europskog parlamenta i Vijeća te stavljanju izvan snage uredbi (EZ) br. 552/2004 i (EZ) br. 216/2008 Europskog parlamenta i Vijeća i Uredbe Vijeća (EEZ) br. 3922/91 (SL L 212, 22.8.2018., str. 1.).

12

(13)  Direktiva (EU) 2022/2557 Europskog parlamenta i Vijeća od 14. prosinca 2022. o otpornosti kritičnih subjekata i o stavljanju izvan snage Direktive Vijeća 2008/114/EZ (vidjeti stranicu 164. ovoga Službenog lista).

13

(14)  Uredba (EU) 2021/696 Europskog parlamenta i Vijeća od 28. travnja 2021. o uspostavi Svemirskog programa Unije i osnivanju Agencije Europske unije za svemirski program te o stavljanju izvan snage uredaba (EU) br. 912/2010, (EU) br. 1285/2013 i (EU) br. 377/2014 i Odluke br. 541/2014/EU (SL L 170, 12.5.2021., str. 69.).

14

(15)  Preporuka Komisije (EU) 2017/1584 od 13. rujna 2017. o koordiniranom odgovoru na kiberincidente i kiberkrize velikih razmjera (SL L 239, 19.9.2017., str. 36.).

15

(16)  Provedbena odluka Vijeća (EU) 2018/1993 od 11. prosinca 2018. o aranžmanima EU-a za integrirani politički odgovor na krizu (SL L 320, 17.12.2018., str. 28.).

16

(17)  Odluka br. 1313/2013/EU Europskog parlamenta i Vijeća od 17. prosinca 2013. o Mehanizmu Unije za civilnu zaštitu (SL L 347, 20.12.2013., str. 924.).

17

(18)  Uredba (EU) 2019/881 Europskog parlamenta i Vijeća od 17. travnja 2019. o ENISA-i (Agencija Europske unije za kibersigurnost) te o kibersigurnosnoj certifikaciji u području informacijske i komunikacijske tehnologije i stavljanju izvan snage Uredbe (EU) br. 526/2013 (Akt o kibersigurnosti), (SL L 151, 7.6.2019., str. 15.).

18

(19)  Preporuka Komisije (EU) 2019/534 оd 26. ožujka 2019. Kibersigurnost 5G mreža (SL L 88, 29.3.2019., str. 42.).

19

(20)  Direktiva (EU) 2018/1972 Europskog parlamenta i Vijeća od 11. prosinca 2018. o Europskom zakoniku elektroničkih komunikacija (SL L 321, 17.12.2018., str. 36.).

20

(21)  Uredba (EU) 2021/694 Europskog parlamenta i Vijeća od 29. travnja 2021. o uspostavi programa Digitalna Europa te stavljanju izvan snage Odluke (EU) 2015/2240 (SL L 166, 11.5.2021., str. 1.).

21

(22)  
  SL L 123, 12.5.2016., str. 1.

22

(23)  Uredba (EU) br. 182/2011 Europskog parlamenta i Vijeća od 16. veljače 2011. o utvrđivanju pravila i općih načela u vezi s mehanizmima nadzora država članica nad izvršavanjem provedbenih ovlasti Komisije (SL L 55, 28.2.2011., str. 13.).

23

(24)  Uredba (EU) 2022/2065 Europskog parlamenta i Vijeća od 19. listopada 2022. o jedinstvenom tržištu digitalnih usluga i izmjeni Direktive 2000/31/EZ (Akt o digitalnim uslugama) (SL L 277, 27.10.2022., str. 1.).

24

(25)  Uredba (EU) 2018/1725 Europskog parlamenta i Vijeća od 23. listopada 2018. o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama, tijelima, uredima i agencijama Unije i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Uredbe (EZ) br. 45/2001 i Odluke br. 1247/2002/EZ (SL L 295, 21.11.2018., str. 39.).

25

(26)  
  SL C 183, 11.5.2021., str. 3.

26

(27)  Direktiva 2011/93/EU Europskog parlamenta i Vijeća od 13. prosinca 2011. o suzbijanju seksualnog zlostavljanja i seksualnog iskorištavanja djece i dječje pornografije, te o zamjeni Okvirne odluke Vijeća 2004/68/PUP (SL L 335, 17.12.2011., str. 1.).

27

(28)  Direktiva 2013/40/EU Europskog parlamenta i Vijeća od 12. kolovoza 2013. o napadima na informacijske sustave i o zamjeni Okvirne odluke Vijeća 2005/222/PUP (SL L 218, 14.8.2013., str. 8.).

28

(29)  Uredba (EU) br. 1025/2012 Europskog parlamenta i Vijeća od 25. listopada 2012. o europskoj normizaciji, o izmjeni direktiva Vijeća 89/686/EEZ i 93/15/EEZ i direktiva 94/9/EZ, 94/25/EZ, 95/16/EZ, 97/23/EZ, 98/34/EZ, 2004/22/EZ, 2007/23/EZ, 2009/23/EZ i 2009/105/EZ Europskog parlamenta i Vijeća te o stavljanju izvan snage Odluke Vijeća 87/95/EEZ i Odluke br. 1673/2006/EZ Europskog parlamenta i Vijeća (SL L 316, 14.11.2012., str. 12.).

29

(30)  Direktiva (EU) 2015/1535 Europskog parlamenta i Vijeća od 9. rujna 2015. o utvrđivanju postupka pružanja informacija u području tehničkih propisa i pravila o uslugama informacijskog društva (SL L 241, 17.9.2015., str. 1.).

30

(31)  Direktiva 2005/29/EZ Europskog parlamenta i Vijeća od 11. svibnja 2005. o nepoštenoj poslovnoj praksi poslovnog subjekta u odnosu prema potrošaču na unutarnjem tržištu i o izmjeni Direktive Vijeća 84/450/EEZ, direktiva 97/7/EZ, 98/27/EZ i 2002/65/EZ Europskog parlamenta i Vijeća, kao i Uredbe (EZ) br. 2006/2004 Europskog parlamenta i Vijeća („Direktiva o nepoštenoj poslovnoj praksi”) (SL L 149, 11.6.2005., str. 22.).

31

(32)  Uredba (EU) 2019/1150 Europskog parlamenta i Vijeća od 20. lipnja 2019. o promicanju pravednosti i transparentnosti za poslovne korisnike usluga internetskog posredovanja (SL L 186, 11.7.2019., str. 57.).

32

---

PRILOG I.

SEKTORI VISOKE KRITIČNOSTI

| Sektor | Podsektor | Vrsta subjekta |
| --- | --- | --- |
| 1. | Energetika |

Sektor

Podsektor

Vrsta subjekta

1.

Energetika

| (a) | električna energija |
| --- | --- |

(a)

električna energija

| — | elektroenergetska poduzeća iz članka 2. točke 57. Direktive (EU) 2019/944 Europskog parlamenta i Vijeća (1), koja obavljaju funkciju „opskrbe” iz članka 2. točke 12. te direktive |
| --- | --- |

—

elektroenergetska poduzeća iz članka 2. točke 57. Direktive (EU) 2019/944 Europskog parlamenta i Vijeća (1), koja obavljaju funkciju „opskrbe” iz članka 2. točke 12. te direktive

| — | operatori distribucijskog sustava kako su definirani u članku 2. točki 29. Direktive (EU) 2019/944 |
| --- | --- |

—

operatori distribucijskog sustava kako su definirani u članku 2. točki 29. Direktive (EU) 2019/944

| — | operatori prijenosnog sustava kako su definirani u članku 2. točki 35. Direktive (EU) 2019/944 |
| --- | --- |

—

operatori prijenosnog sustava kako su definirani u članku 2. točki 35. Direktive (EU) 2019/944

| — | proizvođači kako su definirani u članku 2. točki 38. Direktive (EU) 2019/944 |
| --- | --- |

—

proizvođači kako su definirani u članku 2. točki 38. Direktive (EU) 2019/944

| — | nominirani operatori tržišta električne energije kako su definirani u članku 2. točki 8. Uredbe (EU) 2019/943 Europskog parlamenta i Vijeća (2) |
| --- | --- |

—

nominirani operatori tržišta električne energije kako su definirani u članku 2. točki 8. Uredbe (EU) 2019/943 Europskog parlamenta i Vijeća (2)

| — | sudionici na tržištu kako su definirani u članku 2. točki 25. Uredbe (EU) 2019/943 koji pružaju usluge agregiranja, upravljanja potrošnjom ili skladištenja energije iz članka 2. točaka 18., 20. i 59. Direktive (EU) 2019/944 |
| --- | --- |

—

sudionici na tržištu kako su definirani u članku 2. točki 25. Uredbe (EU) 2019/943 koji pružaju usluge agregiranja, upravljanja potrošnjom ili skladištenja energije iz članka 2. točaka 18., 20. i 59. Direktive (EU) 2019/944

| — | operatori mjesta za punjenje koji su odgovorni za upravljanje i rad mjesta za punjenje kojim se krajnjim korisnicima pruža usluga opskrbe, među ostalim u ime i za račun pružatelja usluga mobilnosti |
| --- | --- |

—

operatori mjesta za punjenje koji su odgovorni za upravljanje i rad mjesta za punjenje kojim se krajnjim korisnicima pruža usluga opskrbe, među ostalim u ime i za račun pružatelja usluga mobilnosti

| (b) | centralizirano grijanje i hlađenje |
| --- | --- |

(b)

centralizirano grijanje i hlađenje

| — | operator sustava centraliziranog grijanja ili centraliziranog hlađenja kako je definirano u članku 2. točki 19. Direktive (EU) 2018/2001 Europskog parlamenta i Vijeća (3) |
| --- | --- |

—

operator sustava centraliziranog grijanja ili centraliziranog hlađenja kako je definirano u članku 2. točki 19. Direktive (EU) 2018/2001 Europskog parlamenta i Vijeća (3)

| (c) | nafta |
| --- | --- |

(c)

nafta

| — | operatori naftovoda |
| --- | --- |

—

operatori naftovoda

| — | operatori proizvodnje nafte, rafinerija i tvornica nafte te njezina skladištenja i prijenosa |
| --- | --- |

—

operatori proizvodnje nafte, rafinerija i tvornica nafte te njezina skladištenja i prijenosa

| — | središnja tijela za zalihe kako su definirana u članku 2. točki (f) Direktive Vijeća 2009/119/EZ (4) |
| --- | --- |

—

središnja tijela za zalihe kako su definirana u članku 2. točki (f) Direktive Vijeća 2009/119/EZ (4)

| (d) | plin |
| --- | --- |

(d)

plin

| — | poduzeća za opskrbu kako su definirana u članku 2. točki 8. Direktive 2009/73/EZ Europskog parlamenta i Vijeća (5) |
| --- | --- |

—

poduzeća za opskrbu kako su definirana u članku 2. točki 8. Direktive 2009/73/EZ Europskog parlamenta i Vijeća (5)

| — | operatori distribucijskog sustava kako su definirani u članku 2. točki 6. Direktive 2009/73/EZ |
| --- | --- |

—

operatori distribucijskog sustava kako su definirani u članku 2. točki 6. Direktive 2009/73/EZ

| — | operatori transportnog sustava kako su definirani u članku 2. točki 4. Direktive 2009/73/EZ |
| --- | --- |

—

operatori transportnog sustava kako su definirani u članku 2. točki 4. Direktive 2009/73/EZ

| — | operatori sustava skladišta plina kako su definirani u članku 2. točki 10. Direktive 2009/73/EZ |
| --- | --- |

—

operatori sustava skladišta plina kako su definirani u članku 2. točki 10. Direktive 2009/73/EZ

| — | operatori terminala za UPP kako su definirani u članku 2. točki 12. Direktive 2009/73/EZ |
| --- | --- |

—

operatori terminala za UPP kako su definirani u članku 2. točki 12. Direktive 2009/73/EZ

| — | poduzeća za prirodni plin kako su definirana u članku 2. točki 1. Direktive 2009/73/EZ |
| --- | --- |

—

poduzeća za prirodni plin kako su definirana u članku 2. točki 1. Direktive 2009/73/EZ

| — | operatori postrojenja za rafiniranje i obradu prirodnog plina |
| --- | --- |

—

operatori postrojenja za rafiniranje i obradu prirodnog plina

| (e) | vodik |
| --- | --- |

(e)

vodik

| — | operatori proizvodnje, skladištenja i prijenosa vodika |
| --- | --- |

—

operatori proizvodnje, skladištenja i prijenosa vodika

| 2. | Promet |
| --- | --- |

2.

Promet

| (a) | zračni promet |
| --- | --- |

(a)

zračni promet

| — | zračni prijevoznici kako su definirani u članku 4. točki 3. Uredbe (EZ) br. 300/2008 koji se upotrebljavaju u komercijalne svrhe |
| --- | --- |

—

zračni prijevoznici kako su definirani u članku 4. točki 3. Uredbe (EZ) br. 300/2008 koji se upotrebljavaju u komercijalne svrhe

| — | upravna tijela zračne luke kako su definirana u članku 2. točki 2. Direktive 2009/12/EZ Europskog parlamenta i Vijeća (6), zračne luke kako su definirane u članku 2. točki 1. te direktive, uključujući osnovne zračne luke navedene u odjeljku 2. Priloga II. Uredbi (EU) br. 1315/2013 Europskog parlamenta i Vijeća (7) te tijela koja upravljaju pomoćnim objektima u zračnim lukama |
| --- | --- |

—

upravna tijela zračne luke kako su definirana u članku 2. točki 2. Direktive 2009/12/EZ Europskog parlamenta i Vijeća (6), zračne luke kako su definirane u članku 2. točki 1. te direktive, uključujući osnovne zračne luke navedene u odjeljku 2. Priloga II. Uredbi (EU) br. 1315/2013 Europskog parlamenta i Vijeća (7) te tijela koja upravljaju pomoćnim objektima u zračnim lukama

| — | operatori kontrole upravljanja prometom koji pružaju usluge kontrole zračnog prometa (ATC) kako su definirani u članku 2. točki 1. Uredbe (EZ) br. 549/2004 Europskog parlamenta i Vijeća (8) |
| --- | --- |

—

operatori kontrole upravljanja prometom koji pružaju usluge kontrole zračnog prometa (ATC) kako su definirani u članku 2. točki 1. Uredbe (EZ) br. 549/2004 Europskog parlamenta i Vijeća (8)

| (b) | željeznički promet |
| --- | --- |

(b)

željeznički promet

| — | upravitelji infrastrukture kako su definirani u članku 3. točki 2. Direktive 2012/34/EU Europskog parlamenta i Vijeća (9) |
| --- | --- |

—

upravitelji infrastrukture kako su definirani u članku 3. točki 2. Direktive 2012/34/EU Europskog parlamenta i Vijeća (9)

| — | željeznički prijevoznici kako su definirani u članku 3. točki 1. Direktive 2012/34/EU, među ostalim i operatori uslužnih objekata kako su definirani u članku 3. točki 12. te direktive |
| --- | --- |

—

željeznički prijevoznici kako su definirani u članku 3. točki 1. Direktive 2012/34/EU, među ostalim i operatori uslužnih objekata kako su definirani u članku 3. točki 12. te direktive

| (c) | vodeni promet |
| --- | --- |

(c)

vodeni promet

| — | kompanije za prijevoz putnika unutarnjim plovnim putovima, morem i duž obale kako su definirane za pomorski promet u Prilogu I. Uredbi (EZ) br. 725/2004 Europskog parlamenta i Vijeća (10), ne uključujući pojedinačna plovila kojima upravljaju te kompanije |
| --- | --- |

—

kompanije za prijevoz putnika unutarnjim plovnim putovima, morem i duž obale kako su definirane za pomorski promet u Prilogu I. Uredbi (EZ) br. 725/2004 Europskog parlamenta i Vijeća (10), ne uključujući pojedinačna plovila kojima upravljaju te kompanije

| — | upravljačka tijela luka kako su definirane u članku 3. točki 1. Direktive 2005/65/EZ Europskog parlamenta i Vijeća (11), uključujući njihove luke kako su definirane u članku 2. točki 11. Uredbe (EZ) br. 725/2004 te subjekti koji upravljaju postrojenjima i opremom u lukama |
| --- | --- |

—

upravljačka tijela luka kako su definirane u članku 3. točki 1. Direktive 2005/65/EZ Europskog parlamenta i Vijeća (11), uključujući njihove luke kako su definirane u članku 2. točki 11. Uredbe (EZ) br. 725/2004 te subjekti koji upravljaju postrojenjima i opremom u lukama

| — | služba za nadzor i upravljanje pomorskim prometom (VTS) kako je definirana u članku 3. točki (o) Direktive 2002/59/EZ Europskog parlamenta i Vijeća (12) |
| --- | --- |

—

služba za nadzor i upravljanje pomorskim prometom (VTS) kako je definirana u članku 3. točki (o) Direktive 2002/59/EZ Europskog parlamenta i Vijeća (12)

| (d) | cestovni promet |
| --- | --- |

(d)

cestovni promet

| — | tijela nadležna za ceste kako su definirana u članku 2. točki 12. Delegirane uredbe Komisije (EU) 2015/962 (13) odgovorna za kontrolu upravljanja prometom, osim javnih subjekata kojima upravljanje prometom ili rad inteligentnih prometnih sustava nisu ključni dio njihove opće djelatnosti |
| --- | --- |

—

tijela nadležna za ceste kako su definirana u članku 2. točki 12. Delegirane uredbe Komisije (EU) 2015/962 (13) odgovorna za kontrolu upravljanja prometom, osim javnih subjekata kojima upravljanje prometom ili rad inteligentnih prometnih sustava nisu ključni dio njihove opće djelatnosti

| — | operatori inteligentnih prometnih sustava kako su definirani u članku 4. točki 1. Direktive 2010/40/EU Europskog parlamenta i Vijeća (14) |
| --- | --- |

—

operatori inteligentnih prometnih sustava kako su definirani u članku 4. točki 1. Direktive 2010/40/EU Europskog parlamenta i Vijeća (14)

| 3. | Bankarstvo |
| --- | --- |

3.

Bankarstvo

kreditne institucije kako su definirane u članku 4. točki 1. Uredbe (EU) br. 575/2013 Europskog parlamenta i Vijeća (15)

| 4. | Infrastruktura financijskog tržišta |
| --- | --- |

4.

Infrastruktura financijskog tržišta

| — | operatori mjestâ trgovanja kako su definirani u članku 4. točki 24. Direktive 2014/65/EU Europskog parlamenta i Vijeća (16) |
| --- | --- |

—

operatori mjestâ trgovanja kako su definirani u članku 4. točki 24. Direktive 2014/65/EU Europskog parlamenta i Vijeća (16)

| — | središnje druge ugovorne strane (CCP-i) kako su definirane u članku 2. točki 1. Uredbe (EU) br. 648/2012 Europskog parlamenta i Vijeća (17) |
| --- | --- |

—

središnje druge ugovorne strane (CCP-i) kako su definirane u članku 2. točki 1. Uredbe (EU) br. 648/2012 Europskog parlamenta i Vijeća (17)

| 5. | Zdravlje |
| --- | --- |

5.

Zdravlje

| — | pružatelji zdravstvene zaštite kako su definirani u članku 3. točki (g) Direktive 2011/24/EU Europskog parlamenta i Vijeća (18) |
| --- | --- |

—

pružatelji zdravstvene zaštite kako su definirani u članku 3. točki (g) Direktive 2011/24/EU Europskog parlamenta i Vijeća (18)

| — | referentni laboratoriji EU-a iz članka 15. Uredbe (EU) 2022/2371 Europskog parlamenta i Vijeća (19) |
| --- | --- |

—

referentni laboratoriji EU-a iz članka 15. Uredbe (EU) 2022/2371 Europskog parlamenta i Vijeća (19)

| — | subjekti koji obavljaju djelatnosti istraživanja i razvoja lijekova kako su definirani u članku 1. točki 2. Direktive 2001/83/EZ Europskog parlamenta i Vijeća (20) |
| --- | --- |

—

subjekti koji obavljaju djelatnosti istraživanja i razvoja lijekova kako su definirani u članku 1. točki 2. Direktive 2001/83/EZ Europskog parlamenta i Vijeća (20)

| — | subjekti koji proizvode osnovne farmaceutske proizvode i farmaceutske pripravke iz područja C odjeljka 21. NACE Rev. 2 |
| --- | --- |

—

subjekti koji proizvode osnovne farmaceutske proizvode i farmaceutske pripravke iz područja C odjeljka 21. NACE Rev. 2

| — | subjekti koji proizvode medicinske proizvode koji se smatraju ključnima tijekom izvanrednog stanja u području javnog zdravlja („popis ključnih medicinskih proizvoda u slučaju izvanrednog stanja u području javnog zdravlja”) u smislu članka 22. Uredbe (EU) 2022/123 Europskog parlamenta i Vijeća (21) |
| --- | --- |

—

subjekti koji proizvode medicinske proizvode koji se smatraju ključnima tijekom izvanrednog stanja u području javnog zdravlja („popis ključnih medicinskih proizvoda u slučaju izvanrednog stanja u području javnog zdravlja”) u smislu članka 22. Uredbe (EU) 2022/123 Europskog parlamenta i Vijeća (21)

| 6. | Voda za piće |
| --- | --- |

6.

Voda za piće

dobavljači i distributeri vode namijenjene za ljudsku potrošnju kako je definirana u članku 2. točki 1. podtočki (a) Direktive (EU) 2020/2184 Europskog parlamenta i Vijeća (22), isključujući distributere kojima distribucija vode za ljudsku potrošnju nije ključni dio njihove općenite djelatnosti distribucije druge robe i proizvoda

| 7. | Otpadne vode |
| --- | --- |

7.

Otpadne vode

poduzeća koja prikupljaju, odlažu ili pročišćavaju komunalne otpadne vode, otpadne vode iz kućanstva ili industrijske otpadne vode kako su definirane u članku 2. točkama od 1., 2., i 3. Direktive Vijeća 91/271/EEZ (23), ali isključujući poduzeća kojima prikupljanje, odlaganje ili pročišćavanje komunalnih otpadnih voda, otpadnih voda iz kućanstva ili industrijskih otpadnih voda nije ključni dio njihove općenite djelatnosti

| 8. | Digitalna infrastruktura |
| --- | --- |

8.

Digitalna infrastruktura

| — | pružatelji središta za razmjenu internetskog prometa |
| --- | --- |

—

pružatelji središta za razmjenu internetskog prometa

| — | pružatelji usluga DNS-a, osim operatora korijenskih poslužitelja naziva |
| --- | --- |

—

pružatelji usluga DNS-a, osim operatora korijenskih poslužitelja naziva

| — | registri naziva vršnih domena |
| --- | --- |

—

registri naziva vršnih domena

| — | pružatelji usluga računalstva u oblaku |
| --- | --- |

—

pružatelji usluga računalstva u oblaku

| — | pružatelji usluga podatkovnog centra |
| --- | --- |

—

pružatelji usluga podatkovnog centra

| — | pružatelji mreže za isporuku sadržaja |
| --- | --- |

—

pružatelji mreže za isporuku sadržaja

| — | pružatelji usluga povjerenja |
| --- | --- |

—

pružatelji usluga povjerenja

| — | pružatelji javnih elektroničkih komunikacijskih mreža |
| --- | --- |

—

pružatelji javnih elektroničkih komunikacijskih mreža

| — | pružatelji javno dostupnih elektroničkih komunikacijskih usluga |
| --- | --- |

—

pružatelji javno dostupnih elektroničkih komunikacijskih usluga

| 9. | Upravljanje uslugama IKT-a (B2B) |
| --- | --- |

9.

Upravljanje uslugama IKT-a (B2B)

| — | pružatelji upravljanih usluga |
| --- | --- |

—

pružatelji upravljanih usluga

| — | pružatelji upravljanih sigurnosnih usluga |
| --- | --- |

—

pružatelji upravljanih sigurnosnih usluga

| 10. | Javna uprava |
| --- | --- |

10.

Javna uprava

| — | subjekti središnje državne uprave kako ih je definirala država članica u skladu s nacionalnim pravom |
| --- | --- |

—

subjekti središnje državne uprave kako ih je definirala država članica u skladu s nacionalnim pravom

| — | subjekti javne uprave na regionalnoj razini kako ih je definirala država članica u skladu s nacionalnim pravom |
| --- | --- |

—

subjekti javne uprave na regionalnoj razini kako ih je definirala država članica u skladu s nacionalnim pravom

| 11. | Svemir |
| --- | --- |

11.

Svemir

operatori zemaljske infrastrukture, koji su u vlasništvu, kojima upravljaju i koje vode države članice ili privatne strane te koji podupiru pružanje usluga u svemiru, isključujući pružatelje javnih elektroničkih komunikacijskih mreža

---

(1)  Direktiva (EU) 2019/944 Europskog parlamenta i Vijeća od 5. lipnja 2019. o zajedničkim pravilima za unutarnje tržište električne energije i izmjeni Direktive 2012/27/EU (SL L 158, 14.6.2019., str. 125.).

(2)  Uredba (EU) 2019/943 Europskog parlamenta i Vijeća od 5. lipnja 2019. o unutarnjem tržištu električne energije (SL L 158, 14.6.2019., str. 54.).

(3)  Direktiva (EU) 2018/2001 Europskog parlamenta i Vijeća od 11. prosinca 2018. o promicanju uporabe energije iz obnovljivih izvora (SL L 328, 21.12.2018., str. 82.).

(4)  Direktiva Vijeća 2009/119/EZ od 14. rujna 2009. o obvezi država članica da održavaju minimalne zalihe sirove nafte i/ili naftnih derivata (SL L 265, 9.10.2009., str. 9.).

(5)  Direktiva 2009/73/EZ Europskog parlamenta i Vijeća od 13. srpnja 2009. o zajedničkim pravilima za unutarnje tržište prirodnog plina i stavljanju izvan snage Direktive 2003/55/EZ (SL L 211, 14.8.2009., str. 94.).

(6)  Direktiva 2009/12/EZ Europskog parlamenta i Vijeća od 11. ožujka 2009. o naknadama zračnih luka (SL L 70, 14.3.2009., str. 11.).

(7)  Uredba (EU) br. 1315/2013 Europskog parlamenta i Vijeća od 11. prosinca 2013. o smjernicama Unije za razvoj transeuropske prometne mreže i stavljanju izvan snage Odluke br. 661/2010/EU (SL L 348, 20.12.2013., str. 1.).

(8)  Uredba (EZ) br. 549/2004 Europskog parlamenta i Vijeća od 10. ožujka 2004. o utvrđivanju okvira za stvaranje jedinstvenog europskog neba (Okvirna uredba) (SL L 96, 31.3.2004., str. 1.).

(9)  Direktiva 2012/34/EU Europskog parlamenta i Vijeća od 21. studenoga 2012. o uspostavi jedinstvenog Europskog željezničkog prostora (SL L 343, 14.12.2012., str. 32.).

(10)  Uredba (EZ) br. 725/2004 Europskog parlamenta i Vijeća od 31. ožujka 2004. o jačanju sigurnosne zaštite brodova i luka (SL L 129, 29.4.2004., str. 6.).

(11)  Direktiva 2005/65/EZ Europskog parlamenta i Vijeća od 26. listopada 2005. o jačanju sigurnosne zaštite luka (SL L 310, 25.11.2005., str. 28.).

(12)  Direktiva 2002/59/EZ Europskog parlamenta i Vijeća od 27. lipnja 2002. o uspostavi sustava nadzora plovidbe i informacijskog sustava Zajednice i stavljanju izvan snage Direktive Vijeća 93/75/EEZ (SL L 208, 5.8.2002., str. 10.).

(13)  Delegirana uredba Komisije (EU) 2015/962 od 18. prosinca 2014. o dopuni Direktive 2010/40/EU Europskog parlamenta i Vijeća u pogledu pružanja usluga prometnih informacija u cijeloj Europskoj uniji u realnom vremenu (SL L 157, 23.6.2015., str. 21.).

(14)  Direktiva 2010/40/EU Europskog parlamenta i Vijeća od 7. srpnja 2010. o okviru za uvođenje inteligentnih prometnih sustava u cestovnom prometu i za veze s ostalim vrstama prijevoza (SL L 207, 6.8.2010., str. 1.).

(15)  Uredba (EU) br. 575/2013 Europskog parlamenta i Vijeća od 26. lipnja 2013. o bonitetnim zahtjevima za kreditne institucije i o izmjeni Uredbe (EU) br. 648/2012 (SL L 176, 27.6.2013., str. 1.).

(16)  Direktiva 2014/65/EU Europskog parlamenta i Vijeća od 15. svibnja 2014. o tržištu financijskih instrumenata i izmjeni Direktive 2002/92/EZ i Direktive 2011/61/EU (SL L 173, 12.6.2014., str. 349.).

(17)  Uredba (EU) br. 648/2012 Europskog parlamenta i Vijeća od 4. srpnja 2012. o OTC izvedenicama, središnjoj drugoj ugovornoj strani i trgovinskom repozitoriju (SL L 201, 27.7.2012., str. 1.).

(18)  Direktiva 2011/24/EU Europskog parlamenta i Vijeća od 9. ožujka 2011. o primjeni prava pacijenata u prekograničnoj zdravstvenoj skrbi (SL L 88, 4.4.2011., str. 45.).

(19)  Uredba EU 2022/2371 Europskog parlamenta i Vijeća od 23. studenoga 2022. o ozbiljnim prekograničnim prijetnjama zdravlju i o stavljanju izvan snage Odluke br. 1082/2013/EU (SL L 314, 6.12.2022., str. 26.).

(20)  Direktiva 2001/83/EZ Europskog parlamenta i Vijeća od 6. studenoga 2001. o zakoniku Zajednice o lijekovima za humanu primjenu (SL L 311, 28.11.2001., str. 67.).

(21)  Uredba (EU) 2022/123 Europskog parlamenta od 25. siječnja 2022. i Vijeća o pojačanoj ulozi Europske agencije za lijekove u pripravnosti za krizne situacije i upravljanju njima u području lijekova i medicinskih proizvoda (SL L 20, 31.1.2022., str. 1).

(22)  Direktiva (EU) 2020/2184 Europskog parlamenta i Vijeća od 16. prosinca 2020. o kvaliteti vode namijenjene za ljudsku potrošnju (SL L 435, 23.12.2020., str. 1.).

(23)  Direktiva Vijeća 91/271/EEZ od 21. svibnja 1991. o pročišćavanju komunalnih otpadnih voda (SL L 135, 30.5.1991., str. 40.).

---

PRILOG II.

DRUGI KRITIČNI SEKTORI

| Sektor | Podsektor | Vrsta subjekta |
| --- | --- | --- |
| 1. | Poštanske i kurirske usluge |

Sektor

Podsektor

Vrsta subjekta

1.

Poštanske i kurirske usluge

pružatelji poštanskih usluga kako su definirani u članku 2. točki 1.a Direktive 97/67/EZ, uključujući pružatelje kurirskih usluga

| 2. | Gospodarenje otpadom |
| --- | --- |

2.

Gospodarenje otpadom

poduzeća koja se bave gospodarenjem otpadom kako je definirano u članku 3. točki 9. Direktive 2008/98/EZ Europskog parlamenta i Vijeća (1), isključujući poduzeća kojima gospodarenje otpadom nije glavna gospodarska djelatnost

| 3. | Izrada, proizvodnja i distribucija kemikalija |
| --- | --- |

3.

Izrada, proizvodnja i distribucija kemikalija

poduzeća koja se bave izradom tvari te distribucijom tvari ili mješavina kako su definirana u članku 3. točkama 9. i 14. Uredbe (EZ) br. 1907/2006 Europskog parlamenta i Vijeća (2) i poduzeća koja se bave proizvodnjom proizvoda kako su definirana u članku 3. točki 3. te uredbe, iz tvari ili mješavina

| 4. | Proizvodnja, prerada i distribucija hrane |
| --- | --- |

4.

Proizvodnja, prerada i distribucija hrane

poduzeća za poslovanje s hranom kako su definirana u članku 3. točki 2. Uredbe (EZ) br. 178/2002 Europskog parlamenta i Vijeća (3) koja se bave veleprodajom te industrijskom proizvodnjom i preradom

| 5. | Proizvodnja |
| --- | --- |

5.

Proizvodnja

| (a) | proizvodnja medicinskih proizvoda i in vitro dijagnostičkih medicinskih proizvoda |
| --- | --- |

(a)

proizvodnja medicinskih proizvoda i in vitro dijagnostičkih medicinskih proizvoda

subjekti koji proizvode medicinske proizvode kako su definirani u članku 2. točki 1. Uredbe (EU) 2017/745 Europskog parlamenta i Vijeća (4) i subjekti koji proizvode in vitro dijagnostičke medicinske proizvode kako su definirani u članku 2. točki 2. Uredbe (EU) 2017/746 Europskog parlamenta i Vijeća (5), osim subjekata koji proizvode medicinske proizvode navedene u Prilogu I. točki 5. petoj alineji ove Direktive.

| (b) | proizvodnja računala te elektroničkih i optičkih proizvoda |
| --- | --- |

(b)

proizvodnja računala te elektroničkih i optičkih proizvoda

poduzeća koja obavljaju bilo koju od gospodarskih djelatnosti iz područja C odjeljka 26. NACE Rev. 2

| (c) | proizvodnja električne opreme |
| --- | --- |

(c)

proizvodnja električne opreme

poduzeća koja obavljaju bilo koju od gospodarskih djelatnosti iz područja C odjeljka 27. NACE Rev. 2

| (d) | proizvodnja strojeva i uređaja, d. n. |
| --- | --- |

(d)

proizvodnja strojeva i uređaja, d. n.

poduzeća koja obavljaju bilo koju od gospodarskih djelatnosti iz područja C odjeljka 28. NACE Rev. 2

| (e) | proizvodnja motornih vozila, prikolica i poluprikolica |
| --- | --- |

(e)

proizvodnja motornih vozila, prikolica i poluprikolica

poduzeća koja obavljaju bilo koju od gospodarskih djelatnosti iz područja C odjeljka 29. NACE Rev. 2

| (f) | proizvodnja ostale opreme za prijevoz |
| --- | --- |

(f)

proizvodnja ostale opreme za prijevoz

poduzeća koja obavljaju bilo koju od gospodarskih djelatnosti iz područja C odjeljka 30. NACE Rev. 2

| 6. | Pružatelji digitalnih usluga |
| --- | --- |

6.

Pružatelji digitalnih usluga

| — | pružatelji internetskih tržišta |
| --- | --- |

—

pružatelji internetskih tržišta

| — | pružatelji internetskih tražilica |
| --- | --- |

—

pružatelji internetskih tražilica

| — | pružatelji platforma za usluge društvenih mreža |
| --- | --- |

—

pružatelji platforma za usluge društvenih mreža

| 7. | Istraživanje |
| --- | --- |

7.

Istraživanje

Istraživačke organizacije

---

(1)  Direktiva 2008/98/EZ Europskog parlamenta i Vijeća od 19. studenoga 2008. o otpadu i stavljanju izvan snage određenih direktiva (SL L 312, 22.11.2008., str. 3.).

(2)  Uredba (EZ) br. 1907/2006 Europskog parlamenta i Vijeća od 18. prosinca 2006. o registraciji, evaluaciji, autorizaciji i ograničavanju kemikalija (REACH), o osnivanju Europske agencije za kemikalije i o izmjeni Direktive 1999/45/EZ i stavljanju izvan snage Uredbe Vijeća (EEZ) br. 793/93 i Uredbe Komisije (EZ) br. 1488/94, kao i Direktive Vijeća 76/769/EEZ te Direktiva Komisije 91/155/EEZ, 93/67/EEZ, 93/105/EZ i 2000/21/EZ (SL L 396, 30.12.2006., str. 1.).

(3)  Uredba (EZ) br. 178/2002 Europskog parlamenta i Vijeća od 28. siječnja 2002. o utvrđivanju općih načela i uvjeta zakona o hrani, osnivanju Europske agencije za sigurnost hrane te utvrđivanju postupaka u područjima sigurnosti hrane (SL L 31, 1.2.2002., str. 1.).

(4)  Uredba (EU) 2017/745 Europskog parlamenta i Vijeća od 5. travnja 2017. o medicinskim proizvodima, o izmjeni Direktive 2001/83/EZ, Uredbe (EZ) br. 178/2002 i Uredbe (EZ) br. 1223/2009 te o stavljanju izvan snage direktiva Vijeća 90/385/EEZ i 93/42/EEZ (SL L 117, 5.5.2017., str. 1.).

(5)  Uredba (EU) 2017/746 Europskog parlamenta i Vijeća od 5. travnja 2017. o in vitro dijagnostičkim medicinskim proizvodima te o stavljanju izvan snage Direktive 98/79/EZ i Odluke Komisije 2010/227/EU (SL L 117, 5.5.2017., str. 176.).

---

PRILOG III.

KORELACIJSKA TABLICA

| Direktiva (EU) 2016/1148 | Ova Direktiva |
| --- | --- |
| članak 1. stavak 1. | članak 1. stavak 1. |
| članak 1. stavak 2. | članak 1. stavak 2. |
| članak 1. stavak 3. | - |
| članak 1. stavak 4. | članak 2. stavak 12. |
| članak 1. stavak 5. | članak 2. stavak 13. |
| članak 1. stavak 6. | članak 2. stavci 6. i 11. |
| članak 1. stavak 7. | članak 4. |
| članak 2. | članak 2. stavak 14. |
| članak 3. | članak 5. |
| članak 4. | članak 6. |
| članak 5. | - |
| članak 6. | - |
| članak 7. stavak 1. | članak 7. stavci 1. i 2. |
| članak 7. stavak 2. | članak 7. stavak 4. |
| članak 7. stavak 3. | članak 7. stavak 3. |
| članak 8. stavci od 1. do 5. | članak 8. stavci od 1. do 5. |
| članak 8. stavak 6. | članak 13. stavak 4. |
| članak 8. stavak 7. | članak 8. stavak 6. |
| članak 9. stavci 1., 2. i 3. | članak 10. stavci 1., 2. i 3. |
| članak 9. stavak 4. | članak 10. stavak 9. |
| članak 9. stavak 5. | članak 10. stavak 10. |
| članak 10. stavak 1., stavak 2. i stavak 3. prvi podstavak | članak 13. stavci 1., 2. i 3. |
| članak 10. stavak 3. drugi podstavak | članak 23. stavak 9. |
| članak 11. stavak 1. | članak 14. stavci 1. i 2. |
| članak 11. stavak 2. | članak 14. stavak 3. |
| članak 11. stavak 3. | članak 14. stavak 4. prvi podstavak točke od (a) do (q) i točka (s) i stavak 7. |
| članak 11. stavak 4. | članak 14. stavak 4. prvi podstavak točka (r) i drugi podstavak |
| članak 11. stavak 5. | članak 14. stavak 8. |
| članak 12. stavci od 1. do 5. | članak 15. stavci od 1. do 5. |
| članak 13. | članak 17. |
| članak 14. stavci 1. i 2. | članak 21. stavci od 1. do 4. |
| članak 14. stavak 3. | članak 23. stavak 1. |
| članak 14. stavak 4. | članak 23. stavak 3. |
| članak 14. stavak 5. | članak 23. stavci 5., 6. i 8. |
| članak 14. stavak 6. | članak 23. stavak 7. |
| članak 14. stavak 7. | članak 23. stavak 11. |
| članak 15. stavak 1. | članak 31. stavak 1. |
| članak 15. stavak 2. prvi podstavak točka (a) | članak 32. stavak 2. točka (e) |
| članak 15. stavak 2. prvi podstavak točka (b) | članak 32. stavak 2. točka (g) |
| članak 15. stavak 2. drugi podstavak | članak 32. stavak 3. |
| članak 15. stavak 3. | članak 32. stavak 4. točka (b) |
| članak 15. stavak 4. | članak 31. stavak 3. |
| članak 16. stavci 1. i 2. | članak 21. stavci od 1. do 4. |
| članak 16. stavak 3. | članak 23. stavak 1. |
| članak 16. stavak 4. | članak 23. stavak 3. |
| članak 16. stavak 5. | - |
| članak 16. stavak 6. | članak 23. stavak 6. |
| članak 16. stavak 7. | članak 23. stavak 7. |
| članak 16. stavci 8. i 9. | članak 21. stavak 5. i članak 23. stavak 11. |
| članak 16. stavak 10. | - |
| članak 16. stavak 11. | članak 2. stavci 1., 2. i 3. |
| članak 17. stavak 1. | članak 33. stavak 1. |
| članak 17. stavak 2. točka (a) | članak 32. stavak 2. točka (e) |
| članak 17. stavak 2. točka (b) | članak 32. stavak 4. točka (b) |
| članak 17. stavak 3. | članak 37. stavak 1. točke (a) i (b) |
| članak 18. stavak 1. | članak 26. stavak 1. točka (b) i stavak 2. |
| članak 18. stavak 2. | članak 26. stavak 3. |
| članak 18. stavak 3. | članak 26. stavak 4. |
| članak 19. | članak 25. |
| članak 20. | članak 30. |
| članak 21. | članak 36. |
| članak 22. | članak 39. |
| članak 23. | članak 40. |
| članak 24. | - |
| članak 25. | članak 41. |
| članak 26. | članak 45. |
| članak 27. | članak 46. |
| Prilog I. točka 1. | članak 11. stavak 1. |
| Prilog I. točka 2. podtočka (a) podtočke od i. do iv. | članak 11. stavak 2. točke od (a) do (d) |
| Prilog I. točka 2. podtočka (a) podtočka v. | članak 11. stavak 2. točka (f) |
| Prilog I. točka 2. podtočka (b) | članak 11. stavak 4. |
| Prilog I. točka 2. podtočka (c) podtočke i. i ii. | članak 11. stavak 5. točka (a) |
| Prilog II. | Prilog I. |
| Prilog III. točke 1. i 2. | Prilog II. točka 6. |
| Prilog III. točka 3. | Prilog I. točka 8. |

Direktiva (EU) 2016/1148

Ova Direktiva

članak 1. stavak 1.

članak 1. stavak 1.

članak 1. stavak 2.

članak 1. stavak 2.

članak 1. stavak 3.

-

članak 1. stavak 4.

članak 2. stavak 12.

članak 1. stavak 5.

članak 2. stavak 13.

članak 1. stavak 6.

članak 2. stavci 6. i 11.

članak 1. stavak 7.

članak 4.

članak 2.

članak 2. stavak 14.

članak 3.

članak 5.

članak 4.

članak 6.

članak 5.

-

članak 6.

-

članak 7. stavak 1.

članak 7. stavci 1. i 2.

članak 7. stavak 2.

članak 7. stavak 4.

članak 7. stavak 3.

članak 7. stavak 3.

članak 8. stavci od 1. do 5.

članak 8. stavci od 1. do 5.

članak 8. stavak 6.

članak 13. stavak 4.

članak 8. stavak 7.

članak 8. stavak 6.

članak 9. stavci 1., 2. i 3.

članak 10. stavci 1., 2. i 3.

članak 9. stavak 4.

članak 10. stavak 9.

članak 9. stavak 5.

članak 10. stavak 10.

članak 10. stavak 1., stavak 2. i stavak 3. prvi podstavak

članak 13. stavci 1., 2. i 3.

članak 10. stavak 3. drugi podstavak

članak 23. stavak 9.

članak 11. stavak 1.

članak 14. stavci 1. i 2.

članak 11. stavak 2.

članak 14. stavak 3.

članak 11. stavak 3.

članak 14. stavak 4. prvi podstavak točke od (a) do (q) i točka (s) i stavak 7.

članak 11. stavak 4.

članak 14. stavak 4. prvi podstavak točka (r) i drugi podstavak

članak 11. stavak 5.

članak 14. stavak 8.

članak 12. stavci od 1. do 5.

članak 15. stavci od 1. do 5.

članak 13.

članak 17.

članak 14. stavci 1. i 2.

članak 21. stavci od 1. do 4.

članak 14. stavak 3.

članak 23. stavak 1.

članak 14. stavak 4.

članak 23. stavak 3.

članak 14. stavak 5.

članak 23. stavci 5., 6. i 8.

članak 14. stavak 6.

članak 23. stavak 7.

članak 14. stavak 7.

članak 23. stavak 11.

članak 15. stavak 1.

članak 31. stavak 1.

članak 15. stavak 2. prvi podstavak točka (a)

članak 32. stavak 2. točka (e)

članak 15. stavak 2. prvi podstavak točka (b)

članak 32. stavak 2. točka (g)

članak 15. stavak 2. drugi podstavak

članak 32. stavak 3.

članak 15. stavak 3.

članak 32. stavak 4. točka (b)

članak 15. stavak 4.

članak 31. stavak 3.

članak 16. stavci 1. i 2.

članak 21. stavci od 1. do 4.

članak 16. stavak 3.

članak 23. stavak 1.

članak 16. stavak 4.

članak 23. stavak 3.

članak 16. stavak 5.

-

članak 16. stavak 6.

članak 23. stavak 6.

članak 16. stavak 7.

članak 23. stavak 7.

članak 16. stavci 8. i 9.

članak 21. stavak 5. i članak 23. stavak 11.

članak 16. stavak 10.

-

članak 16. stavak 11.

članak 2. stavci 1., 2. i 3.

članak 17. stavak 1.

članak 33. stavak 1.

članak 17. stavak 2. točka (a)

članak 32. stavak 2. točka (e)

članak 17. stavak 2. točka (b)

članak 32. stavak 4. točka (b)

članak 17. stavak 3.

članak 37. stavak 1. točke (a) i (b)

članak 18. stavak 1.

članak 26. stavak 1. točka (b) i stavak 2.

članak 18. stavak 2.

članak 26. stavak 3.

članak 18. stavak 3.

članak 26. stavak 4.

članak 19.

članak 25.

članak 20.

članak 30.

članak 21.

članak 36.

članak 22.

članak 39.

članak 23.

članak 40.

članak 24.

-

članak 25.

članak 41.

članak 26.

članak 45.

članak 27.

članak 46.

Prilog I. točka 1.

članak 11. stavak 1.

Prilog I. točka 2. podtočka (a) podtočke od i. do iv.

članak 11. stavak 2. točke od (a) do (d)

Prilog I. točka 2. podtočka (a) podtočka v.

članak 11. stavak 2. točka (f)

Prilog I. točka 2. podtočka (b)

članak 11. stavak 4.

Prilog I. točka 2. podtočka (c) podtočke i. i ii.

članak 11. stavak 5. točka (a)

Prilog II.

Prilog I.

Prilog III. točke 1. i 2.

Prilog II. točka 6.

Prilog III. točka 3.

Prilog I. točka 8.

---

| 27.12.2022 | HR | Službeni list Europske unije | L 333/153 |
| --- | --- | --- | --- |

27.12.2022

HR

Službeni list Europske unije

L 333/153

---

DIREKTIVA (EU) 2022/2556 EUROPSKOG PARLAMENTA I VIJEĆA

od 14. prosinca 2022.

o izmjeni direktiva 2009/65/EZ, 2009/138/EZ, 2011/61/EU, 2013/36/EU, 2014/59/EU, 2014/65/EU, (EU) 2015/2366 i (EU) 2016/2341 u pogledu digitalne operativne otpornosti za financijski sektor

(Tekst značajan za EGP)

EUROPSKI PARLAMENT I VIJEĆE EUROPSKE UNIJE,

uzimajući u obzir Ugovor o funkcioniranju Europske unije, a posebno njegov članak 53. stavak 1. i članak 114.,

uzimajući u obzir prijedlog Europske komisije,

nakon prosljeđivanja nacrta zakonodavnog akta nacionalnim parlamentima,

uzimajući u obzir mišljenje Europske središnje banke (1),

uzimajući u obzir mišljenje Europskoga gospodarskog i socijalnog odbora (2),

u skladu s redovnim zakonodavnim postupkom (3),

budući da:

| (1) | Unija se mora na primjeren i sveobuhvatan način nositi s digitalnim rizicima kojima su izloženi svi financijski subjekti, a koji proizlaze iz povećane primjene informacijske i komunikacijske tehnologije (IKT) pri pružanju i upotrebi financijskih usluga, te tako doprinijeti ostvarivanju potencijala digitalnih financija u smislu poticanja inovacija i promicanja tržišnog natjecanja u sigurnom digitalnom okruženju. |
| --- | --- |

(1)

Unija se mora na primjeren i sveobuhvatan način nositi s digitalnim rizicima kojima su izloženi svi financijski subjekti, a koji proizlaze iz povećane primjene informacijske i komunikacijske tehnologije (IKT) pri pružanju i upotrebi financijskih usluga, te tako doprinijeti ostvarivanju potencijala digitalnih financija u smislu poticanja inovacija i promicanja tržišnog natjecanja u sigurnom digitalnom okruženju.

| (2) | Financijski subjekti u svojem se svakodnevnom poslovanju u velikoj mjeri oslanjaju na primjenu digitalne tehnologije. Stoga je iznimno važno osigurati operativnu otpornost njihovih digitalnih operacija na IKT rizik. Ta potreba postaje sve važnija zbog rasta revolucionarnih tehnologija na tržištu, a posebno tehnologija kojima se omogućuje da se digitalni prikazi vrijednosti ili pravâ elektronički prenose i pohranjuju primjenom tehnologije distribuiranog zapisa ili slične tehnologije (kriptoimovina), te rasta usluga povezanih s tom imovinom. |
| --- | --- |

(2)

Financijski subjekti u svojem se svakodnevnom poslovanju u velikoj mjeri oslanjaju na primjenu digitalne tehnologije. Stoga je iznimno važno osigurati operativnu otpornost njihovih digitalnih operacija na IKT rizik. Ta potreba postaje sve važnija zbog rasta revolucionarnih tehnologija na tržištu, a posebno tehnologija kojima se omogućuje da se digitalni prikazi vrijednosti ili pravâ elektronički prenose i pohranjuju primjenom tehnologije distribuiranog zapisa ili slične tehnologije (kriptoimovina), te rasta usluga povezanih s tom imovinom.

| (3) | Na razini Unije zahtjevi koji se odnose na upravljanje IKT rizikom u financijskom sektoru trenutačno su sadržani u direktivama 2009/65/EZ (4), 2009/138/EZ (5), 2011/61/EU (6), 2013/36/EU (7), 2014/59/EU (8), 2014/65/EU (9), (EU) 2015/2366 (10) i (EU) 2016/2341 (11) Europskog parlamenta i Vijeća.
  Ti su zahtjevi različiti i ponekad nepotpuni. U nekim je slučajevima IKT rizik samo implicitno obuhvaćen kao dio operativnog rizika, a u drugima uopće nije obuhvaćen. Te probleme ispravlja se donošenjem Uredbe (EU) 2022/2554 Europskog parlamenta i Vijeća (12). Navedene bi direktive stoga trebalo izmijeniti kako bi se osigurala dosljednost s tom uredbom. Ovom se Direktivom donosi niz izmjena koje su potrebne radi pravne jasnoće i dosljednosti u vezi s raznim zahtjevima u pogledu digitalne operativne otpornosti koje primjenjuju financijski subjekti koji imaju odobrenje za rad i nad kojima se provodi nadzor u skladu s navedenim direktivama, a koji su potrebni pri obavljanju njihovih djelatnosti i pri pružanju usluga, čime se jamči neometano funkcioniranje unutarnjeg tržišta. Potrebno je osigurati prikladnost tih zahtjeva u odnosu na kretanja na tržištu, uz istodobno poticanje razmjernosti, posebno s obzirom na veličinu financijskih subjekata i posebne režime kojima oni podliježu, kako bi se smanjili troškovi osiguravanja usklađenosti. |
| --- | --- |

(3)

Na razini Unije zahtjevi koji se odnose na upravljanje IKT rizikom u financijskom sektoru trenutačno su sadržani u direktivama 2009/65/EZ (4), 2009/138/EZ (5), 2011/61/EU (6), 2013/36/EU (7), 2014/59/EU (8), 2014/65/EU (9), (EU) 2015/2366 (10) i (EU) 2016/2341 (11) Europskog parlamenta i Vijeća.

Ti su zahtjevi različiti i ponekad nepotpuni. U nekim je slučajevima IKT rizik samo implicitno obuhvaćen kao dio operativnog rizika, a u drugima uopće nije obuhvaćen. Te probleme ispravlja se donošenjem Uredbe (EU) 2022/2554 Europskog parlamenta i Vijeća (12). Navedene bi direktive stoga trebalo izmijeniti kako bi se osigurala dosljednost s tom uredbom. Ovom se Direktivom donosi niz izmjena koje su potrebne radi pravne jasnoće i dosljednosti u vezi s raznim zahtjevima u pogledu digitalne operativne otpornosti koje primjenjuju financijski subjekti koji imaju odobrenje za rad i nad kojima se provodi nadzor u skladu s navedenim direktivama, a koji su potrebni pri obavljanju njihovih djelatnosti i pri pružanju usluga, čime se jamči neometano funkcioniranje unutarnjeg tržišta. Potrebno je osigurati prikladnost tih zahtjeva u odnosu na kretanja na tržištu, uz istodobno poticanje razmjernosti, posebno s obzirom na veličinu financijskih subjekata i posebne režime kojima oni podliježu, kako bi se smanjili troškovi osiguravanja usklađenosti.

| (4) | U području bankarskih usluga, u Direktivi 2013/36/EU trenutačno su utvrđena samo opća pravila o internom upravljanju i odredbe o operativnom riziku koje sadržavaju zahtjeve u pogledu planova za nepredvidive situacije i planova kontinuiteta poslovanja koji implicitno služe kao osnova za nošenje s IKT rizikom. Međutim, kako bi se na eksplicitan i jasan način nosilo s IKT rizikom, zahtjeve u pogledu planova za nepredvidive situacije i planova kontinuiteta poslovanja trebalo bi izmijeniti tako da obuhvaćaju i planove kontinuiteta poslovanja i planove odgovora i oporavka koji se odnose na IKT rizik, u skladu sa zahtjevima utvrđenima u Uredbi (EU) 2022/2554. Osim toga, IKT rizik samo je implicitno uključen, kao dio operativnog rizika, u postupak nadzorne provjere i ocjene (SREP) koji provode nadležna tijela, a kriteriji za njegovu procjenu trenutačno su definirani u Smjernicama o procjeni rizika IKT-a u okviru postupka nadzorne provjere i ocjene (SREP) koje je izdalo europsko nadzorno tijelo (Europsko nadzorno tijelo za bankarstvo – EBA) osnovano Uredbom (EU) br. 1093/2010 Europskog parlamenta i Vijeća (13). Kako bi se pružila pravna jasnoća i osiguralo da tijela za nadzor banaka djelotvorno utvrđuju IKT rizik i prate upravljanje tim rizikom od strane financijskih subjekata u skladu s novim okvirom o digitalnoj operativnoj otpornosti, područje primjene SREP-a trebalo bi također izmijeniti kako bi se u njemu izričito upućivalo na zahtjeve utvrđene u Uredbi (EU) 2022/2554 i kako bi se osobito obuhvatili rizici koji su otkriveni izvješćima o značajnim IKT incidentima i rezultatima testiranja digitalne operativne otpornosti koje su financijski subjekti proveli u skladu s tom uredbom. |
| --- | --- |

(4)

U području bankarskih usluga, u Direktivi 2013/36/EU trenutačno su utvrđena samo opća pravila o internom upravljanju i odredbe o operativnom riziku koje sadržavaju zahtjeve u pogledu planova za nepredvidive situacije i planova kontinuiteta poslovanja koji implicitno služe kao osnova za nošenje s IKT rizikom. Međutim, kako bi se na eksplicitan i jasan način nosilo s IKT rizikom, zahtjeve u pogledu planova za nepredvidive situacije i planova kontinuiteta poslovanja trebalo bi izmijeniti tako da obuhvaćaju i planove kontinuiteta poslovanja i planove odgovora i oporavka koji se odnose na IKT rizik, u skladu sa zahtjevima utvrđenima u Uredbi (EU) 2022/2554. Osim toga, IKT rizik samo je implicitno uključen, kao dio operativnog rizika, u postupak nadzorne provjere i ocjene (SREP) koji provode nadležna tijela, a kriteriji za njegovu procjenu trenutačno su definirani u Smjernicama o procjeni rizika IKT-a u okviru postupka nadzorne provjere i ocjene (SREP) koje je izdalo europsko nadzorno tijelo (Europsko nadzorno tijelo za bankarstvo – EBA) osnovano Uredbom (EU) br. 1093/2010 Europskog parlamenta i Vijeća (13). Kako bi se pružila pravna jasnoća i osiguralo da tijela za nadzor banaka djelotvorno utvrđuju IKT rizik i prate upravljanje tim rizikom od strane financijskih subjekata u skladu s novim okvirom o digitalnoj operativnoj otpornosti, područje primjene SREP-a trebalo bi također izmijeniti kako bi se u njemu izričito upućivalo na zahtjeve utvrđene u Uredbi (EU) 2022/2554 i kako bi se osobito obuhvatili rizici koji su otkriveni izvješćima o značajnim IKT incidentima i rezultatima testiranja digitalne operativne otpornosti koje su financijski subjekti proveli u skladu s tom uredbom.

| (5) | Digitalna operativna otpornost neophodna je za očuvanje ključnih funkcija i temeljnih linija poslovanja financijskog subjekta u slučaju njegove sanacije te time i za izbjegavanje narušavanja realnoga gospodarstva i financijskog sustava. Značajni operativni incidenti mogu narušiti kapacitet financijskog subjekta da nastavi s poslovanjem i ugroziti ciljeve sanacije. Određeni ugovorni aranžmani o upotrebi IKT usluga ključni su za osiguravanje operativnog kontinuiteta i pružanje potrebnih podataka u slučaju sanacije. Kako bi Direktiva 2014/59/EU bila usklađena s ciljevima okvira Unije za operativnu otpornost, trebalo bi je na odgovarajući način izmijeniti s ciljem osiguravanja da se informacije o operativnoj otpornosti uzmu u obzir u kontekstu planiranja sanacije i procjene mogućnosti sanacije financijskih subjekata. |
| --- | --- |

(5)

Digitalna operativna otpornost neophodna je za očuvanje ključnih funkcija i temeljnih linija poslovanja financijskog subjekta u slučaju njegove sanacije te time i za izbjegavanje narušavanja realnoga gospodarstva i financijskog sustava. Značajni operativni incidenti mogu narušiti kapacitet financijskog subjekta da nastavi s poslovanjem i ugroziti ciljeve sanacije. Određeni ugovorni aranžmani o upotrebi IKT usluga ključni su za osiguravanje operativnog kontinuiteta i pružanje potrebnih podataka u slučaju sanacije. Kako bi Direktiva 2014/59/EU bila usklađena s ciljevima okvira Unije za operativnu otpornost, trebalo bi je na odgovarajući način izmijeniti s ciljem osiguravanja da se informacije o operativnoj otpornosti uzmu u obzir u kontekstu planiranja sanacije i procjene mogućnosti sanacije financijskih subjekata.

| (6) | U Direktivi 2014/65/EU utvrđuju se stroža pravila o IKT riziku za investicijska društva i mjesta trgovanja koja se bave algoritamskim trgovanjem. Manje detaljni zahtjevi primjenjuju se na usluge dostave podataka i na trgovinske repozitorije. Osim toga, Direktiva 2014/65/EU sadržava samo ograničena upućivanja na mjere nadzora i zaštite sustavâ za obradu podataka te na upotrebu odgovarajućih sustava, resursa i postupaka radi osiguravanja kontinuiteta i redovitosti poslovnih usluga. Nadalje, tu bi direktivu trebalo uskladiti s Uredbom (EU) 2022/2554 u pogledu kontinuiteta i redovitosti u pružanju investicijskih usluga i u obavljanju investicijskih aktivnosti, operativne otpornosti, kapaciteta sustavâ trgovanja te djelotvornosti mehanizama kontinuiteta poslovanja i upravljanja rizicima. |
| --- | --- |

(6)

U Direktivi 2014/65/EU utvrđuju se stroža pravila o IKT riziku za investicijska društva i mjesta trgovanja koja se bave algoritamskim trgovanjem. Manje detaljni zahtjevi primjenjuju se na usluge dostave podataka i na trgovinske repozitorije. Osim toga, Direktiva 2014/65/EU sadržava samo ograničena upućivanja na mjere nadzora i zaštite sustavâ za obradu podataka te na upotrebu odgovarajućih sustava, resursa i postupaka radi osiguravanja kontinuiteta i redovitosti poslovnih usluga. Nadalje, tu bi direktivu trebalo uskladiti s Uredbom (EU) 2022/2554 u pogledu kontinuiteta i redovitosti u pružanju investicijskih usluga i u obavljanju investicijskih aktivnosti, operativne otpornosti, kapaciteta sustavâ trgovanja te djelotvornosti mehanizama kontinuiteta poslovanja i upravljanja rizicima.

| (7) | U Direktivi (EU) 2015/2366 utvrđena su posebna pravila o kontrolama sigurnosti i mjerama ublažavanja u području IKT-a za potrebe pribavljanja odobrenja za pružanje platnih usluga. Ta bi pravila o odobrenju trebalo izmijeniti radi njihova usklađivanja s Uredbom (EU) 2022/2554. Nadalje, kako bi se smanjilo administrativno opterećenje i izbjegli složenost i dvostruki zahtjevi u pogledu izvješćivanja, pravila o izvješćivanju o incidentima iz te direktive trebala bi se prestati primjenjivati na pružatelje platnih usluga koji su uređeni tom direktivom i koji podliježu i Uredbi (EU) 2022/2554, čime se omogućuje da se na te pružatelje platnih usluga primjenjuje jedinstven i potpuno usklađen mehanizam izvješćivanja o incidentima u pogledu svih operativnih incidenata ili sigurnosnih incidenata povezanih s plaćanjem, bez obzira na to jesu li takvi incidenti povezani s IKT-om. |
| --- | --- |

(7)

U Direktivi (EU) 2015/2366 utvrđena su posebna pravila o kontrolama sigurnosti i mjerama ublažavanja u području IKT-a za potrebe pribavljanja odobrenja za pružanje platnih usluga. Ta bi pravila o odobrenju trebalo izmijeniti radi njihova usklađivanja s Uredbom (EU) 2022/2554. Nadalje, kako bi se smanjilo administrativno opterećenje i izbjegli složenost i dvostruki zahtjevi u pogledu izvješćivanja, pravila o izvješćivanju o incidentima iz te direktive trebala bi se prestati primjenjivati na pružatelje platnih usluga koji su uređeni tom direktivom i koji podliježu i Uredbi (EU) 2022/2554, čime se omogućuje da se na te pružatelje platnih usluga primjenjuje jedinstven i potpuno usklađen mehanizam izvješćivanja o incidentima u pogledu svih operativnih incidenata ili sigurnosnih incidenata povezanih s plaćanjem, bez obzira na to jesu li takvi incidenti povezani s IKT-om.

| (8) | Direktivama 2009/138/EZ i (EU) 2016/2341 djelomično je obuhvaćen IKT rizik u okviru njihovih općih odredaba o upravljanju i upravljanju rizicima, pri čemu se određeni zahtjevi trebaju utvrditi delegiranim aktima s posebnim upućivanjima na IKT rizik ili bez njih. Slično tome, na upravitelje alternativnih investicijskih fondova koji podliježu Direktivi 2011/61/EU i društva za upravljanje koja podliježu Direktivi 2009/65/EZ primjenjuju se tek vrlo općenita pravila. Te bi direktive stoga trebalo uskladiti sa zahtjevima utvrđenima u Uredbi (EU) 2022/2554 u pogledu upravljanja IKT sustavima i alatima. |
| --- | --- |

(8)

Direktivama 2009/138/EZ i (EU) 2016/2341 djelomično je obuhvaćen IKT rizik u okviru njihovih općih odredaba o upravljanju i upravljanju rizicima, pri čemu se određeni zahtjevi trebaju utvrditi delegiranim aktima s posebnim upućivanjima na IKT rizik ili bez njih. Slično tome, na upravitelje alternativnih investicijskih fondova koji podliježu Direktivi 2011/61/EU i društva za upravljanje koja podliježu Direktivi 2009/65/EZ primjenjuju se tek vrlo općenita pravila. Te bi direktive stoga trebalo uskladiti sa zahtjevima utvrđenima u Uredbi (EU) 2022/2554 u pogledu upravljanja IKT sustavima i alatima.

| (9) | U mnogim slučajevima daljnji zahtjevi u pogledu IKT rizika već su utvrđeni u delegiranim i provedbenim aktima koji su doneseni na temelju nacrta regulatornih tehničkih standarda i nacrta provedbenih tehničkih standarda koje je izradilo nadležno europsko nadzorno tijelo. Budući da odredbe Uredbe (EU) 2022/2554 sada čine pravni okvir za IKT rizik u financijskom sektoru, trebalo bi izmijeniti određena ovlaštenja za donošenje delegiranih i provedbenih akata u direktivama 2009/65/EZ, 2009/138/EZ, 2011/61/EU i 2014/65/EU kako bi se iz područja primjene tih ovlaštenja uklonile odredbe o IKT riziku. |
| --- | --- |

(9)

U mnogim slučajevima daljnji zahtjevi u pogledu IKT rizika već su utvrđeni u delegiranim i provedbenim aktima koji su doneseni na temelju nacrta regulatornih tehničkih standarda i nacrta provedbenih tehničkih standarda koje je izradilo nadležno europsko nadzorno tijelo. Budući da odredbe Uredbe (EU) 2022/2554 sada čine pravni okvir za IKT rizik u financijskom sektoru, trebalo bi izmijeniti određena ovlaštenja za donošenje delegiranih i provedbenih akata u direktivama 2009/65/EZ, 2009/138/EZ, 2011/61/EU i 2014/65/EU kako bi se iz područja primjene tih ovlaštenja uklonile odredbe o IKT riziku.

| (10) | Kako bi se osigurala dosljedna primjena novog okvira o digitalnoj operativnu otpornosti za financijski sektor, države članice trebale bi primjenjivati odredbe nacionalnog prava kojima se prenosi ova Direktiva od datuma početka primjene Uredbe (EU) 2022/2554. |
| --- | --- |

(10)

Kako bi se osigurala dosljedna primjena novog okvira o digitalnoj operativnu otpornosti za financijski sektor, države članice trebale bi primjenjivati odredbe nacionalnog prava kojima se prenosi ova Direktiva od datuma početka primjene Uredbe (EU) 2022/2554.

| (11) | Direktive 2009/65/EZ, 2009/138/EZ, 2011/61/EU, 2013/36/EU, 2014/59/EU, 2014/65/EU, (EU) 2015/2366 i (EU) 2016/2341 donesene su na temelju članka 53. stavka 1. ili članka 114. Ugovora o funkcioniranju Europske unije (UFEU). Izmjene iz ove Direktive uključene su u jedan zakonodavni akt zbog međusobne povezanosti predmeta i ciljeva tih izmjena. Slijedom toga, ovu Direktivu trebalo bi donijeti i na temelju članka 53. stavka 1. i na temelju članka 114. UFEU-a. |
| --- | --- |

(11)

Direktive 2009/65/EZ, 2009/138/EZ, 2011/61/EU, 2013/36/EU, 2014/59/EU, 2014/65/EU, (EU) 2015/2366 i (EU) 2016/2341 donesene su na temelju članka 53. stavka 1. ili članka 114. Ugovora o funkcioniranju Europske unije (UFEU). Izmjene iz ove Direktive uključene su u jedan zakonodavni akt zbog međusobne povezanosti predmeta i ciljeva tih izmjena. Slijedom toga, ovu Direktivu trebalo bi donijeti i na temelju članka 53. stavka 1. i na temelju članka 114. UFEU-a.

| (12) | S obzirom na to da ciljeve ove Direktive ne mogu dostatno ostvariti države članice jer podrazumijevaju usklađivanja zahtjeva koji su već sadržani u direktivama, nego se zbog opsega i učinaka djelovanja oni na bolji način mogu ostvariti na razini Unije, Unija može donijeti mjere u skladu s načelom supsidijarnosti utvrđenim u članku 5. Ugovora o Europskoj uniji. U skladu s načelom proporcionalnosti utvrđenim u tom članku, ova Direktiva ne prelazi ono što je potrebno za ostvarivanje tih ciljeva. |
| --- | --- |

(12)

S obzirom na to da ciljeve ove Direktive ne mogu dostatno ostvariti države članice jer podrazumijevaju usklađivanja zahtjeva koji su već sadržani u direktivama, nego se zbog opsega i učinaka djelovanja oni na bolji način mogu ostvariti na razini Unije, Unija može donijeti mjere u skladu s načelom supsidijarnosti utvrđenim u članku 5. Ugovora o Europskoj uniji. U skladu s načelom proporcionalnosti utvrđenim u tom članku, ova Direktiva ne prelazi ono što je potrebno za ostvarivanje tih ciljeva.

| (13) | U skladu sa Zajedničkom političkom izjavom država članica i Komisije od 28. rujna 2011. o dokumentima s objašnjenjima (14), države članice obvezale su se da će u opravdanim slučajevima uz obavijest o svojim mjerama za prenošenje priložiti jedan ili više dokumenata u kojima se objašnjava veza između sastavnih dijelova direktive i odgovarajućih dijelova nacionalnih instrumenata za prenošenje. U pogledu ove Direktive, zakonodavac smatra opravdanim dostavljanje takvih dokumenata, |
| --- | --- |

(13)

U skladu sa Zajedničkom političkom izjavom država članica i Komisije od 28. rujna 2011. o dokumentima s objašnjenjima (14), države članice obvezale su se da će u opravdanim slučajevima uz obavijest o svojim mjerama za prenošenje priložiti jedan ili više dokumenata u kojima se objašnjava veza između sastavnih dijelova direktive i odgovarajućih dijelova nacionalnih instrumenata za prenošenje. U pogledu ove Direktive, zakonodavac smatra opravdanim dostavljanje takvih dokumenata,

DONIJELI SU OVU DIREKTIVU:

Članak 1.

Izmjene Direktive 2009/65/EZ

Članak 12. Direktive 2009/65/EZ mijenja se kako slijedi:

| 1. | u stavku 1. drugom podstavku točka (a) zamjenjuje se sljedećim:






  „(a) | da ima odgovarajuće administrativne i računovodstvene postupke, mjere nadzora i zaštite elektroničke obrade podataka, među ostalim i u pogledu mrežnih i informacijskih sustava koji su uspostavljeni i kojima se upravlja u skladu s Uredbom (EU) 2022/2554 Europskog parlamenta i Vijeća (*1), kao i adekvatne mehanizme unutarnjeg nadzora uključujući, posebice, pravila za osobne transakcije svojih zaposlenika ili za posjedovanje ili upravljanje ulaganjima u financijske instrumente u svrhu ulaganja za vlastiti račun, kojima se barem osigurava da se svaka transakcija koja uključuje UCITS može rekonstruirati prema svojem porijeklu, uključenim stranama, vrsti te vremenu i mjestu na kojem je izvršena, te da se imovina UCITS-a kojim upravlja društvo za upravljanje ulaže u skladu s pravilima fonda ili dokumentima o osnivanju i važećim zakonskim odredbama; |
| --- | --- | --- |

1.

u stavku 1. drugom podstavku točka (a) zamjenjuje se sljedećim:

„(a)

da ima odgovarajuće administrativne i računovodstvene postupke, mjere nadzora i zaštite elektroničke obrade podataka, među ostalim i u pogledu mrežnih i informacijskih sustava koji su uspostavljeni i kojima se upravlja u skladu s Uredbom (EU) 2022/2554 Europskog parlamenta i Vijeća (*1), kao i adekvatne mehanizme unutarnjeg nadzora uključujući, posebice, pravila za osobne transakcije svojih zaposlenika ili za posjedovanje ili upravljanje ulaganjima u financijske instrumente u svrhu ulaganja za vlastiti račun, kojima se barem osigurava da se svaka transakcija koja uključuje UCITS može rekonstruirati prema svojem porijeklu, uključenim stranama, vrsti te vremenu i mjestu na kojem je izvršena, te da se imovina UCITS-a kojim upravlja društvo za upravljanje ulaže u skladu s pravilima fonda ili dokumentima o osnivanju i važećim zakonskim odredbama;

*1

(*1)  Uredba (EU) 2022/2554 Europskog parlamenta i Vijeća od 14. prosinca 2022. o digitalnoj operativnoj otpornosti za financijski sektor i izmjeni uredbi (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014, (EU) br. 909/2014 i (EU) 2016/1011 (SL L 333, 27.12.2022., str. 1.).”;"

*1

| 2. | stavak 3. zamjenjuje se sljedećim:

  „3.   Ne dovodeći u pitanje članak 116., Komisija donosi, putem delegiranih akata u skladu s člankom 112.a, mjere kojima se utvrđuju:






  (a) | postupci i mjere iz stavka 1. drugog podstavka točke (a), osim postupaka i mjera koji se odnose na mrežne i informacijske sustave; |
| --- | --- | --- |

2.

stavak 3. zamjenjuje se sljedećim:

„3.   Ne dovodeći u pitanje članak 116., Komisija donosi, putem delegiranih akata u skladu s člankom 112.a, mjere kojima se utvrđuju:

(a)

postupci i mjere iz stavka 1. drugog podstavka točke (a), osim postupaka i mjera koji se odnose na mrežne i informacijske sustave;

| (b) | strukture i organizacijski zahtjevi za svođenje sukoba interesa iz stavka 1. drugog podstavka točke (b) na najmanju moguću mjeru.”. |
| --- | --- |

(b)

strukture i organizacijski zahtjevi za svođenje sukoba interesa iz stavka 1. drugog podstavka točke (b) na najmanju moguću mjeru.”.

Članak 2.

Izmjene Direktive 2009/138/EZ

Direktiva 2009/138/EZ mijenja se kako slijedi:

| 1. | u članku 41. stavak 4. zamjenjuje se sljedećim:

  „4.   Društva za osiguranje i društva za reosiguranje poduzimaju razumne mjere kako bi osigurala kontinuirano i redovito obavljanje svojih djelatnosti, uključujući izradu planova za nepredvidive situacije. U tu svrhu društva se koriste primjerenim i razmjernim sustavima, resursima i postupcima te osobito uspostavljaju mrežne i informacijske sustave i upravljaju njima u skladu s Uredbom (EU) 2022/2554 Europskog parlamenta i Vijeća (*2).


  (*2)  Uredba (EU) 2022/2554 Europskog parlamenta i Vijeća od 14. prosinca 2022. o digitalnoj operativnoj otpornosti za financijski sektor i izmjeni uredbi (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014, (EU) br. 909/2014 i (EU) 2016/1011 (SL L 333, 27.12.2022., str. 1.).”;" |
| --- | --- |

1.

u članku 41. stavak 4. zamjenjuje se sljedećim:

„4.   Društva za osiguranje i društva za reosiguranje poduzimaju razumne mjere kako bi osigurala kontinuirano i redovito obavljanje svojih djelatnosti, uključujući izradu planova za nepredvidive situacije. U tu svrhu društva se koriste primjerenim i razmjernim sustavima, resursima i postupcima te osobito uspostavljaju mrežne i informacijske sustave i upravljaju njima u skladu s Uredbom (EU) 2022/2554 Europskog parlamenta i Vijeća (*2).

(*2)  Uredba (EU) 2022/2554 Europskog parlamenta i Vijeća od 14. prosinca 2022. o digitalnoj operativnoj otpornosti za financijski sektor i izmjeni uredbi (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014, (EU) br. 909/2014 i (EU) 2016/1011 (SL L 333, 27.12.2022., str. 1.).”;"

*2

| 2. | u članku 50. stavku 1. točke (a) i (b) zamjenjuju se sljedećim:






  „(a) | elemente sustava iz članka 41., članka 44., a posebno područja navedena u članku 44. stavku 2., te u člancima 46. i 47., osim elemenata koji se odnose na upravljanje rizikom informacijske i komunikacijske tehnologije; |
| --- | --- | --- |

2.

u članku 50. stavku 1. točke (a) i (b) zamjenjuju se sljedećim:

„(a)

elemente sustava iz članka 41., članka 44., a posebno područja navedena u članku 44. stavku 2., te u člancima 46. i 47., osim elemenata koji se odnose na upravljanje rizikom informacijske i komunikacijske tehnologije;

| (b) | funkcije iz članaka 44., 46., 47. i 48., osim funkcija koje se odnose na upravljanje rizikom informacijske i komunikacijske tehnologije.”. |
| --- | --- |

(b)

funkcije iz članaka 44., 46., 47. i 48., osim funkcija koje se odnose na upravljanje rizikom informacijske i komunikacijske tehnologije.”.

Članak 3.

Izmjena Direktive 2011/61/EU

Članak 18. Direktive 2011/61/EU zamjenjuje se sljedećim:

„Članak 18.

Opća načela

1.   Države članice zahtijevaju da se UAIF-i u svakom trenutku koriste odgovarajućim i primjerenim ljudskim i tehničkim resursima koji su potrebni za pravilno upravljanje AIF-ima.

Nadležna tijela matične države članice UAIF-a, uzimajući u obzir i vrstu AIF-ova kojima upravlja UAIF, posebno zahtijevaju da UAIF ima odgovarajuće administrativne i računovodstvene postupke, mjere nadzora i zaštite elektroničke obrade podataka, među ostalim i u pogledu mrežnih i informacijskih sustava koji su uspostavljeni i kojima se upravlja u skladu s Uredbom (EU) 2022/2554 Europskog parlamenta i Vijeća (*3), kao i primjerene mehanizme unutarnje kontrole uključujući, posebno, pravila za osobne transakcije svojih zaposlenika ili za posjedovanje ili upravljanje ulaganjima u financijske instrumente u svrhu ulaganja za vlastiti račun, kojima se barem osigurava da se svaka transakcija koja uključuje AIF-e može rekonstruirati prema svojem porijeklu, uključenim stranama, vrsti te vremenu i mjestu na kojem je izvršena, te da se imovina AIF-ova kojima upravlja UAIF ulaže u skladu s pravilima AIF-a ili osnivačkim aktom i važećim zakonskim odredbama.

2.   Komisija putem delegiranih akata u skladu s člankom 56. te podložno uvjetima iz članaka 57. i 58. donosi mjere kojima se pobliže određuju postupci i mjere iz stavka 1. ovog članka, osim postupaka i mjera koji se odnose na mrežne i informacijske sustave.

Članak 4.

Izmjene Direktive 2013/36/EU

Direktiva 2013/36/EU mijenja se kako slijedi:

| 1. | u članku 65. stavku 3. točki (a) podtočka vi. zamjenjuje se sljedećim:






  „vi. | trećih osoba kojima su subjekti iz podtočaka od i. do iv. eksternalizirali funkcije ili aktivnosti, uključujući treće strane pružatelje IKT usluga iz poglavlja V. Uredbe (EU) 2022/2554 Europskog parlamenta i Vijeća (*4); |
| --- | --- | --- |

1.

u članku 65. stavku 3. točki (a) podtočka vi. zamjenjuje se sljedećim:

„vi.

trećih osoba kojima su subjekti iz podtočaka od i. do iv. eksternalizirali funkcije ili aktivnosti, uključujući treće strane pružatelje IKT usluga iz poglavlja V. Uredbe (EU) 2022/2554 Europskog parlamenta i Vijeća (*4);

*4

(*4)  Uredba (EU) 2022/2554 Europskog parlamenta i Vijeća od 14. prosinca 2022. o digitalnoj operativnoj otpornosti za financijski sektor i izmjeni uredbi (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014, (EU) br. 909/2014 i (EU) 2016/1011 (SL L 333, 27.12.2022., str. 1.).”;"

*4

| 2. | u članku 74. stavku 1. prvi podstavak zamjenjuje se sljedećim:

  „Institucije moraju imati robusne sustave upravljanja koji uključuju jasnu organizacijsku strukturu s dobro definiranim, transparentnim i dosljednim linijama odgovornosti, učinkovitim procesima za utvrđivanje i praćenje rizika, upravljanje njima i izvješćivanje o rizicima kojima jesu ili bi mogle biti izložene, odgovarajuće mehanizme unutarnje kontrole, uključujući dobre administrativne i računovodstvene postupke, mrežne i informacijske sustave koji su uspostavljeni i kojima se upravlja u skladu s Uredbom (EU) 2022/2554 te politike i prakse u pogledu primitaka koje su dosljedne s dobrim i učinkovitim upravljanjem rizicima te ga promiču.”; |
| --- | --- |

2.

u članku 74. stavku 1. prvi podstavak zamjenjuje se sljedećim:

„Institucije moraju imati robusne sustave upravljanja koji uključuju jasnu organizacijsku strukturu s dobro definiranim, transparentnim i dosljednim linijama odgovornosti, učinkovitim procesima za utvrđivanje i praćenje rizika, upravljanje njima i izvješćivanje o rizicima kojima jesu ili bi mogle biti izložene, odgovarajuće mehanizme unutarnje kontrole, uključujući dobre administrativne i računovodstvene postupke, mrežne i informacijske sustave koji su uspostavljeni i kojima se upravlja u skladu s Uredbom (EU) 2022/2554 te politike i prakse u pogledu primitaka koje su dosljedne s dobrim i učinkovitim upravljanjem rizicima te ga promiču.”;

| 3. | u članku 85. stavak 2. zamjenjuje se sljedećim:

  „2.   Nadležna tijela osiguravaju da institucije imaju odgovarajuće politike i planove za nepredvidive situacije i politike i planove kontinuiteta poslovanja, uključujući politike i planove kontinuiteta poslovanja u području IKT-a i planove odgovora i oporavka u području IKT-a za tehnologiju kojom se koriste za priopćavanje informacija, te da su ti planovi izrađeni i testirani i da se njima upravlja u skladu s člankom 11. Uredbe (EU) 2022/2554 kako bi institucije mogle nastaviti poslovati u slučaju ozbiljnog poremećaja poslovanja i ograničiti gubitke do kojih je došlo uslijed takvog poremećaja.”; |
| --- | --- |

3.

u članku 85. stavak 2. zamjenjuje se sljedećim:

„2.   Nadležna tijela osiguravaju da institucije imaju odgovarajuće politike i planove za nepredvidive situacije i politike i planove kontinuiteta poslovanja, uključujući politike i planove kontinuiteta poslovanja u području IKT-a i planove odgovora i oporavka u području IKT-a za tehnologiju kojom se koriste za priopćavanje informacija, te da su ti planovi izrađeni i testirani i da se njima upravlja u skladu s člankom 11. Uredbe (EU) 2022/2554 kako bi institucije mogle nastaviti poslovati u slučaju ozbiljnog poremećaja poslovanja i ograničiti gubitke do kojih je došlo uslijed takvog poremećaja.”;

| 4. | u članku 97. stavku 1. dodaje se sljedeća točka:






  „(d) | rizike otkrivene testiranjem digitalne operativne otpornosti u skladu s poglavljem IV. Uredbe (EU) 2022/2554.”. |
| --- | --- | --- |

4.

u članku 97. stavku 1. dodaje se sljedeća točka:

„(d)

rizike otkrivene testiranjem digitalne operativne otpornosti u skladu s poglavljem IV. Uredbe (EU) 2022/2554.”.

Članak 5.

Izmjene Direktive 2014/59/EU

Direktiva 2014/59/EU mijenja se kako slijedi:

| 1. | članak 10. mijenja se kako slijedi:






  (a) | u stavku 7. točka (c) zamjenjuje se sljedećim:






  „(c) | prikaz načina na koji bi se ključne funkcije i temeljne linije poslovanja mogle pravno i ekonomski odvojiti od ostalih funkcija u mjeri u kojoj je to potrebno kako bi se osigurali kontinuitet i digitalna operativna otpornost u slučaju propasti institucije;”; |
| --- | --- | --- | --- |

1.

članak 10. mijenja se kako slijedi:

(a)

u stavku 7. točka (c) zamjenjuje se sljedećim:

„(c)

prikaz načina na koji bi se ključne funkcije i temeljne linije poslovanja mogle pravno i ekonomski odvojiti od ostalih funkcija u mjeri u kojoj je to potrebno kako bi se osigurali kontinuitet i digitalna operativna otpornost u slučaju propasti institucije;”;

| (b) | u stavku 7. točka (q) zamjenjuje se sljedećim:






  „(q) | opis nužnih radnji i sustava za održavanje kontinuiranog funkcioniranja operativnih procesa institucije, uključujući mrežne i informacijske sustave iz Uredbe (EU) 2022/2554 Europskog parlamenta i Vijeća (*5); |
| --- | --- | --- |

(b)

u stavku 7. točka (q) zamjenjuje se sljedećim:

„(q)

opis nužnih radnji i sustava za održavanje kontinuiranog funkcioniranja operativnih procesa institucije, uključujući mrežne i informacijske sustave iz Uredbe (EU) 2022/2554 Europskog parlamenta i Vijeća (*5);

*5

(*5)  Uredba (EU) 2022/2554 Europskog parlamenta i Vijeća od 14. prosinca 2022. o digitalnoj operativnoj otpornosti za financijski sektor i izmjeni uredbi (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014, (EU) br. 909/2014 i (EU) 2016/1011 (SL L 333, 27.12.2022., str. 1.).”;"

*5

| (c) | u stavku 9. dodaje se sljedeći podstavak:

  „U skladu s člankom 10. Uredbe (EU) br. 1093/2010 EBA preispituje i, prema potrebi, ažurira regulatorne tehničke standarde kako bi se, među ostalim, uzele u obzir odredbe poglavlja II. Uredbe (EU) 2022/2554.”; |
| --- | --- |

(c)

u stavku 9. dodaje se sljedeći podstavak:

„U skladu s člankom 10. Uredbe (EU) br. 1093/2010 EBA preispituje i, prema potrebi, ažurira regulatorne tehničke standarde kako bi se, među ostalim, uzele u obzir odredbe poglavlja II. Uredbe (EU) 2022/2554.”;

| 2. | Prilog se mijenja kako slijedi:






  (a) | u odjeljku A točka (16) zamjenjuje se sljedećim:






  „(16) | mehanizme i mjere potrebne za održavanje kontinuiranog funkcioniranja operativnih procesa institucije, uključujući mrežne i informacijske sustave koji su uspostavljeni i kojima se upravlja u skladu s Uredbom (EU) 2022/2554;”; |
| --- | --- | --- | --- |

2.

Prilog se mijenja kako slijedi:

(a)

u odjeljku A točka (16) zamjenjuje se sljedećim:

„(16)

mehanizme i mjere potrebne za održavanje kontinuiranog funkcioniranja operativnih procesa institucije, uključujući mrežne i informacijske sustave koji su uspostavljeni i kojima se upravlja u skladu s Uredbom (EU) 2022/2554;”;

| (b) | odjeljak B mijenja se kako slijedi:






  i. | točka (14) zamjenjuje se sljedećim:






  „(14) | identificiranje vlasnika sustava navedenih pod točkom (13), uz njih povezanih sporazuma o razini usluga te svih softvera i sustava ili dozvola, uključujući raspored po pravnim osobama, ključnim aktivnostima i temeljnim linijama poslovanja institucije te identificiranje ključnih trećih strana pružatelja IKT usluga, kako su definirani u članku 3. točki 23. Uredbe (EU) 2022/2554;”; |
| --- | --- | --- | --- |

(b)

odjeljak B mijenja se kako slijedi:

i.

točka (14) zamjenjuje se sljedećim:

„(14)

identificiranje vlasnika sustava navedenih pod točkom (13), uz njih povezanih sporazuma o razini usluga te svih softvera i sustava ili dozvola, uključujući raspored po pravnim osobama, ključnim aktivnostima i temeljnim linijama poslovanja institucije te identificiranje ključnih trećih strana pružatelja IKT usluga, kako su definirani u članku 3. točki 23. Uredbe (EU) 2022/2554;”;

| ii. | umeće se sljedeća točka:






  „(14.a) | rezultate testiranja digitalne operativne otpornosti institucija na temelju Uredbe (EU) 2022/2554;”; |
| --- | --- | --- |

ii.

umeće se sljedeća točka:

„(14.a)

rezultate testiranja digitalne operativne otpornosti institucija na temelju Uredbe (EU) 2022/2554;”;

| (c) | odjeljak C mijenja se kako slijedi:






  i. | točka (4) zamjenjuje se sljedećim:






  „(4) | u kojoj su mjeri sporazumi o uslugama koje institucija održava, uključujući ugovorne aranžmane o upotrebi IKT usluga, otporni i u potpunosti izvršivi u slučaju sanacije institucije;”; |
| --- | --- | --- | --- |

(c)

odjeljak C mijenja se kako slijedi:

i.

točka (4) zamjenjuje se sljedećim:

„(4)

u kojoj su mjeri sporazumi o uslugama koje institucija održava, uključujući ugovorne aranžmane o upotrebi IKT usluga, otporni i u potpunosti izvršivi u slučaju sanacije institucije;”;

| ii. | umeće se sljedeća točka:






  „(4.a) | digitalna operativna otpornost mrežnih i informacijskih sustava kojima se podupiru ključne funkcije i temeljne linije poslovanja institucije, pri čemu se uzimaju u obzir izvješća o značajnim IKT incidentima i rezultati testiranja digitalne operativne otpornosti na temelju Uredbe (EU) 2022/2554;”. |
| --- | --- | --- |

ii.

umeće se sljedeća točka:

„(4.a)

digitalna operativna otpornost mrežnih i informacijskih sustava kojima se podupiru ključne funkcije i temeljne linije poslovanja institucije, pri čemu se uzimaju u obzir izvješća o značajnim IKT incidentima i rezultati testiranja digitalne operativne otpornosti na temelju Uredbe (EU) 2022/2554;”.

Članak 6.

Izmjene Direktive 2014/65/EU

Direktiva 2014/65/EU mijenja se kako slijedi:

| 1. | članak 16. mijenja se kako slijedi:






  (a) | stavak 4. zamjenjuje se sljedećim:

  „4.   Investicijsko društvo poduzima odgovarajuće korake kako bi osiguralo kontinuitet i redovitost investicijskih usluga i aktivnosti. U tu svrhu investicijsko društvo koristi se primjerenim i razmjernim sustavima, među ostalim i sustavima informacijske i komunikacijske tehnologije (IKT) koji su uspostavljeni i kojima se upravlja u skladu s člankom 7. Uredbe (EU) 2022/2554 Europskog parlamenta i Vijeća (*6), te primjerenim i razmjernim resursima i postupcima.


  (*6)  Uredba (EU) 2022/2554 Europskog parlamenta i Vijeća od 14. prosinca 2022. o digitalnoj operativnoj otpornosti za financijski sektor i izmjeni uredbi (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014, (EU) br. 909/2014 i (EU) 2016/1011 (SL L 333, 27.12.2022., str. 1..).”;" |
| --- | --- | --- |

1.

članak 16. mijenja se kako slijedi:

(a)

stavak 4. zamjenjuje se sljedećim:

„4.   Investicijsko društvo poduzima odgovarajuće korake kako bi osiguralo kontinuitet i redovitost investicijskih usluga i aktivnosti. U tu svrhu investicijsko društvo koristi se primjerenim i razmjernim sustavima, među ostalim i sustavima informacijske i komunikacijske tehnologije (IKT) koji su uspostavljeni i kojima se upravlja u skladu s člankom 7. Uredbe (EU) 2022/2554 Europskog parlamenta i Vijeća (*6), te primjerenim i razmjernim resursima i postupcima.

(*6)  Uredba (EU) 2022/2554 Europskog parlamenta i Vijeća od 14. prosinca 2022. o digitalnoj operativnoj otpornosti za financijski sektor i izmjeni uredbi (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014, (EU) br. 909/2014 i (EU) 2016/1011 (SL L 333, 27.12.2022., str. 1..).”;"

*6

| (b) | u stavku 5. drugi i treći podstavak zamjenjuju se sljedećim:

  „Investicijsko društvo dužno je imati dobre administrativne i računovodstvene postupke, mehanizme unutarnje kontrole i djelotvorne postupke procjene rizika.
  Ne dovodeći u pitanje sposobnost nadležnih tijela da zatraže pristup komunikaciji u skladu s ovom Direktivom i Uredbom (EU) br. 600/2014, investicijsko društvo dužno je imati dobre sigurnosne mehanizme da bi se, u skladu sa zahtjevima utvrđenima u Uredbi (EU) 2022/2554, zajamčili sigurnost i autentifikacija sredstava za prijenos informacija, na najmanju moguću mjeru smanjio rizik od oštećenja podataka i neovlaštenog pristupa i spriječilo odavanje informacija, održavajući pritom u svakom trenutku povjerljivosti podataka.”; |
| --- | --- |

(b)

u stavku 5. drugi i treći podstavak zamjenjuju se sljedećim:

„Investicijsko društvo dužno je imati dobre administrativne i računovodstvene postupke, mehanizme unutarnje kontrole i djelotvorne postupke procjene rizika.

Ne dovodeći u pitanje sposobnost nadležnih tijela da zatraže pristup komunikaciji u skladu s ovom Direktivom i Uredbom (EU) br. 600/2014, investicijsko društvo dužno je imati dobre sigurnosne mehanizme da bi se, u skladu sa zahtjevima utvrđenima u Uredbi (EU) 2022/2554, zajamčili sigurnost i autentifikacija sredstava za prijenos informacija, na najmanju moguću mjeru smanjio rizik od oštećenja podataka i neovlaštenog pristupa i spriječilo odavanje informacija, održavajući pritom u svakom trenutku povjerljivosti podataka.”;

| 2. | članak 17. mijenja se kako slijedi:






  (a) | stavak 1. zamjenjuje se sljedećim:

  „1.   Investicijsko društvo koje se bavi algoritamskim trgovanjem uspostavlja djelotvorne sustave i kontrole rizika primjerene svojem poslovanju kako bi osiguralo da njegovi sustavi za trgovanje budu otporni i imaju dovoljno kapaciteta u skladu sa zahtjevima utvrđenima u poglavlju II. Uredbe (EU) 2022/2554, da podliježu odgovarajućim pragovima i ograničenjima trgovanja te da sprečavaju slanje neispravnih naloga ili drugo funkcioniranje sustava na način kojim bi se moglo stvoriti neuredno tržište ili mu doprinijeti.
  Takvo društvo također uspostavlja djelotvorne sustave i kontrole rizika kako bi osiguralo da se sustavi za trgovanje ne upotrebljavaju u svrhu koja je suprotna Uredbi (EU) br. 596/2014 ili pravilima mjesta trgovanja s kojim je povezano.
  Investicijsko društvo uspostavlja djelotvorne mehanizme kontinuiteta poslovanja kako bi se nosilo sa svakim prekidom u svojim sustavima za trgovanje, uključujući politike i planove kontinuiteta poslovanja u području IKT-a i planove odgovora i oporavka u području IKT-a uspostavljene u skladu s člankom 11. Uredbe (EU) 2022/2554, i osigurava da njegovi sustavi budu u potpunosti testirani i da ih se pravilno prati kako bi se osiguralo da ispunjavaju opće zahtjeve utvrđene u ovom stavku i posebne zahtjeve utvrđene u poglavljima II. i IV. Uredbe (EU) 2022/2554.”; |
| --- | --- | --- |

2.

članak 17. mijenja se kako slijedi:

(a)

stavak 1. zamjenjuje se sljedećim:

„1.   Investicijsko društvo koje se bavi algoritamskim trgovanjem uspostavlja djelotvorne sustave i kontrole rizika primjerene svojem poslovanju kako bi osiguralo da njegovi sustavi za trgovanje budu otporni i imaju dovoljno kapaciteta u skladu sa zahtjevima utvrđenima u poglavlju II. Uredbe (EU) 2022/2554, da podliježu odgovarajućim pragovima i ograničenjima trgovanja te da sprečavaju slanje neispravnih naloga ili drugo funkcioniranje sustava na način kojim bi se moglo stvoriti neuredno tržište ili mu doprinijeti.

Takvo društvo također uspostavlja djelotvorne sustave i kontrole rizika kako bi osiguralo da se sustavi za trgovanje ne upotrebljavaju u svrhu koja je suprotna Uredbi (EU) br. 596/2014 ili pravilima mjesta trgovanja s kojim je povezano.

Investicijsko društvo uspostavlja djelotvorne mehanizme kontinuiteta poslovanja kako bi se nosilo sa svakim prekidom u svojim sustavima za trgovanje, uključujući politike i planove kontinuiteta poslovanja u području IKT-a i planove odgovora i oporavka u području IKT-a uspostavljene u skladu s člankom 11. Uredbe (EU) 2022/2554, i osigurava da njegovi sustavi budu u potpunosti testirani i da ih se pravilno prati kako bi se osiguralo da ispunjavaju opće zahtjeve utvrđene u ovom stavku i posebne zahtjeve utvrđene u poglavljima II. i IV. Uredbe (EU) 2022/2554.”;

| (b) | u stavku 7. točka (a) zamjenjuje se sljedećim:






  „(a) | pojedinosti organizacijskih zahtjeva utvrđenih u stavcima od 1. do 6., osim onih koji se odnose na upravljanje IKT rizikom, koje treba uvesti za investicijska društva koja pružaju razne investicijske usluge, investicijske aktivnosti, pomoćne usluge ili kombinaciju istih, pri čemu se u okviru pojedinosti u vezi s organizacijskim zahtjevima utvrđenima u stavku 5. utvrđuju posebni zahtjevi za izravan pristup tržištu i sponzorirani pristup tako da se osigura da kontrole koje se primjenjuju na sponzorirani pristup budu najmanje istovjetne onima koje se primjenjuju na izravan pristup tržištu;”; |
| --- | --- | --- |

(b)

u stavku 7. točka (a) zamjenjuje se sljedećim:

„(a)

pojedinosti organizacijskih zahtjeva utvrđenih u stavcima od 1. do 6., osim onih koji se odnose na upravljanje IKT rizikom, koje treba uvesti za investicijska društva koja pružaju razne investicijske usluge, investicijske aktivnosti, pomoćne usluge ili kombinaciju istih, pri čemu se u okviru pojedinosti u vezi s organizacijskim zahtjevima utvrđenima u stavku 5. utvrđuju posebni zahtjevi za izravan pristup tržištu i sponzorirani pristup tako da se osigura da kontrole koje se primjenjuju na sponzorirani pristup budu najmanje istovjetne onima koje se primjenjuju na izravan pristup tržištu;”;

| 3. | u članku 47. stavak 1. mijenja se kako slijedi:






  (a) | točka (b) zamjenjuje se sljedećim:






  „(b) | bude primjereno opremljeno za upravljanje rizicima kojima je izloženo, uključujući upravljanje IKT rizikom u skladu s poglavljem II. Uredbe (EU) 2022/2554, kako bi provodilo odgovarajuće mehanizme i sustave za utvrđivanje značajnih rizika za njegovo poslovanje i uspostavilo djelotvorne mjere za ublažavanje tih rizika;”; |
| --- | --- | --- | --- |

3.

u članku 47. stavak 1. mijenja se kako slijedi:

(a)

točka (b) zamjenjuje se sljedećim:

„(b)

bude primjereno opremljeno za upravljanje rizicima kojima je izloženo, uključujući upravljanje IKT rizikom u skladu s poglavljem II. Uredbe (EU) 2022/2554, kako bi provodilo odgovarajuće mehanizme i sustave za utvrđivanje značajnih rizika za njegovo poslovanje i uspostavilo djelotvorne mjere za ublažavanje tih rizika;”;

| (b) | točka (c) briše se; |
| --- | --- |

(b)

točka (c) briše se;

| 4. | članak 48. mijenja se kako slijedi:






  (a) | stavak 1. zamjenjuje se sljedećim:

  „1.   Države članice zahtijevaju da uređeno tržište uspostavi i održava svoju operativnu otpornost u skladu sa zahtjevima utvrđenima u poglavlju II. Uredbe (EU) 2022/2554 kako bi se osiguralo da njegovi sustavi za trgovanje budu otporni, da imaju dovoljno kapaciteta za obradu velikog broja naloga i poruka, da mogu osigurati uredno trgovanje u uvjetima tržišnog stresa, da budu u potpunosti testirani kako bi se osiguralo da su takvi uvjeti ispunjeni i da podliježu djelotvornim mehanizmima kontinuiteta poslovanja, među ostalim i politici i planovima kontinuiteta poslovanja u području IKT-a i planovima odgovora i oporavka u području IKT-a uspostavljenima u skladu s člankom 11. Uredbe (EU) 2022/2554, kako bi se osigurao kontinuitet njegovih usluga u slučaju prekida u njegovim sustavima za trgovanje.”; |
| --- | --- | --- |

4.

članak 48. mijenja se kako slijedi:

(a)

stavak 1. zamjenjuje se sljedećim:

„1.   Države članice zahtijevaju da uređeno tržište uspostavi i održava svoju operativnu otpornost u skladu sa zahtjevima utvrđenima u poglavlju II. Uredbe (EU) 2022/2554 kako bi se osiguralo da njegovi sustavi za trgovanje budu otporni, da imaju dovoljno kapaciteta za obradu velikog broja naloga i poruka, da mogu osigurati uredno trgovanje u uvjetima tržišnog stresa, da budu u potpunosti testirani kako bi se osiguralo da su takvi uvjeti ispunjeni i da podliježu djelotvornim mehanizmima kontinuiteta poslovanja, među ostalim i politici i planovima kontinuiteta poslovanja u području IKT-a i planovima odgovora i oporavka u području IKT-a uspostavljenima u skladu s člankom 11. Uredbe (EU) 2022/2554, kako bi se osigurao kontinuitet njegovih usluga u slučaju prekida u njegovim sustavima za trgovanje.”;

| (b) | stavak 6. zamjenjuje se sljedećim:

  „6.   Države članice zahtijevaju da uređeno tržište ima uspostavljene djelotvorne sustave, postupke i mjere, uključujući zahtjev da članovi ili sudionici provode odgovarajuća testiranja algoritama i omoguće okruženje kojim se olakšavaju takva testiranja u skladu sa zahtjevima utvrđenima u poglavljima II. i IV. Uredbe (EU) 2022/2554 kako bi osiguralo da sustavi za algoritamsko trgovanje ne mogu stvoriti neuredne uvjete trgovanja na tržištu niti im doprinijeti i kako bi se upravljalo neurednim uvjetima trgovanja koji se pojave zbog takvih sustava za algoritamsko trgovanje, uključujući sustave kojima se ograničava omjer neizvršenih naloga i transakcija koje član ili sudionik može unijeti u sustav, kako bi se mogao usporiti tijek naloga ako postoji rizik dosezanja maksimalnog kapaciteta sustava te ograničiti i izvršiti minimalni pomak cijene koji je dopušten na tržištu.”; |
| --- | --- |

(b)

stavak 6. zamjenjuje se sljedećim:

„6.   Države članice zahtijevaju da uređeno tržište ima uspostavljene djelotvorne sustave, postupke i mjere, uključujući zahtjev da članovi ili sudionici provode odgovarajuća testiranja algoritama i omoguće okruženje kojim se olakšavaju takva testiranja u skladu sa zahtjevima utvrđenima u poglavljima II. i IV. Uredbe (EU) 2022/2554 kako bi osiguralo da sustavi za algoritamsko trgovanje ne mogu stvoriti neuredne uvjete trgovanja na tržištu niti im doprinijeti i kako bi se upravljalo neurednim uvjetima trgovanja koji se pojave zbog takvih sustava za algoritamsko trgovanje, uključujući sustave kojima se ograničava omjer neizvršenih naloga i transakcija koje član ili sudionik može unijeti u sustav, kako bi se mogao usporiti tijek naloga ako postoji rizik dosezanja maksimalnog kapaciteta sustava te ograničiti i izvršiti minimalni pomak cijene koji je dopušten na tržištu.”;

| (c) | stavak 12. mijenja se kako slijedi:






  i. | točka (a) zamjenjuje se sljedećim:






  „(a) | zahtjeva koji osiguravaju da su sustavi za trgovanje uređenih tržišta otporni i da imaju odgovarajući kapacitet, osim zahtjeva koji se odnose na digitalnu operativnu otpornost;”; |
| --- | --- | --- | --- |

(c)

stavak 12. mijenja se kako slijedi:

i.

točka (a) zamjenjuje se sljedećim:

„(a)

zahtjeva koji osiguravaju da su sustavi za trgovanje uređenih tržišta otporni i da imaju odgovarajući kapacitet, osim zahtjeva koji se odnose na digitalnu operativnu otpornost;”;

| ii. | točka (g) zamjenjuje se sljedećim:






  „(g) | zahtjeva koji osiguravaju odgovarajuće testiranje algoritama, osim testiranja digitalne operativne otpornosti, kako bi se osiguralo da sustavi za algoritamsko trgovanje, uključujući visokofrekventno algoritamsko trgovanje, ne mogu stvoriti neuredne uvjete trgovanja na tržištu niti im doprinijeti.”. |
| --- | --- | --- |

ii.

točka (g) zamjenjuje se sljedećim:

„(g)

zahtjeva koji osiguravaju odgovarajuće testiranje algoritama, osim testiranja digitalne operativne otpornosti, kako bi se osiguralo da sustavi za algoritamsko trgovanje, uključujući visokofrekventno algoritamsko trgovanje, ne mogu stvoriti neuredne uvjete trgovanja na tržištu niti im doprinijeti.”.

Članak 7.

Izmjene Direktive (EU) 2015/2366

Direktiva (EU) 2015/2366 mijenja se kako slijedi:

| 1. | u članku 3. točka (j) zamjenjuje se sljedećim:






  „(j) | usluge koje pružaju pružatelji tehničkih usluga koje podupiru pružanje platnih usluga, a da ni u kojem trenutku oni ne ulaze u posjed novčanih sredstava koja se prenose, uključujući obradu i pohranu podataka, usluge zaštite povjerenja i privatnosti, autentifikacije podataka i identiteta, pružanje informacijske i komunikacijske tehnologije (IKT) i pružanje komunikacijske mreže te osiguravanje i održavanje terminala i uređaja koji se upotrebljavaju za platne usluge, s izuzećem usluga iniciranja plaćanja i usluga pružanja informacija o računu;”; |
| --- | --- | --- |

1.

u članku 3. točka (j) zamjenjuje se sljedećim:

„(j)

usluge koje pružaju pružatelji tehničkih usluga koje podupiru pružanje platnih usluga, a da ni u kojem trenutku oni ne ulaze u posjed novčanih sredstava koja se prenose, uključujući obradu i pohranu podataka, usluge zaštite povjerenja i privatnosti, autentifikacije podataka i identiteta, pružanje informacijske i komunikacijske tehnologije (IKT) i pružanje komunikacijske mreže te osiguravanje i održavanje terminala i uređaja koji se upotrebljavaju za platne usluge, s izuzećem usluga iniciranja plaćanja i usluga pružanja informacija o računu;”;

| 2. | članak 5. stavak 1. mijenja se kako slijedi:






  (a) | prvi podstavak mijenja se kako slijedi:






  i. | točka (e) zamjenjuje se sljedećim:






  „(e) | opis sustava upravljanja podnositelja zahtjeva te mehanizama unutarnje kontrole, uključujući administrativne i računovodstvene postupke te postupke upravljanja rizikom, kao i aranžmana za upotrebu IKT usluga u skladu s Uredbom (EU) 2022/2554 Europskog parlamenta i Vijeća (*7), iz kojih je vidljivo da su navedeni sustavi upravljanja i mehanizmi unutarnje kontrole razmjerni, primjereni, pouzdani i dostatni; |
| --- | --- | --- | --- | --- |

2.

članak 5. stavak 1. mijenja se kako slijedi:

(a)

prvi podstavak mijenja se kako slijedi:

i.

točka (e) zamjenjuje se sljedećim:

„(e)

opis sustava upravljanja podnositelja zahtjeva te mehanizama unutarnje kontrole, uključujući administrativne i računovodstvene postupke te postupke upravljanja rizikom, kao i aranžmana za upotrebu IKT usluga u skladu s Uredbom (EU) 2022/2554 Europskog parlamenta i Vijeća (*7), iz kojih je vidljivo da su navedeni sustavi upravljanja i mehanizmi unutarnje kontrole razmjerni, primjereni, pouzdani i dostatni;

*7

(*7)  Uredba (EU) 2022/2554 Europskog parlamenta i Vijeća od 14. prosinca 2022. o digitalnoj operativnoj otpornosti za financijski sektor i izmjeni uredbi (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014, (EU) br. 909/2014 i (EU) 2016/1011 (SL L 333, 27.12.2022. str. 1.,).”;"

*7

| ii. | točka (f) zamjenjuje se sljedećim:






  „(f) | opis postupaka uspostavljenih za praćenje, rješavanje i postupanje nakon sigurnosnih incidenata ili pritužbi klijenata povezanih sa sigurnosti, uključujući mehanizam za izvješćivanje o incidentima kojim se uzimaju u obzir obveze institucije za platni promet u pogledu obavješćivanja utvrđene u poglavlju III. Uredbe (EU) 2022/2554;”; |
| --- | --- | --- |

ii.

točka (f) zamjenjuje se sljedećim:

„(f)

opis postupaka uspostavljenih za praćenje, rješavanje i postupanje nakon sigurnosnih incidenata ili pritužbi klijenata povezanih sa sigurnosti, uključujući mehanizam za izvješćivanje o incidentima kojim se uzimaju u obzir obveze institucije za platni promet u pogledu obavješćivanja utvrđene u poglavlju III. Uredbe (EU) 2022/2554;”;

| iii. | točka (h) zamjenjuje se sljedećim:






  „(h) | opis mehanizama kontinuiteta poslovanja, uključujući jasnu identifikaciju ključnih radnji, djelotvornu politiku i planove kontinuiteta poslovanja u području IKT-a i planove odgovora i oporavka u području IKT-a, te postupak za redovito testiranje i preispitivanje prikladnosti i učinkovitosti takvih planova u skladu s Uredbom (EU) 2022/2554;”; |
| --- | --- | --- |

iii.

točka (h) zamjenjuje se sljedećim:

„(h)

opis mehanizama kontinuiteta poslovanja, uključujući jasnu identifikaciju ključnih radnji, djelotvornu politiku i planove kontinuiteta poslovanja u području IKT-a i planove odgovora i oporavka u području IKT-a, te postupak za redovito testiranje i preispitivanje prikladnosti i učinkovitosti takvih planova u skladu s Uredbom (EU) 2022/2554;”;

| (b) | treći podstavak zamjenjuje se sljedećim:

  „U okviru kontrole sigurnosti i mjera ublažavanja iz prvog podstavka točke (j) navodi se na koji se način njima osigurava visoka razina digitalne operativne otpornosti u skladu s poglavljem II. Uredbe (EU) 2022/2554, posebno u vezi s tehničkom sigurnosti i zaštitom podataka, među ostalim i za softver i IKT sustave koje upotrebljavaju podnositelj zahtjeva ili društva kojima on eksternalizira svoje cjelokupne operacije ili dio svojih operacija. Te mjere uključuju i sigurnosne mjere utvrđene u članku 95. stavku 1. ove Direktive. Tim mjerama uzimaju se u obzir smjernice EBA-e o sigurnosnim mjerama kako su navedene u članku 95. stavku 3. ove Direktive kada se donesu.”; |
| --- | --- |

(b)

treći podstavak zamjenjuje se sljedećim:

„U okviru kontrole sigurnosti i mjera ublažavanja iz prvog podstavka točke (j) navodi se na koji se način njima osigurava visoka razina digitalne operativne otpornosti u skladu s poglavljem II. Uredbe (EU) 2022/2554, posebno u vezi s tehničkom sigurnosti i zaštitom podataka, među ostalim i za softver i IKT sustave koje upotrebljavaju podnositelj zahtjeva ili društva kojima on eksternalizira svoje cjelokupne operacije ili dio svojih operacija. Te mjere uključuju i sigurnosne mjere utvrđene u članku 95. stavku 1. ove Direktive. Tim mjerama uzimaju se u obzir smjernice EBA-e o sigurnosnim mjerama kako su navedene u članku 95. stavku 3. ove Direktive kada se donesu.”;

| 3. | u članku 19. stavku 6. drugi podstavak zamjenjuje se sljedećim:

  „Eksternalizacija važnih operativnih funkcija, među ostalim i IKT sustava, ne smije se provesti na način kojim se narušavaju kvaliteta unutarnjih kontrola institucije za platni promet i sposobnost nadležnih tijela da nadziru i prate ispunjava li institucija za platni promet sve obveze utvrđene ovom Direktivom.”; |
| --- | --- |

3.

u članku 19. stavku 6. drugi podstavak zamjenjuje se sljedećim:

„Eksternalizacija važnih operativnih funkcija, među ostalim i IKT sustava, ne smije se provesti na način kojim se narušavaju kvaliteta unutarnjih kontrola institucije za platni promet i sposobnost nadležnih tijela da nadziru i prate ispunjava li institucija za platni promet sve obveze utvrđene ovom Direktivom.”;

| 4. | u članku 95. stavku 1. dodaje se sljedeći podstavak:

  „Prvim podstavkom ne dovodi se u pitanje primjena poglavlja II. Uredbe (EU) 2022/2554 na:






  (a) | pružatelje platnih usluga iz članka 1. stavka 1. točaka (a), (b) i (d) ove Direktive; |
| --- | --- | --- |

4.

u članku 95. stavku 1. dodaje se sljedeći podstavak:

„Prvim podstavkom ne dovodi se u pitanje primjena poglavlja II. Uredbe (EU) 2022/2554 na:

(a)

pružatelje platnih usluga iz članka 1. stavka 1. točaka (a), (b) i (d) ove Direktive;

| (b) | pružatelje usluga pružanja informacija o računu iz članka 33. stavka 1. ove Direktive; |
| --- | --- |

(b)

pružatelje usluga pružanja informacija o računu iz članka 33. stavka 1. ove Direktive;

| (c) | institucije za platni promet izuzete na temelju članka 32. stavka 1. ove Direktive; i |
| --- | --- |

(c)

institucije za platni promet izuzete na temelju članka 32. stavka 1. ove Direktive; i

| (d) | institucije za elektronički novac na koje se primjenjuje izuzeće iz članka 9. stavka 1. Direktive 2009/110/EZ.”; |
| --- | --- |

(d)

institucije za elektronički novac na koje se primjenjuje izuzeće iz članka 9. stavka 1. Direktive 2009/110/EZ.”;

| 5. | u članku 96. dodaje se sljedeći stavak:

  „7.   Države članice osiguravaju da se stavci od 1. do 5. ovog članka ne primjenjuju na:






  (a) | pružatelje platnih usluga iz članka 1. stavka 1. točaka (a), (b) i (d) ove Direktive; |
| --- | --- | --- |

5.

u članku 96. dodaje se sljedeći stavak:

„7.   Države članice osiguravaju da se stavci od 1. do 5. ovog članka ne primjenjuju na:

(a)

pružatelje platnih usluga iz članka 1. stavka 1. točaka (a), (b) i (d) ove Direktive;

| (b) | pružatelje usluga pružanja informacija o računu iz članka 33. stavka 1. ove Direktive; |
| --- | --- |

(b)

pružatelje usluga pružanja informacija o računu iz članka 33. stavka 1. ove Direktive;

| (c) | institucije za platni promet izuzete na temelju članka 32. stavka 1. ove Direktive; i |
| --- | --- |

(c)

institucije za platni promet izuzete na temelju članka 32. stavka 1. ove Direktive; i

| (d) | institucije za elektronički novac na koje se primjenjuje izuzeće iz članka 9. stavka 1. Direktive 2009/110/EZ.”; |
| --- | --- |

(d)

institucije za elektronički novac na koje se primjenjuje izuzeće iz članka 9. stavka 1. Direktive 2009/110/EZ.”;

| 6. | u članku 98. stavak 5. zamjenjuje se sljedećim:

  „5.   U skladu s člankom 10. Uredbe (EU) br. 1093/2010 EBA preispituje i, prema potrebi, redovito ažurira regulatorne tehničke standarde kako bi se, među ostalim, uzeli u obzir inovacije i tehnološki razvoj te odredbe poglavlja II. Uredbe (EU) 2022/2554.”. |
| --- | --- |

6.

u članku 98. stavak 5. zamjenjuje se sljedećim:

„5.   U skladu s člankom 10. Uredbe (EU) br. 1093/2010 EBA preispituje i, prema potrebi, redovito ažurira regulatorne tehničke standarde kako bi se, među ostalim, uzeli u obzir inovacije i tehnološki razvoj te odredbe poglavlja II. Uredbe (EU) 2022/2554.”.

Članak 8.

Izmjena Direktive (EU) 2016/2341

Članak 21. stavak 5. Direktive (EU) 2016/2341 zamjenjuje se sljedećim:

„5.   Države članice osiguravaju da institucije za strukovno mirovinsko osiguranje poduzimaju razumne mjere u svrhu kontinuiranog i redovitog obavljanja svojih djelatnosti, uključujući razvoj planova za slučaj nepredviđenih okolnosti. S tim ciljem institucije za strukovno mirovinsko osiguranje upotrebljavaju primjerene i razmjerne sustave, resurse i postupke te osobito uspostavljaju mrežne i informacijske sustave i upravljaju njima u skladu s Uredbom (EU) 2022/2554 Europskog parlamenta i Vijeća (*8), ako je to primjenjivo.

Članak 9.

Prenošenje

1.   Države članice do 17. siječnja 2025. donose i objavljuju mjere potrebne radi usklađivanja s ovom Direktivom. One o tome odmah obavješćuju Komisiju.

One primjenjuju te mjere od 17. siječnja 2025.

Kada države članice donose te mjere, one sadržavaju upućivanje na ovu Direktivu ili se na nju upućuje prilikom njihove službene objave. Načine tog upućivanja određuju države članice.

2.   Države članice Komisiji dostavljaju tekst glavnih mjera nacionalnog prava koje donesu u području na koje se odnosi ova Direktiva.

Članak 10.

Stupanje na snagu

Ova Direktiva stupa na snagu dvadesetog dana od dana objave u Službenom listu Europske unije.

Službenom listu Europske unije

Članak 11.

Adresati

Ova je Direktiva upućena državama članicama.

Sastavljeno u Strasbourgu 14. prosinca 2022.

Za Europski parlament

Predsjednica

R. METSOLA

Za Vijeće

Predsjednik

M. BEK

---

(1)  
  SL C 343, 26.8.2021., str. 1.

1

(2)  
  SL C 155, 30.4.2021., str. 38.

2

(3)  Stajalište Europskog parlamenta od 10. studenoga 2022. (još nije objavljeno u Službenom listu) i Odluka Vijeća od 28. studenoga 2022.

3

(4)  Direktiva 2009/65/EZ Europskog parlamenta i Vijeća od 13. srpnja 2009. o usklađivanju zakona i drugih propisa u odnosu na subjekte za zajednička ulaganja u prenosive vrijednosne papire (UCITS) (SL L 302, 17.11.2009., str. 32.).

4

(5)  Direktiva 2009/138/EZ Europskog parlamenta i Vijeća od 25. studenoga 2009. o osnivanju i obavljanju djelatnosti osiguranja i reosiguranja (Solventnost II) (SL L 335, 17.12.2009., str. 1.).

5

(6)  Direktiva 2011/61/EU Europskog parlamenta i Vijeća od 8. lipnja 2011. o upraviteljima alternativnih investicijskih fondova i o izmjeni direktiva 2003/41/EZ i 2009/65/EZ te uredbi (EZ) br. 1060/2009 i (EU) br. 1095/2010 (SL L 174, 1.7.2011., str. 1.).

6

(7)  Direktiva 2013/36/EU Europskog parlamenta i Vijeća od 26. lipnja 2013. o pristupanju djelatnosti kreditnih institucija i bonitetnom nadzoru nad kreditnim institucijama, izmjeni Direktive 2002/87/EZ te stavljanju izvan snage direktiva 2006/48/EZ i 2006/49/EZ (SL L 176, 27.6.2013., str. 338.).

7

(8)  Direktiva 2014/59/EU Europskog parlamenta i Vijeća od 15. svibnja 2014. o uspostavi okvira za oporavak i sanaciju kreditnih institucija i investicijskih društava te o izmjeni Direktive Vijeća 82/891/EEZ i direktiva 2001/24/EZ, 2002/47/EZ, 2004/25/EZ, 2005/56/EZ, 2007/36/EZ, 2011/35/EU, 2012/30/EU i 2013/36/EU te uredbi (EU) br. 1093/2010 i (EU) br. 648/2012 Europskog parlamenta i Vijeća (SL L 173, 12.6.2014., str. 190.).

8

(9)  Direktiva 2014/65/EU Europskog parlamenta i Vijeća od 15. svibnja 2014. o tržištu financijskih instrumenata i izmjeni Direktive 2002/92/EZ i Direktive 2011/61/EU (SL L 173, 12.6.2014., str. 349.).

9

(10)  Direktiva (EU) 2015/2366 Europskog parlamenta i Vijeća od 25. studenoga 2015. o platnim uslugama na unutarnjem tržištu, o izmjeni direktiva 2002/65/EZ, 2009/110/EZ i 2013/36/EU te Uredbe (EU) br. 1093/2010 i o stavljanju izvan snage Direktive 2007/64/EZ (SL L 337, 23.12.2015., str. 35.).

10

(11)  Direktiva (EU) 2016/2341 Europskog parlamenta i Vijeća od 14. prosinca 2016. o djelatnostima i nadzoru institucija za strukovno mirovinsko osiguranje (SL L 354, 23.12.2016., str. 37.).

11

(12)  Uredba (EU) 2022/2554 Europskog parlamenta i Vijeća od 14. prosinca 2022. o digitalnoj operativnoj otpornosti za financijski sektor i izmjeni uredbi (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014, (EU) br. 909/2014 i (EU) 2016/1011 (vidjeti stranicu 1. ovoga Službenog lista).

12

(13)  Uredba (EU) br. 1093/2010 Europskog parlamenta i Vijeća od 24. studenoga 2010. o osnivanju europskog nadzornog tijela (Europskog nadzornog tijela za bankarstvo), kojom se izmjenjuje Odluka br. 716/2009/EZ i stavlja izvan snage Odluka Komisije 2009/78/EZ (SL L 331, 15.12.2010., str. 12.).

13

(14)  
  SL C 369, 17.12.2011., str. 14.

14

---

| 27.12.2022 | HR | Službeni list Europske unije | L 333/164 |
| --- | --- | --- | --- |

27.12.2022

HR

Službeni list Europske unije

L 333/164

---

DIREKTIVA (EU) 2022/2557 EUROPSKOG PARLAMENTA I VIJEĆA

od 14. prosinca 2022.

o otpornosti kritičnih subjekata i o stavljanju izvan snage Direktive Vijeća 2008/114/EZ

(Tekst značajan za EGP)

EUROPSKI PARLAMENT I VIJEĆE EUROPSKE UNIJE,

uzimajući u obzir Ugovor o funkcioniranju Europske unije, a posebno njegov članak 114.,

uzimajući u obzir prijedlog Europske komisije,

nakon prosljeđivanja nacrta zakonodavnog akta nacionalnim parlamentima,

uzimajući u obzir mišljenje Europskoga gospodarskog i socijalnog odbora (1),

uzimajući u obzir mišljenje Odbora regija (2),

u skladu s redovnim zakonodavnim postupkom (3),

budući da:

| (1) | Kritični subjekti kao pružatelji ključnih usluga u gospodarstvu Unije koje je sve više međuovisno imaju neizostavnu ulogu u održavanju vitalnih društvenih funkcija ili gospodarskih djelatnosti na unutarnjem tržištu. Stoga je ključno uspostaviti okvir Unije čiji bi cilj bilo jačanje otpornosti kritičnih subjekata na unutarnjem tržištu utvrđivanjem usklađenih minimalnih pravila te pružanje pomoći tim subjektima koherentnim i namjenskim mjerama potpore i nadzora. |
| --- | --- |

(1)

Kritični subjekti kao pružatelji ključnih usluga u gospodarstvu Unije koje je sve više međuovisno imaju neizostavnu ulogu u održavanju vitalnih društvenih funkcija ili gospodarskih djelatnosti na unutarnjem tržištu. Stoga je ključno uspostaviti okvir Unije čiji bi cilj bilo jačanje otpornosti kritičnih subjekata na unutarnjem tržištu utvrđivanjem usklađenih minimalnih pravila te pružanje pomoći tim subjektima koherentnim i namjenskim mjerama potpore i nadzora.

| (2) | Direktivom Vijeća 2008/114/EZ (4) utvrđuje se postupak za označivanje europske kritične infrastrukture u sektoru energije i prometa čiji bi poremećaj u radu ili uništenje imali znatne prekogranične učinke na najmanje dvije države članice. Ta je direktiva usmjerena isključivo na zaštitu takve infrastrukture. Međutim, evaluacijom Direktive 2008/114/EZ koja je provedena 2019. utvrđeno je da zaštitne mjere koje se odnose samo na pojedinačnu imovinu nisu dovoljne da spriječe nastanak svih poremećaja zbog sve veće međupovezanosti i prekogranične prirode aktivnosti u kojima se upotrebljava kritična infrastruktura. Stoga je pristup potrebno preusmjeriti na osiguravanje boljeg uvažavanja rizika, boljeg definiranja i koherentnosti uloge i dužnosti kritičnih subjekata kao pružatelja usluga koje su ključne za funkcioniranje unutarnjeg tržišta te na donošenje pravila Unije za jačanje otpornosti kritičnih subjekata. Kritični subjekti trebali bi moći ojačati svoju sposobnost sprečavanja incidenata koji mogu poremetiti pružanje ključnih usluga, zaštite od njih, odgovora na njih, odupiranja njima, njihova ublažavanja i apsorpcije, prilagodbe njima te oporavka od njih. |
| --- | --- |

(2)

Direktivom Vijeća 2008/114/EZ (4) utvrđuje se postupak za označivanje europske kritične infrastrukture u sektoru energije i prometa čiji bi poremećaj u radu ili uništenje imali znatne prekogranične učinke na najmanje dvije države članice. Ta je direktiva usmjerena isključivo na zaštitu takve infrastrukture. Međutim, evaluacijom Direktive 2008/114/EZ koja je provedena 2019. utvrđeno je da zaštitne mjere koje se odnose samo na pojedinačnu imovinu nisu dovoljne da spriječe nastanak svih poremećaja zbog sve veće međupovezanosti i prekogranične prirode aktivnosti u kojima se upotrebljava kritična infrastruktura. Stoga je pristup potrebno preusmjeriti na osiguravanje boljeg uvažavanja rizika, boljeg definiranja i koherentnosti uloge i dužnosti kritičnih subjekata kao pružatelja usluga koje su ključne za funkcioniranje unutarnjeg tržišta te na donošenje pravila Unije za jačanje otpornosti kritičnih subjekata. Kritični subjekti trebali bi moći ojačati svoju sposobnost sprečavanja incidenata koji mogu poremetiti pružanje ključnih usluga, zaštite od njih, odgovora na njih, odupiranja njima, njihova ublažavanja i apsorpcije, prilagodbe njima te oporavka od njih.

| (3) | Iako se nizom mjera na razini Unije kao što je Europski program zaštite kritične infrastrukture, te na nacionalnoj razini nastoji poduprijeti zaštita kritične infrastrukture u Uniji, trebalo bi učiniti više kako bi se subjekti koji upravljaju tom infrastrukturom bolje opremili za odgovor na rizike za njihov rad koji bi mogli dovesti do poremećaja u pružanju ključnih usluga. Trebalo bi također učiniti više za bolju opremu takvih subjekata zbog dinamičnog okruženja prijetnji, koje uključuje hibridne i terorističke prijetnje koje se razvijaju, te sve veće međuovisnosti između infrastrukture i sektora. Osim toga, zbog prirodnih katastrofa i klimatskih promjena povećan je fizički rizik, što povećava učestalost i razmjere ekstremnih vremenskih pojava i dovodi do dugoročnih promjena u prosječnim klimatskim uvjetima koje mogu smanjiti kapacitet, učinkovitost i životni vijek određenih vrsta infrastrukture ako se ne uvedu mjere za prilagodbu klimatskim promjenama. Osim toga, unutarnje tržište obilježeno je fragmentacijom u pogledu utvrđivanja kritičnih subjekata jer relevantni sektori i kategorije subjekata nisu u svim državama članicama dosljedno prepoznati kao kritični. Stoga bi se ovom Direktivom trebala postići dobra razina usklađenosti u pogledu sektora i kategorija subjekata obuhvaćenih njezinim područjem primjene. |
| --- | --- |

(3)

Iako se nizom mjera na razini Unije kao što je Europski program zaštite kritične infrastrukture, te na nacionalnoj razini nastoji poduprijeti zaštita kritične infrastrukture u Uniji, trebalo bi učiniti više kako bi se subjekti koji upravljaju tom infrastrukturom bolje opremili za odgovor na rizike za njihov rad koji bi mogli dovesti do poremećaja u pružanju ključnih usluga. Trebalo bi također učiniti više za bolju opremu takvih subjekata zbog dinamičnog okruženja prijetnji, koje uključuje hibridne i terorističke prijetnje koje se razvijaju, te sve veće međuovisnosti između infrastrukture i sektora. Osim toga, zbog prirodnih katastrofa i klimatskih promjena povećan je fizički rizik, što povećava učestalost i razmjere ekstremnih vremenskih pojava i dovodi do dugoročnih promjena u prosječnim klimatskim uvjetima koje mogu smanjiti kapacitet, učinkovitost i životni vijek određenih vrsta infrastrukture ako se ne uvedu mjere za prilagodbu klimatskim promjenama. Osim toga, unutarnje tržište obilježeno je fragmentacijom u pogledu utvrđivanja kritičnih subjekata jer relevantni sektori i kategorije subjekata nisu u svim državama članicama dosljedno prepoznati kao kritični. Stoga bi se ovom Direktivom trebala postići dobra razina usklađenosti u pogledu sektora i kategorija subjekata obuhvaćenih njezinim područjem primjene.

| (4) | Iako su određeni sektori gospodarstva, kao što su sektori energetike i prometa, već uređeni sektorskim pravnim aktima Unije, ti pravni akti sadržavaju odredbe koje se odnose samo na određene aspekte otpornosti subjekata koji djeluju u tim sektorima. Kako bi se na sveobuhvatan način riješilo pitanje otpornosti tih subjekata koji su kritični za pravilno funkcioniranje unutarnjeg tržišta, ovom Direktivom uspostavlja se sveobuhvatan okvir koji se odnosi na otpornost kritičnih subjekata u pogledu svih opasnosti, bilo prirodnih ili uzrokovanih ljudskim djelovanjem, uzrokovanih slučajno ili namjerno. |
| --- | --- |

(4)

Iako su određeni sektori gospodarstva, kao što su sektori energetike i prometa, već uređeni sektorskim pravnim aktima Unije, ti pravni akti sadržavaju odredbe koje se odnose samo na određene aspekte otpornosti subjekata koji djeluju u tim sektorima. Kako bi se na sveobuhvatan način riješilo pitanje otpornosti tih subjekata koji su kritični za pravilno funkcioniranje unutarnjeg tržišta, ovom Direktivom uspostavlja se sveobuhvatan okvir koji se odnosi na otpornost kritičnih subjekata u pogledu svih opasnosti, bilo prirodnih ili uzrokovanih ljudskim djelovanjem, uzrokovanih slučajno ili namjerno.

| (5) | Rastuće međuovisnosti infrastrukture i sektora ishod su sve veće prekogranične i međuovisne mreže pružanja usluga koja se koristi ključnom infrastrukturom širom Unije u energetskom sektoru, sektorima prometa, bankarstva, vode za piće, otpadnih voda, proizvodnje, prerade i distribucije hrane, zdravstva, svemira, infrastrukture financijskog tržišta i digitalne infrastrukture te u određenim aspektima sektora javne uprave. Svemirski sektor obuhvaćen je područjem primjene ove Direktive u odnosu na pružanje određenih usluga koje ovise o zemaljskoj infrastrukturi koja je u vlasništvu država članica ili privatnih strana, koju vode država članica ili privatne strane i čijim radom upravljaju države članice ili privatne strane; stoga područjem primjene ove Direktive nije obuhvaćena infrastruktura koja je u vlasništvu Unije, koju Unija vodi ili koja se vodi u ime Unije, ili kojom Unija upravlja ili kojom se upravlja u ime Unije u okviru njezinog svemirskog programa.
  Kad je riječ o energetskom sektoru, a posebno o metodama za proizvodnju i prijenos električne energije (s obzirom na opskrbu električnom energijom), podrazumijeva se da, kada je to potrebno, proizvodnja električne energije može uključivati dijelove nuklearnih elektrana koji služe za prijenos električne energije, ali isključivati specifično nuklearne elemente obuhvaćene međunarodnim ugovorima i pravom Unije, uključujući relevantne pravne akte Unije koji se odnose na nuklearnu energiju. Postupak za utvrđivanje kritičnih subjekata u prehrambenom sektoru trebao bi na odgovarajući način odražavati prirodu unutarnjeg tržišta u tom sektoru i opsežna pravila Unije o općim načelima i zahtjevima propisâ o hrani i sigurnosti hrane. Kako bi se stoga osiguralo postojanje proporcionalnog pristupa i na odgovarajući način odrazila uloga i važnost tih subjekata na nacionalnoj razini, među poduzećima u prehrambenom sektoru, neovisno o tome jesu li osnovani radi ostvarivanja dobiti ili ne i bez obzira na to jesu li javna ili privatna, trebalo bi kao kritične subjekte utvrditi samo ona poduzeća koja se bave isključivo logistikom i veleprodajnom distribucijom i masovnom industrijskom proizvodnjom i preradom i koja imaju znatan tržišni udio kako je primijećeno na nacionalnoj razini. Te međuovisnosti znače da svaki poremećaj u ključnim uslugama, čak i onaj koji je prvotno ograničen na jedan subjekt ili jedan sektor, može imati kaskadne učinke u širem smislu, što može imati dalekosežne i dugotrajne negativne učinke na pružanje usluga širom unutarnjeg tržišta. Velike krize, kao što je pandemija bolesti COVID-19, pokazuju ranjivost naših društava, koja su sve više međuovisna, kada se suoče s rizicima male vjerojatnosti, ali s velikim učinkom. |
| --- | --- |

(5)

Rastuće međuovisnosti infrastrukture i sektora ishod su sve veće prekogranične i međuovisne mreže pružanja usluga koja se koristi ključnom infrastrukturom širom Unije u energetskom sektoru, sektorima prometa, bankarstva, vode za piće, otpadnih voda, proizvodnje, prerade i distribucije hrane, zdravstva, svemira, infrastrukture financijskog tržišta i digitalne infrastrukture te u određenim aspektima sektora javne uprave. Svemirski sektor obuhvaćen je područjem primjene ove Direktive u odnosu na pružanje određenih usluga koje ovise o zemaljskoj infrastrukturi koja je u vlasništvu država članica ili privatnih strana, koju vode država članica ili privatne strane i čijim radom upravljaju države članice ili privatne strane; stoga područjem primjene ove Direktive nije obuhvaćena infrastruktura koja je u vlasništvu Unije, koju Unija vodi ili koja se vodi u ime Unije, ili kojom Unija upravlja ili kojom se upravlja u ime Unije u okviru njezinog svemirskog programa.

Kad je riječ o energetskom sektoru, a posebno o metodama za proizvodnju i prijenos električne energije (s obzirom na opskrbu električnom energijom), podrazumijeva se da, kada je to potrebno, proizvodnja električne energije može uključivati dijelove nuklearnih elektrana koji služe za prijenos električne energije, ali isključivati specifično nuklearne elemente obuhvaćene međunarodnim ugovorima i pravom Unije, uključujući relevantne pravne akte Unije koji se odnose na nuklearnu energiju. Postupak za utvrđivanje kritičnih subjekata u prehrambenom sektoru trebao bi na odgovarajući način odražavati prirodu unutarnjeg tržišta u tom sektoru i opsežna pravila Unije o općim načelima i zahtjevima propisâ o hrani i sigurnosti hrane. Kako bi se stoga osiguralo postojanje proporcionalnog pristupa i na odgovarajući način odrazila uloga i važnost tih subjekata na nacionalnoj razini, među poduzećima u prehrambenom sektoru, neovisno o tome jesu li osnovani radi ostvarivanja dobiti ili ne i bez obzira na to jesu li javna ili privatna, trebalo bi kao kritične subjekte utvrditi samo ona poduzeća koja se bave isključivo logistikom i veleprodajnom distribucijom i masovnom industrijskom proizvodnjom i preradom i koja imaju znatan tržišni udio kako je primijećeno na nacionalnoj razini. Te međuovisnosti znače da svaki poremećaj u ključnim uslugama, čak i onaj koji je prvotno ograničen na jedan subjekt ili jedan sektor, može imati kaskadne učinke u širem smislu, što može imati dalekosežne i dugotrajne negativne učinke na pružanje usluga širom unutarnjeg tržišta. Velike krize, kao što je pandemija bolesti COVID-19, pokazuju ranjivost naših društava, koja su sve više međuovisna, kada se suoče s rizicima male vjerojatnosti, ali s velikim učinkom.

| (6) | Subjekti koji sudjeluju u pružanju ključnih usluga sve više podliježu različitim zahtjevima koji su nametnuti nacionalnim pravom. Činjenica da neke države članice imaju blaže sigurnosne zahtjeve za te subjekte ne samo da dovodi do različitih razina otpornosti, nego i riskira da negativno utječe na održavanje vitalnih društvenih funkcija ili gospodarskih djelatnosti širom Unije te ujedno dovodi do prepreka pravilnom funkcioniranju unutarnjeg tržišta. Ulagatelji i poduzeća mogu se osloniti na otporne kritične subjekte i pouzdati se u njih, te su pouzdanost i povjerenje temelji unutarnjeg tržišta koje dobro funkcionira. Slične vrste subjekata smatraju se kritičnima u nekim državama članicama, ali ne i u drugima, a subjekti koji se utvrde kao kritični podliježu različitim zahtjevima u različitim državama članicama. To dovodi do dodatnog i nepotrebnog administrativnog opterećenja za poduzeća koja posluju prekogranično, osobito za poduzeća koja djeluju u državama članicama sa strožim zahtjevima. Okvir Unije stoga bi također imao učinak osiguravanja jednakih uvjeta za kritične subjekte širom Unije. |
| --- | --- |

(6)

Subjekti koji sudjeluju u pružanju ključnih usluga sve više podliježu različitim zahtjevima koji su nametnuti nacionalnim pravom. Činjenica da neke države članice imaju blaže sigurnosne zahtjeve za te subjekte ne samo da dovodi do različitih razina otpornosti, nego i riskira da negativno utječe na održavanje vitalnih društvenih funkcija ili gospodarskih djelatnosti širom Unije te ujedno dovodi do prepreka pravilnom funkcioniranju unutarnjeg tržišta. Ulagatelji i poduzeća mogu se osloniti na otporne kritične subjekte i pouzdati se u njih, te su pouzdanost i povjerenje temelji unutarnjeg tržišta koje dobro funkcionira. Slične vrste subjekata smatraju se kritičnima u nekim državama članicama, ali ne i u drugima, a subjekti koji se utvrde kao kritični podliježu različitim zahtjevima u različitim državama članicama. To dovodi do dodatnog i nepotrebnog administrativnog opterećenja za poduzeća koja posluju prekogranično, osobito za poduzeća koja djeluju u državama članicama sa strožim zahtjevima. Okvir Unije stoga bi također imao učinak osiguravanja jednakih uvjeta za kritične subjekte širom Unije.

| (7) | Potrebno je utvrditi usklađena minimalna pravila kako bi se osiguralo pružanje ključnih usluga na unutarnjem tržištu, ojačala otpornost kritičnih subjekata i poboljšala prekogranična suradnja među nadležnim tijelima. Važno je da ta pravila u smislu njihove koncepcije i provedbe budu prilagođena budućim potrebama istovremeno omogućavajući potrebnu fleksibilnost. Ključno je i poboljšati kapacitet kritičnih subjekata za pružanje ključnih usluga kada se suočavaju s različitom skupinom rizika. |
| --- | --- |

(7)

Potrebno je utvrditi usklađena minimalna pravila kako bi se osiguralo pružanje ključnih usluga na unutarnjem tržištu, ojačala otpornost kritičnih subjekata i poboljšala prekogranična suradnja među nadležnim tijelima. Važno je da ta pravila u smislu njihove koncepcije i provedbe budu prilagođena budućim potrebama istovremeno omogućavajući potrebnu fleksibilnost. Ključno je i poboljšati kapacitet kritičnih subjekata za pružanje ključnih usluga kada se suočavaju s različitom skupinom rizika.

| (8) | Kako bi se postigla visoka razina otpornosti, države članice trebale bi utvrditi kritične subjekte koji će podlijegati posebnim zahtjevima i nadzoru i koji će primiti posebnu potporu i smjernice za suočavanje sa svim relevantnim rizicima. |
| --- | --- |

(8)

Kako bi se postigla visoka razina otpornosti, države članice trebale bi utvrditi kritične subjekte koji će podlijegati posebnim zahtjevima i nadzoru i koji će primiti posebnu potporu i smjernice za suočavanje sa svim relevantnim rizicima.

| (9) | S obzirom na važnost kibersigurnosti za otpornost kritičnih subjekata i radi dosljednosti, kad god je to moguće trebalo bi osigurati koherentan pristup između ove Direktive i Direktive (EU) 2022/2555 Europskog parlamenta i Vijeća (5). S obzirom na veću učestalost i posebna obilježja kiberrizika, Direktivom (EU) 2022/2555 uvode se sveobuhvatni zahtjevi za velik broj subjekata kako bi se zajamčila njihova kibersigurnost. Budući da se kibersigurnost dostatno rješava Direktivom (EU) 2022/2555, pitanja koja su obuhvaćena tom direktivom trebala bi biti isključena iz područja primjene ove Direktive, pri čemu se ne dovodi u pitanje poseban režim za subjekte u sektoru digitalne infrastrukture. |
| --- | --- |

(9)

S obzirom na važnost kibersigurnosti za otpornost kritičnih subjekata i radi dosljednosti, kad god je to moguće trebalo bi osigurati koherentan pristup između ove Direktive i Direktive (EU) 2022/2555 Europskog parlamenta i Vijeća (5). S obzirom na veću učestalost i posebna obilježja kiberrizika, Direktivom (EU) 2022/2555 uvode se sveobuhvatni zahtjevi za velik broj subjekata kako bi se zajamčila njihova kibersigurnost. Budući da se kibersigurnost dostatno rješava Direktivom (EU) 2022/2555, pitanja koja su obuhvaćena tom direktivom trebala bi biti isključena iz područja primjene ove Direktive, pri čemu se ne dovodi u pitanje poseban režim za subjekte u sektoru digitalne infrastrukture.

| (10) | Ako se odredbama sektorskih pravnih akata Unije od kritičnih subjekata zahtijeva poduzimanje mjera za jačanje njihove otpornosti i ako države članice priznaju te zahtjeve kao barem jednakovrijedne odgovarajućim obvezama utvrđenima u ovoj Direktivi, relevantne odredbe ove Direktive ne bi se trebale primjenjivati kako bi se izbjegli udvostručavanje i nepotrebno opterećenje. U tom bi se slučaju trebale primjenjivati relevantne odredbe takvih pravnih akata Unije. Ako se relevantne odredbe ove Direktive ne primjenjuju, ne bi se trebale primjenjivati ni odredbe o nadzoru i izvršavanju utvrđene ovom Direktivom. |
| --- | --- |

(10)

Ako se odredbama sektorskih pravnih akata Unije od kritičnih subjekata zahtijeva poduzimanje mjera za jačanje njihove otpornosti i ako države članice priznaju te zahtjeve kao barem jednakovrijedne odgovarajućim obvezama utvrđenima u ovoj Direktivi, relevantne odredbe ove Direktive ne bi se trebale primjenjivati kako bi se izbjegli udvostručavanje i nepotrebno opterećenje. U tom bi se slučaju trebale primjenjivati relevantne odredbe takvih pravnih akata Unije. Ako se relevantne odredbe ove Direktive ne primjenjuju, ne bi se trebale primjenjivati ni odredbe o nadzoru i izvršavanju utvrđene ovom Direktivom.

| (11) | Ova Direktiva ne utječe na nadležnosti država članica i njihovih tijela u smislu administrativne autonomije ni na njihovu odgovornost za zaštitu nacionalne sigurnosti i obrane ni na njihove ovlasti za zaštitu drugih ključnih državnih funkcija, posebice onih koje se odnose na javnu sigurnost, teritorijalnu cjelovitost i očuvanje javnog poretka. Isključenje subjekata javne uprave iz područja primjene ove Direktive trebalo bi se primjenjivati na subjekte čije se aktivnosti pretežno obavljaju u područjima nacionalne sigurnosti, javne sigurnosti, obrane ili izvršavanja zakonodavstva, uključujući istragu, otkrivanje i progon kaznenih djela. Međutim, subjekti javne uprave čije su aktivnosti samo sporedno povezane s tim područjima trebali bi biti obuhvaćeni područjem primjene ove Direktive. Za potrebe ove Direktive ne smatra se da subjekti s regulatornim nadležnostima obavljaju aktivnosti u području izvršavanja zakonodavstva i stoga nisu isključeni iz područja primjene ove Direktive na temelju tog razloga. Subjekti javne uprave koji su uspostavljeni zajedno s trećom zemljom u skladu s međunarodnim sporazumom isključeni su iz područja primjene ove Direktive. Ova se Direktiva ne primjenjuje na diplomatske i konzularne misije država članica u trećim zemljama.
  Određeni kritični subjekti obavljaju aktivnosti u područjima nacionalne sigurnosti, javne sigurnosti, obrane ili izvršavanja zakonodavstva, uključujući istragu, otkrivanje i progon kaznenih djela, ili pružaju usluge isključivo subjektima javne uprave koji obavljaju aktivnosti pretežno u tim područjima. S obzirom na odgovornost država članica za zaštitu nacionalne sigurnosti i obrane, države članice trebale bi moći odlučiti da se obveze kritičnih subjekata iz ove Direktive ne primjenjuju u cijelosti ili djelomično na te kritične subjekte ako su usluge koje pružaju ili aktivnosti koje oni obavljaju pretežno povezane s područjima nacionalne sigurnosti, javne sigurnosti, obrane ili izvršavanja zakonodavstva, uključujući istragu, otkrivanje i progon kaznenih djela. Kritični subjekti čije su usluge ili aktivnosti samo sporedno povezane s tim područjima trebali bi biti obuhvaćeni područjem primjene ove Direktive. Ni od jedne države članice ne bi trebalo zahtijevati dostavljanje informacija čije bi otkrivanje bilo suprotno ključnim interesima njezine nacionalne sigurnosti. Relevantna su pravila Unije ili nacionalna pravila za zaštitu klasificiranih podataka i sporazumi o povjerljivosti podataka. |
| --- | --- |

(11)

Ova Direktiva ne utječe na nadležnosti država članica i njihovih tijela u smislu administrativne autonomije ni na njihovu odgovornost za zaštitu nacionalne sigurnosti i obrane ni na njihove ovlasti za zaštitu drugih ključnih državnih funkcija, posebice onih koje se odnose na javnu sigurnost, teritorijalnu cjelovitost i očuvanje javnog poretka. Isključenje subjekata javne uprave iz područja primjene ove Direktive trebalo bi se primjenjivati na subjekte čije se aktivnosti pretežno obavljaju u područjima nacionalne sigurnosti, javne sigurnosti, obrane ili izvršavanja zakonodavstva, uključujući istragu, otkrivanje i progon kaznenih djela. Međutim, subjekti javne uprave čije su aktivnosti samo sporedno povezane s tim područjima trebali bi biti obuhvaćeni područjem primjene ove Direktive. Za potrebe ove Direktive ne smatra se da subjekti s regulatornim nadležnostima obavljaju aktivnosti u području izvršavanja zakonodavstva i stoga nisu isključeni iz područja primjene ove Direktive na temelju tog razloga. Subjekti javne uprave koji su uspostavljeni zajedno s trećom zemljom u skladu s međunarodnim sporazumom isključeni su iz područja primjene ove Direktive. Ova se Direktiva ne primjenjuje na diplomatske i konzularne misije država članica u trećim zemljama.

Određeni kritični subjekti obavljaju aktivnosti u područjima nacionalne sigurnosti, javne sigurnosti, obrane ili izvršavanja zakonodavstva, uključujući istragu, otkrivanje i progon kaznenih djela, ili pružaju usluge isključivo subjektima javne uprave koji obavljaju aktivnosti pretežno u tim područjima. S obzirom na odgovornost država članica za zaštitu nacionalne sigurnosti i obrane, države članice trebale bi moći odlučiti da se obveze kritičnih subjekata iz ove Direktive ne primjenjuju u cijelosti ili djelomično na te kritične subjekte ako su usluge koje pružaju ili aktivnosti koje oni obavljaju pretežno povezane s područjima nacionalne sigurnosti, javne sigurnosti, obrane ili izvršavanja zakonodavstva, uključujući istragu, otkrivanje i progon kaznenih djela. Kritični subjekti čije su usluge ili aktivnosti samo sporedno povezane s tim područjima trebali bi biti obuhvaćeni područjem primjene ove Direktive. Ni od jedne države članice ne bi trebalo zahtijevati dostavljanje informacija čije bi otkrivanje bilo suprotno ključnim interesima njezine nacionalne sigurnosti. Relevantna su pravila Unije ili nacionalna pravila za zaštitu klasificiranih podataka i sporazumi o povjerljivosti podataka.

| (12) | Kako se ne bi ugrozila nacionalna sigurnost ili sigurnost i komercijalni interesi kritičnih subjekata, pristup osjetljivim informacijama, njihova razmjena i postupanje s njima trebali bi se provoditi razborito i uz posvećivanje posebne pozornosti kanalima za prijenos i kapacitetima za pohranu koji se upotrebljavaju. |
| --- | --- |

(12)

Kako se ne bi ugrozila nacionalna sigurnost ili sigurnost i komercijalni interesi kritičnih subjekata, pristup osjetljivim informacijama, njihova razmjena i postupanje s njima trebali bi se provoditi razborito i uz posvećivanje posebne pozornosti kanalima za prijenos i kapacitetima za pohranu koji se upotrebljavaju.

| (13) | Kako bi se osigurao sveobuhvatan pristup otpornosti kritičnih subjekata, svaka država članica trebala bi uspostaviti strategiju jačanja otpornosti kritičnih subjekata („strategija”). Strategija bi trebala utvrditi strateške ciljeve i mjere politike koje treba provesti. Strategija bi, u interesu koherentnosti i učinkovitosti, trebala biti osmišljena za neometano integriranje postojećih politika te se temeljiti, kad god je to moguće, na relevantnim postojećim nacionalnim i sektorskim strategijama, na planovima ili na sličnim dokumentima. Radi postizanja sveobuhvatnog pristupa države članice trebale bi osigurati da se njihovim strategijama osigurava okvir politika za pojačanu koordinaciju između nadležnih tijela na temelju ove Direktive i nadležnih tijela na temelju Direktive (EU) 2022/2555 u kontekstu dijeljenja informacija o kibersigurnosnim rizicima, kiberprijetnjama i kiberincidentima te rizicima, prijetnjama i incidentima izvan kiberprostora i u kontekstu izvršavanja nadzornih zadaća. Pri uspostavi svojih strategija države članice trebale bi na odgovarajući način uzeti u obzir hibridnu prirodu prijetnji kritičnim subjektima. |
| --- | --- |

(13)

Kako bi se osigurao sveobuhvatan pristup otpornosti kritičnih subjekata, svaka država članica trebala bi uspostaviti strategiju jačanja otpornosti kritičnih subjekata („strategija”). Strategija bi trebala utvrditi strateške ciljeve i mjere politike koje treba provesti. Strategija bi, u interesu koherentnosti i učinkovitosti, trebala biti osmišljena za neometano integriranje postojećih politika te se temeljiti, kad god je to moguće, na relevantnim postojećim nacionalnim i sektorskim strategijama, na planovima ili na sličnim dokumentima. Radi postizanja sveobuhvatnog pristupa države članice trebale bi osigurati da se njihovim strategijama osigurava okvir politika za pojačanu koordinaciju između nadležnih tijela na temelju ove Direktive i nadležnih tijela na temelju Direktive (EU) 2022/2555 u kontekstu dijeljenja informacija o kibersigurnosnim rizicima, kiberprijetnjama i kiberincidentima te rizicima, prijetnjama i incidentima izvan kiberprostora i u kontekstu izvršavanja nadzornih zadaća. Pri uspostavi svojih strategija države članice trebale bi na odgovarajući način uzeti u obzir hibridnu prirodu prijetnji kritičnim subjektima.

| (14) | Države članice trebale bi priopćiti Komisiji svoje strategije i znatna ažuriranja tih strategija, posebice kako bi se Komisiji omogućilo da procijeni pravilnu primjenu ove Direktive u pogledu pristupa politika otpornosti kritičnih subjekata na nacionalnoj razini. Prema potrebi, strategije bi se mogle priopćiti kao klasificirani podaci. Komisija bi trebala sastaviti sažeto izvješće strategija koje su priopćile države članice koje bi poslužilo kao osnova za razmjene radi utvrđivanja najboljih praksi i pitanja od zajedničkog interesa u okviru Skupine za otpornost kritičnih subjekata. Zbog osjetljive prirode agregiranih podataka uključenih u sažeto izvješće, bez obzira na to jesu li klasificirani ili ne, Komisija bi sažetim izvješćem trebala upravljati uz odgovarajuću razinu osviještenosti poštujući sigurnost kritičnih subjekata, država članica i Unije. Sažeto izvješće i strategije trebali bi biti zaštićeni od nezakonitih ili zlonamjernih radnji te bi trebali biti dostupni samo ovlaštenim osobama kako bi se ispunili ciljevi ove Direktive. Priopćavanje strategija i njihovih znatnih ažuriranja trebalo bi također pomoći Komisiji u razumijevanju događanja u pristupima otpornosti kritičnih subjekata i doprinijeti praćenju učinka i dodane vrijednosti ove Direktive, koju Komisija treba periodično preispitivati. |
| --- | --- |

(14)

Države članice trebale bi priopćiti Komisiji svoje strategije i znatna ažuriranja tih strategija, posebice kako bi se Komisiji omogućilo da procijeni pravilnu primjenu ove Direktive u pogledu pristupa politika otpornosti kritičnih subjekata na nacionalnoj razini. Prema potrebi, strategije bi se mogle priopćiti kao klasificirani podaci. Komisija bi trebala sastaviti sažeto izvješće strategija koje su priopćile države članice koje bi poslužilo kao osnova za razmjene radi utvrđivanja najboljih praksi i pitanja od zajedničkog interesa u okviru Skupine za otpornost kritičnih subjekata. Zbog osjetljive prirode agregiranih podataka uključenih u sažeto izvješće, bez obzira na to jesu li klasificirani ili ne, Komisija bi sažetim izvješćem trebala upravljati uz odgovarajuću razinu osviještenosti poštujući sigurnost kritičnih subjekata, država članica i Unije. Sažeto izvješće i strategije trebali bi biti zaštićeni od nezakonitih ili zlonamjernih radnji te bi trebali biti dostupni samo ovlaštenim osobama kako bi se ispunili ciljevi ove Direktive. Priopćavanje strategija i njihovih znatnih ažuriranja trebalo bi također pomoći Komisiji u razumijevanju događanja u pristupima otpornosti kritičnih subjekata i doprinijeti praćenju učinka i dodane vrijednosti ove Direktive, koju Komisija treba periodično preispitivati.

| (15) | Mjere država članica za utvrđivanje i pomoć u osiguravanju otpornosti kritičnih subjekata trebale bi slijediti pristup utemeljen na riziku koji je usmjeren na subjekte koji su najvažniji za obavljanje vitalnih društvenih funkcija ili gospodarskih djelatnosti. Kako bi se osigurao takav ciljani pristup, svaka bi država članica trebala u kontekstu usklađenog okvira provesti procjenu relevantnih prirodnih i ljudskim djelovanjem uzrokovanih rizika, među ostalim rizika međusektorske ili prekogranične prirode, koji bi mogli utjecati na pružanje ključnih usluga, kao što su nesreće, prirodne katastrofe, izvanredna stanja u području javnog zdravlja poput pandemija i hibridnih ili drugih neprijateljskih prijetnji, uključujući kaznena djela terorizma, infiltraciju kriminala i sabotažu („procjena rizika države članice”). Pri provedbi procjene rizika države članice, države članice trebale bi uzeti u obzir druge opće ili sektorske procjene rizika provedene na temelju drugih pravnih akata Unije te bi trebale razmotriti u kojoj mjeri sektori ovise jedni o drugima, među ostalim i o sektorima u drugim državama članicama i trećim zemljama. Ishod procjena rizika države članice trebao bi poslužiti u svrhe utvrđivanja kritičnih subjekata i pomoći tim subjektima u ispunjavanju njihovih zahtjeva u pogledu otpornosti. Ova se Direktiva primjenjuje samo na države članice i kritične subjekte koji posluju unutar Unije. Međutim, stručnost i znanje koje su stekla nadležna tijela, posebno putem procjena rizika, te Komisija, posebno putem različitih oblika potpore i suradnje, mogli bi se upotrebljavati, prema potrebi i u skladu s primjenjivim pravnim instrumentima, u korist trećih zemalja, posebno onih u izravnom susjedstvu Unije, uključivanjem takvih stručnosti i znanja u postojeću suradnju u području otpornosti. |
| --- | --- |

(15)

Mjere država članica za utvrđivanje i pomoć u osiguravanju otpornosti kritičnih subjekata trebale bi slijediti pristup utemeljen na riziku koji je usmjeren na subjekte koji su najvažniji za obavljanje vitalnih društvenih funkcija ili gospodarskih djelatnosti. Kako bi se osigurao takav ciljani pristup, svaka bi država članica trebala u kontekstu usklađenog okvira provesti procjenu relevantnih prirodnih i ljudskim djelovanjem uzrokovanih rizika, među ostalim rizika međusektorske ili prekogranične prirode, koji bi mogli utjecati na pružanje ključnih usluga, kao što su nesreće, prirodne katastrofe, izvanredna stanja u području javnog zdravlja poput pandemija i hibridnih ili drugih neprijateljskih prijetnji, uključujući kaznena djela terorizma, infiltraciju kriminala i sabotažu („procjena rizika države članice”). Pri provedbi procjene rizika države članice, države članice trebale bi uzeti u obzir druge opće ili sektorske procjene rizika provedene na temelju drugih pravnih akata Unije te bi trebale razmotriti u kojoj mjeri sektori ovise jedni o drugima, među ostalim i o sektorima u drugim državama članicama i trećim zemljama. Ishod procjena rizika države članice trebao bi poslužiti u svrhe utvrđivanja kritičnih subjekata i pomoći tim subjektima u ispunjavanju njihovih zahtjeva u pogledu otpornosti. Ova se Direktiva primjenjuje samo na države članice i kritične subjekte koji posluju unutar Unije. Međutim, stručnost i znanje koje su stekla nadležna tijela, posebno putem procjena rizika, te Komisija, posebno putem različitih oblika potpore i suradnje, mogli bi se upotrebljavati, prema potrebi i u skladu s primjenjivim pravnim instrumentima, u korist trećih zemalja, posebno onih u izravnom susjedstvu Unije, uključivanjem takvih stručnosti i znanja u postojeću suradnju u području otpornosti.

| (16) | Kako bi se osiguralo da svi relevantni subjekti podliježu zahtjevima za otpornost iz ove Direktive i kako bi se smanjile razlike u tom pogledu, važno je odrediti usklađena pravila kojima se jamči dosljedno utvrđivanje kritičnih subjekata širom Unije te istodobno omogućiti državama članicama da na odgovarajući način uvaže ulogu i važnost tih subjekata na nacionalnoj razini. Pri primjeni kriterija utvrđenih u ovoj Direktivi svaka država članica trebala bi utvrditi subjekte koji pružaju jednu ili više ključnih usluga te koji upravljaju radom kritične infrastrukture smještene na njezinom državnom području odnosno imaju kritičnu infrastrukturu smještenu na njezinom državnom području. Trebalo bi se smatrati da određeni subjekt djeluje na državnom području države članice u kojoj obavlja aktivnosti potrebne za dotičnu ključnu uslugu ili usluge i u kojoj je smještena kritična infrastruktura tog subjekta koja se upotrebljava za pružanje te usluge ili tih usluga. Ako u državi članici ne postoji subjekt koji ispunjava te kriterije, ta država članica ne bi trebala biti obvezna utvrditi kritični subjekt u povezanom sektoru ili podsektoru. Radi djelotvornosti, učinkovitosti, dosljednosti i pravne sigurnosti trebalo bi utvrditi odgovarajuća pravila o obavješćivanju subjekata da su utvrđeni kao kritični subjekti. |
| --- | --- |

(16)

Kako bi se osiguralo da svi relevantni subjekti podliježu zahtjevima za otpornost iz ove Direktive i kako bi se smanjile razlike u tom pogledu, važno je odrediti usklađena pravila kojima se jamči dosljedno utvrđivanje kritičnih subjekata širom Unije te istodobno omogućiti državama članicama da na odgovarajući način uvaže ulogu i važnost tih subjekata na nacionalnoj razini. Pri primjeni kriterija utvrđenih u ovoj Direktivi svaka država članica trebala bi utvrditi subjekte koji pružaju jednu ili više ključnih usluga te koji upravljaju radom kritične infrastrukture smještene na njezinom državnom području odnosno imaju kritičnu infrastrukturu smještenu na njezinom državnom području. Trebalo bi se smatrati da određeni subjekt djeluje na državnom području države članice u kojoj obavlja aktivnosti potrebne za dotičnu ključnu uslugu ili usluge i u kojoj je smještena kritična infrastruktura tog subjekta koja se upotrebljava za pružanje te usluge ili tih usluga. Ako u državi članici ne postoji subjekt koji ispunjava te kriterije, ta država članica ne bi trebala biti obvezna utvrditi kritični subjekt u povezanom sektoru ili podsektoru. Radi djelotvornosti, učinkovitosti, dosljednosti i pravne sigurnosti trebalo bi utvrditi odgovarajuća pravila o obavješćivanju subjekata da su utvrđeni kao kritični subjekti.

| (17) | Države članice trebale bi Komisiji dostaviti, na način kojim se ispunjavaju ciljevi ove Direktive, popis ključnih usluga, broj kritičnih subjekata utvrđenih za svaki sektor i podsektor naveden u Prilogu i za ključnu uslugu ili usluge koje svaki subjekt pruža te, ako se primjenjuju, pragove. Trebalo bi biti moguće pragove prikazati u nepromijenjenom ili u agregiranom obliku, što znači da se može odrediti prosječna vrijednost informacija prema zemljopisnom području, godini, sektoru, podsektoru ili na drugi način, te da se mogu uključiti informacije o rasponu dostavljenih pokazatelja. |
| --- | --- |

(17)

Države članice trebale bi Komisiji dostaviti, na način kojim se ispunjavaju ciljevi ove Direktive, popis ključnih usluga, broj kritičnih subjekata utvrđenih za svaki sektor i podsektor naveden u Prilogu i za ključnu uslugu ili usluge koje svaki subjekt pruža te, ako se primjenjuju, pragove. Trebalo bi biti moguće pragove prikazati u nepromijenjenom ili u agregiranom obliku, što znači da se može odrediti prosječna vrijednost informacija prema zemljopisnom području, godini, sektoru, podsektoru ili na drugi način, te da se mogu uključiti informacije o rasponu dostavljenih pokazatelja.

| (18) | Trebali bi se uspostaviti kriteriji za utvrđivanje značaja negativnog učinka uzrokovanog incidentom. Ti bi se kriteriji trebali temeljiti na kriterijima predviđenima Direktivom (EU) 2016/1148 Europskog parlamenta i Vijeća (6) kako bi se iskoristili napori država članica uloženi u utvrđivanje operatora ključnih usluga kako su definirani tom direktivom i iskustvo stečeno u tom pogledu. Velike krize, kao što je pandemija bolesti COVID-19, pokazale su važnost osiguravanja sigurnosti lanca opskrbe i pokazale kako njegov poremećaj može imati negativni gospodarski i društveni učinak u velikom broju sektora i prekogranično. Stoga bi države članice, u mjeri u kojoj je to moguće, trebale uzeti u obzir i učinke na lanac opskrbe pri utvrđivanju mjere do koje drugi sektori i podsektori ovise o ključnoj usluzi koju pruža kritični subjekt. |
| --- | --- |

(18)

Trebali bi se uspostaviti kriteriji za utvrđivanje značaja negativnog učinka uzrokovanog incidentom. Ti bi se kriteriji trebali temeljiti na kriterijima predviđenima Direktivom (EU) 2016/1148 Europskog parlamenta i Vijeća (6) kako bi se iskoristili napori država članica uloženi u utvrđivanje operatora ključnih usluga kako su definirani tom direktivom i iskustvo stečeno u tom pogledu. Velike krize, kao što je pandemija bolesti COVID-19, pokazale su važnost osiguravanja sigurnosti lanca opskrbe i pokazale kako njegov poremećaj može imati negativni gospodarski i društveni učinak u velikom broju sektora i prekogranično. Stoga bi države članice, u mjeri u kojoj je to moguće, trebale uzeti u obzir i učinke na lanac opskrbe pri utvrđivanju mjere do koje drugi sektori i podsektori ovise o ključnoj usluzi koju pruža kritični subjekt.

| (19) | U skladu s primjenjivim pravom Unije i nacionalnim pravom, uključujući Uredbu (EU) 2019/452 Europskog parlamenta i Vijeća (7), kojom se uspostavlja okvir za provjeru izravnih stranih ulaganja u Uniji, potrebno je priznati potencijalnu prijetnju koju predstavlja strano vlasništvo nad kritičnom infrastrukturom u Uniji jer usluge, gospodarstvo te slobodno kretanje i sigurnost građana Unije ovise o pravilnom funkcioniranju kritične infrastrukture. |
| --- | --- |

(19)

U skladu s primjenjivim pravom Unije i nacionalnim pravom, uključujući Uredbu (EU) 2019/452 Europskog parlamenta i Vijeća (7), kojom se uspostavlja okvir za provjeru izravnih stranih ulaganja u Uniji, potrebno je priznati potencijalnu prijetnju koju predstavlja strano vlasništvo nad kritičnom infrastrukturom u Uniji jer usluge, gospodarstvo te slobodno kretanje i sigurnost građana Unije ovise o pravilnom funkcioniranju kritične infrastrukture.

| (20) | Direktivom (EU) 2022/2555 zahtijeva se od subjekata koji pripadaju sektoru digitalne infrastrukture, koji bi se mogli utvrditi kao kritični subjekti na temelju ove Direktive, da poduzmu odgovarajuće i razmjerne tehničke, operativne i organizacijske mjere za upravljanje rizicima za sigurnost mrežnih i informacijskih sustava te da obavijeste o značajnim incidentima i kiberprijetnjama. Budući da prijetnje sigurnosti mrežnih i informacijskih sustava mogu biti različitog podrijetla, Direktivom (EU) 2022/2555 primjenjuje se pristup kojim se uzimaju u obzir sve opasnosti, a koji uključuje otpornost mrežnih i informacijskih sustava kao i fizičkih komponenti i okruženja tih sustava.
  S obzirom na to da su zahtjevi utvrđeni Direktivom (EU) 2022/2555 u tom pogledu barem jednakovrijedni odgovarajućim obvezama utvrđenima u ovoj Direktivi, obveze utvrđene u članku 11. i u poglavljima III., IV. i VI. ove Direktive ne bi se trebale primjenjivati na subjekte koji pripadaju sektoru digitalne infrastrukture kako bi se izbjeglo udvostručavanje i nepotrebno administrativno opterećenje. Međutim, uzimajući u obzir važnost usluga koje pružaju subjekti koji pripadaju sektoru digitalne infrastrukture kritičnim subjektima koji pripadaju svim drugim sektorima, države članice trebale bi utvrditi na temelju kriterija i primjenom postupka predviđenog ovom Direktivom subjekte koji pripadaju sektoru digitalne infrastrukture kao kritične subjekte. Stoga bi se trebale primjenjivati strategije, procjene rizika države članice i mjere potpore navedene u poglavlju II. ove Direktive. Države članice trebale bi moći donijeti ili zadržati odredbe nacionalnog prava kako bi postigle veću razinu otpornosti tih kritičnih subjekata, pod uvjetom da su te odredbe usklađene s primjenjivim pravom Unije. |
| --- | --- |

(20)

Direktivom (EU) 2022/2555 zahtijeva se od subjekata koji pripadaju sektoru digitalne infrastrukture, koji bi se mogli utvrditi kao kritični subjekti na temelju ove Direktive, da poduzmu odgovarajuće i razmjerne tehničke, operativne i organizacijske mjere za upravljanje rizicima za sigurnost mrežnih i informacijskih sustava te da obavijeste o značajnim incidentima i kiberprijetnjama. Budući da prijetnje sigurnosti mrežnih i informacijskih sustava mogu biti različitog podrijetla, Direktivom (EU) 2022/2555 primjenjuje se pristup kojim se uzimaju u obzir sve opasnosti, a koji uključuje otpornost mrežnih i informacijskih sustava kao i fizičkih komponenti i okruženja tih sustava.

S obzirom na to da su zahtjevi utvrđeni Direktivom (EU) 2022/2555 u tom pogledu barem jednakovrijedni odgovarajućim obvezama utvrđenima u ovoj Direktivi, obveze utvrđene u članku 11. i u poglavljima III., IV. i VI. ove Direktive ne bi se trebale primjenjivati na subjekte koji pripadaju sektoru digitalne infrastrukture kako bi se izbjeglo udvostručavanje i nepotrebno administrativno opterećenje. Međutim, uzimajući u obzir važnost usluga koje pružaju subjekti koji pripadaju sektoru digitalne infrastrukture kritičnim subjektima koji pripadaju svim drugim sektorima, države članice trebale bi utvrditi na temelju kriterija i primjenom postupka predviđenog ovom Direktivom subjekte koji pripadaju sektoru digitalne infrastrukture kao kritične subjekte. Stoga bi se trebale primjenjivati strategije, procjene rizika države članice i mjere potpore navedene u poglavlju II. ove Direktive. Države članice trebale bi moći donijeti ili zadržati odredbe nacionalnog prava kako bi postigle veću razinu otpornosti tih kritičnih subjekata, pod uvjetom da su te odredbe usklađene s primjenjivim pravom Unije.

| (21) | Pravom Unije o financijskim uslugama uspostavljaju se sveobuhvatni zahtjevi za financijske subjekte u pogledu upravljanja svim rizicima s kojima se suočavaju, uključujući operativne rizike i u pogledu osiguravanja kontinuiteta poslovanja. To pravo uključuje uredbe (EU) br. 648/2012 (8), (EU) br. 575/2013 (9) i (EU) br. 600/2014 (10) Europskog parlamenta i Vijeća te direktive 2013/36/EU (11) i 2014/65/EU (12) Europskog parlamenta i Vijeća. Taj pravni okvir dopunjuje se Uredbom (EU) 2022/2554 Europskog parlamenta i Vijeća (13), kojom se utvrđuju zahtjevi primjenjivi na financijske subjekte za upravljanje rizicima u području informacijske i komunikacijske tehnologije (IKT), uključujući u pogledu zaštite fizičke infrastrukture IKT-a. S obzirom na to da je otpornost tih subjekata stoga u potpunosti obuhvaćena, članak 11. i poglavlja III., IV. i VI. ove Direktive ne bi se trebali primjenjivati na te subjekte kako bi se izbjeglo udvostručavanje i nepotrebno administrativno opterećenje.
  Međutim, uzimajući u obzir važnost usluga koje subjekti u financijskom sektoru pružaju kritičnim subjektima koji pripadaju svim drugim sektorima, države članice trebale bi utvrditi na temelju kriterija i primjenom postupka predviđenog ovom Direktivom subjekte u financijskom sektoru kao kritične subjekte. Stoga bi se trebale primjenjivati strategije, procjene rizika države članice i mjere potpore navedene u poglavlju II. ove Direktive. Države članice trebale bi moći donijeti ili zadržati odredbe nacionalnog prava kako bi postigle veću razinu otpornosti tih kritičnih subjekata, pod uvjetom da su te odredbe usklađene s primjenjivim pravom Unije. |
| --- | --- |

(21)

Pravom Unije o financijskim uslugama uspostavljaju se sveobuhvatni zahtjevi za financijske subjekte u pogledu upravljanja svim rizicima s kojima se suočavaju, uključujući operativne rizike i u pogledu osiguravanja kontinuiteta poslovanja. To pravo uključuje uredbe (EU) br. 648/2012 (8), (EU) br. 575/2013 (9) i (EU) br. 600/2014 (10) Europskog parlamenta i Vijeća te direktive 2013/36/EU (11) i 2014/65/EU (12) Europskog parlamenta i Vijeća. Taj pravni okvir dopunjuje se Uredbom (EU) 2022/2554 Europskog parlamenta i Vijeća (13), kojom se utvrđuju zahtjevi primjenjivi na financijske subjekte za upravljanje rizicima u području informacijske i komunikacijske tehnologije (IKT), uključujući u pogledu zaštite fizičke infrastrukture IKT-a. S obzirom na to da je otpornost tih subjekata stoga u potpunosti obuhvaćena, članak 11. i poglavlja III., IV. i VI. ove Direktive ne bi se trebali primjenjivati na te subjekte kako bi se izbjeglo udvostručavanje i nepotrebno administrativno opterećenje.

Međutim, uzimajući u obzir važnost usluga koje subjekti u financijskom sektoru pružaju kritičnim subjektima koji pripadaju svim drugim sektorima, države članice trebale bi utvrditi na temelju kriterija i primjenom postupka predviđenog ovom Direktivom subjekte u financijskom sektoru kao kritične subjekte. Stoga bi se trebale primjenjivati strategije, procjene rizika države članice i mjere potpore navedene u poglavlju II. ove Direktive. Države članice trebale bi moći donijeti ili zadržati odredbe nacionalnog prava kako bi postigle veću razinu otpornosti tih kritičnih subjekata, pod uvjetom da su te odredbe usklađene s primjenjivim pravom Unije.

| (22) | Države članice trebale bi imenovati ili uspostaviti tijela nadležna za nadzor primjene i, prema potrebi, za izvršavanje pravila ove Direktive te bi trebale osigurati da ona budu prikladno ovlaštena i da raspolažu potrebnim resursima. S obzirom na razlike u nacionalnim upravljačkim strukturama, kako bi se zaštitila postojeća sektorska rješenja ili nadzorna i regulatorna tijela Unije te kako bi se izbjeglo udvostručavanje, države članice trebale bi moći imenovati ili uspostaviti više od jednog nadležnog tijela. Ako države članice imenuju ili uspostave više od jednog nadležnog tijela trebale bi jasno razgraničiti zadaće dotičnih tijela i osigurati njihovu neometanu i djelotvornu suradnju. Sva bi nadležna tijela trebala i općenitije surađivati s drugim relevantnim tijelima, na razini Unije i na nacionalnoj razini. |
| --- | --- |

(22)

Države članice trebale bi imenovati ili uspostaviti tijela nadležna za nadzor primjene i, prema potrebi, za izvršavanje pravila ove Direktive te bi trebale osigurati da ona budu prikladno ovlaštena i da raspolažu potrebnim resursima. S obzirom na razlike u nacionalnim upravljačkim strukturama, kako bi se zaštitila postojeća sektorska rješenja ili nadzorna i regulatorna tijela Unije te kako bi se izbjeglo udvostručavanje, države članice trebale bi moći imenovati ili uspostaviti više od jednog nadležnog tijela. Ako države članice imenuju ili uspostave više od jednog nadležnog tijela trebale bi jasno razgraničiti zadaće dotičnih tijela i osigurati njihovu neometanu i djelotvornu suradnju. Sva bi nadležna tijela trebala i općenitije surađivati s drugim relevantnim tijelima, na razini Unije i na nacionalnoj razini.

| (23) | Kako bi se olakšala prekogranična suradnja i komunikacija te kako bi se omogućila djelotvorna provedba ove Direktive, svaka bi država članica trebala, ne dovodeći u pitanje zahtjeve sektorskih pravnih akata Unije, imenovati jedinstvenu kontaktnu točku, prema potrebi unutar nadležnog tijela , odgovornu za koordinaciju pitanja povezanih s otpornošću kritičnih subjekata i prekograničnom suradnjom na razini Unije („jedinstvena kontaktna točka”). Svaka jedinstvena kontaktna točka trebala bi se povezati i koordinirati komunikaciju, prema potrebi, s nadležnim tijelima svoje države članice, jedinstvenim kontaktnim točkama drugih država članica i sa Skupinom za otpornost kritičnih subjekata. |
| --- | --- |

(23)

Kako bi se olakšala prekogranična suradnja i komunikacija te kako bi se omogućila djelotvorna provedba ove Direktive, svaka bi država članica trebala, ne dovodeći u pitanje zahtjeve sektorskih pravnih akata Unije, imenovati jedinstvenu kontaktnu točku, prema potrebi unutar nadležnog tijela , odgovornu za koordinaciju pitanja povezanih s otpornošću kritičnih subjekata i prekograničnom suradnjom na razini Unije („jedinstvena kontaktna točka”). Svaka jedinstvena kontaktna točka trebala bi se povezati i koordinirati komunikaciju, prema potrebi, s nadležnim tijelima svoje države članice, jedinstvenim kontaktnim točkama drugih država članica i sa Skupinom za otpornost kritičnih subjekata.

| (24) | Nadležna tijela na temelju ove Direktive i nadležna tijela na temelju Direktive (EU) 2022/2555 trebala bi surađivati i razmjenjivati informacije u vezi s kibersigurnosnim rizicima, kiberprijetnjama i kiberincidentima te rizicima, prijetnjama i incidentima izvan kiberprostora koji utječu na kritične subjekte, kao i u vezi s relevantnim mjerama koje poduzimaju nadležna tijela na temelju ove Direktive i nadležna tijela na temelju Direktive (EU) 2022/2555. Važno je da države članice osiguraju da se zahtjevi predviđeni ovom Direktivom i Direktivom (EU) 2022/2555 provode na komplementaran način i da kritični subjekti ne podliježu administrativnom opterećenju koje prelazi ono što je potrebno za postizanje ciljeva ove Direktive i te direktive. |
| --- | --- |

(24)

Nadležna tijela na temelju ove Direktive i nadležna tijela na temelju Direktive (EU) 2022/2555 trebala bi surađivati i razmjenjivati informacije u vezi s kibersigurnosnim rizicima, kiberprijetnjama i kiberincidentima te rizicima, prijetnjama i incidentima izvan kiberprostora koji utječu na kritične subjekte, kao i u vezi s relevantnim mjerama koje poduzimaju nadležna tijela na temelju ove Direktive i nadležna tijela na temelju Direktive (EU) 2022/2555. Važno je da države članice osiguraju da se zahtjevi predviđeni ovom Direktivom i Direktivom (EU) 2022/2555 provode na komplementaran način i da kritični subjekti ne podliježu administrativnom opterećenju koje prelazi ono što je potrebno za postizanje ciljeva ove Direktive i te direktive.

| (25) | Države članice trebale bi podupirati kritične subjekte, uključujući one koji se smatraju malim ili srednjim poduzećima, u jačanju njihove otpornosti, u skladu s obvezama država članica iz ove Direktive, ne dovodeći u pitanje pravnu odgovornost samih kritičnih subjekata da osiguraju takvu usklađenost, i pritom spriječiti prekomjerno administrativno opterećenje. Države članice mogle bi posebice izraditi smjernice i metodologije, poduprijeti organizaciju vježbi za testiranje otpornosti kritičnih subjekata i pružiti savjetovanje i osposobljavanje za osoblje kritičnih subjekata. Ako je to potrebno i opravdano ciljevima od javnog interesa, države članice mogle bi pružiti financijska sredstva te bi trebale olakšati dobrovoljno dijeljenje informacija i razmjenu dobre prakse među kritičnim subjektima, ne dovodeći u pitanje primjenu pravila o tržišnom natjecanju utvrđenih u Ugovoru o funkcioniranju Europske unije (UFEU). |
| --- | --- |

(25)

Države članice trebale bi podupirati kritične subjekte, uključujući one koji se smatraju malim ili srednjim poduzećima, u jačanju njihove otpornosti, u skladu s obvezama država članica iz ove Direktive, ne dovodeći u pitanje pravnu odgovornost samih kritičnih subjekata da osiguraju takvu usklađenost, i pritom spriječiti prekomjerno administrativno opterećenje. Države članice mogle bi posebice izraditi smjernice i metodologije, poduprijeti organizaciju vježbi za testiranje otpornosti kritičnih subjekata i pružiti savjetovanje i osposobljavanje za osoblje kritičnih subjekata. Ako je to potrebno i opravdano ciljevima od javnog interesa, države članice mogle bi pružiti financijska sredstva te bi trebale olakšati dobrovoljno dijeljenje informacija i razmjenu dobre prakse među kritičnim subjektima, ne dovodeći u pitanje primjenu pravila o tržišnom natjecanju utvrđenih u Ugovoru o funkcioniranju Europske unije (UFEU).

| (26) | U cilju jačanja otpornosti kritičnih subjekata koje su utvrdile države članice i kako bi se smanjilo administrativno opterećenje za te kritične subjekte, nadležna tijela trebala bi se međusobno savjetovati kad god je to primjereno u svrhu osiguravanja dosljedne primjene ove Direktive. Ta bi savjetovanja trebalo započeti na zahtjev bilo kojeg zainteresiranog nadležnog tijela te bi trebala biti usmjerena na osiguravanje konvergentnog pristupa u pogledu međusobno povezanih kritičnih subjekata koji upotrebljavaju kritičnu infrastrukturu koja je fizički povezana između dviju ili više država članica, koji pripadaju istim skupinama ili korporativnim strukturama ili koji su utvrđeni u jednoj državi članici, a pružaju ključne usluge drugim državama članicama ili u drugim državama članicama. |
| --- | --- |

(26)

U cilju jačanja otpornosti kritičnih subjekata koje su utvrdile države članice i kako bi se smanjilo administrativno opterećenje za te kritične subjekte, nadležna tijela trebala bi se međusobno savjetovati kad god je to primjereno u svrhu osiguravanja dosljedne primjene ove Direktive. Ta bi savjetovanja trebalo započeti na zahtjev bilo kojeg zainteresiranog nadležnog tijela te bi trebala biti usmjerena na osiguravanje konvergentnog pristupa u pogledu međusobno povezanih kritičnih subjekata koji upotrebljavaju kritičnu infrastrukturu koja je fizički povezana između dviju ili više država članica, koji pripadaju istim skupinama ili korporativnim strukturama ili koji su utvrđeni u jednoj državi članici, a pružaju ključne usluge drugim državama članicama ili u drugim državama članicama.

| (27) | Ako se odredbama prava Unije ili nacionalnog prava od kritičnih subjekata zahtijeva procjena rizika relevantnih za potrebe ove Direktive i poduzimanje mjera za osiguravanje vlastite otpornosti, te bi zahtjeve trebalo na odgovarajući način uzeti u obzir za potrebu nadzora usklađenosti kritičnih subjekata s ovom Direktivom. |
| --- | --- |

(27)

Ako se odredbama prava Unije ili nacionalnog prava od kritičnih subjekata zahtijeva procjena rizika relevantnih za potrebe ove Direktive i poduzimanje mjera za osiguravanje vlastite otpornosti, te bi zahtjeve trebalo na odgovarajući način uzeti u obzir za potrebu nadzora usklađenosti kritičnih subjekata s ovom Direktivom.

| (28) | Kritični subjekti trebali bi biti sveobuhvatno upoznati s relevantnim rizicima kojima su izloženi te bi trebali biti dužni analizirati te rizike. U tu bi svrhu prema potrebi trebali provoditi procjene rizika s obzirom na posebne okolnosti tih rizika i njihov razvoj, a u svakom slučaju svake četiri godine kako bi se procijenili svi relevantni rizici koji bi mogli poremetiti pružanje njihovih kritičnih usluga („procjena rizika kritičnog subjekta”). Ako su kritični subjekti proveli druge procjene rizika ili izradili dokumente na temelju obveza iz drugih pravnih akata koji su relevantni za njihovu procjenu rizika kritičnog subjekta, trebali bi se moći koristiti tim procjenama i dokumentima kako bi ispunili zahtjeve iz ove Direktive u vezi procjene rizika kritičnog subjekta. Nadležno tijelo trebalo bi moći proglasiti da je postojeća procjena rizika koju je proveo kritični subjekt, a koja se odnosi na relevantne rizike i relevantnu mjeru ovisnosti usklađena u cijelosti ili djelomično s obvezama utvrđenim u ovoj Direktivi. |
| --- | --- |

(28)

Kritični subjekti trebali bi biti sveobuhvatno upoznati s relevantnim rizicima kojima su izloženi te bi trebali biti dužni analizirati te rizike. U tu bi svrhu prema potrebi trebali provoditi procjene rizika s obzirom na posebne okolnosti tih rizika i njihov razvoj, a u svakom slučaju svake četiri godine kako bi se procijenili svi relevantni rizici koji bi mogli poremetiti pružanje njihovih kritičnih usluga („procjena rizika kritičnog subjekta”). Ako su kritični subjekti proveli druge procjene rizika ili izradili dokumente na temelju obveza iz drugih pravnih akata koji su relevantni za njihovu procjenu rizika kritičnog subjekta, trebali bi se moći koristiti tim procjenama i dokumentima kako bi ispunili zahtjeve iz ove Direktive u vezi procjene rizika kritičnog subjekta. Nadležno tijelo trebalo bi moći proglasiti da je postojeća procjena rizika koju je proveo kritični subjekt, a koja se odnosi na relevantne rizike i relevantnu mjeru ovisnosti usklađena u cijelosti ili djelomično s obvezama utvrđenim u ovoj Direktivi.

| (29) | Kritični subjekti trebali bi poduzeti tehničke, sigurnosne i organizacijske mjere koje su odgovarajuće i razmjerne rizicima s kojima se suočavaju kako bi mogli spriječiti incident, zaštititi se od njega, odgovoriti na njega, oduprijeti mu se, ublažiti ga, apsorbirati ga, prilagoditi mu se i oporaviti se od njega. Iako bi kritični subjekti trebali poduzimati te mjere u skladu s ovom Direktivom, pojedinosti i opseg takvih mjera trebali bi na odgovarajući i razmjeran način odražavati različite rizike koje je svaki kritični subjekt utvrdio u okviru svoje procjene rizika kritičnog subjekta i posebnosti takvog subjekta. Kako bi se promicao dosljedan pristup Unije, Komisija bi, nakon savjetovanja sa Skupinom za otpornost kritičnih subjekata, trebala donijeti neobvezujuće smjernice za dodatno određivanje tih tehničkih, sigurnosnih i organizacijskih mjera. Države članice trebale bi osigurati da svaki kritični subjekt imenuje časnika za vezu ili ekvivalentnu osobu kao točku za kontakt s nadležnim tijelima. |
| --- | --- |

(29)

Kritični subjekti trebali bi poduzeti tehničke, sigurnosne i organizacijske mjere koje su odgovarajuće i razmjerne rizicima s kojima se suočavaju kako bi mogli spriječiti incident, zaštititi se od njega, odgovoriti na njega, oduprijeti mu se, ublažiti ga, apsorbirati ga, prilagoditi mu se i oporaviti se od njega. Iako bi kritični subjekti trebali poduzimati te mjere u skladu s ovom Direktivom, pojedinosti i opseg takvih mjera trebali bi na odgovarajući i razmjeran način odražavati različite rizike koje je svaki kritični subjekt utvrdio u okviru svoje procjene rizika kritičnog subjekta i posebnosti takvog subjekta. Kako bi se promicao dosljedan pristup Unije, Komisija bi, nakon savjetovanja sa Skupinom za otpornost kritičnih subjekata, trebala donijeti neobvezujuće smjernice za dodatno određivanje tih tehničkih, sigurnosnih i organizacijskih mjera. Države članice trebale bi osigurati da svaki kritični subjekt imenuje časnika za vezu ili ekvivalentnu osobu kao točku za kontakt s nadležnim tijelima.

| (30) | Radi djelotvornosti i odgovornosti, kritični subjekti trebali bi opisati mjere koje poduzimaju, s dovoljno detalja kojima se dostatno ostvaruju ciljevi djelotvornosti i odgovornosti, u planu za otpornost ili u dokumentu ili dokumentima koji su jednakovrijedni planu za otpornost, uzimajući u obzir utvrđene rizike, te bi trebali primjenjivati taj plan u praksi. Ako su već poduzeli tehničke, sigurnosne i organizacijske mjere i sastavili dokumente na temelju drugih pravnih akata relevantnih za mjere jačanja otpornosti na temelju ove Direktive, kritični subjekti trebali bi se moći koristiti tim mjerama i dokumentima kako bi se izbjeglo udvostručavanje te kako bi ispunili zahtjeve u pogledu mjera otpornosti na temelju ove Direktive. Kako bi se izbjeglo udvostručavanje, nadležno tijelo trebalo bi moći proglasiti da su postojeće mjere otpornosti koje je poduzeo kritični subjekt, a kojima se ispunjava njegova obveza da poduzme tehničke, sigurnosne i organizacijske mjere na temelju ove Direktive, u cijelosti ili djelomično usklađene sa zahtjevima iz ove Direktive. |
| --- | --- |

(30)

Radi djelotvornosti i odgovornosti, kritični subjekti trebali bi opisati mjere koje poduzimaju, s dovoljno detalja kojima se dostatno ostvaruju ciljevi djelotvornosti i odgovornosti, u planu za otpornost ili u dokumentu ili dokumentima koji su jednakovrijedni planu za otpornost, uzimajući u obzir utvrđene rizike, te bi trebali primjenjivati taj plan u praksi. Ako su već poduzeli tehničke, sigurnosne i organizacijske mjere i sastavili dokumente na temelju drugih pravnih akata relevantnih za mjere jačanja otpornosti na temelju ove Direktive, kritični subjekti trebali bi se moći koristiti tim mjerama i dokumentima kako bi se izbjeglo udvostručavanje te kako bi ispunili zahtjeve u pogledu mjera otpornosti na temelju ove Direktive. Kako bi se izbjeglo udvostručavanje, nadležno tijelo trebalo bi moći proglasiti da su postojeće mjere otpornosti koje je poduzeo kritični subjekt, a kojima se ispunjava njegova obveza da poduzme tehničke, sigurnosne i organizacijske mjere na temelju ove Direktive, u cijelosti ili djelomično usklađene sa zahtjevima iz ove Direktive.

| (31) | Uredbama (EZ) br. 725/2004 (14) i (EZ) br. 300/2008 (15) Europskog parlamenta i Vijeća i Direktivom 2005/65/EZ Europskog parlamenta i Vijeća (16) utvrđuju se zahtjevi koji se primjenjuju na subjekte u zrakoplovnom sektoru i u sektoru pomorskog prometa kako bi se spriječili incidenti uzrokovani nezakonitim djelovanjem, kako bi se moglo oduprijeti posljedicama tih incidenata te kako bi se ublažile posljedice tih incidenata. Iako su mjere koje se zahtijevaju na temelju ove Direktive šireg opsega u smislu rizika na koje se odnose i vrsta mjera koje je potrebno poduzeti, kritični subjekti u tim sektorima trebali bi u svojem planu za otpornost ili jednakovrijednim dokumentima navesti mjere poduzete na temelju tih drugih pravnih akata Unije. Kritični subjekti trebaju uzeti u obzir i Direktivu 2008/96/EZ Europskog parlamenta i Vijeća (17), kojom se uvodi procjena sigurnosti na cestama na razini cijele mreže radi mapiranja rizika od nesreća i ciljana provjera sigurnosti na cestama kako bi se utvrdili opasni uvjeti, nedostaci i problemi koji povećavaju rizik od nesreća i ozljeda, na temelju terenskih obilazaka postojećih cesta ili dionica cesta. Osiguravanje zaštite i otpornosti kritičnih subjekata od iznimne je važnosti za željeznički sektor, a kritične subjekte potiče se da se pri provedbi mjera otpornosti na temelju ove Direktive oslanjaju na neobvezujuće smjernice i dokumente o dobrim praksama izrađene u okviru sektorskih područja rada, kao što je Platforma za sigurnost putnika u željezničkom prometu u EU-u uspostavljena Odlukom Komisije 2018/C 232/03 (18). |
| --- | --- |

(31)

Uredbama (EZ) br. 725/2004 (14) i (EZ) br. 300/2008 (15) Europskog parlamenta i Vijeća i Direktivom 2005/65/EZ Europskog parlamenta i Vijeća (16) utvrđuju se zahtjevi koji se primjenjuju na subjekte u zrakoplovnom sektoru i u sektoru pomorskog prometa kako bi se spriječili incidenti uzrokovani nezakonitim djelovanjem, kako bi se moglo oduprijeti posljedicama tih incidenata te kako bi se ublažile posljedice tih incidenata. Iako su mjere koje se zahtijevaju na temelju ove Direktive šireg opsega u smislu rizika na koje se odnose i vrsta mjera koje je potrebno poduzeti, kritični subjekti u tim sektorima trebali bi u svojem planu za otpornost ili jednakovrijednim dokumentima navesti mjere poduzete na temelju tih drugih pravnih akata Unije. Kritični subjekti trebaju uzeti u obzir i Direktivu 2008/96/EZ Europskog parlamenta i Vijeća (17), kojom se uvodi procjena sigurnosti na cestama na razini cijele mreže radi mapiranja rizika od nesreća i ciljana provjera sigurnosti na cestama kako bi se utvrdili opasni uvjeti, nedostaci i problemi koji povećavaju rizik od nesreća i ozljeda, na temelju terenskih obilazaka postojećih cesta ili dionica cesta. Osiguravanje zaštite i otpornosti kritičnih subjekata od iznimne je važnosti za željeznički sektor, a kritične subjekte potiče se da se pri provedbi mjera otpornosti na temelju ove Direktive oslanjaju na neobvezujuće smjernice i dokumente o dobrim praksama izrađene u okviru sektorskih područja rada, kao što je Platforma za sigurnost putnika u željezničkom prometu u EU-u uspostavljena Odlukom Komisije 2018/C 232/03 (18).

| (32) | Sve više zabrinjava rizik da bi zaposlenici kritičnih subjekata ili njihovi ugovaratelji zloupotrebljavali primjerice svoja prava pristupa unutar organizacije kritičnog subjekta radi povrede i nanošenja štete. Stoga bi države članice trebale utvrditi uvjete u skladu s kojima je kritičnim subjektima dopušteno, u propisno obrazloženim slučajevima i uz uvažavanje procjena rizika države članice, podnijeti zahtjeve za provjeru podobnosti osoba koje pripadaju određenim kategorijama njihova osoblja . Trebalo bi osigurati da relevantna tijela procjenjuju takve zahtjeve u razumnom roku i obrađuju ih u skladu s nacionalnim pravom i postupcima te relevantnim i primjenjivim pravom Unije, među ostalim onim o zaštiti osobnih podataka. Radi potvrde identiteta osobe koja podliježe provjeri podobnosti primjereno je da države članice zahtijevaju dokaz o identitetu, primjerice putovnicu, nacionalnu osobnu iskaznicu ili digitalni oblik identifikacije, u skladu s primjenjivim pravom.
  Provjere podobnosti trebale bi uključivati provjeru kaznene evidencije dotične osobe. Države članice trebale bi koristiti Europski informacijski sustav kaznene evidencije u skladu s postupcima utvrđenima u Okvirnoj odluci Vijeća 2009/315/PUP (19) te, ako je to relevantno i primjenjivo, u Uredbi (EU) 2019/816 Europskog parlamenta i Vijeća (20) za potrebe dobivanja podataka iz kaznenih evidencija drugih država članica. Države članice mogu se, ako je to relevantno i primjenjivo, osloniti i na Schengenski informacijski sustav druge generacije (SIS II) uspostavljen Uredbom (EU) 2018/1862 Europskog parlamenta i Vijeća (21), obavještajne podatke i sve druge dostupne objektivne informacije koje bi mogle biti potrebne za utvrđivanje prikladnosti dotične osobe za rad na radnom mjestu za koje je kritični subjekt zatražio provjeru podobnosti. |
| --- | --- |

(32)

Sve više zabrinjava rizik da bi zaposlenici kritičnih subjekata ili njihovi ugovaratelji zloupotrebljavali primjerice svoja prava pristupa unutar organizacije kritičnog subjekta radi povrede i nanošenja štete. Stoga bi države članice trebale utvrditi uvjete u skladu s kojima je kritičnim subjektima dopušteno, u propisno obrazloženim slučajevima i uz uvažavanje procjena rizika države članice, podnijeti zahtjeve za provjeru podobnosti osoba koje pripadaju određenim kategorijama njihova osoblja . Trebalo bi osigurati da relevantna tijela procjenjuju takve zahtjeve u razumnom roku i obrađuju ih u skladu s nacionalnim pravom i postupcima te relevantnim i primjenjivim pravom Unije, među ostalim onim o zaštiti osobnih podataka. Radi potvrde identiteta osobe koja podliježe provjeri podobnosti primjereno je da države članice zahtijevaju dokaz o identitetu, primjerice putovnicu, nacionalnu osobnu iskaznicu ili digitalni oblik identifikacije, u skladu s primjenjivim pravom.

Provjere podobnosti trebale bi uključivati provjeru kaznene evidencije dotične osobe. Države članice trebale bi koristiti Europski informacijski sustav kaznene evidencije u skladu s postupcima utvrđenima u Okvirnoj odluci Vijeća 2009/315/PUP (19) te, ako je to relevantno i primjenjivo, u Uredbi (EU) 2019/816 Europskog parlamenta i Vijeća (20) za potrebe dobivanja podataka iz kaznenih evidencija drugih država članica. Države članice mogu se, ako je to relevantno i primjenjivo, osloniti i na Schengenski informacijski sustav druge generacije (SIS II) uspostavljen Uredbom (EU) 2018/1862 Europskog parlamenta i Vijeća (21), obavještajne podatke i sve druge dostupne objektivne informacije koje bi mogle biti potrebne za utvrđivanje prikladnosti dotične osobe za rad na radnom mjestu za koje je kritični subjekt zatražio provjeru podobnosti.

| (33) | Trebalo bi uspostaviti mehanizam za obavješćivanje o određenim incidentima kako bi se nadležnim tijelima omogućio brz i primjeren odgovor na incidente te radi sveobuhvatnog pregleda učinka, prirode, uzroka i mogućih posljedica incidenata s kojim se suočavaju kritični subjekti. Kritični subjekti trebali bi bez nepotrebne odgode obavijestiti nadležna tijela o incidentima koji znatno poremete ili bi mogli znatno poremetiti pružanje ključnih usluga. Osim ako to operativno nije moguće, kritični subjekti trebali bi početnu obavijest dostaviti najkasnije 24 sata nakon što saznaju za incident. Prva obavijest trebala bi sadržavati samo informacije koje su nužne za upoznavanje nadležnog tijela s incidentom i kako bi se kritičnom subjektu omogućilo da, prema potrebi, zatraži pomoć. U takvoj obavijesti trebalo bi, ako je to moguće, navesti pretpostavljeni uzrok incidenta. Države članice trebale bi osigurati da se zahtjevom za dostavu te prve obavijesti resursi kritičnog subjekta ne preusmjere s aktivnosti povezanih s rješavanjem incidenata kojima bi trebalo dati prioritet. Nakon prve obavijesti trebalo bi, prema potrebi, uslijediti podrobno izvješće najkasnije mjesec dana nakon incidenta. Podrobno izvješće trebalo bi dopuniti prvu obavijest i pružiti potpuniji pregled incidenta. |
| --- | --- |

(33)

Trebalo bi uspostaviti mehanizam za obavješćivanje o određenim incidentima kako bi se nadležnim tijelima omogućio brz i primjeren odgovor na incidente te radi sveobuhvatnog pregleda učinka, prirode, uzroka i mogućih posljedica incidenata s kojim se suočavaju kritični subjekti. Kritični subjekti trebali bi bez nepotrebne odgode obavijestiti nadležna tijela o incidentima koji znatno poremete ili bi mogli znatno poremetiti pružanje ključnih usluga. Osim ako to operativno nije moguće, kritični subjekti trebali bi početnu obavijest dostaviti najkasnije 24 sata nakon što saznaju za incident. Prva obavijest trebala bi sadržavati samo informacije koje su nužne za upoznavanje nadležnog tijela s incidentom i kako bi se kritičnom subjektu omogućilo da, prema potrebi, zatraži pomoć. U takvoj obavijesti trebalo bi, ako je to moguće, navesti pretpostavljeni uzrok incidenta. Države članice trebale bi osigurati da se zahtjevom za dostavu te prve obavijesti resursi kritičnog subjekta ne preusmjere s aktivnosti povezanih s rješavanjem incidenata kojima bi trebalo dati prioritet. Nakon prve obavijesti trebalo bi, prema potrebi, uslijediti podrobno izvješće najkasnije mjesec dana nakon incidenta. Podrobno izvješće trebalo bi dopuniti prvu obavijest i pružiti potpuniji pregled incidenta.

| (34) | Normizacija bi i dalje trebala biti prvenstveno proces koji ovisi o kretanjima na tržištu. Međutim, još mogu postojati situacije u kojima je primjereno zahtijevati usklađenost s određenim normama. Države članice trebale bi, ako je to korisno, poticati primjenu europskih i međunarodnih normi i tehničkih specifikacija relevantnih za mjere sigurnosti i mjere otpornosti koje se primjenjuju na kritične subjekte. |
| --- | --- |

(34)

Normizacija bi i dalje trebala biti prvenstveno proces koji ovisi o kretanjima na tržištu. Međutim, još mogu postojati situacije u kojima je primjereno zahtijevati usklađenost s određenim normama. Države članice trebale bi, ako je to korisno, poticati primjenu europskih i međunarodnih normi i tehničkih specifikacija relevantnih za mjere sigurnosti i mjere otpornosti koje se primjenjuju na kritične subjekte.

| (35) | Iako kritični subjekti općenito djeluju kao dio sve više međusobno povezane mreže pružanja usluga i infrastrukture i često pružaju ključne usluge u više država članica, neki od tih kritičnih subjekata od posebnog su značaja za Uniju i njezino unutarnje tržište jer pružaju ključne usluge za šest ili više država članica odnosno u šest ili više država članica te bi stoga mogli imati koristi od posebne potpore na razini Unije. Stoga bi se trebala utvrditi pravila o savjetodavnim misijama u pogledu takvih kritičnih subjekata od posebnog europskog značaja. Ta pravila ne dovode u pitanje pravila o nadzoru i izvršavanju utvrđena ovom Direktivom. |
| --- | --- |

(35)

Iako kritični subjekti općenito djeluju kao dio sve više međusobno povezane mreže pružanja usluga i infrastrukture i često pružaju ključne usluge u više država članica, neki od tih kritičnih subjekata od posebnog su značaja za Uniju i njezino unutarnje tržište jer pružaju ključne usluge za šest ili više država članica odnosno u šest ili više država članica te bi stoga mogli imati koristi od posebne potpore na razini Unije. Stoga bi se trebala utvrditi pravila o savjetodavnim misijama u pogledu takvih kritičnih subjekata od posebnog europskog značaja. Ta pravila ne dovode u pitanje pravila o nadzoru i izvršavanju utvrđena ovom Direktivom.

| (36) | Ako su potrebne dodatne informacije za savjetovanje kritičnog subjekta u ispunjavanju njegovih obveza na temelju ove Direktive ili za procjenu usklađenosti kritičnog subjekta od posebnog europskog značaja s takvim obvezama, država članica koja je utvrdila kritični subjekt od posebnog europskog značaja kao kritični subjekt treba dostaviti Komisiji određene informacije kako je određeno u ovoj Direktivi na obrazloženi zahtjev Komisije ili države članice kojoj se pruža ili u kojoj se pruža ključna usluga, ili više takvih država članica. U dogovoru s državom članicom koja je utvrdila kritični subjekt od posebnog europskog značaja kao kritični subjekt , Komisija bi trebala moći organizirati savjetodavnu misiju za procjenu mjera koje je taj subjekt uspostavio. Kako bi se osiguralo pravilno provođenje takvih savjetodavnih misija, trebalo bi utvrditi dodatna pravila, posebno o organizaciji i provođenju savjetodavnih misija, potrebnim daljnjim mjerama i obvezama dotičnih kritičnih subjekata od posebnog europskog značaja. Savjetodavna misija trebala bi se provoditi, ne dovodeći u pitanje činjenicu da se država članica u kojoj se provodi savjetodavna misija i dotični kritični subjekt trebaju pridržavati pravila ove Direktive, u skladu s detaljnim pravilima prava te države članice, primjerice o točnim uvjetima koje je potrebno ispuniti za pristup relevantnim prostorima ili dokumentima te o sudskoj zaštiti. Posebno stručno znanje potrebno za takve savjetodavne misije moglo bi se, prema potrebi, zatražiti putem Koordinacijskog centra za odgovor na hitne situacije uspostavljenog Odlukom br. 1313/2013/EU Europskog parlamenta i Vijeća (22). |
| --- | --- |

(36)

Ako su potrebne dodatne informacije za savjetovanje kritičnog subjekta u ispunjavanju njegovih obveza na temelju ove Direktive ili za procjenu usklađenosti kritičnog subjekta od posebnog europskog značaja s takvim obvezama, država članica koja je utvrdila kritični subjekt od posebnog europskog značaja kao kritični subjekt treba dostaviti Komisiji određene informacije kako je određeno u ovoj Direktivi na obrazloženi zahtjev Komisije ili države članice kojoj se pruža ili u kojoj se pruža ključna usluga, ili više takvih država članica. U dogovoru s državom članicom koja je utvrdila kritični subjekt od posebnog europskog značaja kao kritični subjekt , Komisija bi trebala moći organizirati savjetodavnu misiju za procjenu mjera koje je taj subjekt uspostavio. Kako bi se osiguralo pravilno provođenje takvih savjetodavnih misija, trebalo bi utvrditi dodatna pravila, posebno o organizaciji i provođenju savjetodavnih misija, potrebnim daljnjim mjerama i obvezama dotičnih kritičnih subjekata od posebnog europskog značaja. Savjetodavna misija trebala bi se provoditi, ne dovodeći u pitanje činjenicu da se država članica u kojoj se provodi savjetodavna misija i dotični kritični subjekt trebaju pridržavati pravila ove Direktive, u skladu s detaljnim pravilima prava te države članice, primjerice o točnim uvjetima koje je potrebno ispuniti za pristup relevantnim prostorima ili dokumentima te o sudskoj zaštiti. Posebno stručno znanje potrebno za takve savjetodavne misije moglo bi se, prema potrebi, zatražiti putem Koordinacijskog centra za odgovor na hitne situacije uspostavljenog Odlukom br. 1313/2013/EU Europskog parlamenta i Vijeća (22).

| (37) | Kako bi se pružila potpora Komisiji i olakšala suradnja među državama članicama i razmjena informacija, uključujući najbolje prakse, u vezi s pitanjima koja se odnose na ovu Direktivu, trebalo bi uspostaviti Skupinu za otpornost kritičnih subjekata kao stručnu skupinu Komisije. Države članice trebale bi nastojati osigurati djelotvornu i učinkovitu suradnju imenovanih predstavnika svojih nadležnih tijela u Skupini za otpornost kritičnih subjekata, među ostalim imenovanjem predstavnika koji, prema potrebi, imaju uvjerenje o sigurnosnoj provjeri. Skupina za otpornost kritičnih subjekata trebala bi početi obavljati svoje zadaće što je prije moguće kako bi se osigurali dodatni načini za odgovarajuću suradnju tijekom razdoblja prenošenja Direktive. Skupina za otpornost kritičnih subjekata trebala bi surađivati s drugim relevantnim sektorskim stručnim radnim skupinama. |
| --- | --- |

(37)

Kako bi se pružila potpora Komisiji i olakšala suradnja među državama članicama i razmjena informacija, uključujući najbolje prakse, u vezi s pitanjima koja se odnose na ovu Direktivu, trebalo bi uspostaviti Skupinu za otpornost kritičnih subjekata kao stručnu skupinu Komisije. Države članice trebale bi nastojati osigurati djelotvornu i učinkovitu suradnju imenovanih predstavnika svojih nadležnih tijela u Skupini za otpornost kritičnih subjekata, među ostalim imenovanjem predstavnika koji, prema potrebi, imaju uvjerenje o sigurnosnoj provjeri. Skupina za otpornost kritičnih subjekata trebala bi početi obavljati svoje zadaće što je prije moguće kako bi se osigurali dodatni načini za odgovarajuću suradnju tijekom razdoblja prenošenja Direktive. Skupina za otpornost kritičnih subjekata trebala bi surađivati s drugim relevantnim sektorskim stručnim radnim skupinama.

| (38) | Skupina za otpornost kritičnih subjekata trebala bi surađivati sa Skupinom za suradnju uspostavljenom na temelju Direktive (EU) 2022/2555 u cilju podupiranja sveobuhvatnog okvira za kiberotpornost i otpornost izvan kiberprostora kritičnih subjekata. Skupina za otpornost kritičnih subjekata i Skupina za suradnju uspostavljena na temelju Direktive (EU) 2022/2555 trebale bi uspostaviti redovit dijalog radi promicanja suradnje između nadležnih tijela iz ove Direktive i nadležnih tijela iz Direktive (EU) 2022/2555 i radi olakšavanja razmjene informacija, osobito o temama koje su važne za obje skupine. |
| --- | --- |

(38)

Skupina za otpornost kritičnih subjekata trebala bi surađivati sa Skupinom za suradnju uspostavljenom na temelju Direktive (EU) 2022/2555 u cilju podupiranja sveobuhvatnog okvira za kiberotpornost i otpornost izvan kiberprostora kritičnih subjekata. Skupina za otpornost kritičnih subjekata i Skupina za suradnju uspostavljena na temelju Direktive (EU) 2022/2555 trebale bi uspostaviti redovit dijalog radi promicanja suradnje između nadležnih tijela iz ove Direktive i nadležnih tijela iz Direktive (EU) 2022/2555 i radi olakšavanja razmjene informacija, osobito o temama koje su važne za obje skupine.

| (39) | Kako bi se ostvarili ciljevi ove Direktive i ne dovodeći u pitanje pravnu odgovornost država članica i kritičnih subjekata da osiguravaju poštovanje njihovih obveza utvrđenih ovom Direktivom, Komisija bi prema potrebi trebala poduprijeti nadležna tijela i kritične subjekte s ciljem olakšavanja ostvarivanja njihove usklađenosti s njihovim obvezama. Pri pružanju potpore državama članicama i kritičnim subjektima u provedbi obveza na temelju ove Direktive Komisija bi se trebala oslanjati na postojeće strukture i alate, kao što su oni u okviru Mehanizma Unije za civilnu zaštitu, uspostavljenog Odlukom br. 1313/2013/EU, i Europske referentne mreže za zaštitu kritične infrastrukture. Osim toga, trebala bi obavijestiti države članice o resursima dostupnima na razini Unije, primjerice u okviru Fonda za unutarnju sigurnost uspostavljenog Uredbom (EU) 2021/1149 Europskog parlamenta i Vijeća (23), programa Obzor Europa, uspostavljenog Uredbom (EU) 2021/695 Europskog parlamenta i Vijeća (24), ili drugih instrumenata relevantnih za otpornost kritičnih subjekata. |
| --- | --- |

(39)

Kako bi se ostvarili ciljevi ove Direktive i ne dovodeći u pitanje pravnu odgovornost država članica i kritičnih subjekata da osiguravaju poštovanje njihovih obveza utvrđenih ovom Direktivom, Komisija bi prema potrebi trebala poduprijeti nadležna tijela i kritične subjekte s ciljem olakšavanja ostvarivanja njihove usklađenosti s njihovim obvezama. Pri pružanju potpore državama članicama i kritičnim subjektima u provedbi obveza na temelju ove Direktive Komisija bi se trebala oslanjati na postojeće strukture i alate, kao što su oni u okviru Mehanizma Unije za civilnu zaštitu, uspostavljenog Odlukom br. 1313/2013/EU, i Europske referentne mreže za zaštitu kritične infrastrukture. Osim toga, trebala bi obavijestiti države članice o resursima dostupnima na razini Unije, primjerice u okviru Fonda za unutarnju sigurnost uspostavljenog Uredbom (EU) 2021/1149 Europskog parlamenta i Vijeća (23), programa Obzor Europa, uspostavljenog Uredbom (EU) 2021/695 Europskog parlamenta i Vijeća (24), ili drugih instrumenata relevantnih za otpornost kritičnih subjekata.

| (40) | Države članice trebale bi osigurati da njihova nadležna tijela imaju određene posebne ovlasti za pravilnu primjenu i izvršavanje ove Direktive u odnosu na kritične subjekte ako ti subjekti potpadaju pod njihovu nadležnost kako je navedeno u ovoj Direktivi. Te bi ovlasti posebice trebale uključivati ovlast provođenja inspekcija i revizija, ovlast nadzora te ovlast zahtijevanja od kritičnih subjekata da dostave informacije i dokaze koji se odnose na mjere koje su poduzeli kako bi ispunili svoje obveze te prema potrebi ovlast izdavanja naloga za otklanjanje utvrđenih povreda. Pri izdavanju takvih naloga države članice ne bi trebale zahtijevati mjere koje prelaze ono što je potrebno i razmjerno kako bi se osigurala usklađenost dotičnog kritičnog subjekta, osobito uzimajući u obzir ozbiljnost povrede i gospodarski kapacitet dotičnog kritičnog subjekta. Općenito, te bi ovlasti trebale biti popraćene odgovarajućim i djelotvornim zaštitnim mjerama koje se utvrđuju nacionalnim pravom, u skladu s Poveljom Europske unije o temeljnim pravima. Pri procjeni usklađenosti kritičnog subjekta s njegovim obvezama iz ove Direktive nadležna tijela na temelju ove Direktive trebala bi moći zatražiti od nadležnih tijela na temelju Direktive (EU) 2022/2555 da izvršavaju svoje nadzorne ovlasti i ovlasti izvršavanja u odnosu na subjekt iz te direktive koji je utvrđen kao kritični subjekt na temelju ove Direktive. Nadležna tijela na temelju ove Direktive i nadležna tijela na temelju Direktive (EU) 2022/2555 trebala bi surađivati i razmjenjivati informacije u tu svrhu. |
| --- | --- |

(40)

Države članice trebale bi osigurati da njihova nadležna tijela imaju određene posebne ovlasti za pravilnu primjenu i izvršavanje ove Direktive u odnosu na kritične subjekte ako ti subjekti potpadaju pod njihovu nadležnost kako je navedeno u ovoj Direktivi. Te bi ovlasti posebice trebale uključivati ovlast provođenja inspekcija i revizija, ovlast nadzora te ovlast zahtijevanja od kritičnih subjekata da dostave informacije i dokaze koji se odnose na mjere koje su poduzeli kako bi ispunili svoje obveze te prema potrebi ovlast izdavanja naloga za otklanjanje utvrđenih povreda. Pri izdavanju takvih naloga države članice ne bi trebale zahtijevati mjere koje prelaze ono što je potrebno i razmjerno kako bi se osigurala usklađenost dotičnog kritičnog subjekta, osobito uzimajući u obzir ozbiljnost povrede i gospodarski kapacitet dotičnog kritičnog subjekta. Općenito, te bi ovlasti trebale biti popraćene odgovarajućim i djelotvornim zaštitnim mjerama koje se utvrđuju nacionalnim pravom, u skladu s Poveljom Europske unije o temeljnim pravima. Pri procjeni usklađenosti kritičnog subjekta s njegovim obvezama iz ove Direktive nadležna tijela na temelju ove Direktive trebala bi moći zatražiti od nadležnih tijela na temelju Direktive (EU) 2022/2555 da izvršavaju svoje nadzorne ovlasti i ovlasti izvršavanja u odnosu na subjekt iz te direktive koji je utvrđen kao kritični subjekt na temelju ove Direktive. Nadležna tijela na temelju ove Direktive i nadležna tijela na temelju Direktive (EU) 2022/2555 trebala bi surađivati i razmjenjivati informacije u tu svrhu.

| (41) | Kako bi se ova Direktiva primjenjivala na djelotvoran i dosljedan način, Komisiji bi trebalo delegirati ovlast za donošenje akata u skladu s člankom 290. UFEU-a radi dopune ove Direktive sastavljanjem popisa ključnih usluga. Nadležna tijela trebala bi se koristiti tim popisom za potrebe provedbe procjena rizika države članice i za utvrđivanje kritičnih subjekata na temelju ove Direktive. S obzirom na pristup minimalnog usklađivanja iz ove Direktive, taj popis nije iscrpan te bi ga države članice mogle dopuniti dodatnim ključnim uslugama na nacionalnoj razini radi uvažavanja nacionalnih posebnosti u pružanju ključnih usluga. Posebno je važno da Komisija tijekom svojeg pripremnog rada provede odgovarajuća savjetovanja, uključujući ona na razini stručnjaka, te da se ta savjetovanja provedu u skladu s načelima utvrđenima u Međuinstitucijskom sporazumu o boljoj izradi zakonodavstva od 13. travnja 2016. (25) Osobito, s ciljem osiguravanja ravnopravnog sudjelovanja u pripremi delegiranih akata, Europski parlament i Vijeće primaju sve dokumente istodobno kada i stručnjaci iz država članica te njihovi stručnjaci sustavno imaju pristup sastancima stručnih skupina Komisije koji se odnose na pripremu delegiranih akata. |
| --- | --- |

(41)

Kako bi se ova Direktiva primjenjivala na djelotvoran i dosljedan način, Komisiji bi trebalo delegirati ovlast za donošenje akata u skladu s člankom 290. UFEU-a radi dopune ove Direktive sastavljanjem popisa ključnih usluga. Nadležna tijela trebala bi se koristiti tim popisom za potrebe provedbe procjena rizika države članice i za utvrđivanje kritičnih subjekata na temelju ove Direktive. S obzirom na pristup minimalnog usklađivanja iz ove Direktive, taj popis nije iscrpan te bi ga države članice mogle dopuniti dodatnim ključnim uslugama na nacionalnoj razini radi uvažavanja nacionalnih posebnosti u pružanju ključnih usluga. Posebno je važno da Komisija tijekom svojeg pripremnog rada provede odgovarajuća savjetovanja, uključujući ona na razini stručnjaka, te da se ta savjetovanja provedu u skladu s načelima utvrđenima u Međuinstitucijskom sporazumu o boljoj izradi zakonodavstva od 13. travnja 2016. (25) Osobito, s ciljem osiguravanja ravnopravnog sudjelovanja u pripremi delegiranih akata, Europski parlament i Vijeće primaju sve dokumente istodobno kada i stručnjaci iz država članica te njihovi stručnjaci sustavno imaju pristup sastancima stručnih skupina Komisije koji se odnose na pripremu delegiranih akata.

| (42) | Radi osiguravanja jedinstvenih uvjeta za provedbu ove Direktive provedbene ovlasti trebalo bi dodijeliti Komisiji. Te bi ovlasti trebalo izvršavati u skladu s Uredbom (EU) br. 182/2011 Europskog parlamenta i Vijeća (26). |
| --- | --- |

(42)

Radi osiguravanja jedinstvenih uvjeta za provedbu ove Direktive provedbene ovlasti trebalo bi dodijeliti Komisiji. Te bi ovlasti trebalo izvršavati u skladu s Uredbom (EU) br. 182/2011 Europskog parlamenta i Vijeća (26).

| (43) | S obzirom na to da ciljeve ove Direktive, a to su osiguravanje da se usluge koje su ključne za održavanje vitalnih društvenih funkcija ili gospodarskih djelatnosti pružaju neometano na unutarnjem tržištu i jačanje otpornosti kritičnih subjekata koji pružaju takve usluge, ne mogu dostatno ostvariti države članice, nego se zbog učinaka djelovanja oni na bolji način mogu ostvariti na razini Unije, Unija može donijeti mjere u skladu s načelom supsidijarnosti utvrđenim u članku 5. Ugovora o Europskoj uniji. U skladu s načelom proporcionalnosti utvrđenim u tom članku 5., ova Direktiva ne prelazi ono što je potrebno za ostvarivanje tih ciljeva. |
| --- | --- |

(43)

S obzirom na to da ciljeve ove Direktive, a to su osiguravanje da se usluge koje su ključne za održavanje vitalnih društvenih funkcija ili gospodarskih djelatnosti pružaju neometano na unutarnjem tržištu i jačanje otpornosti kritičnih subjekata koji pružaju takve usluge, ne mogu dostatno ostvariti države članice, nego se zbog učinaka djelovanja oni na bolji način mogu ostvariti na razini Unije, Unija može donijeti mjere u skladu s načelom supsidijarnosti utvrđenim u članku 5. Ugovora o Europskoj uniji. U skladu s načelom proporcionalnosti utvrđenim u tom članku 5., ova Direktiva ne prelazi ono što je potrebno za ostvarivanje tih ciljeva.

| (44) | Provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 42. stavkom 1. Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća (27) te je on dao mišljenje 11. kolovoza 2021. |
| --- | --- |

(44)

Provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 42. stavkom 1. Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća (27) te je on dao mišljenje 11. kolovoza 2021.

| (45) | Direktivu 2008/114/EZ stoga bi trebalo staviti izvan snage, |
| --- | --- |

(45)

Direktivu 2008/114/EZ stoga bi trebalo staviti izvan snage,

DONIJELI SU OVU DIREKTIVU:

POGLAVLJE I.

OPĆE ODREDBE

Članak 1.

Predmet i područje primjene

1.   Ovom se Direktivom:

| (a) | utvrđuju obveze država članica za poduzimanje posebnih mjera radi osiguravanja da se usluge koje su ključne za održavanje vitalnih društvenih funkcija ili gospodarskih djelatnosti u području primjene članka 114. UFEU-a neometano pružaju na unutarnjem tržištu, posebice obveze utvrđivanja kritičnih subjekata te podupiranja kritičnih subjekata pri ispunjavanju njihovih obveza; |
| --- | --- |

(a)

utvrđuju obveze država članica za poduzimanje posebnih mjera radi osiguravanja da se usluge koje su ključne za održavanje vitalnih društvenih funkcija ili gospodarskih djelatnosti u području primjene članka 114. UFEU-a neometano pružaju na unutarnjem tržištu, posebice obveze utvrđivanja kritičnih subjekata te podupiranja kritičnih subjekata pri ispunjavanju njihovih obveza;

| (b) | utvrđuju obveze kritičnih subjekata radi jačanja njihove otpornosti i mogućnosti pružanja usluga kako je navedeno u točki (a) na unutarnjem tržištu; |
| --- | --- |

(b)

utvrđuju obveze kritičnih subjekata radi jačanja njihove otpornosti i mogućnosti pružanja usluga kako je navedeno u točki (a) na unutarnjem tržištu;

| (c) | utvrđuju pravila:






  i. | o nadzoru kritičnih subjekata; |
| --- | --- | --- |

(c)

utvrđuju pravila:

i.

o nadzoru kritičnih subjekata;

| ii. | o izvršavanju; |
| --- | --- |

ii.

o izvršavanju;

| iii. | za utvrđivanje kritičnih subjekata od posebnog europskog značaja i o savjetodavnim misijama radi procjene mjera koje su takvi subjekti uspostavili radi ispunjavanja svojih obveza iz Poglavlja III.; |
| --- | --- |

iii.

za utvrđivanje kritičnih subjekata od posebnog europskog značaja i o savjetodavnim misijama radi procjene mjera koje su takvi subjekti uspostavili radi ispunjavanja svojih obveza iz Poglavlja III.;

| (d) | uspostavljaju zajednički postupci za suradnju i izvješćivanje o primjeni ove Direktive; |
| --- | --- |

(d)

uspostavljaju zajednički postupci za suradnju i izvješćivanje o primjeni ove Direktive;

| (e) | utvrđuju mjere za postizanje visoke razine otpornosti kritičnih subjekata radi osiguravanja pružanja ključnih usluga u Uniji i poboljšanja funkcioniranja unutarnjeg tržišta. |
| --- | --- |

(e)

utvrđuju mjere za postizanje visoke razine otpornosti kritičnih subjekata radi osiguravanja pružanja ključnih usluga u Uniji i poboljšanja funkcioniranja unutarnjeg tržišta.

2.   Ova se Direktiva ne primjenjuje na pitanja obuhvaćena Direktivom (EU) 2022/2555, ne dovodeći u pitanje članak 8. ove Direktive. S obzirom na odnos između fizičke sigurnosti i kibersigurnosti kritičnih subjekata, države članice osiguravaju da se ova Direktiva i Direktiva (EU) 2022/2555 provode na usklađen način.

3.   Ako se odredbama sektorskih pravnih akata Unije od kritičnih subjekata zahtijeva poduzimanje mjera za jačanje njihove otpornosti i ako države članice priznaju te zahtjeve kao barem jednakovrijedne odgovarajućim obvezama utvrđenima u ovoj Direktivi, ne primjenjuju se relevantne odredbe ove Direktive, uključujući odredbe o nadzoru i izvršavanju utvrđene u poglavlju VI.

4.   Ne dovodeći u pitanje članak 346. UFEU-a, informacije koje se smatraju povjerljivima na temelju pravila Unije ili nacionalnih pravila, kao što su pravila o poslovnoj tajni, razmjenjuju se s Komisijom i drugim relevantnim tijelima u skladu s ovom Direktivom samo kad je takva razmjena nužna za primjenu ove Direktive. Razmijenjene informacije ograničene su na ono što je relevantno i razmjerno svrsi te razmjene. Pri razmjeni informacija čuva se povjerljivost tih informacija te sigurnost i komercijalni interesi kritičnih subjekata, poštujući sigurnost država članica.

5.   Ovom Direktivom ne dovodi se u pitanje odgovornost država članica za zaštitu nacionalne sigurnosti i obrane i njihove ovlasti za zaštitu drugih ključnih državnih funkcija, uključujući osiguravanje teritorijalne cjelovitosti države i održavanje javnog poretka.

6.   Ova se Direktiva ne primjenjuje na subjekte javne uprave koji obavljaju svoje aktivnosti u području nacionalne sigurnosti, javne sigurnosti, obrane ili izvršavanja zakonodavstva, uključujući istragu, otkrivanje i progon kaznenih djela.

7.   Države članice mogu odlučiti da se članak 11. i poglavlja III., IV. i VI., u cijelosti ili djelomično, ne primjenjuju na određene kritične subjekte koji obavljaju aktivnosti u području nacionalne sigurnosti, javne sigurnosti, obrane ili izvršavanja zakonodavstva, uključujući istragu, otkrivanje i progon kaznenih djela, ili koji pružaju usluge isključivo subjektima javne uprave iz stavka 6. ovog članka.

8.   Obveze utvrđene u ovoj Direktivi ne podrazumijevaju dostavu informacija čije bi otkrivanje bilo u suprotnosti s ključnim interesima nacionalne sigurnosti, javne sigurnosti ili obrane država članica.

9.   Ovom se Direktivom ne dovodi u pitanje pravo Unije o zaštiti osobnih podataka, osobito Uredbu (EU) 2016/679 Europskog parlamenta i Vijeća (28) i Direktivu 2002/58/EZ Europskog parlamenta i Vijeća (29).

Članak 2.

Definicije

Za potrebe ove Direktive primjenjuju se sljedeće definicije:

| 1. | „kritični subjekt” znači javni ili privatni subjekt za koji je država članica u skladu s člankom 6. utvrdila da pripada jednoj od kategorija navedenih u trećem stupcu tablice u Prilogu; |
| --- | --- |

1.

„kritični subjekt” znači javni ili privatni subjekt za koji je država članica u skladu s člankom 6. utvrdila da pripada jednoj od kategorija navedenih u trećem stupcu tablice u Prilogu;

| 2. | „otpornost” znači sposobnost kritičnog subjekta da spriječi incident, zaštiti od njega, odgovori na njega, odupre se incidentu, ublaži ga, apsorbira ga, prilagodi mu se te se oporavi od incidenta ; |
| --- | --- |

2.

„otpornost” znači sposobnost kritičnog subjekta da spriječi incident, zaštiti od njega, odgovori na njega, odupre se incidentu, ublaži ga, apsorbira ga, prilagodi mu se te se oporavi od incidenta ;

| 3. | „incident” znači događaj koji bi mogao znatno poremetiti ili koji poremeti pružanje ključne usluge, među ostalim kada utječe na nacionalne sustave kojima se štiti vladavina prava; |
| --- | --- |

3.

„incident” znači događaj koji bi mogao znatno poremetiti ili koji poremeti pružanje ključne usluge, među ostalim kada utječe na nacionalne sustave kojima se štiti vladavina prava;

| 4. | „kritična infrastruktura” znači imovina, objekt, oprema, mreža ili sustav ili dio imovine, objekta, opreme, mreže ili sustava, koji je potreban za pružanje ključne usluge; |
| --- | --- |

4.

„kritična infrastruktura” znači imovina, objekt, oprema, mreža ili sustav ili dio imovine, objekta, opreme, mreže ili sustava, koji je potreban za pružanje ključne usluge;

| 5. | „ključna usluga” znači usluga koja je ključna za održavanje vitalnih društvenih funkcija , gospodarskih djelatnosti, javnog zdravlja i sigurnosti ili okoliša; |
| --- | --- |

5.

„ključna usluga” znači usluga koja je ključna za održavanje vitalnih društvenih funkcija , gospodarskih djelatnosti, javnog zdravlja i sigurnosti ili okoliša;

| 6. | „rizik” znači mogućnost gubitka ili poremećaja uzrokovana incidentom i treba ga izražavati kao kombinaciju opsega takvog gubitka ili poremećaja i vjerojatnosti pojave incidenta; |
| --- | --- |

6.

„rizik” znači mogućnost gubitka ili poremećaja uzrokovana incidentom i treba ga izražavati kao kombinaciju opsega takvog gubitka ili poremećaja i vjerojatnosti pojave incidenta;

| 7. | „procjena rizika ” znači cjelokupni postupak utvrđivanja prirode i opsega rizika utvrđivanjem i analizom potencijalnih relevantnih prijetnji, ranjivosti i opasnosti koje bi mogle dovesti do incidenta te evaluacijom mogućeg gubitka ili poremećaja u pružanju ključne usluge uzrokovanog tim incidentom; |
| --- | --- |

7.

„procjena rizika ” znači cjelokupni postupak utvrđivanja prirode i opsega rizika utvrđivanjem i analizom potencijalnih relevantnih prijetnji, ranjivosti i opasnosti koje bi mogle dovesti do incidenta te evaluacijom mogućeg gubitka ili poremećaja u pružanju ključne usluge uzrokovanog tim incidentom;

| 8. | „norma” znači norma kako je definirana u članku 2. točki 1. Uredbe (EU) br. 1025/2012 Europskog parlamenta i Vijeća (30); |
| --- | --- |

8.

„norma” znači norma kako je definirana u članku 2. točki 1. Uredbe (EU) br. 1025/2012 Europskog parlamenta i Vijeća (30);

30

| 9. | „tehnička specifikacija” znači tehnička specifikacija kako je definirana u članku 2. točki 4. Uredbe (EU) br. 1025/2012; |
| --- | --- |

9.

„tehnička specifikacija” znači tehnička specifikacija kako je definirana u članku 2. točki 4. Uredbe (EU) br. 1025/2012;

| 10. | „subjekt javne uprave” znači subjekt koji je kao takav priznat u državi članici u skladu s nacionalnim pravom ne uključujući sudstvo, parlamente ili središnje banke i koji ispunjava sljedeće kriterije:






  (a) | uspostavljen je u svrhu zadovoljavanja potreba od općeg interesa i nije industrijske ili komercijalne naravi; |
| --- | --- | --- |

10.

„subjekt javne uprave” znači subjekt koji je kao takav priznat u državi članici u skladu s nacionalnim pravom ne uključujući sudstvo, parlamente ili središnje banke i koji ispunjava sljedeće kriterije:

(a)

uspostavljen je u svrhu zadovoljavanja potreba od općeg interesa i nije industrijske ili komercijalne naravi;

| (b) | ima pravnu osobnost ili ima zakonsko pravo djelovati u ime drugog subjekta s pravnom osobnošću; |
| --- | --- |

(b)

ima pravnu osobnost ili ima zakonsko pravo djelovati u ime drugog subjekta s pravnom osobnošću;

| (c) | većim dijelom financiraju ga državne vlasti ili druga javnopravna tijela na središnjoj razini, podliježe upravljačkom nadzoru tih vlasti ili tijela, ili ima upravni, upravljački ili nadzorni odbor u kojem su više od polovice članova imenovale državne vlasti ili druga javnopravna tijela na središnjoj razini; |
| --- | --- |

(c)

većim dijelom financiraju ga državne vlasti ili druga javnopravna tijela na središnjoj razini, podliježe upravljačkom nadzoru tih vlasti ili tijela, ili ima upravni, upravljački ili nadzorni odbor u kojem su više od polovice članova imenovale državne vlasti ili druga javnopravna tijela na središnjoj razini;

| (d) | ovlašten je fizičkim ili pravnim osobama upućivati upravne ili regulatorne odluke koje utječu na njihova prava u prekograničnom kretanju osoba, robe, usluga ili kapitala. |
| --- | --- |

(d)

ovlašten je fizičkim ili pravnim osobama upućivati upravne ili regulatorne odluke koje utječu na njihova prava u prekograničnom kretanju osoba, robe, usluga ili kapitala.

Članak 3.

Minimalno usklađivanje

Ovom Direktivom ne sprečava se države članice da donesu ili zadrže odredbe nacionalnog prava s ciljem postizanja više razine otpornosti kritičnih subjekata, pod uvjetom da su te odredbe u skladu s obvezama država članica utvrđenim u pravu Unije.

POGLAVLJE II.

NACIONALNI OKVIRI ZA OTPORNOST KRITIČNIH SUBJEKATA

Članak 4.

Strategija za otpornost kritičnih subjekata

1.   Nakon savjetovanja koje je, u mjeri u kojoj je to praktično moguće, otvoreno relevantnim dionicima, svaka država članica do 17. siječnja 2026. donosi strategiju za jačanje otpornosti kritičnih subjekata („strategija”). U strategiji se utvrđuju strateški ciljevi i mjere politike, koji se temelje na relevantnim postojećim nacionalnim i sektorskim strategijama, na planovima ili na sličnim dokumentima, radi postizanja i održavanja visoke razine otpornosti kritičnih subjekata i obuhvaćanja barem sektora navedenih u Prilogu.

2.   Svaka strategija sadržava najmanje sljedeće elemente:

| (a) | strateške ciljeve i prioritete u svrhu jačanja opće otpornosti kritičnih subjekata uzimajući u obzir prekogranične i međusektorske ovisnosti i međuovisnosti; |
| --- | --- |

(a)

strateške ciljeve i prioritete u svrhu jačanja opće otpornosti kritičnih subjekata uzimajući u obzir prekogranične i međusektorske ovisnosti i međuovisnosti;

| (b) | upravljački okvir za postizanje strateških ciljeva i prioriteta, uključujući opis uloga i odgovornosti različitih tijela, kritičnih subjekata i drugih strana uključenih u provedbu strategije; |
| --- | --- |

(b)

upravljački okvir za postizanje strateških ciljeva i prioriteta, uključujući opis uloga i odgovornosti različitih tijela, kritičnih subjekata i drugih strana uključenih u provedbu strategije;

| (c) | opis mjera potrebnih za jačanje opće otpornosti kritičnih subjekata, uključujući opis procjene rizika iz članka 5.; |
| --- | --- |

(c)

opis mjera potrebnih za jačanje opće otpornosti kritičnih subjekata, uključujući opis procjene rizika iz članka 5.;

| (d) | opis postupka kojim se utvrđuju kritični subjekti; |
| --- | --- |

(d)

opis postupka kojim se utvrđuju kritični subjekti;

| (e) | opis postupka kojim se podupiru kritični subjekti u skladu s ovim poglavljem, uključujući mjere za poboljšanje suradnje između javnog sektora, s jedne strane, i privatnog sektora te javnih i privatnih subjekata, s druge strane; |
| --- | --- |

(e)

opis postupka kojim se podupiru kritični subjekti u skladu s ovim poglavljem, uključujući mjere za poboljšanje suradnje između javnog sektora, s jedne strane, i privatnog sektora te javnih i privatnih subjekata, s druge strane;

| (f) | popis glavnih tijela i relevantnih dionika koji nisu kritični subjekti, a koji su uključeni u provedbu strategije; |
| --- | --- |

(f)

popis glavnih tijela i relevantnih dionika koji nisu kritični subjekti, a koji su uključeni u provedbu strategije;

| (g) | okvir politike za koordinaciju među nadležnim tijelima na temelju ove Direktive („nadležna tijela”) i nadležnim tijelima na temelju Direktive (EU) 2022/2555 u svrhu dijeljenja informacija o kibersigurnosnim rizicima, kiberprijetnjama i kiberincidentima te rizicima, prijetnjama i incidentima izvan kiberprostora te izvršavanja nadzornih zadaća; |
| --- | --- |

(g)

okvir politike za koordinaciju među nadležnim tijelima na temelju ove Direktive („nadležna tijela”) i nadležnim tijelima na temelju Direktive (EU) 2022/2555 u svrhu dijeljenja informacija o kibersigurnosnim rizicima, kiberprijetnjama i kiberincidentima te rizicima, prijetnjama i incidentima izvan kiberprostora te izvršavanja nadzornih zadaća;

| (h) | opis već uspostavljenih mjera čiji je cilj malim i srednjim poduzećima u smislu Priloga Preporuci Komisije 2003/361/EZ (31) koja je dotična država članica utvrdila kao kritične subjekte olakšati provedbu obveza na temelju poglavlja III. ove Direktive. |
| --- | --- |

(h)

opis već uspostavljenih mjera čiji je cilj malim i srednjim poduzećima u smislu Priloga Preporuci Komisije 2003/361/EZ (31) koja je dotična država članica utvrdila kao kritične subjekte olakšati provedbu obveza na temelju poglavlja III. ove Direktive.

Nakon savjetovanja koje je, u mjeri u kojoj je to praktično moguće, otvoreno relevantnim dionicima, države članice ažuriraju svoje strategije najmanje svake četiri godine.

3.   Države članice priopćuju Komisiji svoje strategije i njihova znatna ažuriranja u roku od tri mjeseca od njihova donošenja.

Članak 5.

Procjena rizika država članica

1.   Komisija je ovlaštena za donošenje delegiranog akta u skladu s člankom 23. do 17. studenoga 2023., radi dopune ove Direktive utvrđivanjem netaksativnog popisa ključnih usluga u sektorima i podsektorima navedenima u Prilogu. Nadležna tijela koriste se tim popisom ključnih usluga za potrebe provedbe procjene rizika („procjena rizika države članice”) do 17. siječnja 2026. i prema potrebi nakon toga, a najmanje svake četiri godine . Nadležna tijela koriste se procjenom rizika države članice radi utvrđivanja kritičnih subjekata u skladu s člankom 6. i pomoći tim kritičnim subjektima u poduzimanju mjera na temelju članka 13.

U procjenama rizika države članice uzimaju se u obzir relevantni prirodni i ljudskim djelovanjem uzrokovani rizici, uključujući one međusektorske ili prekogranične prirode, nesreće, prirodne katastrofe, izvanredna stanja u području javnog zdravlja te hibridne prijetnje ili druge neprijateljske prijetnje, među ostalim kaznena djela terorizma kako su predviđena Direktivom (EU) 2017/541 Europskog parlamenta i Vijeća (32).

2.   Pri provedbi procjena rizika države članice, države članice uzimaju u obzir barem sljedeće:

| (a) | opću procjenu rizika provedenu na temelju članka 6. stavka 1. Odluke br. 1313/2013/EU; |
| --- | --- |

(a)

opću procjenu rizika provedenu na temelju članka 6. stavka 1. Odluke br. 1313/2013/EU;

| (b) | druge relevantne procjene rizika provedene u skladu sa zahtjevima relevantnih sektorskih pravnih akata Unije, uključujući uredbe (EU) 2017/1938 (33) i (EU) 2019/941 (34) Europskog parlamenta i Vijeća te direktive 2007/60/EZ (35) i 2012/18/EU (36) Europskog parlamenta i Vijeća; |
| --- | --- |

(b)

druge relevantne procjene rizika provedene u skladu sa zahtjevima relevantnih sektorskih pravnih akata Unije, uključujući uredbe (EU) 2017/1938 (33) i (EU) 2019/941 (34) Europskog parlamenta i Vijeća te direktive 2007/60/EZ (35) i 2012/18/EU (36) Europskog parlamenta i Vijeća;

| (c) | relevantne rizike koji proizlaze iz opsega ovisnosti među sektorima navedenima u Prilogu, među ostalim njihov opseg ovisnosti o subjektima koji se nalaze unutar drugih država članica i trećih zemalja, te utjecaj koji znatan poremećaj u jednom sektoru može imati na druge sektore, uključujući sve znatne rizike za građane i unutarnje tržište; |
| --- | --- |

(c)

relevantne rizike koji proizlaze iz opsega ovisnosti među sektorima navedenima u Prilogu, među ostalim njihov opseg ovisnosti o subjektima koji se nalaze unutar drugih država članica i trećih zemalja, te utjecaj koji znatan poremećaj u jednom sektoru može imati na druge sektore, uključujući sve znatne rizike za građane i unutarnje tržište;

| (d) | sve informacije o incidentima koji su prijavljeni u skladu s člankom 15. |
| --- | --- |

(d)

sve informacije o incidentima koji su prijavljeni u skladu s člankom 15.

Za potrebe prvog podstavka točke (c) države članice surađuju s nadležnim tijelima drugih država članica i nadležnim tijelima trećih zemalja, ovisno o slučaju.

3.   Države članice stavljaju na raspolaganje relevantne elemente procjena rizika države članice, ako je to relevantno putem svojih jedinstvenih kontaktnih točaka, kritičnim subjektima koje su utvrdile u skladu s člankom 6 . Države članice osiguravaju da informacije pružene kritičnim subjektima pomažu kritičnim subjektima u provedbi njihovih procjena rizika na temelju članka 12. i u poduzimanju mjera za osiguravanje njihove otpornosti na temelju članka 13.

4.   U roku od tri mjeseca nakon provedbe procjene rizika države članice, država članica Komisiji dostavlja relevantne informacije o vrstama rizika utvrđenim nakon te procjene rizika države članice kao i ishodima procjene rizika države članice, po sektoru i podsektoru navedenom u Prilogu.

5.   Komisija u suradnji s državama članicama izrađuje dobrovoljni zajednički predložak za izvješćivanje u svrhu postupanja u skladu sa stavkom 4.

Članak 6.

Utvrđivanje kritičnih subjekata

1.   Svaka država članica do 17. srpnja 2026. utvrđuje kritične subjekte za sektore i podsektore navedene u Prilogu .

2.   Kada država članica utvrđuje kritične subjekte na temelju stavka 1., uzima u obzir ishode svoje procjene rizika države članice i svoju strategiju te primjenjuje sve sljedeće kriterije:

| (a) | subjekt pruža jednu ili više ključnih usluga; |
| --- | --- |

(a)

subjekt pruža jednu ili više ključnih usluga;

| (b) | subjekt djeluje te se njegova kritična infrastruktura nalazi na državnom području te države članice; i |
| --- | --- |

(b)

subjekt djeluje te se njegova kritična infrastruktura nalazi na državnom području te države članice; i

| (c) | incident bi, kako je utvrđeno u skladu s člankom 7. stavkom 1., imao znatne negativne učinke na pružanje jedne ili više ključnih usluga subjekta ili na pružanje drugih ključnih usluga u sektorima navedenima u Prilogu koji ovise o takvoj ili takvim ključnim uslugama. |
| --- | --- |

(c)

incident bi, kako je utvrđeno u skladu s člankom 7. stavkom 1., imao znatne negativne učinke na pružanje jedne ili više ključnih usluga subjekta ili na pružanje drugih ključnih usluga u sektorima navedenima u Prilogu koji ovise o takvoj ili takvim ključnim uslugama.

3.   Svaka država članica sastavlja popis kritičnih subjekata utvrđenih na temelju stavka 2. i osigurava da se te kritične subjekte obavijesti da su utvrđeni kao kritični subjekti u roku od mjesec dana od tog utvrđivanja . Države članice obavješćuju te kritične subjekte o njihovim obvezama na temelju poglavlja III. i IV. i datumu od kojeg se te obveze primjenjuju na njih, ne dovodeći u pitanje članak 8. Države članice obavješćuju kritične subjekte u sektorima navedenim u točkama 3., 4. i 8. tablice u Prilogu da nemaju obveza na temelju poglavlja III. i IV., osim ako je nacionalnim mjerama predviđeno drukčije.

Za dotične kritične subjekte poglavlje III. primjenjuje se počevši od 10 mjeseci nakon datuma obavijesti iz prvog podstavka ovog stavka.

4.   Države članice osiguravaju da njihova nadležna tijela na temelju ove Direktive obavijeste nadležna tijela na temelju Direktive (EU) 2022/2555 o identitetu kritičnih subjekata koji su ta tijela utvrdila na temelju ovog članka u roku od mjesec dana od tog utvrđivanja. Ako je primjenjivo, u toj se obavijesti navodi da su dotični kritični subjekti subjekti u sektorima navedenim u točkama 3., 4. i 8. tablice u Prilogu ovoj Direktivi te da oni nemaju obaveza na temelju poglavlja III. i IV. Direktive.

5.   Države članice prema potrebi, a u svakom slučaju najmanje svake četiri godine, preispituju i ako je potrebno ažuriraju popis utvrđenih kritičnih subjekata iz stavka 3. Ako se tim ažuriranjima utvrde dodatni kritični subjekti, primjenjuju se stavci 3. i 4. na te dodatne kritične subjekte. Usto, države članice osiguravaju da su subjekti koji se nakon svakog takvog ažuriranja više ne smatraju kritičnim subjektima pravodobno obaviješteni o toj činjenici te činjenici da od datuma primitka te obavijesti više ne podliježu obvezama iz poglavlja III.

6.   Komisija u suradnji s državama članicama izrađuje preporuke i neobvezujuće smjernice za potporu državama članicama u utvrđivanju kritičnih subjekata.

Članak 7.

Znatan negativan učinak

1.   Pri utvrđivanju značaja negativnog učinka iz članka 6. stavka 2. točke (c) države članice uzimaju u obzir sljedeće kriterije:

| (a) | broj korisnika koji se oslanjaju na ključne usluge koje pruža dotični subjekt; |
| --- | --- |

(a)

broj korisnika koji se oslanjaju na ključne usluge koje pruža dotični subjekt;

| (b) | opseg ovisnosti drugih sektora i podsektora navedenih u Prilogu o dotičnim ključnim uslugama; |
| --- | --- |

(b)

opseg ovisnosti drugih sektora i podsektora navedenih u Prilogu o dotičnim ključnim uslugama;

| (c) | stupanj i trajanje učinka koje bi incidenti mogli imati na gospodarske i društvene aktivnosti, na okoliš , javnu zaštitu i sigurnost ili zdravlje stanovništva; |
| --- | --- |

(c)

stupanj i trajanje učinka koje bi incidenti mogli imati na gospodarske i društvene aktivnosti, na okoliš , javnu zaštitu i sigurnost ili zdravlje stanovništva;

| (d) | tržišni udio subjekta na tržištu dotične ključne usluge ili ključnih usluga; |
| --- | --- |

(d)

tržišni udio subjekta na tržištu dotične ključne usluge ili ključnih usluga;

| (e) | zemljopisno područje na koje bi incident mogao utjecati, uključujući sve prekogranične učinke, uzimajući u obzir ranjivost povezanu sa stupnjem izolacije određenih vrsta zemljopisnih područja, kao što su otočne regije, udaljene regije ili planinska područja; |
| --- | --- |

(e)

zemljopisno područje na koje bi incident mogao utjecati, uključujući sve prekogranične učinke, uzimajući u obzir ranjivost povezanu sa stupnjem izolacije određenih vrsta zemljopisnih područja, kao što su otočne regije, udaljene regije ili planinska područja;

| (f) | važnost subjekta u održavanju dostatne razine ključne usluge, uzimajući u obzir raspoloživost alternativnih načina pružanja te ključne usluge. |
| --- | --- |

(f)

važnost subjekta u održavanju dostatne razine ključne usluge, uzimajući u obzir raspoloživost alternativnih načina pružanja te ključne usluge.

2.   Nakon utvrđivanja kritičnih subjekata na temelju članka 6. stavka 1. svaka država članica bez nepotrebne odgode Komisiji dostavlja sljedeće informacije:

| (a) | popis ključnih usluga u toj državi članici kada postoje bilo koje dodatne ključne usluge u usporedbi s popisom ključnih usluga iz članka 5. stavka 1.; |
| --- | --- |

(a)

popis ključnih usluga u toj državi članici kada postoje bilo koje dodatne ključne usluge u usporedbi s popisom ključnih usluga iz članka 5. stavka 1.;

| (b) | broj kritičnih subjekata utvrđenih za svaki sektor i podsektor naveden u Prilogu te za svaku ključnu uslugu; |
| --- | --- |

(b)

broj kritičnih subjekata utvrđenih za svaki sektor i podsektor naveden u Prilogu te za svaku ključnu uslugu;

| (c) | sve pragove koji se primjenjuju za utvrđivanje jednog ili više kriterija iz stavka 1. |
| --- | --- |

(c)

sve pragove koji se primjenjuju za utvrđivanje jednog ili više kriterija iz stavka 1.

Pragovi iz prvog podstavka točke (c) mogu biti prikazani u nepromijenjenom ili u agregiranom obliku.

Nakon toga države članice dostavljaju informacije iz prvog podstavka prema potrebi, a najmanje svake četiri godine.

3.   Komisija nakon savjetovanja sa Skupinom za otpornost kritičnih subjekata iz članka 19. donosi neobvezujuće smjernice radi olakšavanja primjene kriterija iz stavka 1. ovog članka, uzimajući u obzir informacije iz stavka 2. ovog članka.

Članak 8.

Kritični subjekti u sektorima bankarstva, infrastrukture financijskog tržišta i digitalne infrastrukture

Države članice osiguravaju da se članak 11. i poglavlja III., IV. i VI. ne primjenjuju na kritične subjekte utvrđene u sektorima navedenim u točkama 3., 4. i 8. tablice u Prilogu. Države članice mogu donijeti ili zadržati odredbe nacionalnog prava kako bi postigle veću razinu otpornosti tih kritičnih subjekata, pod uvjetom da su te odredbe u skladu s primjenjivim pravom Unije.

Članak 9.

Nadležna tijela i jedinstvena kontaktna točka

1.   Svaka država članica imenuje ili uspostavlja jedno ili više nadležnih tijela odgovornih za pravilnu primjenu i prema potrebi izvršavanje pravila utvrđenih u ovoj Direktivi na nacionalnoj razini.

U pogledu kritičnih subjekata u sektorima iz točaka 3. i 4. tablice u Prilogu ovoj Direktivi, nadležna tijela su u načelu nadležna tijela iz članka 46. Uredbe (EU) 2022/2554. U pogledu kritičnih subjekata u sektoru iz točke 8. tablice u Prilogu ovoj Direktivi, nadležna tijela su u načelu nadležna tijela iz Direktive (EU) 2022/2555. Države članice mogu imenovati drugo nadležno tijelo za sektore iz točaka 3., 4. i 8. tablice u Prilogu ove Direktive u skladu s postojećim nacionalnim okvirima.

Ako države članice imenuju ili uspostavljaju više nadležnih tijela, jasno utvrđuju zadaće svakog od dotičnih tijela i osiguravaju njihovu djelotvornu suradnju u ispunjavanju njihovih zadaća na temelju ove Direktive, među ostalim u pogledu imenovanja i aktivnosti jedinstvene kontaktne točke iz stavka 2.

2.   Svaka država članica imenuje ili uspostavlja jednu jedinstvenu kontaktnu točku koja izvršava funkciju povezivanja kako bi se osigurala prekogranična suradnja s jedinstvenim kontaktnim točkama drugih država članica i Skupinom za otpornost kritičnih subjekata iz članka 19. („jedinstvena kontaktna točka”). Prema potrebi, država članica imenuje svoju jedinstvenu kontaktnu točku u okviru nadležnog tijela. Prema potrebi, država članica može predvidjeti da njezina jedinstvena kontaktna točka izvršava i funkciju povezivanja s Komisijom te osigurava suradnju s trećim zemljama.

3.   Jedinstvene kontaktne točke do 17. srpnja 2028., a nakon toga svake dvije godine podnose Komisiji i Skupini za otpornost kritičnih subjekata iz članka 19. sažeto izvješće o primljenim obavijestima, uključujući broj obavijesti, prirodu prijavljenih incidenata i mjere poduzete u skladu s člankom 15. stavkom 3.

Komisija u suradnji sa Skupinom za otpornost kritičnih subjekata izrađuje zajednički predložak za izvješćivanje. Nadležna tijela država članica na dobrovoljnoj osnovi mogu upotrebljavati taj zajednički predložak za izvješćivanje za podnošenje sažetih izvješća iz prvog podstavka.

4.   Svaka država članica osigurava da njezino nadležno tijelo i jedinstvena kontaktna točka imaju ovlasti i odgovarajuće financijske, ljudske i tehničke resurse za djelotvorno i učinkovito izvršavanje zadaća koje su im dodijeljene.

5.   Svaka država članica osigurava da se njezino nadležno tijelo, kada je primjereno te u skladu s pravom Unije i nacionalnim pravom, savjetuje s drugim relevantnim nacionalnim tijelima i surađuje s njima, među ostalim i onima zaduženima za civilnu zaštitu, izvršavanje zakonodavstva i zaštitu osobnih podataka, kao i kritičnim subjektima i relevantnim zainteresiranim stranama .

6.   Svaka država članica osigurava da njezino nadležno tijelo na temelju ove Direktive surađuje i razmjenjuje informacije s nadležnim tijelima na temelju Direktive (EU) 2022/2555 po pitanju kibersigurnosnih rizika , kiberprijetnji i kiberincidenata te rizika, prijetnji i incidenata izvan kiberprostora koji utječu na kritične subjekte, uključujući u odnosu na relevantne mjere koje je poduzelo njezino nadležno tijelo i nadležna tijela na temelju Direktive (EU) 2022/2555.

7.   Svaka država članica obavješćuje Komisiju u roku od tri mjeseca od imenovanja ili uspostavljanja nadležnog tijela i jedinstvene kontaktne točke o njihovom identitetu i njihovim zadaćama i odgovornostima na temelju ove Direktive, njihovim podacima za kontakt i svim naknadnim promjenama. Ako su države članice odlučile imenovati drugo tijelo osim nadležnih tijela navedenih u stavku 1. drugom podstavku kao nadležna tijela u pogledu kritičnih subjekata u sektorima iz točaka 3., 4. i 8. tablice u Prilogu, o tome obavješćuju Komisiju. Svaka država članica objavljuje identitet svog nadležnog tijela i jedinstvene kontaktne točke.

8.   Komisija javno objavljuje popis jedinstvenih kontaktnih točaka.

Članak 10.

Potpora država članica kritičnim subjektima

1.   Države članice podupiru kritične subjekte u jačanju njihove otpornosti. Ta potpora može uključivati izradu smjernica i metodologija, potporu pri organiziranju vježbi za testiranje njihove otpornosti te pružanje savjeta i osposobljavanja osoblju kritičnih subjekata. Ne dovodeći u pitanje primjenjiva pravila o državnim potporama, države članice mogu osigurati financijska sredstva kritičnim subjektima ako je to potrebno i opravdano ciljevima od javnog interesa.

2.   Svaka država članica osigurava da njezino nadležno tijelo surađuje i razmjenjuje informacije i dobre prakse s kritičnim subjektima u sektorima navedenim u Prilogu.

3.   Države članice olakšavaju dobrovoljno dijeljenje informacija među kritičnim subjektima u pogledu pitanja obuhvaćenih ovom Direktivom, u skladu s pravom Unije i nacionalnim pravom, osobito u području klasificiranih i osjetljivih informacija, tržišnog natjecanja i zaštite osobnih podataka.

Članak 11.

Suradnja među državama članicama

1.   Države članice kad god je to primjereno međusobno se savjetuju o kritičnim subjektima radi osiguravanja dosljedne primjene ove Direktive. Takva se savjetovanja posebno održavaju u pogledu kritičnih subjekata koji:

| (a) | upotrebljavaju kritičnu infrastrukturu koja je fizički povezana između dviju ili više država članica; |
| --- | --- |

(a)

upotrebljavaju kritičnu infrastrukturu koja je fizički povezana između dviju ili više država članica;

| (b) | su dio korporativnih struktura povezanih ili u vezi s kritičnim subjektima u drugim državama članicama; |
| --- | --- |

(b)

su dio korporativnih struktura povezanih ili u vezi s kritičnim subjektima u drugim državama članicama;

| (c) | su utvrđeni kao kritični subjekti u jednoj državi članici, a pružaju ključne usluge drugim državama članicama ili u drugim državama članicama. |
| --- | --- |

(c)

su utvrđeni kao kritični subjekti u jednoj državi članici, a pružaju ključne usluge drugim državama članicama ili u drugim državama članicama.

2.   Cilj je savjetovanja iz stavka 1. ojačati otpornost kritičnih subjekata i, kad je to moguće, smanjiti njihovo administrativno opterećenje.

POGLAVLJE III.

OTPORNOST KRITIČNIH SUBJEKATA

Članak 12.

Procjena rizika koju provode kritični subjekti

1.   Neovisno o roku utvrđenom u članku 6. stavku 3. drugom podstavku, države članice osiguravaju da kritični subjekti u roku od devet mjeseci nakon primitka obavijesti iz članka 6. stavka 3. te zatim prema potrebi, a najmanje svake četiri godine, na temelju procjena rizika države članice i drugih relevantnih izvora informacija provode procjenu rizika kako bi procijenili sve relevantne rizike koji bi mogli poremetiti pružanje njihovih ključnih usluga („procjena rizika kritičnog subjekta”).

2.   U procjenama rizika kritičnog subjekta uzimaju se u obzir svi relevantni prirodni i ljudskim djelovanjem uzrokovani rizici koji bi mogli dovesti do incidenta, uključujući one međusektorske ili prekogranične prirode, nesreće, prirodne katastrofe, izvanredna stanja u području javnog zdravlja te hibridne prijetnje i druge neprijateljske prijetnje, uključujući kaznena djela terorizma kako su predviđena Direktivom (EU) 2017/541. Procjena rizika kritičnog subjekta uzima u obzir opseg u kojem drugi sektori navedeni u Prilogu ovise o ključnoj usluzi koju pruža kritični subjekt i opseg u kojem taj kritični subjekt ovisi o ključnim uslugama koje pružaju drugi subjekti u takvim drugim sektorima, uključujući prema potrebi u susjednim državama članicama i trećim zemljama.

Ako je kritični subjekt proveo druge procjene rizika ili izradio dokumente na temelju obveza utvrđenih u drugim pravnim aktima koji su relevantni za njegovu procjenu rizika kritičnog subjekta, može se koristiti tim procjenama i dokumentima kako bi ispunio zahtjeve utvrđene u ovom članku. Pri izvršavanju svojih nadzornih funkcija nadležno tijelo može proglasiti da je postojeća procjena rizika koju je proveo kritični subjekt i koja se odnosi na rizike i opseg ovisnosti iz prvog podstavka ovog stavka djelomično ili u cijelosti u skladu s obvezama iz ovog članka.

Članak 13.

Mjere za otpornost kritičnih subjekata

1.   Države članice osiguravaju da kritični subjekti poduzimaju odgovarajuće i razmjerne tehničke, sigurnosne i organizacijske mjere kako bi se osigurala njihova otpornost, na temelju relevantnih informacija koje su države članice dostavile o procjeni rizika države članice te ishoda procjene rizika kritičnog subjekta, uključujući mjere potrebne za:

| (a) | sprečavanje nastanka incidenata, propisno uzimajući u obzir mjere za smanjenje rizika od katastrofa i mjere za prilagodbu klimatskim promjenama; |
| --- | --- |

(a)

sprečavanje nastanka incidenata, propisno uzimajući u obzir mjere za smanjenje rizika od katastrofa i mjere za prilagodbu klimatskim promjenama;

| (b) | osiguravanje odgovarajuće fizičke zaštite njihovih prostora i kritične infrastrukture, propisno uzimajući u obzir, primjerice, ograde, pregrade, alate za nadzor područja i rutinske postupke za nadzor područja, opremu za otkrivanje i kontrolu pristupa; |
| --- | --- |

(b)

osiguravanje odgovarajuće fizičke zaštite njihovih prostora i kritične infrastrukture, propisno uzimajući u obzir, primjerice, ograde, pregrade, alate za nadzor područja i rutinske postupke za nadzor područja, opremu za otkrivanje i kontrolu pristupa;

| (c) | odgovaranje na posljedice incidenata, odupiranje njima i njihovo ublažavanje, propisno uzimajući u obzir provedbu postupaka i protokola za upravljanje rizicima i kriznim situacijama te rutinske postupke upozoravanja; |
| --- | --- |

(c)

odgovaranje na posljedice incidenata, odupiranje njima i njihovo ublažavanje, propisno uzimajući u obzir provedbu postupaka i protokola za upravljanje rizicima i kriznim situacijama te rutinske postupke upozoravanja;

| (d) | oporavak od incidenata, propisno uzimajući u obzir mjere za kontinuitet poslovanja i utvrđivanje alternativnih lanaca opskrbe kako bi se nastavilo s pružanjem ključne usluge; |
| --- | --- |

(d)

oporavak od incidenata, propisno uzimajući u obzir mjere za kontinuitet poslovanja i utvrđivanje alternativnih lanaca opskrbe kako bi se nastavilo s pružanjem ključne usluge;

| (e) | osiguravanje odgovarajućeg upravljanja sigurnošću zaposlenika, propisno uzimajući u obzir mjere kao što su utvrđivanje kategorija osoblja koje obavlja kritične funkcije, utvrđivanje prava na pristup prostorima, kritičnoj infrastrukturi i osjetljivim informacijama, uspostavljanje postupaka za provjere podobnosti u skladu s člankom 14. i određivanje kategorija osoba koje moraju proći te provjere podobnosti te utvrđivanje odgovarajućih kvalifikacija i zahtjeva u pogledu osposobljavanja; |
| --- | --- |

(e)

osiguravanje odgovarajućeg upravljanja sigurnošću zaposlenika, propisno uzimajući u obzir mjere kao što su utvrđivanje kategorija osoblja koje obavlja kritične funkcije, utvrđivanje prava na pristup prostorima, kritičnoj infrastrukturi i osjetljivim informacijama, uspostavljanje postupaka za provjere podobnosti u skladu s člankom 14. i određivanje kategorija osoba koje moraju proći te provjere podobnosti te utvrđivanje odgovarajućih kvalifikacija i zahtjeva u pogledu osposobljavanja;

| (f) | informiranje relevantnog osoblja o mjerama navedenima u točkama od (a) do (e), propisno uzimajući u obzir tečajeve osposobljavanja, informativne materijale i vježbe. |
| --- | --- |

(f)

informiranje relevantnog osoblja o mjerama navedenima u točkama od (a) do (e), propisno uzimajući u obzir tečajeve osposobljavanja, informativne materijale i vježbe.

Za potrebe prvog podstavka točke (e), države članice osiguravaju da kritični subjekti uzimaju u obzir osoblje vanjskih pružatelja usluga pri utvrđivanju kategorija osoblja koje obavlja kritične funkcije.

2.   Države članice osiguravaju da kritični subjekti imaju uspostavljen plan za otpornost ili jednakovrijedan dokument ili dokumente u kojima se opisuju mjere poduzete na temelju stavka 1. te da ih primjenjuju. Ako su kritični subjekti izradili dokumente ili poduzeli mjere na temelju obveza iz drugih pravnih akata koji su relevantni za mjere iz stavka 1., mogu se koristiti tim dokumentima i mjerama kako bi ispunili zahtjeve iz ovog članka. Pri izvršavanju svojih nadzornih funkcija nadležno tijelo može proglasiti da su postojeće mjere za jačanje otpornosti koje je poduzeo kritični subjekt i koje se na odgovarajući i razmjeran način odnose na tehničke, sigurnosne i organizacijske mjere iz stavka 1. djelomično ili u cijelosti u skladu s obvezama iz ovog članka.

3.   Države članice osiguravaju da svaki kritični subjekt imenuje časnika za vezu ili ekvivalentnu osobu kao točku za kontakt s nadležnim tijelima.

4.   Na zahtjev države članice koja je utvrdila kritični subjekt i uz suglasnost dotičnog kritičnog subjekta Komisija u skladu s aranžmanima utvrđenima u članku 18. stavcima 6., 8. i 9. organizira savjetodavne misije u svrhu savjetovanja dotičnog kritičnog subjekta u ispunjavanju njegovih obveza na temelju poglavlja III. Nalazi savjetodavne misije dostavljaju se Komisiji, toj državi članici i dotičnom kritičnom subjektu.

5.   Komisija nakon savjetovanja sa Skupinom za otpornost kritičnih subjekata iz članka 19. donosi neobvezujuće smjernice u kojima se dodatno određuju tehničke, sigurnosne i organizacijske mjere koje se mogu poduzeti na temelju stavka 1. ovog članka.

6.   Komisija donosi provedbene akte radi utvrđivanja potrebnih tehničkih i metodoloških specifikacija koje se odnose na primjenu mjera iz stavka 1. ovog članka. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 24. stavka 2.

Članak 14.

Provjere podobnosti

1.   Države članice utvrđuju uvjete u skladu s kojima je kritičnim subjektima dopušteno, u propisno obrazloženim slučajevima i uzimajući u obzir procjenu rizika države članice, podnijeti zahtjeve za provjeru podobnosti osoba koje :

| (a) | imaju osjetljive funkcije u kritičnom subjektu ili u njegovu korist, posebno u vezi s otpornošću kritičnog subjekta; |
| --- | --- |

(a)

imaju osjetljive funkcije u kritičnom subjektu ili u njegovu korist, posebno u vezi s otpornošću kritičnog subjekta;

| (b) | imaju ovlaštenje za izravan ili daljinski pristup njegovim prostorima, informacijskim ili kontrolnim sustavima, među ostalim u vezi sa sigurnošću kritičnog subjekta; |
| --- | --- |

(b)

imaju ovlaštenje za izravan ili daljinski pristup njegovim prostorima, informacijskim ili kontrolnim sustavima, među ostalim u vezi sa sigurnošću kritičnog subjekta;

| (c) | razmatraju se za zapošljavanje na položaje koji su obuhvaćeni kriterijima navedenima u točkama (a) ili (b). |
| --- | --- |

(c)

razmatraju se za zapošljavanje na položaje koji su obuhvaćeni kriterijima navedenima u točkama (a) ili (b).

2.   Zahtjevi iz stavka 1. ovog članka ocjenjuju se u razumnom roku i obrađuju se u skladu s nacionalnim pravom i postupcima te relevantnim i primjenjivim pravom Unije, uključujući Uredbu (EU) 2016/679 i Direktivu (EU) 2016/680 Europskog parlamenta i Vijeća (37). Provjere podobnosti razmjerne su i strogo ograničene na ono što je nužno. Provode se isključivo u svrhu evaluacije potencijalnog sigurnosnog rizika za dotični kritični subjekt.

3.   Provjerom podobnosti iz stavka 1. se barem:

| (a) | potvrđuje identitet osobe za koju se provodi provjera podobnosti ; |
| --- | --- |

(a)

potvrđuje identitet osobe za koju se provodi provjera podobnosti ;

| (b) | provjerava kaznena evidencija te osobe u pogledu kažnjivih djela koja bi bila relevantna za određeno radno mjesto. |
| --- | --- |

(b)

provjerava kaznena evidencija te osobe u pogledu kažnjivih djela koja bi bila relevantna za određeno radno mjesto.

Prilikom provođenja provjera podobnosti države članice se služe Europskim informacijskim sustavom kaznene evidencije u skladu s postupcima utvrđenima u Okvirnoj odluci 2009/315/PUP i, prema potrebi i ako je primjenjivo, u Uredbi (EU) 2019/816 za potrebe dobivanja podataka iz kaznenih evidencija drugih država članica. Središnja tijela iz članka 3. stavka 1. Okvirne odluke 2009/315/PUP i članka 3. točke 5. Uredbe (EU) 2019/816 dostavljaju odgovore na zahtjeve za takve podatke u roku od deset radnih dana od datuma primitka zahtjeva u skladu s člankom 8. stavkom 1. Okvirne odluke 2009/315/PUP.

Članak 15.

Obavješćivanje o incidentima

1.   Države članice osiguravaju da kritični subjekti bez nepotrebne odgode obavijeste nadležno tijelo o incidentima koji znatno poremete ili mogu znatno poremetiti pružanje ključnih usluga. Osim ako to operativno nije moguće izvesti, države članice osiguravaju da kritični subjekti dostavljaju prvu obavijest najkasnije u roku od 24 sata od saznanja za incident, a zatim prema potrebi podnose detaljno izvješće najkasnije mjesec dana nakon toga. Kako bi se utvrdio značaj poremećaja, posebno se uzimaju u obzir sljedeći parametri:

| (a) | broj i udio korisnika na koje poremećaj utječe; |
| --- | --- |

(a)

broj i udio korisnika na koje poremećaj utječe;

| (b) | trajanje poremećaja; |
| --- | --- |

(b)

trajanje poremećaja;

| (c) | zemljopisno područje pogođeno poremećajem, uzimajući u obzir moguću zemljopisnu izoliranost područja. |
| --- | --- |

(c)

zemljopisno područje pogođeno poremećajem, uzimajući u obzir moguću zemljopisnu izoliranost područja.

Ako incident ima ili bi mogao imati znatan učinak na kontinuitet pružanja ključnih usluga za šest ili više država članica ili u njima, nadležna tijela država članica na koje incident utječe obavješćuju Komisiju o tom incidentu.

2.   Obavijesti iz prvog podstavka stavka 1. uključuju sve dostupne informacije koje su potrebne kako bi nadležno tijelo moglo razumjeti prirodu, uzrok i moguće posljedice incidenta, među ostalim sve dostupne informacije koje su potrebne za utvrđivanje svih prekograničnih učinaka incidenta. Zbog takvih obavijesti kritični subjekti neće podlijegati povećanoj odgovornosti.

3.   Na temelju informacija koje je kritični subjekt dostavio u obavijesti iz stavka 1., relevantno nadležno tijelo putem jedinstvene kontaktne točke obavješćuje jedinstvenu kontaktnu točku drugih pogođenih država članica ako incident ima ili može imati znatan utjecaj na kritične subjekte i kontinuitet pružanja ključnih usluga jednoj ili više drugih država članica ili u jednoj ili u više drugih država članica.

Jedinstvene kontaktne točke koje šalju i primaju informacije na temelju prvog podstavka, postupaju, u skladu s pravom Unije ili nacionalnim pravom, s tim informacijama na način kojim se poštuje njihova povjerljivost i štiti sigurnost i komercijalni interes dotičnog kritičnog subjekta.

4.   U najkraćem roku nakon primitka obavijesti iz stavka 1., dotično nadležno tijelo dostavlja dotičnom kritičnom subjektu relevantne informacije koje se odnose na daljnje postupanje, uključujući informacije kojima bi se mogao poduprijeti djelotvoran odgovor tog kritičnog subjekta na dotični incident. Države članice obavješćuju javnost ako utvrde da bi to bilo u javnom interesu.

Članak 16.

Norme

Države članice u cilju promicanja usklađene provedbe ove Direktive, ako je to korisno i bez nametanja ili diskriminacije u korist upotrebe određene vrste tehnologije, potiču primjenu europskih i međunarodnih normi i tehničkih specifikacija relevantnih za mjere sigurnosti i mjere otpornosti primjenjive na kritične subjekte.

POGLAVLJE IV.

KRITIČNI SUBJEKTI OD POSEBNOG EUROPSKOG ZNAČAJA

Članak 17.

Utvrđivanje kritičnih subjekata od posebnog europskog značaja

1.   Subjekt se smatra kritičnim subjektom od posebnog europskog značaja:

| (a) | ako je utvrđen kao kritični subjekt na temelju članka 6. stavka 1.; |
| --- | --- |

(a)

ako je utvrđen kao kritični subjekt na temelju članka 6. stavka 1.;

| (b) | ako pruža iste ili slične ključne usluge za šest ili više država članica ili u njima; i |
| --- | --- |

(b)

ako pruža iste ili slične ključne usluge za šest ili više država članica ili u njima; i

| (c) | ako je obaviješten na temelju stavka 3. ovog članka . |
| --- | --- |

(c)

ako je obaviješten na temelju stavka 3. ovog članka .

2.   Države članice osiguravaju da kritični subjekt, nakon obavijesti iz članka 6. stavka 3., obavijesti svoje nadležno tijelo kada pruža ključne usluge za šest ili više država članica ili u njima. U takvom slučaju, države članice osiguravaju da kritični subjekt obavijesti svoje nadležno tijelo o ključnim uslugama koje pruža za ili u takvim državama članicama te za koje države članice odnosno u kojim državama članicama pruža takve ključne usluge. Države članice bez nepotrebne odgode obavješćuju Komisiju o identitetu takvih kritičnih subjekata i o informacijama koje oni pružaju na temelju ovog stavka.

Komisija se savjetuje s nadležnim tijelom države članice koja je utvrdila kritični subjekt iz prvog podstavka, nadležnim tijelima drugih dotičnih država članica te s dotičnim kritičnim subjektom. Tijekom tih savjetovanja svaka država članica obavješćuje Komisiju kada smatra da su usluge koje toj državi članici pruža kritični subjekt ključne usluge.

3.   Ako Komisija na temelju savjetovanja iz stavka 2. ovog članka utvrdi da dotični kritični subjekt pruža ključne usluge za šest ili više država članica ili u njima, Komisija obavješćuje taj kritični subjekt, putem njegova nadležnog tijela, da se on smatra kritičnim subjektom od posebnog europskog značaja te obavješćuje taj kritični subjekt o njegovim obvezama na temelju ovog poglavlja te o datumu od kojeg se na njega primjenjuju te obveze. Nakon što Komisija obavijesti nadležno tijelo o svojoj odluci da određeni kritični subjekt smatra kritičnim subjektom od posebnog europskog značaja, nadležno tijelo bez nepotrebne odgode prosljeđuje tu obavijest tom kritičnom subjektu.

4.   Ovo poglavlje primjenjuje se na kritični subjekt od posebnog europskog značaja od datuma primitka obavijesti iz stavka 3. ovog članka.

Članak 18.

Savjetodavne misije

1.   Na zahtjev države članice koja je utvrdila kritični subjekt od posebnog europskog značaja kao kritični subjekt na temelju članka 6. stavka 1., Komisija organizira savjetodavnu misiju za procjenu mjera koje je taj kritični subjekt uspostavio kako bi ispunio svoje obveze iz poglavlja III.

2.   Na vlastitu inicijativu ili na zahtjev jedne ili više država članica kojima se pruža ili u kojima se pruža ključna usluga i pod uvjetom da se država članica koja je utvrdila kritični subjekt od posebnog europskog značaja kao kritični subjekt na temelju članka 6. stavka 1. s time suglasi, Komisija organizira savjetodavnu misiju iz stavka 1. ovog članka.

3.   Na obrazloženi zahtjev Komisije ili jedne ili više država članica kojima se pruža ili u kojima se pruža ključna usluga, država članica koja je utvrdila kritični subjekt od posebnog europskog značaja kao kritični subjekt na temelju članka 6. stavka 1. Komisiji dostavlja sljedeće :

| (a) | relevantne dijelove procjene rizika kritičnog subjekta; |
| --- | --- |

(a)

relevantne dijelove procjene rizika kritičnog subjekta;

| (b) | popis relevantnih mjera poduzetih u skladu s člankom 13.; |
| --- | --- |

(b)

popis relevantnih mjera poduzetih u skladu s člankom 13.;

| (c) | nadzorne ili mjere izvršavanja, uključujući procjene usklađenosti ili izdane naloge, koje je njezino nadležno tijelo poduzelo na temelju članaka 21. i 22. u pogledu tog kritičnog subjekta. |
| --- | --- |

(c)

nadzorne ili mjere izvršavanja, uključujući procjene usklađenosti ili izdane naloge, koje je njezino nadležno tijelo poduzelo na temelju članaka 21. i 22. u pogledu tog kritičnog subjekta.

4.   Nalazi savjetodavne misije dostavljaju se Komisiji, državi članici koja je utvrdila kritični subjekt od posebnog europskog značaja kao kritični subjekt na temelju članka 6. stavka 1., državama članicama kojima se pruža ili u kojima se pruža ključna usluga i dotičnom kritičnom subjektu u roku od tri mjeseca nakon zaključenja savjetodavne misije.

Države članice kojima se pruža ili u kojima se pruža ključna usluga analiziraju izvješće iz prvog podstavka i ako je potrebno savjetuju Komisiju o tome ispunjava li dotični kritični subjekt od posebnog europskog značaja svoje obveze iz poglavlja III. i, prema potrebi, koje bi se mjere mogle poduzeti radi poboljšanja otpornosti tog kritičnog subjekta.

Komisija, na temelju savjeta iz drugog podstavka ovog stavka, državi članici koja je utvrdila kritični subjekt od posebnog europskog značaja kao kritični subjekt na temelju članka 6. stavka 1., državama članicama kojima se pruža ili u kojima se pruža ključna usluga i tom kritičnom subjektu dostavlja svoje mišljenje o tome ispunjava li taj kritični subjekt svoje obveze iz poglavlja III. i, prema potrebi, koje bi se mjere mogle poduzeti radi poboljšanja otpornosti tog kritičnog subjekta.

Država članica koja je utvrdila kritični subjekt od posebnog europskog značaja kao kritični subjekt na temelju članka 6. stavka 1. osigurava da njezino nadležno tijelo i dotični kritični subjekt uzmu u obzir mišljenje iz trećeg podstavka ovog stavka te Komisiji i državama članicama kojima se pruža ili u kojima se pruža ključna usluga pruža informacije o mjerama koje je ona poduzela na temelju tog mišljenja.

5.   Svaka savjetodavna misija sastoji se od stručnjaka iz države članice u kojoj se nalazi kritični subjekt od posebnog europskog značaja, stručnjaka iz država članica kojima se pruža ili u kojima se pruža ključna usluga te predstavnika Komisije. Te države članice mogu predložiti kandidate za sudjelovanje u savjetodavnoj misiji. Komisija, nakon savjetovanja s državom članicom koja je utvrdila kritični subjekt od posebnog europskog značaja kao kritični subjekt na temelju članka 6. stavka 1., odabire i imenuje članove svake savjetodavne misije u skladu s njihovim stručnim sposobnostima te osigurava, ako je to moguće, zemljopisno uravnoteženu zastupljenost iz svih tih država članica. Kada god je to potrebno, članovi savjetodavne misije moraju imati valjano i odgovarajuće uvjerenje o sigurnosnoj provjeri. Komisija snosi troškove sudjelovanja u savjetodavnim misijama.

Komisija organizira program svake savjetodavne misije uz savjetovanje s članovima dotične savjetodavne misije i u dogovoru s državom članicom koja je utvrdila kritični subjekt od posebnog europskog značaja kao kritični subjekt na temelju članka 6. stavka 1.

6.   Komisija donosi provedbeni akt kojim se utvrđuju pravila o postupovnim aranžmanima za zahtjeve za organiziranje savjetodavnih misija, za obradu takvih zahtjeva, za provođenje savjetodavnih misija i izvješćivanje o njima te za postupanje u vezi s dostavljanjem mišljenja Komisije iz stavka 4. trećeg podstavka ovog članka i poduzetih mjera, propisno uzimajući u obzir povjerljivost i komercijalnu osjetljivost dotičnih informacija. Taj se provedbeni akt donosi u skladu s postupkom ispitivanja iz članka 24. stavka 2.

7.   Države članice osiguravaju da kritični subjekti od posebnog europskog značaja omoguće savjetodavnim misijama pristup informacijama, sustavima i objektima povezanima s pružanjem njihovih ključnih usluga potrebnim za provedbu dotične savjetodavne misije.

8.   Savjetodavne misije provode se u skladu s primjenjivim nacionalnim pravom države članice u kojoj se provode, poštujući odgovornost te države članice za nacionalnu sigurnost i zaštitu njezinih sigurnosnih interesa.

9.   Pri organizaciji savjetodavnih misija Komisija uzima u obzir izvješća o svim inspekcijama koje je provela u skladu s Uredbom (EZ) br. 725/2004 i Uredbom (EZ) br. 300/2008 i izvješća o svim praćenjima koja je provela na temelju Direktive 2005/65/EZ u pogledu dotičnog kritičnog subjekta.

10.   Komisija obavješćuje Skupinu za otpornost kritičnih subjekata iz članka 19. kad god se organizira savjetodavna misija. Država članica u kojoj je provedena savjetodavna misija i Komisija također obavješćuju Skupinu za otpornost kritičnih subjekata o glavnim nalazima savjetodavne misije i stečenim iskustvima s ciljem promicanja uzajamnog učenja.

POGLAVLJE V.

SURADNJA I IZVJEŠĆIVANJE

Članak 19.

Skupina za otpornost kritičnih subjekata

1.   Uspostavlja se Skupina za otpornost kritičnih subjekata. Skupina za otpornost kritičnih subjekata podupire Komisiju i olakšava suradnju među državama članicama i razmjenu informacija o pitanjima koja se odnose na ovu Direktivu.

2.   Skupinu za otpornost kritičnih subjekata čine predstavnici država članica i Komisije koji prema potrebi imaju uvjerenje o sigurnosnoj provjeri. Ako je to relevantno za obavljanje njezinih zadaća, Skupina za otpornost kritičnih subjekata može pozvati relevantne dionike da sudjeluju u njezinu radu. Ako Europski parlament to zatraži, Komisija može pozvati stručnjake iz Europskog parlamenta da prisustvuju sastancima Skupine za otpornost kritičnih subjekata.

Skupinom za otpornost kritičnih subjekata predsjeda predstavnik Komisije.

3.   Zadaće Skupine za otpornost kritičnih subjekata su sljedeće:

| (a) | podupiranje Komisije pri pružanju pomoći državama članicama u jačanju njihove sposobnosti da doprinesu osiguravanju otpornosti kritičnih subjekata u skladu s ovom Direktivom; |
| --- | --- |

(a)

podupiranje Komisije pri pružanju pomoći državama članicama u jačanju njihove sposobnosti da doprinesu osiguravanju otpornosti kritičnih subjekata u skladu s ovom Direktivom;

| (b) | analiza strategija radi utvrđivanja najboljih praksi u pogledu strategija; |
| --- | --- |

(b)

analiza strategija radi utvrđivanja najboljih praksi u pogledu strategija;

| (c) | olakšavanje razmjene najboljih praksi u pogledu utvrđivanja kritičnih subjekata koje provode države članice na temelju članka 6. stavka 1., među ostalim u vezi s prekograničnim i međusektorskim ovisnostima te rizicima i incidentima; |
| --- | --- |

(c)

olakšavanje razmjene najboljih praksi u pogledu utvrđivanja kritičnih subjekata koje provode države članice na temelju članka 6. stavka 1., među ostalim u vezi s prekograničnim i međusektorskim ovisnostima te rizicima i incidentima;

| (d) | prema potrebi, doprinos dokumentima koji se odnose na otpornost na razini Unije u vezi s pitanjima povezanima s ovom Direktivom; |
| --- | --- |

(d)

prema potrebi, doprinos dokumentima koji se odnose na otpornost na razini Unije u vezi s pitanjima povezanima s ovom Direktivom;

| (e) | doprinos pripremi smjernica iz članka 7. stavka 3. i članka 13. stavka 5. i, na zahtjev, svih delegiranih ili provedbenih akata donesenih na temelju ove Direktive ; |
| --- | --- |

(e)

doprinos pripremi smjernica iz članka 7. stavka 3. i članka 13. stavka 5. i, na zahtjev, svih delegiranih ili provedbenih akata donesenih na temelju ove Direktive ;

| (f) | analiza sažetih izvješća iz članka 9. stavka 3. s ciljem promicanja dijeljenja najbolje prakse o mjerama poduzetima u skladu s člankom 15. stavkom 3.; |
| --- | --- |

(f)

analiza sažetih izvješća iz članka 9. stavka 3. s ciljem promicanja dijeljenja najbolje prakse o mjerama poduzetima u skladu s člankom 15. stavkom 3.;

| (g) | razmjena najboljih praksi u vezi s obavješćivanjem o incidentima iz članka 15.; |
| --- | --- |

(g)

razmjena najboljih praksi u vezi s obavješćivanjem o incidentima iz članka 15.;

| (h) | rasprava o sažetim izvješćima savjetodavnih misija i stečenim iskustvima u skladu s člankom 18. stavkom 10.; |
| --- | --- |

(h)

rasprava o sažetim izvješćima savjetodavnih misija i stečenim iskustvima u skladu s člankom 18. stavkom 10.;

| (i) | razmjena informacija i najboljih praksi u pogledu inovacija, istraživanja i razvoja u vezi s otpornosti kritičnih subjekata u skladu s ovom Direktivom; |
| --- | --- |

(i)

razmjena informacija i najboljih praksi u pogledu inovacija, istraživanja i razvoja u vezi s otpornosti kritičnih subjekata u skladu s ovom Direktivom;

| (j) | prema potrebi, razmjena informacija o pitanjima povezanima s otpornošću kritičnih subjekata s relevantnim institucijama, tijelima, uredima i agencijama Unije. |
| --- | --- |

(j)

prema potrebi, razmjena informacija o pitanjima povezanima s otpornošću kritičnih subjekata s relevantnim institucijama, tijelima, uredima i agencijama Unije.

4.   Skupina za otpornost kritičnih subjekata do 17. siječnja 2025., a nakon toga svake dvije godine sastavlja program rada u pogledu mjera koje će trebati poduzeti radi provedbe svojih ciljeva i zadaća. Taj program rada u skladu je sa zahtjevima i ciljevima ove Direktive.

5.   Skupina za otpornost kritičnih subjekata sastaje se redovito, a u svakom slučaju najmanje jednom godišnje, sa Skupinom za suradnju osnovanom na temelju Direktive (EU) 2022/2555 radi promicanja i olakšavanja suradnje i razmjene informacija.

6.   Komisija može donijeti provedbene akte kojima se utvrđuju postupovni aranžmani potrebni za funkcioniranje Skupine za otpornost kritičnih subjekata, poštujući članak 1. stavak 4. Ti se provedbeni akti donose u skladu s postupkom ispitivanja iz članka 24. stavka 2.

7.   Komisija dostavlja Skupini za otpornost kritičnih subjekata sažeto izvješće o informacijama koje su dostavile države članice na temelju članka 4. stavka 3. i članka 5. stavka 4. do 17. siječnja 2027. te zatim prema potrebi, a najmanje svake četiri godine.

Članak 20.

Potpora Komisije nadležnim tijelima i kritičnim subjektima

1.   Komisija prema potrebi podupire države članice i kritične subjekte u ispunjavanju njihovih obveza iz ove Direktive . Komisija priprema pregled, na razini Unije, prekograničnih i međusektorskih rizika za pružanje ključnih usluga, organizira savjetodavne misije iz članka 13. stavka 4. i članka 18. te olakšava razmjenu informacija među državama članicama i stručnjacima širom Unije.

2.   Komisija dopunjuje aktivnosti država članica iz članka 10. razvojem najboljih praksi, smjernica i metodologija i prekograničnih aktivnosti osposobljavanja i vježbi za testiranje otpornosti kritičnih subjekata.

3.   Komisija obavješćuje države članice o financijskim sredstvima koja su na razini Unije dostupna državama članicama za jačanje otpornosti kritičnih subjekata.

POGLAVLJE VI.

NADZOR I IZVRŠAVANJE

Članak 21.

Nadzor i izvršavanje

1.   Kako bi se procijenila usklađenost subjekata koje su države članice utvrdile kao kritične subjekte na temelju članka 6. stavka 1. s obvezama utvrđenim u ovoj Direktivi, države članice osiguravaju da nadležna tijela imaju ovlasti i sredstva za:

| (a) | provođenje inspekcija kritične infrastrukture i prostora koje kritični subjekti upotrebljavaju za pružanje svojih ključnih usluga na lokaciji te provođenje neizravnog nadzora mjera koje poduzimaju kritični subjekti u skladu s člankom 13.; |
| --- | --- |

(a)

provođenje inspekcija kritične infrastrukture i prostora koje kritični subjekti upotrebljavaju za pružanje svojih ključnih usluga na lokaciji te provođenje neizravnog nadzora mjera koje poduzimaju kritični subjekti u skladu s člankom 13.;

| (b) | provođenje ili izdavanje naloga za reviziju u pogledu kritičnih subjekata. |
| --- | --- |

(b)

provođenje ili izdavanje naloga za reviziju u pogledu kritičnih subjekata.

2.   Države članice osiguravaju da nadležna tijela imaju ovlasti i sredstva zahtijevati, ako je to potrebno za obavljanje njihovih zadaća na temelju ove Direktive, da subjekti na temelju Direktive (EU) 2022/2555 koje su države članice utvrdile kao kritične subjekte na temelju ove Direktive, u razumnom roku koji odrede ta tijela dostave:

| (a) | informacije potrebne za procjenu ispunjavaju li mjere koje su ti subjekti poduzeli kako bi osigurali svoju otpornost zahtjeve utvrđene u članku 13.; |
| --- | --- |

(a)

informacije potrebne za procjenu ispunjavaju li mjere koje su ti subjekti poduzeli kako bi osigurali svoju otpornost zahtjeve utvrđene u članku 13.;

| (b) | dokaze o djelotvornoj provedbi tih mjera, uključujući rezultate revizije koju provodi neovisni i kvalificirani revizor kojeg odabire taj subjekt i koja se provodi o njegovu trošku. |
| --- | --- |

(b)

dokaze o djelotvornoj provedbi tih mjera, uključujući rezultate revizije koju provodi neovisni i kvalificirani revizor kojeg odabire taj subjekt i koja se provodi o njegovu trošku.

Pri traženju tih informacija nadležna tijela navode svrhu zahtjeva i informacije koje su potrebne.

3.   Ne dovodeći u pitanje mogućnost izricanja sankcija u skladu s člankom 22., nadležna tijela mogu, nakon provođenja nadzornih mjera iz stavka 1. ovog članka ili procjene informacija iz stavka 2. ovog članka, naložiti dotičnim kritičnim subjektima da u razumnom roku koji odrede ta tijela poduzmu potrebne i razmjerne mjere za otklanjanje svake utvrđene povrede ove Direktive te da dostave tim tijelima informacije o poduzetim mjerama. U tim se nalozima posebice uzima u obzir ozbiljnost povrede.

4.   Država članica osigurava da se ovlasti iz stavaka 1., 2. i 3. mogu izvršavati samo uz primjenu odgovarajućih zaštitnih mjera. Te zaštitne mjere posebice jamče da se takvo izvršavanje odvija na objektivan, transparentan i razmjeran način te da su prava i legitimni interesi pogođenih kritičnih subjekata, kao što su zaštita trgovačkih i poslovnih tajni, propisno zaštićeni, uključujući njihovo pravo na saslušanje, pravo na obranu i pravo na djelotvoran pravni lijek pred neovisnim sudom.

5.   Države članice osiguravaju da, ako nadležno tijelo na temelju ove Direktive ocijeni usklađenost kritičnog subjekta na temelju ovog članka, to nadležno tijelo o tome obavijesti nadležna tijela dotičnih država članica prema Direktivi (EU) 2022/2555 U tu svrhu države članice osiguravaju da nadležna tijela na temelju ove Direktive mogu zatražiti od nadležnih tijela na temelju Direktive (EU) 2022/2555 da izvršavaju svoje nadzorne ovlasti i ovlasti izvršavanja u odnosu na ključni subjekt na temelju te direktive koji je utvrđen kao kritični subjekt na temelju ove Direktive. U tu svrhu države članice osiguravaju da nadležna tijela na temelju ove Direktive surađuju i razmjenjuju informacije s nadležnim tijelima na temelju Direktive (EU) 2022/2555.

Članak 22.

Sankcije

Države članice utvrđuju pravila o sankcijama koje se primjenjuju na kršenja nacionalnih mjera donesenih na temelju ove Direktive i poduzimaju sve potrebne mjere radi osiguranja njihove provedbe. Predviđene sankcije moraju biti učinkovite, proporcionalne i odvraćajuće. Države članice do 17. listopada 2024. obavješćuju Komisiju o tim pravilima i tim mjerama te je bez odgode obavješćuju o svim naknadnim izmjenama koje na njih utječu.

POGLAVLJE VII.

DELEGIRANI I PROVEDBENI AKTI

Članak 23.

Izvršavanje delegiranja ovlasti

1.   Ovlast za donošenje delegiranih akata dodjeljuje se Komisiji podložno uvjetima utvrđenima u ovom članku.

2.   Ovlast za donošenje delegiranih akata iz članka 5. stavka 1. dodjeljuje se Komisiji na razdoblje od pet godina počevši od 16. siječnja 2023.

3.   Europski parlament ili Vijeće u svakom trenutku mogu opozvati delegiranje ovlasti iz članka 5. stavka 1. Odlukom o opozivu prekida se delegiranje ovlasti koje je u njoj navedeno. Opoziv počinje proizvoditi učinke sljedećeg dana od dana objave spomenute odluke u Službenom listu Europske unije ili na kasniji dan naveden u spomenutoj odluci. On ne utječe na valjanost delegiranih akata koji su već na snazi.

4.   Prije donošenja delegiranog akta Komisija se savjetuje sa stručnjacima koje je imenovala svaka država članica u skladu s načelima utvrđenima u Međuinstitucijskom sporazumu o boljoj izradi zakonodavstva od 13. travnja 2016.

5.   Čim donese delegirani akt, Komisija ga istodobno priopćuje Europskom parlamentu i Vijeću.

6.   Delegirani akt donesen na temelju članka 5. stavka 1. stupa na snagu samo ako ni Europski parlament ni Vijeće u roku od dva mjeseca od priopćenja tog akta Europskom parlamentu i Vijeću na njega ne podnesu prigovor ili ako su prije isteka tog roka i Europski parlament i Vijeće obavijestili Komisiju da neće podnijeti prigovore. Taj se rok produljuje za dva mjeseca na inicijativu Europskog parlamenta ili Vijeća.

Članak 24.

Postupak odbora

1.   Komisiji pomaže odbor. Navedeni odbor je odbor u smislu Uredbe (EU) br. 182/2011.

2.   Pri upućivanju na ovaj stavak primjenjuje se članak 5. Uredbe (EU) br. 182/2011.

POGLAVLJE VIII.

ZAVRŠNE ODREDBE

Članak 25.

Izvješćivanje i preispitivanje

Komisija do 17. srpnja 2027. Europskom parlamentu i Vijeću podnosi izvješće u kojem se procjenjuje u kojoj je mjeri svaka država članica poduzela potrebne mjere za usklađivanje s ovom Direktivom.

Komisija periodično preispituje funkcioniranje ove Direktive i izvješćuje Europski parlament i Vijeće. U tom izvješću se posebno procjenjuje dodana vrijednost ove Direktive, njezin učinak na osiguravanje otpornosti kritičnih subjekata te je li potrebno izmijeniti Prilog ovoj Direktivi. Komisija podnosi prvo takvo izvješće do 17. lipnja 2029. U svrhu izvješćivanja na temelju ovog članka Komisija uzima u obzir relevantne dokumente Skupine za otpornost kritičnih subjekata.

Članak 26.

Prenošenje

1.   Države članice do 17. listopada 2024. donose i objavljuju mjere koje su potrebne radi usklađivanja s ovom Direktivom. One o tome odmah obavješćuju Komisiju.

One primjenjuju te mjere od 18. listopada 2024.

2.   Kada države članice donose mjere iz stavka 1., one sadržavaju upućivanje na ovu Direktivu ili se na nju upućuje prilikom njihove službene objave. Države članice određuju načine tog upućivanja.

Članak 27.

Stavljanje izvan snage Direktive 2008/114/EZ

Direktiva 2008/114/EZ stavlja se izvan snage s učinkom od 18. listopada 2024.

Upućivanja na direktivu stavljenu izvan snage smatraju se upućivanjima na ovu Direktivu.

Članak 28.

Stupanje na snagu

Ova Direktiva stupa na snagu dvadesetog dana od dana objave u Službenom listu Europske unije.

Službenom listu Europske unije

Članak 29.

Adresati

Ova je Direktiva upućena državama članicama.

Sastavljeno u Strasbourgu 14. prosinca 2022.

Za Europski parlament

Predsjednica

R. METSOLA

Za Vijeće

Predsjednik

M. BEK

---

(1)  
  SL C 286, 16.7.2021., str. 170.

1

(2)  
  SL C 440, 29.10.2021., str. 99.

2

(3)  Stajalište Europskog parlamenta od 22. studenoga 2022. (još nije objavljeno u Službenom listu) i odluka Vijeća od 8. prosinca 2022.

3

(4)  Direktiva Vijeća 2008/114/EZ od 8. prosinca 2008. o utvrđivanju i označivanju europske kritične infrastrukture i procjeni potrebe poboljšanja njezine zaštite (SL L 345, 23.12.2008., str. 75.).

4

(5)  Direktiva (EU) 2022/2555 Europskog parlamenta i Vijeća od 14. prosinca 2022. o mjerama za visoku zajedničku razinu kibersigurnosti širom Unije, izmjeni Uredbe (EU) br. 910/2014 i Direktive (EU) 2018/1972 i stavljanju izvan snage Direktive (EU) 2016/1148 (Direktiva NIS 2) (vidjeti stranicu 80. ovoga Službenog lista).

5

(6)  Direktiva (EU) 2016/1148 Europskog parlamenta i Vijeća od 6. srpnja 2016. o mjerama za visoku zajedničku razinu sigurnosti mrežnih i informacijskih sustava širom Unije (SL L 194, 19.7.2016., str. 1.).

6

(7)  Uredba (EU) 2019/452 Europskog parlamenta i Vijeća od 19. ožujka 2019. o uspostavi okvira za provjeru izravnih stranih ulaganja u Uniji (SL L 79I, 21.3.2019., str. 1.).

7

(8)  Uredba (EU) br. 648/2012 Europskog parlamenta i Vijeća od 4. srpnja 2012. o OTC izvedenicama, središnjoj drugoj ugovornoj strani i trgovinskom repozitoriju (SL L 201, 27.7.2012., str. 1.).

8

(9)  Uredba (EU) br. 575/2013 Europskog parlamenta i Vijeća od 26. lipnja 2013. o bonitetnim zahtjevima za kreditne institucije i o izmjeni Uredbe (EU) br. 648/2012 (SL L 176, 27.6.2013., str. 1.).

9

(10)  Uredba (EU) br. 600/2014 Europskog parlamenta i Vijeća od 15. svibnja 2014. o tržištima financijskih instrumenata i izmjeni Uredbe (EU) br. 648/2012 (SL L 173, 12.6.2014., str. 84.).

10

(11)  Direktiva 2013/36/EU Europskog parlamenta i Vijeća od 26. lipnja 2013. o pristupanju djelatnosti kreditnih institucija i bonitetnom nadzoru nad kreditnim institucijama i investicijskim društvima, izmjeni Direktive 2002/87/EZ te stavljanju izvan snage direktiva 2006/48/EZ i 2006/49/EZ (SL L 176, 27.6.2013., str. 338.).

11

(12)  Direktiva 2014/65/EU Europskog parlamenta i Vijeća od 15. svibnja 2014. o tržištu financijskih instrumenata i izmjeni Direktive 2002/92/EZ i Direktive 2011/61/EU (SL L 173, 12.6.2014., str. 349.).

12

(13)  Uredba (EU) 2022/2554 Europskog parlamenta i Vijeća od 14. prosinca 2022. o digitalnoj operativnoj otpornosti za financijski sektor i o izmjeni uredbi (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014, (EU) br. 909/2014 i (EU) 2016/1011 (vidjeti stranicu 1. ovoga Službenog lista).

13

(14)  Uredba (EZ) br. 725/2004 Europskog parlamenta i Vijeća od 31. ožujka 2004. o jačanju sigurnosne zaštite brodova i luka (SL L 129, 29.4.2004., str. 6.).

14

(15)  Uredba (EZ) br. 300/2008 Europskog parlamenta i Vijeća od 11. ožujka 2008. o zajedničkim pravilima u području zaštite civilnog zračnog prometa i stavljanju izvan snage Uredbe (EZ) br. 2320/2002 (SL L 97, 9.4.2008., str. 72.).

15

(16)  Direktiva 2005/65/EZ Europskog parlamenta i Vijeća od 26. listopada 2005. o jačanju sigurnosne zaštite luka (SL L 310, 25.11.2005., str. 28.).

16

(17)  Direktiva 2008/96/EZ Europskog parlamenta i Vijeća od 19. studenoga 2008. o upravljanju sigurnošću cestovne infrastrukture (SL L 319, 29.11.2008., str. 59.).

17

(18)  Odluka Komisije od 29. lipnja 2018. o uspostavi Platforme za sigurnost putnika u željezničkom prometu u EU-u 2018/C 232/03 (SL C 232, 3.7.2018., str. 10.).

18

(19)  Okvirna odluka Vijeća 2009/315/PUP od 26. veljače 2009. o organizaciji i sadržaju razmjene podataka iz kaznene evidencije između država članica (SL L 93, 7.4.2009., str. 23.).

19

(20)  Uredba (EU) 2019/816 Europskog parlamenta i Vijeća od 17. travnja 2019. o uspostavi centraliziranog sustava za utvrđivanje država članica koje imaju podatke o osuđujućim presudama protiv državljana trećih zemalja i osoba bez državljanstva (sustav ECRIS-TCN) za dopunu Europskog informacijskog sustava kaznene evidencije te o izmjeni Uredbe (EU) 2018/1726 (SL L 135, 22.5.2019., str. 1.).

20

(21)  Uredba (EU) 2018/1862 Europskog parlamenta i Vijeća od 28. studenoga 2018. o uspostavi, radu i upotrebi Schengenskog informacijskog sustava (SIS) u području policijske suradnje i pravosudne suradnje u kaznenim stvarima, izmjeni i stavljanju izvan snage Odluke Vijeća 2007/533/PUP i stavljanju izvan snage Uredbe (EZ) br. 1986/2006 Europskog parlamenta i Vijeća i Odluke Komisije 2010/261/EU (SL L 312, 7.12.2018., str. 56.).

21

(22)  Odluka br. 1313/2013/EU Europskog parlamenta i Vijeća od 17. prosinca 2013. o Mehanizmu Unije za civilnu zaštitu (SL L 347, 20.12.2013., str. 924.).

22

(23)  Uredba (EU) 2021/1149 Europskog parlamenta i Vijeća od 7. srpnja 2021. o uspostavi Fonda za unutarnju sigurnost (SL L 251, 15.7.2021., str. 94.).

23

(24)  Uredba (EU) 2021/695 Europskog parlamenta i Vijeća od 28. travnja 2021. o uspostavi Okvirnog programa za istraživanja i inovacije Obzor Europa, o utvrđivanju pravila za sudjelovanje i širenje rezultata te o stavljanju izvan snage uredbi (EU) br. 1290/2013 i (EU) br. 1291/2013 (SL L 170, 12.5.2021., str. 1.).

24

(25)  
  SL L 123, 12.5.2016., str. 1.

25

(26)  Uredba (EU) br. 182/2011 Europskog parlamenta i Vijeća od 16. veljače 2011. o utvrđivanju pravila i općih načela u vezi s mehanizmima nadzora država članica nad izvršavanjem provedbenih ovlasti Komisije (SL L 55, 28.2.2011., str. 13.).

26

(27)  Uredba (EU) 2018/1725 Europskog parlamenta i Vijeća od 23. listopada 2018. o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama, tijelima, uredima i agencijama Unije i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Uredbe (EZ) br. 45/2001 i Odluke br. 1247/2002/EZ (SL L 295, 21.11.2018., str. 39.).

27

(28)  Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL L 119, 4.5.2016., str. 1.).

28

(29)  Direktiva 2002/58/EZ Europskog parlamenta i Vijeća od 12. srpnja 2002. o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija (Direktiva o privatnosti i elektroničkim komunikacijama) (SL L 201, 31.7.2002., str. 37.).

29

(30)  Uredba (EU) br. 1025/2012 Europskog parlamenta i Vijeća od 25. listopada 2012. o europskoj normizaciji, o izmjeni direktiva Vijeća 89/686/EEZ i 93/15/EEZ i direktiva 94/9/EZ, 94/25/EZ, 95/16/EZ, 97/23/EZ, 98/34/EZ, 2004/22/EZ, 2007/23/EZ, 2009/23/EZ i 2009/105/EZ Europskog parlamenta i Vijeća te o stavljanju izvan snage Odluke Vijeća 87/95/EEZ i Odluke br. 1673/2006/EZ Europskog parlamenta i Vijeća (SL L 316, 14.11.2012., str. 12.).

30

(31)  Preporuka Komisije 2003/361/EZ od 6. svibnja 2003. o definiciji mikropoduzeća te malih i srednjih poduzeća (SL L 124, 20.5.2003., str. 36.).

31

(32)  Direktiva (EU) 2017/541 Europskog parlamenta i Vijeća od 15. ožujka 2017. o suzbijanju terorizma i zamjeni Okvirne odluke Vijeća 2002/475/PUP i o izmjeni Odluke Vijeća 2005/671/PUP (SL L 88, 31.3.2017., str. 6.).

32

(33)  Uredba (EU) 2017/1938 Europskog parlamenta i Vijeća od 25. listopada 2017. o mjerama zaštite sigurnosti opskrbe plinom i stavljanju izvan snage Uredbe (EU) br. 994/2010 (SL L 280, 28.10.2017., str. 1.).

33

(34)  Uredba (EU) 2019/941 Europskog parlamenta i Vijeća od 5. lipnja 2019. o pripravnosti na rizike u sektoru električne energije i stavljanju izvan snage Direktive 2005/89/EZ (SL L 158, 14.6.2019., str. 1.).

34

(35)  Direktiva 2007/60/EZ Europskog parlamenta i Vijeća od 23. listopada 2007. o procjeni i upravljanju rizicima od poplava (SL L 288, 6.11.2007., str. 27.).

35

(36)  Direktiva 2012/18/EU Europskog parlamenta i Vijeća od 4. srpnja 2012. o kontroli opasnosti od velikih nesreća koje uključuju opasne tvari, o izmjeni i kasnijem stavljanju izvan snage Direktive Vijeća 96/82/EZ (SL L 197, 24.7.2012., str. 1.).

36

(37)  Direktiva (EU) 2016/680 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Okvirne odluke Vijeća 2008/977/PUP (SL L 119, 4.5.2016., str. 89.).

37

---

PRILOG

SEKTORI, PODSEKTORI I KATEGORIJE SUBJEKATA

| Sektori | Podsektori | Kategorije subjekata |
| --- | --- | --- |
| 1. | Energetika |

Sektori

Podsektori

Kategorije subjekata

1.

Energetika

| (a) | električna energija |
| --- | --- |

(a)

električna energija

| — | elektroenergetska poduzeća kako su definirana u članku 2. točki 57. Direktive (EU) 2019/944 Europskog parlamenta i Vijeća (1) koja obavljaju funkciju „opskrbe” kako je definirano u članku 2. točki 12. te direktive |
| --- | --- |

—

elektroenergetska poduzeća kako su definirana u članku 2. točki 57. Direktive (EU) 2019/944 Europskog parlamenta i Vijeća (1) koja obavljaju funkciju „opskrbe” kako je definirano u članku 2. točki 12. te direktive

| — | operatori distribucijskog sustava kako su definirani u članku 2. točki 29. Direktive (EU) 2019/944 |
| --- | --- |

—

operatori distribucijskog sustava kako su definirani u članku 2. točki 29. Direktive (EU) 2019/944

| — | operatori prijenosnog sustava kako su definirani u članku 2. točki 35. Direktive (EU) 2019/944 |
| --- | --- |

—

operatori prijenosnog sustava kako su definirani u članku 2. točki 35. Direktive (EU) 2019/944

| — | proizvođači kako su definirani u članku 2. točki 38. Direktive (EU) 2019/944 |
| --- | --- |

—

proizvođači kako su definirani u članku 2. točki 38. Direktive (EU) 2019/944

| — | nominirani operatori tržišta električne energije kako su definirani u članku 2. točki 8. Uredbe (EU) 2019/943 Europskog parlamenta i Vijeća (2) |
| --- | --- |

—

nominirani operatori tržišta električne energije kako su definirani u članku 2. točki 8. Uredbe (EU) 2019/943 Europskog parlamenta i Vijeća (2)

| — | sudionici na tržištu kako su definirani u članku 2. točki 25. Uredbe (EU) 2019/943 koji pružaju usluge agregiranja, upravljanja potrošnjom ili skladištenja energije kako je definirano u članku 2. točkama 18., 20. i 59. Direktive (EU) 2019/944 |
| --- | --- |

—

sudionici na tržištu kako su definirani u članku 2. točki 25. Uredbe (EU) 2019/943 koji pružaju usluge agregiranja, upravljanja potrošnjom ili skladištenja energije kako je definirano u članku 2. točkama 18., 20. i 59. Direktive (EU) 2019/944

| (b) | centralizirano grijanje i hlađenje |
| --- | --- |

(b)

centralizirano grijanje i hlađenje

| — | operatori centraliziranog grijanja ili centraliziranog hlađenja kako je definirano u članku 2. točki 19. Direktive (EU) 2018/2001 Europskog parlamenta i Vijeća (3) |
| --- | --- |

—

operatori centraliziranog grijanja ili centraliziranog hlađenja kako je definirano u članku 2. točki 19. Direktive (EU) 2018/2001 Europskog parlamenta i Vijeća (3)

| (c) | ulje |
| --- | --- |

(c)

ulje

| — | operatori naftovoda |
| --- | --- |

—

operatori naftovoda

| — | operatori proizvodnje nafte, rafinerija i tvornica nafte, skladištenja i prijenosa |
| --- | --- |

—

operatori proizvodnje nafte, rafinerija i tvornica nafte, skladištenja i prijenosa

| — | središnja tijela za zalihe kako su definirana u članku 2. točki (f) Direktive Vijeća 2009/119/EZ (4) |
| --- | --- |

—

središnja tijela za zalihe kako su definirana u članku 2. točki (f) Direktive Vijeća 2009/119/EZ (4)

| (d) | plin |
| --- | --- |

(d)

plin

| — | poduzeća za opskrbu kako su definirana u članku 2. točki 8. Direktive 2009/73/EZ Europskog parlamenta i Vijeća (5) |
| --- | --- |

—

poduzeća za opskrbu kako su definirana u članku 2. točki 8. Direktive 2009/73/EZ Europskog parlamenta i Vijeća (5)

| — | operatori distribucijskog sustava kako su definirani u članku 2. točki 6. Direktive 2009/73/EZ |
| --- | --- |

—

operatori distribucijskog sustava kako su definirani u članku 2. točki 6. Direktive 2009/73/EZ

| — | operatori transportnog sustava kako su definirani u članku 2. točki 4. Direktive 2009/73/EZ |
| --- | --- |

—

operatori transportnog sustava kako su definirani u članku 2. točki 4. Direktive 2009/73/EZ

| — | operatori sustava skladišta plina kako su definirani u članku 2. točki 10. Direktive 2009/73/EZ |
| --- | --- |

—

operatori sustava skladišta plina kako su definirani u članku 2. točki 10. Direktive 2009/73/EZ

| — | operatori terminala za UPP kako su definirani u članku 2. točki 12. Direktive 2009/73/EZ |
| --- | --- |

—

operatori terminala za UPP kako su definirani u članku 2. točki 12. Direktive 2009/73/EZ

| — | poduzeća za prirodni plin kako su definirana u članku 2. točki 1. Direktive 2009/73/EZ |
| --- | --- |

—

poduzeća za prirodni plin kako su definirana u članku 2. točki 1. Direktive 2009/73/EZ

| — | operatori postrojenja za rafiniranje i obradu prirodnog plina |
| --- | --- |

—

operatori postrojenja za rafiniranje i obradu prirodnog plina

| (e) | vodik |
| --- | --- |

(e)

vodik

| — | operatori proizvodnje, skladištenja i prijenosa vodika |
| --- | --- |

—

operatori proizvodnje, skladištenja i prijenosa vodika

| 2. | Promet |
| --- | --- |

2.

Promet

| (a) | zračni promet |
| --- | --- |

(a)

zračni promet

| — | zračni prijevoznici kako su definirani u članku 3. točki 4. Uredbe (EZ) br. 300/2008 koji se upotrebljavaju u komercijalne svrhe |
| --- | --- |

—

zračni prijevoznici kako su definirani u članku 3. točki 4. Uredbe (EZ) br. 300/2008 koji se upotrebljavaju u komercijalne svrhe

| — | upravna tijela zračne luke kako su definirana u članku 2. točki 2. Direktive 2009/12/EZ Europskog parlamenta i Vijeća (6), zračne luke kako su definirane u članku 2. točki 1. te direktive, uključujući osnovne zračne luke navedene u odjeljku 2. Priloga II. Uredbi (EU) br. 1315/2013 Europskog parlamenta i Vijeća (7) te subjekti koji upravljaju pomoćnim objektima u zračnim lukama |
| --- | --- |

—

upravna tijela zračne luke kako su definirana u članku 2. točki 2. Direktive 2009/12/EZ Europskog parlamenta i Vijeća (6), zračne luke kako su definirane u članku 2. točki 1. te direktive, uključujući osnovne zračne luke navedene u odjeljku 2. Priloga II. Uredbi (EU) br. 1315/2013 Europskog parlamenta i Vijeća (7) te subjekti koji upravljaju pomoćnim objektima u zračnim lukama

| — | operatori kontrole upravljanja prometom koji pružaju usluge kontrole zračnog prometa (ATC) kako su definirane u članku 2. točki 1. Uredbe (EZ) br. 549/2004 Europskog parlamenta i Vijeća (8) |
| --- | --- |

—

operatori kontrole upravljanja prometom koji pružaju usluge kontrole zračnog prometa (ATC) kako su definirane u članku 2. točki 1. Uredbe (EZ) br. 549/2004 Europskog parlamenta i Vijeća (8)

| (b) | željeznički promet |
| --- | --- |

(b)

željeznički promet

| — | upravitelji infrastrukture kako su definirani u članku 3. točki 2. Direktive 2012/34/EU Europskog parlamenta i Vijeća (9) |
| --- | --- |

—

upravitelji infrastrukture kako su definirani u članku 3. točki 2. Direktive 2012/34/EU Europskog parlamenta i Vijeća (9)

| — | željeznički prijevoznici kako su definirani u članku 3. točki 1. Direktive 2012/34/EU i operatori uslužnih objekata kako su definirani u članku 3. točki 12. Direktive 2012/34/EU |
| --- | --- |

—

željeznički prijevoznici kako su definirani u članku 3. točki 1. Direktive 2012/34/EU i operatori uslužnih objekata kako su definirani u članku 3. točki 12. Direktive 2012/34/EU

| (c) | vodeni promet |
| --- | --- |

(c)

vodeni promet

| — | kompanije za prijevoz putnika unutarnjim plovnim putovima, morem i duž obale te kompanije za prijevoz tereta unutarnjim plovnim putovima, morem i duž obale kako je definirano za pomorski promet u Prilogu I. Uredbi (EZ) br. 725/2004, ne uključujući pojedinačna plovila kojima upravljaju te kompanije |
| --- | --- |

—

kompanije za prijevoz putnika unutarnjim plovnim putovima, morem i duž obale te kompanije za prijevoz tereta unutarnjim plovnim putovima, morem i duž obale kako je definirano za pomorski promet u Prilogu I. Uredbi (EZ) br. 725/2004, ne uključujući pojedinačna plovila kojima upravljaju te kompanije

| — | upravljačka tijela luka kako su definirana u članku 3. točki 1. Direktive 2005/65/EZ, uključujući njihove luke kako je definirano u članku 2. točki 11. Uredbe (EZ) br. 725/2004, te subjekti koji upravljaju poslovima i opremom u lukama |
| --- | --- |

—

upravljačka tijela luka kako su definirana u članku 3. točki 1. Direktive 2005/65/EZ, uključujući njihove luke kako je definirano u članku 2. točki 11. Uredbe (EZ) br. 725/2004, te subjekti koji upravljaju poslovima i opremom u lukama

| — | operatori službi za nadzor i upravljanje pomorskim prometom (VTS) kako su definirane u članku 3. točki (o) Direktive 2002/59/EZ Europskog parlamenta i Vijeća (10) |
| --- | --- |

—

operatori službi za nadzor i upravljanje pomorskim prometom (VTS) kako su definirane u članku 3. točki (o) Direktive 2002/59/EZ Europskog parlamenta i Vijeća (10)

| (d) | cestovni promet |
| --- | --- |

(d)

cestovni promet

| — | tijela nadležna za ceste kako su definirana u članku 2. točki 12. Delegirane uredbe Komisije (EU) 2015/962 (11) odgovorna za kontrolu upravljanja prometom, osim javnih subjekata kojima upravljanje prometom ili rad inteligentnih prometnih sustava nisu ključni dio njihove opće djelatnosti |
| --- | --- |

—

tijela nadležna za ceste kako su definirana u članku 2. točki 12. Delegirane uredbe Komisije (EU) 2015/962 (11) odgovorna za kontrolu upravljanja prometom, osim javnih subjekata kojima upravljanje prometom ili rad inteligentnih prometnih sustava nisu ključni dio njihove opće djelatnosti

| — | operatori inteligentnih prometnih sustava kako su definirani u članku 4. točki 1. Direktive 2010/40/EU Europskog parlamenta i Vijeća (12) |
| --- | --- |

—

operatori inteligentnih prometnih sustava kako su definirani u članku 4. točki 1. Direktive 2010/40/EU Europskog parlamenta i Vijeća (12)

| (e) | javni prijevoz |
| --- | --- |

(e)

javni prijevoz

| — | operateri javne usluge kako su definirani u članku 2. točki (d) Uredbe (EZ) br. 1370/2007 Europskog parlamenta i Vijeća (13) |
| --- | --- |

—

operateri javne usluge kako su definirani u članku 2. točki (d) Uredbe (EZ) br. 1370/2007 Europskog parlamenta i Vijeća (13)

| 3. | Bankarstvo |
| --- | --- |

3.

Bankarstvo

| — | kreditne institucije kako su definirane u članku 4. točki 1. Uredbe (EU) br. 575/2013 |
| --- | --- |

—

kreditne institucije kako su definirane u članku 4. točki 1. Uredbe (EU) br. 575/2013

| 4. | Infrastrukture financijskog tržišta |
| --- | --- |

4.

Infrastrukture financijskog tržišta

| — | operatori mjestâ trgovanja kako su definirani u članku 4. točki 24. Direktive 2014/65/EU |
| --- | --- |

—

operatori mjestâ trgovanja kako su definirani u članku 4. točki 24. Direktive 2014/65/EU

| — | središnje druge ugovorne strane (CCP-ovi) kako su definirane u članku 2. točki 1. Uredbe (EU) br. 648/2012 |
| --- | --- |

—

središnje druge ugovorne strane (CCP-ovi) kako su definirane u članku 2. točki 1. Uredbe (EU) br. 648/2012

| 5. | Zdravstvo |
| --- | --- |

5.

Zdravstvo

| — | pružatelji zdravstvene zaštite kako su definirani u članku 3. točki (g) Direktive 2011/24/EU Europskog parlamenta i Vijeća (14) |
| --- | --- |

—

pružatelji zdravstvene zaštite kako su definirani u članku 3. točki (g) Direktive 2011/24/EU Europskog parlamenta i Vijeća (14)

| — | referentni laboratoriji EU-a iz članka 15. Uredbe (EU) .../... Europskog parlamenta i Vijeća (15) |
| --- | --- |

—

referentni laboratoriji EU-a iz članka 15. Uredbe (EU) .../... Europskog parlamenta i Vijeća (15)

| — | subjekti koji obavljaju djelatnosti istraživanja i razvoja lijekova kako su definirani u članku 1. točki 2. Direktive 2001/83/EZ Europskog parlamenta i Vijeća (16) |
| --- | --- |

—

subjekti koji obavljaju djelatnosti istraživanja i razvoja lijekova kako su definirani u članku 1. točki 2. Direktive 2001/83/EZ Europskog parlamenta i Vijeća (16)

| — | subjekti koji proizvode osnovne farmaceutske proizvode i farmaceutske pripravke iz područja C odjeljka 21. NACE Rev. 2 |
| --- | --- |

—

subjekti koji proizvode osnovne farmaceutske proizvode i farmaceutske pripravke iz područja C odjeljka 21. NACE Rev. 2

| — | subjekti koji proizvode medicinske proizvode koji se smatraju ključnima tijekom izvanrednog stanja u području javnog zdravlja („popis ključnih medicinskih proizvoda u slučaju izvanrednog stanja u području javnog zdravlja”) u smislu članka 22. Uredbe (EU) 2022/123 Europskog parlamenta i Vijeća (17) |
| --- | --- |

—

subjekti koji proizvode medicinske proizvode koji se smatraju ključnima tijekom izvanrednog stanja u području javnog zdravlja („popis ključnih medicinskih proizvoda u slučaju izvanrednog stanja u području javnog zdravlja”) u smislu članka 22. Uredbe (EU) 2022/123 Europskog parlamenta i Vijeća (17)

| — | subjekti koji imaju dozvolu za obavljanje prometa na veliko lijekovima kako je navedeno u članku 79. Direktive 2001/83/EZ |
| --- | --- |

—

subjekti koji imaju dozvolu za obavljanje prometa na veliko lijekovima kako je navedeno u članku 79. Direktive 2001/83/EZ

| 6. | Voda za piće |
| --- | --- |

6.

Voda za piće

| — | dobavljači i distributeri vode namijenjene za ljudsku potrošnju kako je definirana u članku 2. točki 1. podtočki (a) Direktive (EU) 2020/2184 Europskog parlamenta i Vijeća (18), isključujući distributere kojima distribucija vode za ljudsku potrošnju čini dio općenite djelatnosti distribucije druge robe i proizvoda koji nije ključan |
| --- | --- |

—

dobavljači i distributeri vode namijenjene za ljudsku potrošnju kako je definirana u članku 2. točki 1. podtočki (a) Direktive (EU) 2020/2184 Europskog parlamenta i Vijeća (18), isključujući distributere kojima distribucija vode za ljudsku potrošnju čini dio općenite djelatnosti distribucije druge robe i proizvoda koji nije ključan

| 7. | Otpadne vode |
| --- | --- |

7.

Otpadne vode

| — | poduzeća koja prikupljaju, odlažu ili pročišćavaju komunalne otpadne vode, otpadne vode iz kućanstva i industrijske otpadne vode kako su definirane u članku 2. točkama 1., 2. i 3. Direktive Vijeća 91/271/EEZ (19), isključujući poduzeća kojima prikupljanje, odlaganje ili pročišćavanje komunalnih otpadnih voda, otpadnih voda iz kućanstva i industrijskih otpadnih voda nije ključni dio njihove općenite djelatnosti |
| --- | --- |

—

poduzeća koja prikupljaju, odlažu ili pročišćavaju komunalne otpadne vode, otpadne vode iz kućanstva i industrijske otpadne vode kako su definirane u članku 2. točkama 1., 2. i 3. Direktive Vijeća 91/271/EEZ (19), isključujući poduzeća kojima prikupljanje, odlaganje ili pročišćavanje komunalnih otpadnih voda, otpadnih voda iz kućanstva i industrijskih otpadnih voda nije ključni dio njihove općenite djelatnosti

| 8. | Digitalna infrastruktura |
| --- | --- |

8.

Digitalna infrastruktura

| — | pružatelji središta za razmjenu internetskog prometa kako je definirano u članku 6. točki 18. Direktive (EU) 2022/2555 |
| --- | --- |

—

pružatelji središta za razmjenu internetskog prometa kako je definirano u članku 6. točki 18. Direktive (EU) 2022/2555

| — | pružatelji usluge DNS-a kako su definirani u članku 6. točki 20. Direktive (EU) 2022/2555, osim operatora korijenskih poslužitelja naziva |
| --- | --- |

—

pružatelji usluge DNS-a kako su definirani u članku 6. točki 20. Direktive (EU) 2022/2555, osim operatora korijenskih poslužitelja naziva

| — | registri naziva vršnih domena kako su definirani u članku 6. točki 21. Direktive (EU) 2022/2555 |
| --- | --- |

—

registri naziva vršnih domena kako su definirani u članku 6. točki 21. Direktive (EU) 2022/2555

| — | pružatelji usluga računalstva u oblaku kako su definirane u članku 6. točki 30. Direktive (EU) 2022/2555 |
| --- | --- |

—

pružatelji usluga računalstva u oblaku kako su definirane u članku 6. točki 30. Direktive (EU) 2022/2555

| — | pružatelji usluga podatkovnog centra kako su definirane u članku 6. točki 31. Direktive (EU) 2022/2555 |
| --- | --- |

—

pružatelji usluga podatkovnog centra kako su definirane u članku 6. točki 31. Direktive (EU) 2022/2555

| — | pružatelji mreža za isporuku sadržaja kako su definirane u članku 6. točki 32. Direktive (EU) 2022/2555 |
| --- | --- |

—

pružatelji mreža za isporuku sadržaja kako su definirane u članku 6. točki 32. Direktive (EU) 2022/2555

| — | pružatelji usluga povjerenja kako su definirane u članku 3. točki 19. Uredbe (EU) br. 910/2014 Europskog parlamenta i Vijeća (20) |
| --- | --- |

—

pružatelji usluga povjerenja kako su definirane u članku 3. točki 19. Uredbe (EU) br. 910/2014 Europskog parlamenta i Vijeća (20)

| — | pružatelji javnih elektroničkih komunikacijskih mreža kako su definirane u članku 2. točki 8. Direktive (EU) 2018/1972 Europskog parlamenta i Vijeća (21) |
| --- | --- |

—

pružatelji javnih elektroničkih komunikacijskih mreža kako su definirane u članku 2. točki 8. Direktive (EU) 2018/1972 Europskog parlamenta i Vijeća (21)

| — | pružatelji elektroničkih komunikacijskih usluga kako su definirane u članku 2. točki 4. Direktive (EU) 2018/1972 u mjeri u kojoj su njihove usluge javno dostupne |
| --- | --- |

—

pružatelji elektroničkih komunikacijskih usluga kako su definirane u članku 2. točki 4. Direktive (EU) 2018/1972 u mjeri u kojoj su njihove usluge javno dostupne

| 9. | Javna uprava |
| --- | --- |

9.

Javna uprava

| — | subjekti javne uprave središnje vlasti kako su ih definirale države članice u skladu s nacionalnim pravom |
| --- | --- |

—

subjekti javne uprave središnje vlasti kako su ih definirale države članice u skladu s nacionalnim pravom

| 10. | Svemir |
| --- | --- |

10.

Svemir

| — | operatori zemaljske infrastrukture, koji su u vlasništvu i kojima upravljaju i vode ih države članice ili privatne osobe te koji podupiru pružanje usluga u svemiru, isključujući pružatelje javnih elektroničkih komunikacijskih mreža kako su definirane u članku 2. točki 8. Direktive (EU) 2018/1972 |
| --- | --- |

—

operatori zemaljske infrastrukture, koji su u vlasništvu i kojima upravljaju i vode ih države članice ili privatne osobe te koji podupiru pružanje usluga u svemiru, isključujući pružatelje javnih elektroničkih komunikacijskih mreža kako su definirane u članku 2. točki 8. Direktive (EU) 2018/1972

| 11. | Proizvodnja, prerada i distribucija hrane |
| --- | --- |

11.

Proizvodnja, prerada i distribucija hrane

| — | poduzeća za poslovanje s hranom kako su definirana u članku 3. točki 2. Uredbe (EZ) br. 178/2002 Europskog parlamenta i Vijeća (22) koja se bave isključivo logistikom i veleprodajnom distribucijom te masovnom industrijskom proizvodnjom i preradom |
| --- | --- |

—

poduzeća za poslovanje s hranom kako su definirana u članku 3. točki 2. Uredbe (EZ) br. 178/2002 Europskog parlamenta i Vijeća (22) koja se bave isključivo logistikom i veleprodajnom distribucijom te masovnom industrijskom proizvodnjom i preradom

---

(1)  Direktiva (EU) 2019/944 Europskog parlamenta i Vijeća od 5. lipnja 2019. o zajedničkim pravilima za unutarnje tržište električne energije i izmjeni Direktive 2012/27/EU (SL L 158, 14.6.2019., str. 125.).

(2)  Uredba (EU) 2019/943 Europskog parlamenta i Vijeća od 5. lipnja 2019. o unutarnjem tržištu električne energije (SL L 158, 14.6.2019., str. 54.).

(3)  Direktiva (EU) 2018/2001 Europskog parlamenta i Vijeća od 11. prosinca 2018. o promicanju uporabe energije iz obnovljivih izvora (SL L 328, 21.12.2018., str. 82.).

(4)  Direktiva Vijeća 2009/119/EZ od 14. rujna 2009. o obvezi država članica da održavaju minimalne zalihe sirove nafte i/ili naftnih derivata (SL L 265, 9.10.2009., str. 9.).

(5)  Direktiva 2009/73/EZ Europskog parlamenta i Vijeća od 13. srpnja 2009. o zajedničkim pravilima za unutarnje tržište prirodnog plina i stavljanju izvan snage Direktive 2003/55/EZ (SL L 211, 14.8.2009., str. 94.).

(6)  Direktiva 2009/12/EZ Europskog parlamenta i Vijeća od 11. ožujka 2009. o naknadama zračnih luka (SL L 70, 14.3.2009., str. 11.).

(7)  Uredba (EU) br. 1315/2013 Europskog parlamenta i Vijeća od 11. prosinca 2013. o smjernicama Unije za razvoj transeuropske prometne mreže i stavljanju izvan snage Odluke br. 661/2010/EU (SL L 348, 20.12.2013., str. 1.).

(8)  Uredba (EZ) br. 549/2004 Europskog parlamenta i Vijeća od 10. ožujka 2004. o utvrđivanju okvira za stvaranje jedinstvenog europskog neba (Okvirna uredba) (SL L 96, 31.3.2004., str. 1.).

(9)  Direktiva 2012/34/EU Europskog parlamenta i Vijeća od 21. studenoga 2012. o uspostavi jedinstvenog Europskog željezničkog prostora (SL L 343, 14.12.2012., str. 32.).

(10)  Direktiva 2002/59/EZ Europskog parlamenta i Vijeća od 27. lipnja 2002. o uspostavi sustava nadzora plovidbe i informacijskog sustava Zajednice i stavljanju izvan snage Direktive Vijeća 93/75/EEZ (SL L 208, 5.8.2002., str. 10.).

(11)  Delegirana uredba Komisije (EU) 2015/962 od 18. prosinca 2014. o dopuni Direktive 2010/40/EU Europskog parlamenta i Vijeća u pogledu pružanja usluga prometnih informacija u cijeloj Europskoj uniji u realnom vremenu (SL L 157, 23.6.2015., str. 21.).

(12)  Direktiva 2010/40/EU Europskog parlamenta i Vijeća od 7. srpnja 2010. o okviru za uvođenje inteligentnih prometnih sustava u cestovnom prometu i za veze s ostalim vrstama prijevoza (SL L 207, 6.8.2010., str. 1.).

(13)  Uredba (EZ) br. 1370/2007 Europskog parlamenta i Vijeća od 23. listopada 2007. o uslugama javnog željezničkog i cestovnog prijevoza putnika i stavljanju izvan snage uredaba Vijeća (EEZ) br. 1191/69 i (EEZ) br. 1107/70 (SL L 315, 3.12.2007., str. 1.).

(14)  Direktiva 2011/24/EU Europskog parlamenta i Vijeća od 9. ožujka 2011. o primjeni prava pacijenata u prekograničnoj zdravstvenoj skrbi (SL L 88, 4.4.2011., str. 45.).

(15)  Uredba (EU) 2022/2371 Europskog parlamenta i Vijeća od 23. studenoga 2022. o ozbiljnim prekograničnim prijetnjama zdravlju i o stavljanju izvan snage Odluke br. 1082/2013/EU (SL L 314, 6.12.2022., str. 26.).

(16)  Direktiva 2001/83/EZ Europskog parlamenta i Vijeća od 6. studenoga 2001. o zakoniku Zajednice o lijekovima za humanu primjenu (SL L 311, 28.11.2001., str. 67.).

(17)  Uredba (EU) 2022/123 Europskog parlamenta i Vijeća od 25. siječnja 2022. o pojačanoj ulozi Europske agencije za lijekove u pripravnosti za krizne situacije i upravljanju njima u području lijekova i medicinskih proizvoda (SL L 20, 31.1.2022., str. 1.).

(18)  Direktiva (EU) 2020/2184 Europskog parlamenta i Vijeća od 16. prosinca 2020. o kvaliteti vode namijenjene za ljudsku potrošnju (SL L 435, 23.12.2020., str. 1.).

(19)  Direktiva Vijeća 91/271/EEZ od 21. svibnja 1991. o pročišćavanju komunalnih otpadnih voda (SL L 135, 30.5.1991., str. 40.).

(20)  Uredba (EU) br. 910/2014 Europskog parlamenta i Vijeća od 23. srpnja 2014. o elektroničkoj identifikaciji i uslugama povjerenja za elektroničke transakcije na unutarnjem tržištu i stavljanju izvan snage Direktive 1999/93/EZ (SL L 257, 28.8.2014., str. 73.).

(21)  Direktiva (EU) 2018/1972 Europskog parlamenta i Vijeća od 11. prosinca 2018. o Europskom zakoniku elektroničkih komunikacija (SL L 321, 17.12.2018., str. 36.).

(22)  Uredba (EZ) br. 178/2002 Europskog parlamenta i Vijeća od 28. siječnja 2002. o utvrđivanju općih načela i uvjeta zakona o hrani, osnivanju Europske agencije za sigurnost hrane te utvrđivanju postupaka u područjima sigurnosti hrane (SL L 31, 1.2.2002., str. 1.).

---