# Eiropas Savienības L 333/2022

| | ISSN 1977-0715 |
| --- | --- |
| Eiropas Savienības
  Oficiālais Vēstnesis | L 333 |
| | |
| Izdevums latviešu valodā | Tiesību akti | 65. gadagājums2022. gada 27. decembris |

ISSN 1977-0715

Eiropas Savienības

Oficiālais Vēstnesis

L 333

Izdevums latviešu valodā

Tiesību akti

65. gadagājums2022. gada 27. decembris

---

| Saturs | | I   Leģislatīvi akti | Lappuse |
| --- | --- | --- | --- |
| | | REGULAS |
| | * | Eiropas Parlamenta un Padomes Regula (ES) 2022/2554 (2022. gada 14. decembris) par finanšu nozares digitālās darbības noturību un ar ko groza Regulas (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 un (ES) 2016/1011 (
  1
  ) | 1 |
| | | DIREKTĪVAS |
| | * | Eiropas Parlamenta un Padomes Direktīva (ES) 2022/2555 (2022. gada 14. decembris), ar ko paredz pasākumus nolūkā panākt vienādi augstu kiberdrošības līmeni visā Savienībā un ar ko groza Regulu (ES) Nr. 910/2014 un Direktīvu (ES) 2018/1972 un atceļ Direktīvu (ES) 2016/1148 (TID 2 direktīva) (
  1
  ) | 80 |
| | * | Eiropas Parlamenta un Padomes Direktīva (ES) 2022/2556 (2022. gada 14. decembris), ar ko groza Direktīvas 2009/65/EK, 2009/138/EK, 2011/61/ES, 2013/36/ES, 2014/59/ES, 2014/65/ES, (ES) 2015/2366 un (ES) 2016/2341 attiecībā uz finanšu nozares digitālās darbības noturību (
  1
  ) | 153 |
| | * | Eiropas Parlamenta un Padomes Direktīva (ES) 2022/2557 (2022. gada 14. decembris) par kritisko vienību noturību un Padomes Direktīvas 2008/114/EK atcelšanu (
  1
  ) | 164 |

Saturs

I   Leģislatīvi akti

Lappuse

REGULAS

*

Eiropas Parlamenta un Padomes Regula (ES) 2022/2554 (2022. gada 14. decembris) par finanšu nozares digitālās darbības noturību un ar ko groza Regulas (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 un (ES) 2016/1011 (
  1
  )

1

1

DIREKTĪVAS

*

Eiropas Parlamenta un Padomes Direktīva (ES) 2022/2555 (2022. gada 14. decembris), ar ko paredz pasākumus nolūkā panākt vienādi augstu kiberdrošības līmeni visā Savienībā un ar ko groza Regulu (ES) Nr. 910/2014 un Direktīvu (ES) 2018/1972 un atceļ Direktīvu (ES) 2016/1148 (TID 2 direktīva) (
  1
  )

1

80

*

Eiropas Parlamenta un Padomes Direktīva (ES) 2022/2556 (2022. gada 14. decembris), ar ko groza Direktīvas 2009/65/EK, 2009/138/EK, 2011/61/ES, 2013/36/ES, 2014/59/ES, 2014/65/ES, (ES) 2015/2366 un (ES) 2016/2341 attiecībā uz finanšu nozares digitālās darbības noturību (
  1
  )

1

153

*

Eiropas Parlamenta un Padomes Direktīva (ES) 2022/2557 (2022. gada 14. decembris) par kritisko vienību noturību un Padomes Direktīvas 2008/114/EK atcelšanu (
  1
  )

1

164

| | |
| --- | --- |
| | (1)   Dokuments attiecas uz EEZ. |

---

(1)   Dokuments attiecas uz EEZ.

1

| LV | Tiesību akti, kuru virsraksti ir gaišajā drukā, attiecas uz kārtējiem jautājumiem lauksaimniecības jomā un parasti ir spēkā tikai ierobežotu laika posmu.
  Visu citu tiesību aktu virsraksti ir tumšajā drukā, un pirms tiem ir zvaigznīte. |
| --- | --- |

LV

Tiesību akti, kuru virsraksti ir gaišajā drukā, attiecas uz kārtējiem jautājumiem lauksaimniecības jomā un parasti ir spēkā tikai ierobežotu laika posmu.

Visu citu tiesību aktu virsraksti ir tumšajā drukā, un pirms tiem ir zvaigznīte.

---

I Leģislatīvi akti

REGULAS

| 27.12.2022 | LV | Eiropas Savienības Oficiālais Vēstnesis | L 333/1 |
| --- | --- | --- | --- |

27.12.2022

LV

Eiropas Savienības Oficiālais Vēstnesis

L 333/1

---

EIROPAS PARLAMENTA UN PADOMES REGULA (ES) 2022/2554

(2022. gada 14. decembris)

par finanšu nozares digitālās darbības noturību un ar ko groza Regulas (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 un (ES) 2016/1011

(Dokuments attiecas uz EEZ)

EIROPAS PARLAMENTS UN EIROPAS SAVIENĪBAS PADOME,

ņemot vērā Līgumu par Eiropas Savienības darbību un jo īpaši tā 114. pantu,

ņemot vērā Eiropas Komisijas priekšlikumu,

pēc leģislatīvā akta projekta nosūtīšanas valstu parlamentiem,

ņemot vērā Eiropas Centrālās bankas atzinumu (1),

ņemot vērā Eiropas Ekonomikas un sociālo lietu komitejas atzinumu (2),

saskaņā ar parasto likumdošanas procedūru (3),

tā kā:

| (1) | Informācijas un komunikācijas tehnoloģijas (IKT) digitālajā laikmetā atbalsta sarežģītas sistēmas, kas tiek lietotas ikdienas darbībām. Tās nodrošina mūsu ekonomikas darbību svarīgās nozarēs, tostarp finanšu nozarē, un uzlabo iekšējā tirgus darbību. Lielāka digitalizācija un savstarpēja savienojamība pastiprina arī IKT risku, padarot sabiedrību kopumā un jo īpaši finanšu sistēmu neaizsargātāku pret kiberdraudiem vai IKT traucējumiem. Lai gan plašais IKT sistēmu lietojums, augstā digitalizācija un savienojamība mūsdienās ir Savienības finanšu vienību veikto darbību pamatiezīmes, to digitālā noturība vēl ir pamatīgāk jāizskata un jāintegrē plašākos to darbības pamatprincipos. |
| --- | --- |

(1)

Informācijas un komunikācijas tehnoloģijas (IKT) digitālajā laikmetā atbalsta sarežģītas sistēmas, kas tiek lietotas ikdienas darbībām. Tās nodrošina mūsu ekonomikas darbību svarīgās nozarēs, tostarp finanšu nozarē, un uzlabo iekšējā tirgus darbību. Lielāka digitalizācija un savstarpēja savienojamība pastiprina arī IKT risku, padarot sabiedrību kopumā un jo īpaši finanšu sistēmu neaizsargātāku pret kiberdraudiem vai IKT traucējumiem. Lai gan plašais IKT sistēmu lietojums, augstā digitalizācija un savienojamība mūsdienās ir Savienības finanšu vienību veikto darbību pamatiezīmes, to digitālā noturība vēl ir pamatīgāk jāizskata un jāintegrē plašākos to darbības pamatprincipos.

| (2) | IKT izmantošana pēdējās desmitgadēs ir ieguvusi būtisku nozīmi finanšu pakalpojumu sniegšanā tādā mērā, ka tagad tā ir kļuvusi kritiski svarīga, lai veiktu parastas ikdienas darbības visās finanšu vienībās. Digitalizācija tagad aptver, piemēram, maksājumus, kas arvien vairāk pāriet no skaidras naudas un papīra dokumentu izmantošanas uz digitāliem risinājumiem, kā arī vērtspapīru tīrvērti un norēķinus, elektronisko un algoritmisko tirdzniecību, aizdošanas un finansēšanas darbības, savstarpējo finansēšanu, kredītreitingu, pretenziju apstrādi un biroja administratīvo darbu. Līdz ar IKT izmantošanu pārveidota ir arī apdrošināšanas nozare: sākot ar tādu apdrošināšanas starpnieku parādīšanos, kuri, darbojoties ar InsurTech, savus pakalpojumus piedāvā tiešsaistē, līdz tam, ka notiek digitāla apdrošināšanas saistību uzņemšanās. Ne tikai finanses visā nozarē ir kļuvušas digitālas, bet digitalizācija ir arī padarījusi intensīvākus savstarpējos savienojumus un atkarības finanšu nozares iekšienē, kā arī attiecībās ar trešo personu infrastruktūru un to sniegtajiem pakalpojumiem. |
| --- | --- |

(2)

IKT izmantošana pēdējās desmitgadēs ir ieguvusi būtisku nozīmi finanšu pakalpojumu sniegšanā tādā mērā, ka tagad tā ir kļuvusi kritiski svarīga, lai veiktu parastas ikdienas darbības visās finanšu vienībās. Digitalizācija tagad aptver, piemēram, maksājumus, kas arvien vairāk pāriet no skaidras naudas un papīra dokumentu izmantošanas uz digitāliem risinājumiem, kā arī vērtspapīru tīrvērti un norēķinus, elektronisko un algoritmisko tirdzniecību, aizdošanas un finansēšanas darbības, savstarpējo finansēšanu, kredītreitingu, pretenziju apstrādi un biroja administratīvo darbu. Līdz ar IKT izmantošanu pārveidota ir arī apdrošināšanas nozare: sākot ar tādu apdrošināšanas starpnieku parādīšanos, kuri, darbojoties ar InsurTech, savus pakalpojumus piedāvā tiešsaistē, līdz tam, ka notiek digitāla apdrošināšanas saistību uzņemšanās. Ne tikai finanses visā nozarē ir kļuvušas digitālas, bet digitalizācija ir arī padarījusi intensīvākus savstarpējos savienojumus un atkarības finanšu nozares iekšienē, kā arī attiecībās ar trešo personu infrastruktūru un to sniegtajiem pakalpojumiem.

| (3) | Eiropas Sistēmisko risku kolēģija (ESRK) 2020. gada ziņojumā par sistēmisko kiberrisku atkārtoti uzsvēra, kā sistēmisku ievainojamību varētu radīt tas, ka pastāv augsta līmeņa savstarpējā savienojamība starp finanšu vienībām, finanšu tirgiem un finanšu tirgus infrastruktūrām, jo īpaši savstarpēja to IKT sistēmu atkarība, jo vietēja mēroga kiberincidenti kādā no aptuveni 22 000 Savienības finanšu vienību varētu ātri izplatīties visā finanšu sistēmā, valstu robežām tos neaizkavējot. Smagi IKT pārkāpumi finanšu nozarē ietekmē ne tikai finanšu vienības atsevišķi. Tie arī atvieglo vietēja mēroga ievainojamības izplatīšanos finanšu sakaru kanālos un, iespējams, var radīt nelabvēlīgas sekas Savienības finanšu sistēmas stabilitātei, piemēram, izraisīt likviditātes pazemināšanos un kopumā mazināt pārliecību un uzticēšanos finanšu tirgiem. |
| --- | --- |

(3)

Eiropas Sistēmisko risku kolēģija (ESRK) 2020. gada ziņojumā par sistēmisko kiberrisku atkārtoti uzsvēra, kā sistēmisku ievainojamību varētu radīt tas, ka pastāv augsta līmeņa savstarpējā savienojamība starp finanšu vienībām, finanšu tirgiem un finanšu tirgus infrastruktūrām, jo īpaši savstarpēja to IKT sistēmu atkarība, jo vietēja mēroga kiberincidenti kādā no aptuveni 22 000 Savienības finanšu vienību varētu ātri izplatīties visā finanšu sistēmā, valstu robežām tos neaizkavējot. Smagi IKT pārkāpumi finanšu nozarē ietekmē ne tikai finanšu vienības atsevišķi. Tie arī atvieglo vietēja mēroga ievainojamības izplatīšanos finanšu sakaru kanālos un, iespējams, var radīt nelabvēlīgas sekas Savienības finanšu sistēmas stabilitātei, piemēram, izraisīt likviditātes pazemināšanos un kopumā mazināt pārliecību un uzticēšanos finanšu tirgiem.

| (4) | IKT risks pēdējos gados ir piesaistījis starptautisko, Savienības un valstu politikas veidotāju, regulatoru un standartu noteikšanas struktūru uzmanību, liekot tiem mēģināt uzlabot digitālo noturību, noteikt standartus, kā arī koordinēt regulatīvo vai uzraudzības darbu. Starptautiskajā līmenī Bāzeles Banku uzraudzības komitejas, Maksājumu un tirgus infrastruktūru komitejas, Finanšu stabilitātes padomes, Finanšu stabilitātes institūta, kā arī G7 un G20 mērķis ir sniegt dažādu jurisdikciju kompetentajām iestādēm un tirgus dalībniekiem instrumentus savu finanšu sistēmu noturības stiprināšanai. Šā darba dzinulis bija arī vajadzība pienācīgi ņemt vērā IKT risku savstarpēji cieši saistītas globālās finanšu sistēmas kontekstā un tiekties pēc lielākas saskaņotības attiecīgajā paraugpraksē. |
| --- | --- |

(4)

IKT risks pēdējos gados ir piesaistījis starptautisko, Savienības un valstu politikas veidotāju, regulatoru un standartu noteikšanas struktūru uzmanību, liekot tiem mēģināt uzlabot digitālo noturību, noteikt standartus, kā arī koordinēt regulatīvo vai uzraudzības darbu. Starptautiskajā līmenī Bāzeles Banku uzraudzības komitejas, Maksājumu un tirgus infrastruktūru komitejas, Finanšu stabilitātes padomes, Finanšu stabilitātes institūta, kā arī G7 un G20 mērķis ir sniegt dažādu jurisdikciju kompetentajām iestādēm un tirgus dalībniekiem instrumentus savu finanšu sistēmu noturības stiprināšanai. Šā darba dzinulis bija arī vajadzība pienācīgi ņemt vērā IKT risku savstarpēji cieši saistītas globālās finanšu sistēmas kontekstā un tiekties pēc lielākas saskaņotības attiecīgajā paraugpraksē.

| (5) | Neraugoties uz mērķtiecīgu politiku un likumdošanas iniciatīvām Savienības un valstu līmenī, IKT risks turpina sagādāt problēmas Savienības finanšu sistēmas darbības noturībai, veiktspējai un stabilitātei. Reformas, kas tika īstenotas pēc 2008. gada finanšu krīzes, galvenokārt stiprināja Savienības finanšu nozares finansiālo noturību, un to mērķis bija aizsargāt Savienības konkurētspēju un stabilitāti no ekonomiskā, prudenciālā un tirgus darbības viedokļa. Lai gan IKT drošība un digitālā noturība ir daļa no operacionālā riska, tām pēc finanšu krīzes izstrādātajā regulatoru darba programmā ir veltīta mazāka uzmanība, un tās ir attīstījušās tikai dažās Savienības finanšu pakalpojumu politikas un regulējošās vides jomās vai tikai dažās dalībvalstīs. |
| --- | --- |

(5)

Neraugoties uz mērķtiecīgu politiku un likumdošanas iniciatīvām Savienības un valstu līmenī, IKT risks turpina sagādāt problēmas Savienības finanšu sistēmas darbības noturībai, veiktspējai un stabilitātei. Reformas, kas tika īstenotas pēc 2008. gada finanšu krīzes, galvenokārt stiprināja Savienības finanšu nozares finansiālo noturību, un to mērķis bija aizsargāt Savienības konkurētspēju un stabilitāti no ekonomiskā, prudenciālā un tirgus darbības viedokļa. Lai gan IKT drošība un digitālā noturība ir daļa no operacionālā riska, tām pēc finanšu krīzes izstrādātajā regulatoru darba programmā ir veltīta mazāka uzmanība, un tās ir attīstījušās tikai dažās Savienības finanšu pakalpojumu politikas un regulējošās vides jomās vai tikai dažās dalībvalstīs.

| (6) | Komisija 2018. gada 8. marta paziņojumā “Finanšu tehnoloģijas rīcības plāns konkurētspējīgākam un inovatīvākam Eiropas finanšu sektoram” uzsvēra, cik svarīgi ir padarīt Savienības finanšu nozari elastīgāku, tostarp no darbības perspektīvas, lai nodrošinātu tās tehnoloģisko drošību un labu darbību, ātru IKT pārkāpumu un incidentu seku novēršanu, un tas galu galā ļaus efektīvi un netraucēti sniegt finanšu pakalpojumus visā Savienībā, tostarp stresa situācijās, vienlaikus saglabājot patērētāju un tirgus uzticēšanos un paļāvību. |
| --- | --- |

(6)

Komisija 2018. gada 8. marta paziņojumā “Finanšu tehnoloģijas rīcības plāns konkurētspējīgākam un inovatīvākam Eiropas finanšu sektoram” uzsvēra, cik svarīgi ir padarīt Savienības finanšu nozari elastīgāku, tostarp no darbības perspektīvas, lai nodrošinātu tās tehnoloģisko drošību un labu darbību, ātru IKT pārkāpumu un incidentu seku novēršanu, un tas galu galā ļaus efektīvi un netraucēti sniegt finanšu pakalpojumus visā Savienībā, tostarp stresa situācijās, vienlaikus saglabājot patērētāju un tirgus uzticēšanos un paļāvību.

| (7) | 2019. gada aprīlī Eiropas Uzraudzības iestāde (Eiropas Banku iestāde), (EBI), kas izveidota ar Eiropas Parlamenta un Padomes Regulu (ES) Nr. 1093/2010 (4), Eiropas Uzraudzības iestāde (Eiropas Apdrošināšanas un aroda pensiju iestāde), (EAAPI), kas izveidota ar Eiropas Parlamenta un Padomes Regulu (ES) Nr. 1094/2010 (5) un Eiropas Uzraudzības iestāde (Eiropas Vērtspapīru un tirgu iestāde), (EVTI), kas izveidota ar Eiropas Parlamenta un Padomes Regulu (ES) Nr. 1095/2010 (6) (kopā zināmas kā “Eiropas uzraudzības iestādes”, vai “EUI”) kopīgi publicēja tehnisko ieteikumu, aicinot īstenot vienveidīgu pieeju IKT riskam finanšu nozarē un iesakot proporcionāli stiprināt finanšu pakalpojumu nozares digitālās darbības noturību ar nozarei specifisku Savienības iniciatīvu. |
| --- | --- |

(7)

2019. gada aprīlī Eiropas Uzraudzības iestāde (Eiropas Banku iestāde), (EBI), kas izveidota ar Eiropas Parlamenta un Padomes Regulu (ES) Nr. 1093/2010 (4), Eiropas Uzraudzības iestāde (Eiropas Apdrošināšanas un aroda pensiju iestāde), (EAAPI), kas izveidota ar Eiropas Parlamenta un Padomes Regulu (ES) Nr. 1094/2010 (5) un Eiropas Uzraudzības iestāde (Eiropas Vērtspapīru un tirgu iestāde), (EVTI), kas izveidota ar Eiropas Parlamenta un Padomes Regulu (ES) Nr. 1095/2010 (6) (kopā zināmas kā “Eiropas uzraudzības iestādes”, vai “EUI”) kopīgi publicēja tehnisko ieteikumu, aicinot īstenot vienveidīgu pieeju IKT riskam finanšu nozarē un iesakot proporcionāli stiprināt finanšu pakalpojumu nozares digitālās darbības noturību ar nozarei specifisku Savienības iniciatīvu.

| (8) | Savienības finanšu nozare tiek regulēta ar vienotu noteikumu kopumu, bet to pārvalda Eiropas finanšu uzraudzības sistēma. Neraugoties uz to, noteikumi, kas attiecas uz digitālās darbības noturību un IKT drošību, vēl nav pilnīgi vai konsekventi saskaņoti, lai gan digitālās darbības noturība digitālajā laikmetā ir ļoti svarīga finanšu stabilitātes un tirgus integritātes nodrošināšanai, un nav mazāk svarīga, piemēram, par vienotiem prudenciālajiem vai tirgus rīcības standartiem. Tādēļ vienotais noteikumu kopums un uzraudzības sistēma būtu jāattīsta, lai tie aptvertu arī digitālās darbības noturību, šim nolūkam pastiprinot finanšu uzraudzības iestāžu pilnvaras, lai tās varētu uzraudzīt pārvaldību IKT risku finanšu nozarē ar mērķi aizsargāt iekšējā tirgus integritāti un efektivitāti un varētu sekmēt pienācīgu tā darbību. |
| --- | --- |

(8)

Savienības finanšu nozare tiek regulēta ar vienotu noteikumu kopumu, bet to pārvalda Eiropas finanšu uzraudzības sistēma. Neraugoties uz to, noteikumi, kas attiecas uz digitālās darbības noturību un IKT drošību, vēl nav pilnīgi vai konsekventi saskaņoti, lai gan digitālās darbības noturība digitālajā laikmetā ir ļoti svarīga finanšu stabilitātes un tirgus integritātes nodrošināšanai, un nav mazāk svarīga, piemēram, par vienotiem prudenciālajiem vai tirgus rīcības standartiem. Tādēļ vienotais noteikumu kopums un uzraudzības sistēma būtu jāattīsta, lai tie aptvertu arī digitālās darbības noturību, šim nolūkam pastiprinot finanšu uzraudzības iestāžu pilnvaras, lai tās varētu uzraudzīt pārvaldību IKT risku finanšu nozarē ar mērķi aizsargāt iekšējā tirgus integritāti un efektivitāti un varētu sekmēt pienācīgu tā darbību.

| (9) | Tiesību aktu nesakritības un nevienāda valstu regulatīvā vai uzraudzības pieeja attiecībā uz IKT risku rada šķēršļus finanšu pakalpojumu iekšējā tirgus darbībai, finanšu vienībām, kas darbojas pāri robežām, apgrūtinot iedibinājumbrīvību un brīvību sniegt pakalpojumus. Varētu tikt kropļota arī konkurence starp viena veida finanšu vienībām, kas darbojas dažādās dalībvalstīs. Tas jo īpaši attiecas uz jomām, kurās saskaņošana Savienības līmenī ir bijusi ļoti ierobežota, piemēram, digitālās darbības noturības testēšanā, vai kurās tās nav bijis, piemēram, trešās personas IKT riska uzraudzība. Atšķirības, kas izriet no paredzamajām norisēm valstu līmenī, varētu radīt papildu šķēršļus iekšējā tirgus darbībai, tādējādi kaitējot tirgus dalībniekiem un finanšu stabilitātei. |
| --- | --- |

(9)

Tiesību aktu nesakritības un nevienāda valstu regulatīvā vai uzraudzības pieeja attiecībā uz IKT risku rada šķēršļus finanšu pakalpojumu iekšējā tirgus darbībai, finanšu vienībām, kas darbojas pāri robežām, apgrūtinot iedibinājumbrīvību un brīvību sniegt pakalpojumus. Varētu tikt kropļota arī konkurence starp viena veida finanšu vienībām, kas darbojas dažādās dalībvalstīs. Tas jo īpaši attiecas uz jomām, kurās saskaņošana Savienības līmenī ir bijusi ļoti ierobežota, piemēram, digitālās darbības noturības testēšanā, vai kurās tās nav bijis, piemēram, trešās personas IKT riska uzraudzība. Atšķirības, kas izriet no paredzamajām norisēm valstu līmenī, varētu radīt papildu šķēršļus iekšējā tirgus darbībai, tādējādi kaitējot tirgus dalībniekiem un finanšu stabilitātei.

| (10) | Tagad, tā kā ar IKT risku saistītie noteikumi Savienības līmenī ir izskatīti tikai daļēji, pastāv nepilnības vai pārklāšanās svarīgās jomās, piemēram ar IKT saistītu incidentu paziņošanā un digitālās darbības noturības testēšanā, un pretrunas, ko rada atšķirīgu valsts noteikumu rašanās vai izmaksu ziņā neefektīva tādu noteikumu piemērošana, kuri pārklājas. Tas jo īpaši nelabvēlīgi ietekmē tādu augstas IKT intensitātes lietotāju kā finanšu nozari, jo tehnoloģiju riskiem nav robežu un finanšu nozare plaši izvieto pakalpojumus pāri robežām Savienībā un ārpus tās. Individuālām finanšu vienībām, kuras darbojas pāri robežām vai kurām ir vairākas atļaujas (piem., vienai un tai pašai finanšu vienībai var būt banku darbības, ieguldījumu brokeru sabiedrības un maksājumu iestādes atļauja, kuru attiecīgi ir izdevušas dažādas kompetentās iestādes vienā vai vairākās dalībvalstīs), ir grūti pašām saskanīgi un izmaksu ziņā efektīvi novērst IKT risku un mazināt IKT incidentu nelabvēlīgo ietekmi. |
| --- | --- |

(10)

Tagad, tā kā ar IKT risku saistītie noteikumi Savienības līmenī ir izskatīti tikai daļēji, pastāv nepilnības vai pārklāšanās svarīgās jomās, piemēram ar IKT saistītu incidentu paziņošanā un digitālās darbības noturības testēšanā, un pretrunas, ko rada atšķirīgu valsts noteikumu rašanās vai izmaksu ziņā neefektīva tādu noteikumu piemērošana, kuri pārklājas. Tas jo īpaši nelabvēlīgi ietekmē tādu augstas IKT intensitātes lietotāju kā finanšu nozari, jo tehnoloģiju riskiem nav robežu un finanšu nozare plaši izvieto pakalpojumus pāri robežām Savienībā un ārpus tās. Individuālām finanšu vienībām, kuras darbojas pāri robežām vai kurām ir vairākas atļaujas (piem., vienai un tai pašai finanšu vienībai var būt banku darbības, ieguldījumu brokeru sabiedrības un maksājumu iestādes atļauja, kuru attiecīgi ir izdevušas dažādas kompetentās iestādes vienā vai vairākās dalībvalstīs), ir grūti pašām saskanīgi un izmaksu ziņā efektīvi novērst IKT risku un mazināt IKT incidentu nelabvēlīgo ietekmi.

| (11) | Tā kā vienotajam noteikumu kopumam nav pievienota visaptveroša IKT vai operacionālā riska sistēma, ir vēl jāsaskaņo galvenās prasības visu finanšu vienību digitālajai darbības noturībai. Tas, ka finanšu vienības, pamatojoties uz minētajām galvenajām prasībām, attīstītu IKT spējas un kopējo noturību nolūkā izturēt darbības pārtraukšanu, palīdzētu saglabāt Savienības finanšu tirgu stabilitāti un integritāti un tādējādi palīdzētu nodrošināt augsta līmeņa aizsardzību Savienības ieguldītājiem un patērētājiem. Tā kā šīs regulas mērķis ir veicināt netraucētu iekšējā tirgus darbību, tās pamatā vajadzētu būt Līguma par Eiropas Savienības darbību (LESD) 114. pantam saskaņā ar tā interpretāciju Eiropas Savienības Tiesas (Tiesa) pastāvīgajā judikatūrā. |
| --- | --- |

(11)

Tā kā vienotajam noteikumu kopumam nav pievienota visaptveroša IKT vai operacionālā riska sistēma, ir vēl jāsaskaņo galvenās prasības visu finanšu vienību digitālajai darbības noturībai. Tas, ka finanšu vienības, pamatojoties uz minētajām galvenajām prasībām, attīstītu IKT spējas un kopējo noturību nolūkā izturēt darbības pārtraukšanu, palīdzētu saglabāt Savienības finanšu tirgu stabilitāti un integritāti un tādējādi palīdzētu nodrošināt augsta līmeņa aizsardzību Savienības ieguldītājiem un patērētājiem. Tā kā šīs regulas mērķis ir veicināt netraucētu iekšējā tirgus darbību, tās pamatā vajadzētu būt Līguma par Eiropas Savienības darbību (LESD) 114. pantam saskaņā ar tā interpretāciju Eiropas Savienības Tiesas (Tiesa) pastāvīgajā judikatūrā.

| (12) | Šīs regulas mērķis ir konsolidēt un atjaunināt IKT riska prasības kā daļu no operacionālā riska prasībām, kuras līdz šim dažādos Savienības tiesību aktos ir aplūkotas atsevišķi. Šajos aktos ir aptvertas galvenās finanšu riska kategorijas (piem., kredītrisks, tirgus risks, darījuma partnera kredītrisks un likviditātes risks, tirgus uzvedības risks), tomēr to pieņemšanas laikā nav visaptveroši aplūkoti visi darbības noturības komponenti. Operacionālā riska noteikumos, kad tie tika sīkāk izstrādāti minētajos Savienības tiesību aktos, priekšroka bieži vien tika dota tradicionālai kvantitatīvajai riska novēršanas pieejai (proti, noteikt kapitāla prasību IKT riska segšanai), nevis paredzēti mērķtiecīgi kvalitatīvie noteikumi, ar kuriem nosaka spējas aizsargāt pret incidentiem, kas saistīti ar IKT, tos atklāt, ierobežot, novērst to sekas un izlabot tos, vai ar kuriem nosaka ziņošanas un digitālās testēšanas spējas. Minētie akti galvenokārt bija paredzēti, lai aptvertu un atjauninātu būtiskākos prudenciālās uzraudzības, tirgus integritātes vai uzvedības noteikumus. Konsolidējot un atjauninot dažādos noteikumus par IKT risku, visiem noteikumiem, kas attiecas uz digitālo risku finanšu nozarē, vajadzētu pirmoreiz būt konsekventi apvienotiem vienā tiesību aktā. Tāpēc šajā regulā tiek novērstas nepilnības vai pretrunas dažos iepriekšējos tiesību aktos, tostarp attiecībā uz tajos izmantoto terminoloģiju, un tajā ir dotas skaidras atsauces uz IKT risku, izmantojot mērķtiecīgus noteikumus par IKT riska pārvaldības spējām, incidentu paziņošanu, darbības noturības testēšanu, kā arī ar trešo personu saistītā IKT riska uzraudzību. Tādējādi ar šo regulu būtu arī jāveicina informētība par IKT risku, un tajā būtu jāatzīst, ka IKT incidenti un darbības noturības trūkums var apdraudēt finanšu vienību stabilitāti. |
| --- | --- |

(12)

Šīs regulas mērķis ir konsolidēt un atjaunināt IKT riska prasības kā daļu no operacionālā riska prasībām, kuras līdz šim dažādos Savienības tiesību aktos ir aplūkotas atsevišķi. Šajos aktos ir aptvertas galvenās finanšu riska kategorijas (piem., kredītrisks, tirgus risks, darījuma partnera kredītrisks un likviditātes risks, tirgus uzvedības risks), tomēr to pieņemšanas laikā nav visaptveroši aplūkoti visi darbības noturības komponenti. Operacionālā riska noteikumos, kad tie tika sīkāk izstrādāti minētajos Savienības tiesību aktos, priekšroka bieži vien tika dota tradicionālai kvantitatīvajai riska novēršanas pieejai (proti, noteikt kapitāla prasību IKT riska segšanai), nevis paredzēti mērķtiecīgi kvalitatīvie noteikumi, ar kuriem nosaka spējas aizsargāt pret incidentiem, kas saistīti ar IKT, tos atklāt, ierobežot, novērst to sekas un izlabot tos, vai ar kuriem nosaka ziņošanas un digitālās testēšanas spējas. Minētie akti galvenokārt bija paredzēti, lai aptvertu un atjauninātu būtiskākos prudenciālās uzraudzības, tirgus integritātes vai uzvedības noteikumus. Konsolidējot un atjauninot dažādos noteikumus par IKT risku, visiem noteikumiem, kas attiecas uz digitālo risku finanšu nozarē, vajadzētu pirmoreiz būt konsekventi apvienotiem vienā tiesību aktā. Tāpēc šajā regulā tiek novērstas nepilnības vai pretrunas dažos iepriekšējos tiesību aktos, tostarp attiecībā uz tajos izmantoto terminoloģiju, un tajā ir dotas skaidras atsauces uz IKT risku, izmantojot mērķtiecīgus noteikumus par IKT riska pārvaldības spējām, incidentu paziņošanu, darbības noturības testēšanu, kā arī ar trešo personu saistītā IKT riska uzraudzību. Tādējādi ar šo regulu būtu arī jāveicina informētība par IKT risku, un tajā būtu jāatzīst, ka IKT incidenti un darbības noturības trūkums var apdraudēt finanšu vienību stabilitāti.

| (13) | Finanšu vienībām IKT riska novēršanā būtu jāievēro vienāda pieeja un vienādi uz principiem balstīti noteikumi, ņemot vērā savu lielumu un vispārējo riska profilu, kā arī savu pakalpojumu, darbību un operāciju veidu, apmēru un sarežģītību. Konsekvence veicina uzticēšanos finanšu sistēmai un tās stabilitātes saglabāšanu, īpaši laikā, kad ir ļoti liela paļaušanās uz IKT sistēmām, platformām un infrastruktūru, kas rada lielāku digitālo risku. Ievērojot kiberhigiēnas pamatus, būtu arī jāizvairās no augstu izmaksu rašanās tautsaimniecībai, pēc iespējas samazinot IKT traucējumu ietekmi un izmaksas. |
| --- | --- |

(13)

Finanšu vienībām IKT riska novēršanā būtu jāievēro vienāda pieeja un vienādi uz principiem balstīti noteikumi, ņemot vērā savu lielumu un vispārējo riska profilu, kā arī savu pakalpojumu, darbību un operāciju veidu, apmēru un sarežģītību. Konsekvence veicina uzticēšanos finanšu sistēmai un tās stabilitātes saglabāšanu, īpaši laikā, kad ir ļoti liela paļaušanās uz IKT sistēmām, platformām un infrastruktūru, kas rada lielāku digitālo risku. Ievērojot kiberhigiēnas pamatus, būtu arī jāizvairās no augstu izmaksu rašanās tautsaimniecībai, pēc iespējas samazinot IKT traucējumu ietekmi un izmaksas.

| (14) | Regula palīdz samazināt regulējuma sarežģītību, sekmē uzraudzības konverģenci un palielina juridisko noteiktību, kā arī veicina atbilstības nodrošināšanas izmaksu ierobežošanu, īpaši attiecībā uz finanšu vienībām, kas darbojas pāri robežām, un mazinot konkurences kropļojumus. Tāpēc izvēle pieņemt regulu, lai izveidotu kopēju sistēmu finanšu vienību digitālās darbības noturībai, ir vispiemērotākais veids, kā nodrošināt viendabīgu un saskaņotu visu IKT riska pārvaldības komponentu piemērošanu Savienības finanšu nozarē. |
| --- | --- |

(14)

Regula palīdz samazināt regulējuma sarežģītību, sekmē uzraudzības konverģenci un palielina juridisko noteiktību, kā arī veicina atbilstības nodrošināšanas izmaksu ierobežošanu, īpaši attiecībā uz finanšu vienībām, kas darbojas pāri robežām, un mazinot konkurences kropļojumus. Tāpēc izvēle pieņemt regulu, lai izveidotu kopēju sistēmu finanšu vienību digitālās darbības noturībai, ir vispiemērotākais veids, kā nodrošināt viendabīgu un saskaņotu visu IKT riska pārvaldības komponentu piemērošanu Savienības finanšu nozarē.

| (15) | Eiropas Parlamenta un Padomes Direktīva (ES) 2016/1148 (7) bija pirmais horizontālais kiberdrošības regulējums, kas ir ieviests Savienības līmenī un tiek piemērots arī trim finanšu vienību veidiem, proti, kredītiestādēm, tirdzniecības vietām un centrālajiem darījumu partneriem. Tomēr, tā kā Direktīvā (ES) 2016/1148 ir paredzēts mehānisms, kā valsts līmenī identificēt pamatpakalpojumu sniedzējus, tikai dažas kredītiestādes, tirdzniecības vietas un centrālie darījumu partneri, ko dalībvalstis ir identificējušas, praksē ir iekļautas direktīvas darbības jomā, un līdz ar to no tām tiek prasīts ievērot tajā noteiktās IKT drošības un incidentu paziņošanas prasības. Eiropas Parlamenta un Padomes Direktīvā (ES) 2022/2555 (8) ir paredzēts vienots kritērijs, lai noteiktu vienības, kas ietilpst tās piemērošanas jomā (lieluma ierobežošanas noteikums), vienlaikus arī tās darbības jomā saglabājot trīs finanšu vienību veidus. |
| --- | --- |

(15)

Eiropas Parlamenta un Padomes Direktīva (ES) 2016/1148 (7) bija pirmais horizontālais kiberdrošības regulējums, kas ir ieviests Savienības līmenī un tiek piemērots arī trim finanšu vienību veidiem, proti, kredītiestādēm, tirdzniecības vietām un centrālajiem darījumu partneriem. Tomēr, tā kā Direktīvā (ES) 2016/1148 ir paredzēts mehānisms, kā valsts līmenī identificēt pamatpakalpojumu sniedzējus, tikai dažas kredītiestādes, tirdzniecības vietas un centrālie darījumu partneri, ko dalībvalstis ir identificējušas, praksē ir iekļautas direktīvas darbības jomā, un līdz ar to no tām tiek prasīts ievērot tajā noteiktās IKT drošības un incidentu paziņošanas prasības. Eiropas Parlamenta un Padomes Direktīvā (ES) 2022/2555 (8) ir paredzēts vienots kritērijs, lai noteiktu vienības, kas ietilpst tās piemērošanas jomā (lieluma ierobežošanas noteikums), vienlaikus arī tās darbības jomā saglabājot trīs finanšu vienību veidus.

| (16) | Tomēr, tā kā šī regula paaugstina dažādo digitālās noturības komponentu saskaņošanas līmeni, ieviešot prasības attiecībā uz IKT riska pārvaldību un ar IKT saistītu incidentu paziņošanu, kuras ir stingrākas salīdzinājumā ar spēkā esošajos Savienības finanšu pakalpojumu tiesību aktos noteiktajām prasībām, šis augstākais līmenis nozīmē arī lielāku saskaņošanu salīdzinājumā ar Direktīvā (ES) 2022/2555 prasībām. Tādēļ šī regula attiecībā pret Direktīvu (ES) 2022/2555 ir lex specialis. Vienlaikus ir svarīgi saglabāt stingru saikni starp finanšu nozari un Savienības horizontālo kiberdrošības regulējumu, kas tagad ir izklāstīts Direktīvā (ES) 2022/2555, lai nodrošinātu saskaņu ar dalībvalstu pieņemtajām kiberdrošības stratēģijām un lai ļautu finanšu uzraudzības iestādēm apzināties kiberincidentus, kas ietekmē citas nozares, uz kurām attiecas minētā direktīva. |
| --- | --- |

(16)

Tomēr, tā kā šī regula paaugstina dažādo digitālās noturības komponentu saskaņošanas līmeni, ieviešot prasības attiecībā uz IKT riska pārvaldību un ar IKT saistītu incidentu paziņošanu, kuras ir stingrākas salīdzinājumā ar spēkā esošajos Savienības finanšu pakalpojumu tiesību aktos noteiktajām prasībām, šis augstākais līmenis nozīmē arī lielāku saskaņošanu salīdzinājumā ar Direktīvā (ES) 2022/2555 prasībām. Tādēļ šī regula attiecībā pret Direktīvu (ES) 2022/2555 ir lex specialis. Vienlaikus ir svarīgi saglabāt stingru saikni starp finanšu nozari un Savienības horizontālo kiberdrošības regulējumu, kas tagad ir izklāstīts Direktīvā (ES) 2022/2555, lai nodrošinātu saskaņu ar dalībvalstu pieņemtajām kiberdrošības stratēģijām un lai ļautu finanšu uzraudzības iestādēm apzināties kiberincidentus, kas ietekmē citas nozares, uz kurām attiecas minētā direktīva.

| (17) | Saskaņā ar 4. panta 2. punktu Līgumā par Eiropas Savienību un neskarot pārskatīšanu Tiesā, šai regulai nebūtu jāietekmē dalībvalstu atbildība par valsts pamatfunkciju īstenošanu sabiedriskās drošības, aizsardzības un valsts drošības aizsardzības jomā, piemēram, attiecībā uz tādas informācijas sniegšanu, kas būtu pretrunā valsts drošības aizsardzībai. |
| --- | --- |

(17)

Saskaņā ar 4. panta 2. punktu Līgumā par Eiropas Savienību un neskarot pārskatīšanu Tiesā, šai regulai nebūtu jāietekmē dalībvalstu atbildība par valsts pamatfunkciju īstenošanu sabiedriskās drošības, aizsardzības un valsts drošības aizsardzības jomā, piemēram, attiecībā uz tādas informācijas sniegšanu, kas būtu pretrunā valsts drošības aizsardzībai.

| (18) | Lai nodrošinātu starpnozaru mācīšanos un efektīvi izmantotu citu nozaru pieredzi kiberdraudu novēršanā, Direktīvā (ES) 2022/2555 minētajām finanšu vienībām arī turpmāk vajadzētu būt daļai no minētās direktīvas “ekosistēmas” (piemēram, Sadarbības grupai un datordrošības incidentu reaģēšanas vienībām (CSIRT)). EUI un valstu kompetentajām iestādēm būtu jāspēj piedalīties stratēģiskās politikas apspriedēs un sadarbības grupas tehniskajā darbā saskaņā ar minēto direktīvu un apmainīties ar informāciju un turpināt sadarboties ar vienotajiem kontaktpunktiem, kas izraudzīti vai izveidoti saskaņā ar minēto direktīvu. Kompetentajām iestādēm saskaņā ar šo regulu būtu arī jākonsultējas un jāsadarbojas ar CSIRT. Kompetentajām iestādēm būtu jāspēj arī lūgt tehniskus ieteikumus no kompetentajām iestādēm, kas izraudzītas vai izveidotas saskaņā ar Direktīvu (ES) 2022/2555, un slēgt sadarbības vienošanās, kuru mērķis ir nodrošināt efektīvus un ātras reakcijas koordinācijas mehānismus. |
| --- | --- |

(18)

Lai nodrošinātu starpnozaru mācīšanos un efektīvi izmantotu citu nozaru pieredzi kiberdraudu novēršanā, Direktīvā (ES) 2022/2555 minētajām finanšu vienībām arī turpmāk vajadzētu būt daļai no minētās direktīvas “ekosistēmas” (piemēram, Sadarbības grupai un datordrošības incidentu reaģēšanas vienībām (CSIRT)). EUI un valstu kompetentajām iestādēm būtu jāspēj piedalīties stratēģiskās politikas apspriedēs un sadarbības grupas tehniskajā darbā saskaņā ar minēto direktīvu un apmainīties ar informāciju un turpināt sadarboties ar vienotajiem kontaktpunktiem, kas izraudzīti vai izveidoti saskaņā ar minēto direktīvu. Kompetentajām iestādēm saskaņā ar šo regulu būtu arī jākonsultējas un jāsadarbojas ar CSIRT. Kompetentajām iestādēm būtu jāspēj arī lūgt tehniskus ieteikumus no kompetentajām iestādēm, kas izraudzītas vai izveidotas saskaņā ar Direktīvu (ES) 2022/2555, un slēgt sadarbības vienošanās, kuru mērķis ir nodrošināt efektīvus un ātras reakcijas koordinācijas mehānismus.

| (19) | Tā kā finanšu vienību digitālā un fiziskā noturība ir cieši saistītas, šajā regulā un Eiropas Parlamenta un Padomes Direktīvā (ES) 2022/2557 (9) ir vajadzīga saskaņota pieeja attiecībā uz kritisko vienību noturību. Tā kā finanšu vienību fiziskā noturība ir visaptveroši izskatīta šīs regulas darbības jomā esošajos IKT riska pārvaldības un ziņošanas pienākumos, Direktīvas (ES) 2022/2557 III un IV nodaļā noteiktie pienākumi nebūtu jāpiemēro finanšu vienībām, uz kurām attiecas minētās direktīvas darbības joma. |
| --- | --- |

(19)

Tā kā finanšu vienību digitālā un fiziskā noturība ir cieši saistītas, šajā regulā un Eiropas Parlamenta un Padomes Direktīvā (ES) 2022/2557 (9) ir vajadzīga saskaņota pieeja attiecībā uz kritisko vienību noturību. Tā kā finanšu vienību fiziskā noturība ir visaptveroši izskatīta šīs regulas darbības jomā esošajos IKT riska pārvaldības un ziņošanas pienākumos, Direktīvas (ES) 2022/2557 III un IV nodaļā noteiktie pienākumi nebūtu jāpiemēro finanšu vienībām, uz kurām attiecas minētās direktīvas darbības joma.

| (20) | Mākoņdatošanas pakalpojumu sniedzēji ir viena no tām digitālo infrastruktūru kategorijām, uz kurām attiecas Direktīva (ES) 2022/2555. Ar šo regulu izveidotā Savienības pārraudzības sistēma (pārraudzības sistēma) attiecas uz visām kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, tostarp mākoņdatošanas pakalpojumu sniedzējiem, kas sniedz IKT pakalpojumus finanšu vienībām, un būtu jāuzskata, ka tā papildina uzraudzību, ko veic, ievērojot Direktīvu (ES) 2022/2555. Turklāt ar šo regulu izveidotajai pārraudzības sistēmai būtu jāattiecas uz mākoņdatošanas pakalpojumu sniedzējiem gadījumā, ja nav Savienības horizontālās sistēmas, ar ko izveido digitālo pārraudzības iestādi. |
| --- | --- |

(20)

Mākoņdatošanas pakalpojumu sniedzēji ir viena no tām digitālo infrastruktūru kategorijām, uz kurām attiecas Direktīva (ES) 2022/2555. Ar šo regulu izveidotā Savienības pārraudzības sistēma (pārraudzības sistēma) attiecas uz visām kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, tostarp mākoņdatošanas pakalpojumu sniedzējiem, kas sniedz IKT pakalpojumus finanšu vienībām, un būtu jāuzskata, ka tā papildina uzraudzību, ko veic, ievērojot Direktīvu (ES) 2022/2555. Turklāt ar šo regulu izveidotajai pārraudzības sistēmai būtu jāattiecas uz mākoņdatošanas pakalpojumu sniedzējiem gadījumā, ja nav Savienības horizontālās sistēmas, ar ko izveido digitālo pārraudzības iestādi.

| (21) | Lai turpinātu pilnībā kontrolēt IKT risku, finanšu vienībām ir jābūt visaptverošām spējām, kas nodrošina spēcīgu un efektīvu IKT riska pārvaldību, kā arī īpašiem visu ar IKT saistītu incidentu novēršanas un nozīmīgāko ar IKT saistītu incidentu paziņošanas mehānismiem un politikai. Tāpat finanšu vienībām būtu jāievieš politika IKT sistēmu, kontroles un procesu testēšanai, kā arī trešo personu IKT riska pārvaldībai. Būtu jāpaaugstina finanšu vienību digitālās darbības noturības pamatlīmenis, vienlaikus ļaujot arī samērīgi piemērot prasības dažām finanšu vienībām, jo īpaši mikrouzņēmumiem, kā arī tām finanšu vienībām, uz kurām attiecas vienkāršota IKT riska pārvaldības sistēma. Lai veicinātu efektīvu arodpensijas kapitāla uzkrāšanas institūciju uzraudzību, kas ir samērīga un pievēršas nepieciešamībai samazināt administratīvo slogu kompetentajām iestādēm, attiecīgajos valsts uzraudzības pasākumos attiecībā uz šādām finanšu vienībām būtu jāņem vērā to lielums un vispārējais riska profils, kā arī to pakalpojumu, darbību un operāciju veids, apmērs un sarežģītība pat tad, ja ir pārsniegtas attiecīgās robežvērtības, kas noteiktas Eiropas Parlamenta un Padomes Direktīvas (ES) 2016/2341 (10) 5. pantā. Jo īpaši uzraudzības darbībās galvenā uzmanība būtu jāpievērš vajadzībai novērst nopietnus riskus, kas saistīti ar konkrētas vienības IKT riska pārvaldību.
  Kompetentajām iestādēm būtu arī jāsaglabā modra, bet samērīga pieeja attiecībā uz arodpensijas kapitāla uzkrāšanas institūciju uzraudzību, kuras saskaņā ar Direktīvas (ES) 2016/2341 31. pantu būtisku savas pamatdarbības daļu, piemēram, aktīvu pārvaldību, aktuāraprēķinus, grāmatvedību un datu pārvaldību, nodod ārpakalpojumu sniedzējiem. |
| --- | --- |

(21)

Lai turpinātu pilnībā kontrolēt IKT risku, finanšu vienībām ir jābūt visaptverošām spējām, kas nodrošina spēcīgu un efektīvu IKT riska pārvaldību, kā arī īpašiem visu ar IKT saistītu incidentu novēršanas un nozīmīgāko ar IKT saistītu incidentu paziņošanas mehānismiem un politikai. Tāpat finanšu vienībām būtu jāievieš politika IKT sistēmu, kontroles un procesu testēšanai, kā arī trešo personu IKT riska pārvaldībai. Būtu jāpaaugstina finanšu vienību digitālās darbības noturības pamatlīmenis, vienlaikus ļaujot arī samērīgi piemērot prasības dažām finanšu vienībām, jo īpaši mikrouzņēmumiem, kā arī tām finanšu vienībām, uz kurām attiecas vienkāršota IKT riska pārvaldības sistēma. Lai veicinātu efektīvu arodpensijas kapitāla uzkrāšanas institūciju uzraudzību, kas ir samērīga un pievēršas nepieciešamībai samazināt administratīvo slogu kompetentajām iestādēm, attiecīgajos valsts uzraudzības pasākumos attiecībā uz šādām finanšu vienībām būtu jāņem vērā to lielums un vispārējais riska profils, kā arī to pakalpojumu, darbību un operāciju veids, apmērs un sarežģītība pat tad, ja ir pārsniegtas attiecīgās robežvērtības, kas noteiktas Eiropas Parlamenta un Padomes Direktīvas (ES) 2016/2341 (10) 5. pantā. Jo īpaši uzraudzības darbībās galvenā uzmanība būtu jāpievērš vajadzībai novērst nopietnus riskus, kas saistīti ar konkrētas vienības IKT riska pārvaldību.

Kompetentajām iestādēm būtu arī jāsaglabā modra, bet samērīga pieeja attiecībā uz arodpensijas kapitāla uzkrāšanas institūciju uzraudzību, kuras saskaņā ar Direktīvas (ES) 2016/2341 31. pantu būtisku savas pamatdarbības daļu, piemēram, aktīvu pārvaldību, aktuāraprēķinus, grāmatvedību un datu pārvaldību, nodod ārpakalpojumu sniedzējiem.

| (22) | Ar IKT saistīto incidentu paziņošanas robežvērtības un taksonomija valstu līmenī ievērojami atšķiras. Lai gan pie kopsaucēja var nonākt ar attiecīgo darbu, ko saskaņā ar Direktīvu (ES) 2022/2555 veic Eiropas Savienības Kiberdrošības aģentūra (ENISA), kas izveidota ar Eiropas Parlamenta un Padomes Regulu (ES) 2019/881 (11), un sadarbības grupa, pārējām finanšu vienībām joprojām pastāv vai var rasties atšķirīgas pieejas attiecībā uz robežvērtību noteikšanu un taksonomijas izmantošanu. Minēto atšķirību dēļ pastāv vairākas prasības, kas finanšu vienībām jāievēro, īpaši tad, kad tās darbojas vairākās dalībvalstīs un kad tās ir finanšu grupas daļa. Turklāt šādas atšķirības rada iespēju kavēt vēl vienotāku vai centralizētu Savienības mehānismu izveidi, kuri paātrina ziņošanas procesu un atbalsta ātru un vienmērīgu informācijas apmaiņu starp kompetentajām iestādēm, kas ir būtiski IKT riska novēršanai liela mēroga uzbrukumu gadījumā ar potenciāli sistēmiskām sekām. |
| --- | --- |

(22)

Ar IKT saistīto incidentu paziņošanas robežvērtības un taksonomija valstu līmenī ievērojami atšķiras. Lai gan pie kopsaucēja var nonākt ar attiecīgo darbu, ko saskaņā ar Direktīvu (ES) 2022/2555 veic Eiropas Savienības Kiberdrošības aģentūra (ENISA), kas izveidota ar Eiropas Parlamenta un Padomes Regulu (ES) 2019/881 (11), un sadarbības grupa, pārējām finanšu vienībām joprojām pastāv vai var rasties atšķirīgas pieejas attiecībā uz robežvērtību noteikšanu un taksonomijas izmantošanu. Minēto atšķirību dēļ pastāv vairākas prasības, kas finanšu vienībām jāievēro, īpaši tad, kad tās darbojas vairākās dalībvalstīs un kad tās ir finanšu grupas daļa. Turklāt šādas atšķirības rada iespēju kavēt vēl vienotāku vai centralizētu Savienības mehānismu izveidi, kuri paātrina ziņošanas procesu un atbalsta ātru un vienmērīgu informācijas apmaiņu starp kompetentajām iestādēm, kas ir būtiski IKT riska novēršanai liela mēroga uzbrukumu gadījumā ar potenciāli sistēmiskām sekām.

| (23) | Lai samazinātu administratīvo slogu un iespējamu ziņošanas pienākumu dublēšanos dažām finanšu vienībām, incidentu paziņošanas prasība, ievērojot Eiropas Parlamenta un Padomes Direktīvu (ES) 2015/2366 (12), vairs nebūtu jāpiemēro maksājumu pakalpojumu sniedzējiem, uz kuriem attiecas šīs regulas darbības joma. Tādēļ kredītiestādēm, elektroniskās naudas iestādēm, maksājumu iestādēm un konta informācijas pakalpojumu sniedzējiem, kā norādīts minētās direktīvas 33. panta 1. punktā, ievērojot šo regulu, būtu no šīs regulas piemērošanas dienas jāziņo par visiem ar maksājumiem saistītiem darbības vai drošības incidentiem, par kuriem iepriekš tika ziņots, ievērojot minēto direktīvu, neatkarīgi no tā, vai šādi incidenti ir saistīti ar IKT. |
| --- | --- |

(23)

Lai samazinātu administratīvo slogu un iespējamu ziņošanas pienākumu dublēšanos dažām finanšu vienībām, incidentu paziņošanas prasība, ievērojot Eiropas Parlamenta un Padomes Direktīvu (ES) 2015/2366 (12), vairs nebūtu jāpiemēro maksājumu pakalpojumu sniedzējiem, uz kuriem attiecas šīs regulas darbības joma. Tādēļ kredītiestādēm, elektroniskās naudas iestādēm, maksājumu iestādēm un konta informācijas pakalpojumu sniedzējiem, kā norādīts minētās direktīvas 33. panta 1. punktā, ievērojot šo regulu, būtu no šīs regulas piemērošanas dienas jāziņo par visiem ar maksājumiem saistītiem darbības vai drošības incidentiem, par kuriem iepriekš tika ziņots, ievērojot minēto direktīvu, neatkarīgi no tā, vai šādi incidenti ir saistīti ar IKT.

| (24) | Lai kompetentās iestādes varētu pildīt uzraudzības uzdevumus, gūstot pilnīgu pārskatu par to, kāda ir ar IKT saistīto incidentu būtība, biežums, nozīme un ietekme, un lai veicinātu informācijas apmaiņu starp attiecīgajām valsts iestādēm, tostarp tiesībaizsardzības iestādēm un noregulējuma iestādēm, šajā regulā būtu jāparedz stabila ar IKT saistītu incidentu paziņošanas kārtība, kurā ar attiecīgām prasībām novērš pašreizējās nepilnības finanšu pakalpojumu tiesību aktos un novērstu pašreizējos pārklāšanās un dublēšanās gadījumus, lai mazinātu izmaksas. Ir svarīgi saskaņot ar IKT saistītu incidentu paziņošanas kārtību, visām finanšu vienībām prasot iesniegt ziņojumus savām kompetentajām iestādēm vienotā, racionalizētā sistēmā, kā izklāstīts šajā regulā. Turklāt EUI būtu jāpilnvaro sīkāk noteikt būtiskus ar IKT saistīto incidentu paziņošanas sistēmas elementus, piemēram, taksonomiju, termiņus, datu kopas, veidnes un piemērojamās robežvērtības. Lai nodrošinātu pilnīgu saskaņotību ar Direktīvu (ES) 2022/2555, finanšu vienībām būtu jāļauj brīvprātīgi paziņot attiecīgajai kompetentajai iestādei par būtiskiem kiberdraudiem, ja tās uzskata, ka kiberdraudi ir būtiski finanšu sistēmai, pakalpojumu lietotājiem vai klientiem. |
| --- | --- |

(24)

Lai kompetentās iestādes varētu pildīt uzraudzības uzdevumus, gūstot pilnīgu pārskatu par to, kāda ir ar IKT saistīto incidentu būtība, biežums, nozīme un ietekme, un lai veicinātu informācijas apmaiņu starp attiecīgajām valsts iestādēm, tostarp tiesībaizsardzības iestādēm un noregulējuma iestādēm, šajā regulā būtu jāparedz stabila ar IKT saistītu incidentu paziņošanas kārtība, kurā ar attiecīgām prasībām novērš pašreizējās nepilnības finanšu pakalpojumu tiesību aktos un novērstu pašreizējos pārklāšanās un dublēšanās gadījumus, lai mazinātu izmaksas. Ir svarīgi saskaņot ar IKT saistītu incidentu paziņošanas kārtību, visām finanšu vienībām prasot iesniegt ziņojumus savām kompetentajām iestādēm vienotā, racionalizētā sistēmā, kā izklāstīts šajā regulā. Turklāt EUI būtu jāpilnvaro sīkāk noteikt būtiskus ar IKT saistīto incidentu paziņošanas sistēmas elementus, piemēram, taksonomiju, termiņus, datu kopas, veidnes un piemērojamās robežvērtības. Lai nodrošinātu pilnīgu saskaņotību ar Direktīvu (ES) 2022/2555, finanšu vienībām būtu jāļauj brīvprātīgi paziņot attiecīgajai kompetentajai iestādei par būtiskiem kiberdraudiem, ja tās uzskata, ka kiberdraudi ir būtiski finanšu sistēmai, pakalpojumu lietotājiem vai klientiem.

| (25) | Dažās finanšu apakšnozarēs ir izstrādātas digitālās darbības noturības testēšanas prasības, nosakot sistēmas, kas ne vienmēr ir pilnībā saskaņotas. Tā rezultātā pārrobežu finanšu vienībām var rasties izmaksu dublēšanās un tiek sarežģīta savstarpēja digitālās darbības noturības testēšanas rezultātu atzīšana, un tas savukārt var sadrumstalot iekšējo tirgu. |
| --- | --- |

(25)

Dažās finanšu apakšnozarēs ir izstrādātas digitālās darbības noturības testēšanas prasības, nosakot sistēmas, kas ne vienmēr ir pilnībā saskaņotas. Tā rezultātā pārrobežu finanšu vienībām var rasties izmaksu dublēšanās un tiek sarežģīta savstarpēja digitālās darbības noturības testēšanas rezultātu atzīšana, un tas savukārt var sadrumstalot iekšējo tirgu.

| (26) | Turklāt, ja IKT testēšana netiek prasīta, ievainojamība paliek neatklāta un tā rezultātā finanšu vienība tiek pakļauta IKT riskam, un galu galā rodas lielāks risks finanšu nozares stabilitātei un integritātei. Bez Savienības iejaukšanās digitālās darbības noturības testēšana arī turpmāk būtu nekonsekventa un trūktu sistēmas savstarpējai IKT testēšanas rezultātu atzīšanai dažādās jurisdikcijās. Turklāt, tā kā ir maz ticams, ka citas finanšu apakšnozares nozīmīgā apmērā pieņemtu testēšanas shēmas, tās zaudētu iespējamos ieguvumus no testēšanas sistēmas attiecībā uz IKT ievainojamību un risku atklāšanu, un aizsardzības spēju un darbības nepārtrauktības testēšanu, kas palīdz vairot klientu, piegādātāju un darījumu partneru uzticēšanos. Lai novērstu minēto pārklāšanos, atšķirības un nepilnības, ir jāparedz noteikumi koordinētai testēšanas kārtībai un tādējādi jāatvieglo savstarpēja pastiprinātas testēšanas atzīšana, kuru veic tām finanšu vienībām, kuras atbilst šajā regulā izklāstītiem kritērijiem. |
| --- | --- |

(26)

Turklāt, ja IKT testēšana netiek prasīta, ievainojamība paliek neatklāta un tā rezultātā finanšu vienība tiek pakļauta IKT riskam, un galu galā rodas lielāks risks finanšu nozares stabilitātei un integritātei. Bez Savienības iejaukšanās digitālās darbības noturības testēšana arī turpmāk būtu nekonsekventa un trūktu sistēmas savstarpējai IKT testēšanas rezultātu atzīšanai dažādās jurisdikcijās. Turklāt, tā kā ir maz ticams, ka citas finanšu apakšnozares nozīmīgā apmērā pieņemtu testēšanas shēmas, tās zaudētu iespējamos ieguvumus no testēšanas sistēmas attiecībā uz IKT ievainojamību un risku atklāšanu, un aizsardzības spēju un darbības nepārtrauktības testēšanu, kas palīdz vairot klientu, piegādātāju un darījumu partneru uzticēšanos. Lai novērstu minēto pārklāšanos, atšķirības un nepilnības, ir jāparedz noteikumi koordinētai testēšanas kārtībai un tādējādi jāatvieglo savstarpēja pastiprinātas testēšanas atzīšana, kuru veic tām finanšu vienībām, kuras atbilst šajā regulā izklāstītiem kritērijiem.

| (27) | Finanšu vienību paļaušanos uz IKT pakalpojumu izmantošanu daļēji nosaka to nepieciešamība pielāgoties jaunai konkurencei digitālajā globālajā ekonomikā, celt uzņēmējdarbības efektivitāti un apmierināt klientu pieprasījumu. Šādas paļaušanās veids un apmērs pēdējo gadu laikā ir pastāvīgi mainījies, sekmējot finanšu starpniecības izmaksu samazināšanos, ļaujot uzņēmumiem paplašināties un mērogot finanšu darbību izvēršanu, vienlaikus piedāvājot plašu IKT rīku klāstu sarežģītu iekšējo procesu pārvaldībai. |
| --- | --- |

(27)

Finanšu vienību paļaušanos uz IKT pakalpojumu izmantošanu daļēji nosaka to nepieciešamība pielāgoties jaunai konkurencei digitālajā globālajā ekonomikā, celt uzņēmējdarbības efektivitāti un apmierināt klientu pieprasījumu. Šādas paļaušanās veids un apmērs pēdējo gadu laikā ir pastāvīgi mainījies, sekmējot finanšu starpniecības izmaksu samazināšanos, ļaujot uzņēmumiem paplašināties un mērogot finanšu darbību izvēršanu, vienlaikus piedāvājot plašu IKT rīku klāstu sarežģītu iekšējo procesu pārvaldībai.

| (28) | Plašo IKT pakalpojumu izmantošanu apliecina sarežģītas līgumiskas vienošanās, kuru kontekstā finanšu vienībām bieži rodas grūtības vienoties par līguma noteikumiem, kas būtu pielāgoti prudenciālajiem standartiem vai citām regulatīvām prasībām, kas tām jāievēro, vai citādi īstenot īpašas tiesības, piemēram, piekļuves tiesības vai revīzijas tiesības, pat ja to līgumiskās vienošanās tādas paredz. Turklāt daudzas minētās līgumiskās vienošanās neparedz pietiekamus aizsardzības pasākumus, kas ļautu pilnībā uzraudzīt apakšuzņēmuma līguma slēgšanas procesus, tādējādi liedzot finanšu vienībai spēju novērtēt ar to saistītos riskus. Turklāt, tā kā trešās personas, kas ir IKT pakalpojumu sniedzējas, bieži sniedz standartizētus pakalpojumus dažādu veidu klientiem, šādas līgumiskas vienošanās ne vienmēr pienācīgi atbilst individuālām vai īpašām finanšu nozares dalībnieku vajadzībām. |
| --- | --- |

(28)

Plašo IKT pakalpojumu izmantošanu apliecina sarežģītas līgumiskas vienošanās, kuru kontekstā finanšu vienībām bieži rodas grūtības vienoties par līguma noteikumiem, kas būtu pielāgoti prudenciālajiem standartiem vai citām regulatīvām prasībām, kas tām jāievēro, vai citādi īstenot īpašas tiesības, piemēram, piekļuves tiesības vai revīzijas tiesības, pat ja to līgumiskās vienošanās tādas paredz. Turklāt daudzas minētās līgumiskās vienošanās neparedz pietiekamus aizsardzības pasākumus, kas ļautu pilnībā uzraudzīt apakšuzņēmuma līguma slēgšanas procesus, tādējādi liedzot finanšu vienībai spēju novērtēt ar to saistītos riskus. Turklāt, tā kā trešās personas, kas ir IKT pakalpojumu sniedzējas, bieži sniedz standartizētus pakalpojumus dažādu veidu klientiem, šādas līgumiskas vienošanās ne vienmēr pienācīgi atbilst individuālām vai īpašām finanšu nozares dalībnieku vajadzībām.

| (29) | Lai arī Savienības tiesību aktos par finanšu pakalpojumiem ir daži vispārīgi noteikumi par ārpakalpojumiem, līgumiskās dimensijas uzraudzība Savienības tiesību aktos nav pilnībā nostiprināta. Tā kā nav skaidru un pielāgotu Savienības standartu, kas attiektos uz līgumisku vienošanos, kas ir noslēgta ar trešām personām, kas sniedz IKT pakalpojumus, IKT riska ārējais avots nav visaptveroši aplūkots. Tādēļ ir jānosaka daži pamatprincipi, pēc kuriem finanšu vienības vadītos attiecībā uz trešo personu IKT risku un kuri ir īpaši svarīgi, ja finanšu vienības izmanto trešās personas, kas sniedz IKT pakalpojumus, savu kritiski svarīgo vai svarīgo funkciju atbalstam. Minētie principi būtu jāpapildina ar līgumisko pamattiesību kopumu attiecībā uz vairākiem līgumisko vienošanos izpildes un izbeigšanas elementiem konkrētu minimālo aizsardzības pasākumu nodrošināšanai, lai stiprinātu finanšu vienības spēju efektīvi uzraudzīt visu IKT risku, kas rodas to trešo personu līmenī, kuras sniedz pakalpojumus. Minētie principi papildina nozaru tiesību aktus, ko piemēro ārpakalpojumiem. |
| --- | --- |

(29)

Lai arī Savienības tiesību aktos par finanšu pakalpojumiem ir daži vispārīgi noteikumi par ārpakalpojumiem, līgumiskās dimensijas uzraudzība Savienības tiesību aktos nav pilnībā nostiprināta. Tā kā nav skaidru un pielāgotu Savienības standartu, kas attiektos uz līgumisku vienošanos, kas ir noslēgta ar trešām personām, kas sniedz IKT pakalpojumus, IKT riska ārējais avots nav visaptveroši aplūkots. Tādēļ ir jānosaka daži pamatprincipi, pēc kuriem finanšu vienības vadītos attiecībā uz trešo personu IKT risku un kuri ir īpaši svarīgi, ja finanšu vienības izmanto trešās personas, kas sniedz IKT pakalpojumus, savu kritiski svarīgo vai svarīgo funkciju atbalstam. Minētie principi būtu jāpapildina ar līgumisko pamattiesību kopumu attiecībā uz vairākiem līgumisko vienošanos izpildes un izbeigšanas elementiem konkrētu minimālo aizsardzības pasākumu nodrošināšanai, lai stiprinātu finanšu vienības spēju efektīvi uzraudzīt visu IKT risku, kas rodas to trešo personu līmenī, kuras sniedz pakalpojumus. Minētie principi papildina nozaru tiesību aktus, ko piemēro ārpakalpojumiem.

| (30) | Pašlaik pastāv zināms viendabības un konverģences trūkums attiecībā uz to, kā tiek uzraudzīts ar trešo personu saistītais IKT risks un trešo personu atkarība no IKT. Neraugoties uz tādiem centieniem risināt ārpakalpojumu jautājumu kā EBI 2019. gada pamatnostādnes par ārpakalpojumu izmantošanu un EVTI 2021. gada pamatnostādnes par ārpakalpojumu nodošanu mākoņpakalpojumu sniedzējiem, plašākais jautājums par vēršanos pret sistēmisku risku, ko varētu izraisīt finanšu nozares pakļautība ierobežotam skaitam kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, Savienības tiesību aktos nav pietiekami aplūkots. Noteikumu trūkumu Savienības līmenī saasina tas, ka nav valstu noteikumu par pilnvarojumiem un rīkiem, kas ļautu finanšu uzraudzības iestādēm iegūt labu izpratni par atkarību no trešām personām, kas sniedz IKT pakalpojumus, un pienācīgi uzraudzīt riskus, ko rada koncentrēta atkarība no trešām personām, kas sniedz IKT pakalpojumus. |
| --- | --- |

(30)

Pašlaik pastāv zināms viendabības un konverģences trūkums attiecībā uz to, kā tiek uzraudzīts ar trešo personu saistītais IKT risks un trešo personu atkarība no IKT. Neraugoties uz tādiem centieniem risināt ārpakalpojumu jautājumu kā EBI 2019. gada pamatnostādnes par ārpakalpojumu izmantošanu un EVTI 2021. gada pamatnostādnes par ārpakalpojumu nodošanu mākoņpakalpojumu sniedzējiem, plašākais jautājums par vēršanos pret sistēmisku risku, ko varētu izraisīt finanšu nozares pakļautība ierobežotam skaitam kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, Savienības tiesību aktos nav pietiekami aplūkots. Noteikumu trūkumu Savienības līmenī saasina tas, ka nav valstu noteikumu par pilnvarojumiem un rīkiem, kas ļautu finanšu uzraudzības iestādēm iegūt labu izpratni par atkarību no trešām personām, kas sniedz IKT pakalpojumus, un pienācīgi uzraudzīt riskus, ko rada koncentrēta atkarība no trešām personām, kas sniedz IKT pakalpojumus.

| (31) | Ņemot vērā iespējamo sistēmisko risku, ko rada ārpakalpojumu izmantošanas prakse un IKT trešo personu koncentrācija, un paturot prātā to, ka valstu mehānismi nav pietiekami, lai finanšu uzraudzības iestādēm nodrošinātu pienācīgus rīkus, ar ko kvantitatīvi noteikt, kvalificēt un novērst tāda IKT riska sekas, kas rodas kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, ir jāizveido pienācīga pārraudzības sistēma, kas ļautu pastāvīgi uzraudzīt to trešo personu darbības, kuras sniedz IKT pakalpojumus, kas ir kritiski svarīgi pakalpojumu sniedzēji finanšu vienībām, vienlaikus nodrošinot klientu un citu finanšu vienību konfidencialitātes un drošības saglabāšanu. Lai gan IKT pakalpojumu sniegšana grupas iekšienē rada īpašus riskus un ieguvumus, nevajadzētu automātiski uzskatīt, ka tā nav tik riskanta kā IKT pakalpojumu sniegšana, ko īsteno pakalpojumu sniedzēji ārpus finanšu grupas, un tāpēc uz to būtu jāattiecina tas pats tiesiskais regulējums. Tomēr, ja IKT pakalpojumi tiek sniegti vienā un tajā pašā finanšu grupā, finanšu vienības pakalpojumu sniedzējus grupas iekšienē varētu kontrolēt augstākā līmenī, un tas būtu jāņem vērā vispārējā riska novērtējumā. |
| --- | --- |

(31)

Ņemot vērā iespējamo sistēmisko risku, ko rada ārpakalpojumu izmantošanas prakse un IKT trešo personu koncentrācija, un paturot prātā to, ka valstu mehānismi nav pietiekami, lai finanšu uzraudzības iestādēm nodrošinātu pienācīgus rīkus, ar ko kvantitatīvi noteikt, kvalificēt un novērst tāda IKT riska sekas, kas rodas kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, ir jāizveido pienācīga pārraudzības sistēma, kas ļautu pastāvīgi uzraudzīt to trešo personu darbības, kuras sniedz IKT pakalpojumus, kas ir kritiski svarīgi pakalpojumu sniedzēji finanšu vienībām, vienlaikus nodrošinot klientu un citu finanšu vienību konfidencialitātes un drošības saglabāšanu. Lai gan IKT pakalpojumu sniegšana grupas iekšienē rada īpašus riskus un ieguvumus, nevajadzētu automātiski uzskatīt, ka tā nav tik riskanta kā IKT pakalpojumu sniegšana, ko īsteno pakalpojumu sniedzēji ārpus finanšu grupas, un tāpēc uz to būtu jāattiecina tas pats tiesiskais regulējums. Tomēr, ja IKT pakalpojumi tiek sniegti vienā un tajā pašā finanšu grupā, finanšu vienības pakalpojumu sniedzējus grupas iekšienē varētu kontrolēt augstākā līmenī, un tas būtu jāņem vērā vispārējā riska novērtējumā.

| (32) | Tā kā IKT risks kļūst arvien sarežģītāks un attīstītāks, labi pasākumi IKT riska atklāšanai un profilaksei lielākoties ir atkarīgi no regulāras apdraudējumu un ievainojamības izlūkdatu apmaiņas starp finanšu vienībām. Informācijas apmaiņa veicina lielākas izpratnes veidošanu par kiberdraudiem. Tas savukārt uzlabo finanšu vienību spēju novērst kiberdraudu pārtapšanu reālos ar IKT saistītos incidentos un ļauj finanšu vienībām efektīvāk ierobežot ar IKT saistīto incidentu ietekmi un ātrāk novērst to sekas. Tā kā nepastāv Savienības līmeņa norādījumi, šādu izlūkdatu apmaiņu, šķiet, ir kavējuši vairāki faktori, jo īpaši nenoteiktība attiecībā uz tās saderību ar datu aizsardzības, pretmonopola un atbildības noteikumiem. |
| --- | --- |

(32)

Tā kā IKT risks kļūst arvien sarežģītāks un attīstītāks, labi pasākumi IKT riska atklāšanai un profilaksei lielākoties ir atkarīgi no regulāras apdraudējumu un ievainojamības izlūkdatu apmaiņas starp finanšu vienībām. Informācijas apmaiņa veicina lielākas izpratnes veidošanu par kiberdraudiem. Tas savukārt uzlabo finanšu vienību spēju novērst kiberdraudu pārtapšanu reālos ar IKT saistītos incidentos un ļauj finanšu vienībām efektīvāk ierobežot ar IKT saistīto incidentu ietekmi un ātrāk novērst to sekas. Tā kā nepastāv Savienības līmeņa norādījumi, šādu izlūkdatu apmaiņu, šķiet, ir kavējuši vairāki faktori, jo īpaši nenoteiktība attiecībā uz tās saderību ar datu aizsardzības, pretmonopola un atbildības noteikumiem.

| (33) | Turklāt noderīga informācija tiek noklusēta tādēļ, ka pastāv šaubas par to, kādu informāciju var koplietot ar citiem tirgus dalībniekiem vai iestādēm, kas nav uzraudzības iestādes (piemēram, ENISA attiecībā uz analītiskajiem ievaddatiem vai Eiropolu – tiesībaizsardzības mērķiem). Tādēļ patlaban informācijas apmaiņas apjoms un kvalitāte joprojām ir ierobežoti un sadrumstaloti, attiecīgā apmaiņa pārsvarā tiek veikta vietējā līmenī (izmantojot valstu iniciatīvas), un nepastāv konsekventa Savienības mēroga informācijas apmaiņas kārtība, kas būtu pielāgota integrētas finanšu sistēmas vajadzībām. Šajā sakarā ir svarīgi stiprināt minētos saziņas kanālus. |
| --- | --- |

(33)

Turklāt noderīga informācija tiek noklusēta tādēļ, ka pastāv šaubas par to, kādu informāciju var koplietot ar citiem tirgus dalībniekiem vai iestādēm, kas nav uzraudzības iestādes (piemēram, ENISA attiecībā uz analītiskajiem ievaddatiem vai Eiropolu – tiesībaizsardzības mērķiem). Tādēļ patlaban informācijas apmaiņas apjoms un kvalitāte joprojām ir ierobežoti un sadrumstaloti, attiecīgā apmaiņa pārsvarā tiek veikta vietējā līmenī (izmantojot valstu iniciatīvas), un nepastāv konsekventa Savienības mēroga informācijas apmaiņas kārtība, kas būtu pielāgota integrētas finanšu sistēmas vajadzībām. Šajā sakarā ir svarīgi stiprināt minētos saziņas kanālus.

| (34) | Finanšu vienības būtu jāmudina savstarpēji apmainīties ar informāciju par kiberdraudiem un ar izlūkdatiem un kolektīvi izmantot to individuālās zināšanas un praktisko pieredzi stratēģiskā, taktiskā un darbības līmenī, lai uzlabotu to spējas pienācīgi novērtēt un uzraudzīt kiberdraudus, aizsargāties pret tiem un reaģēt uz tiem, piedaloties informācijas apmaiņas pasākumos. Tādēļ ir nepieciešams ļaut Savienības līmenī rasties mehānismiem, kuri paredz brīvprātīgu informācijas apmaiņas kārtību un kuri, veikti uzticamā vidē, palīdzēs finanšu nozares kopienai novērst kiberdraudus un kolektīvi reaģēt uz tiem, ātri ierobežojot IKT riska izplatīšanos un kavējot iespējamu kaitīgas ietekmes izplatīšanos pa finanšu kanāliem. Minētajiem mehānismiem būtu jāatbilst piemērojamajiem Savienības konkurences tiesību noteikumiem, kas izklāstīti Komisijas 2011. gada 14. janvāra paziņojumā “Pamatnostādnes par Līguma par Eiropas Savienības darbību 101. panta piemērojamību horizontālās sadarbības nolīgumiem”, kā arī Savienības datu aizsardzības noteikumiem, jo īpaši Eiropas Parlamenta un Padomes Regulai (ES) 2016/679 (13). Minētajiem mehānismiem būtu jādarbojas, pamatojoties uz viena vai vairāku minētās regulas 6. pantā noteikto juridisko pamatu izmantošanu, piemēram, saistībā ar minētās regulas 6. panta 1. punkta f) apakšpunktā minēto personas datu apstrādi, kas ir nepieciešama pārziņa vai trešās personas leģitīmo interešu ievērošanai, kā arī saistībā ar personas datu apstrādi, kas ir nepieciešama, lai izpildītu uz pārzini attiecināmas juridiskas saistības, un kas ir vajadzīga, lai izpildītu uzdevumu, ko veic sabiedrības interesēs vai īstenojot pārzinim likumīgi piešķirtās oficiālās pilnvaras, kā attiecīgi norādīts minētās regulas 6. panta 1. punkta c) un e) apakšpunktā. |
| --- | --- |

(34)

Finanšu vienības būtu jāmudina savstarpēji apmainīties ar informāciju par kiberdraudiem un ar izlūkdatiem un kolektīvi izmantot to individuālās zināšanas un praktisko pieredzi stratēģiskā, taktiskā un darbības līmenī, lai uzlabotu to spējas pienācīgi novērtēt un uzraudzīt kiberdraudus, aizsargāties pret tiem un reaģēt uz tiem, piedaloties informācijas apmaiņas pasākumos. Tādēļ ir nepieciešams ļaut Savienības līmenī rasties mehānismiem, kuri paredz brīvprātīgu informācijas apmaiņas kārtību un kuri, veikti uzticamā vidē, palīdzēs finanšu nozares kopienai novērst kiberdraudus un kolektīvi reaģēt uz tiem, ātri ierobežojot IKT riska izplatīšanos un kavējot iespējamu kaitīgas ietekmes izplatīšanos pa finanšu kanāliem. Minētajiem mehānismiem būtu jāatbilst piemērojamajiem Savienības konkurences tiesību noteikumiem, kas izklāstīti Komisijas 2011. gada 14. janvāra paziņojumā “Pamatnostādnes par Līguma par Eiropas Savienības darbību 101. panta piemērojamību horizontālās sadarbības nolīgumiem”, kā arī Savienības datu aizsardzības noteikumiem, jo īpaši Eiropas Parlamenta un Padomes Regulai (ES) 2016/679 (13). Minētajiem mehānismiem būtu jādarbojas, pamatojoties uz viena vai vairāku minētās regulas 6. pantā noteikto juridisko pamatu izmantošanu, piemēram, saistībā ar minētās regulas 6. panta 1. punkta f) apakšpunktā minēto personas datu apstrādi, kas ir nepieciešama pārziņa vai trešās personas leģitīmo interešu ievērošanai, kā arī saistībā ar personas datu apstrādi, kas ir nepieciešama, lai izpildītu uz pārzini attiecināmas juridiskas saistības, un kas ir vajadzīga, lai izpildītu uzdevumu, ko veic sabiedrības interesēs vai īstenojot pārzinim likumīgi piešķirtās oficiālās pilnvaras, kā attiecīgi norādīts minētās regulas 6. panta 1. punkta c) un e) apakšpunktā.

| (35) | Lai saglabātu augstu digitālās darbības noturības līmeni visā finanšu nozarē un vienlaikus ietu kopsolī ar tehnoloģiju attīstību, ar šo regulu būtu jānovērš risks, kas izriet no visu veidu IKT pakalpojumiem. Šajā nolūkā IKT pakalpojumu definīcija šīs regulas kontekstā būtu jāsaprot plaši, ietverot digitālos un datu pakalpojumus, ko ar IKT sistēmu starpniecību pastāvīgi sniedz vienam vai vairākiem iekšējiem vai ārējiem lietotājiem. Minētajai definīcijai, piemēram, būtu jāietver tā sauktie OTT (over the top) pakalpojumi, kas ietilpst elektronisko komunikāciju pakalpojumu kategorijā. Tajā nebūtu jāietver tikai ierobežota tādu tradicionālo analogās telefonijas pakalpojumu kategorija, kuri kvalificējami kā publiskā komutējamā telefonu tīkla (PSTN) pakalpojumi, fiksētā tīkla pakalpojumi, analogā balss telefonijas pieslēguma pakalpojumi (POTS) vai fiksētās telefonijas pakalpojumi. |
| --- | --- |

(35)

Lai saglabātu augstu digitālās darbības noturības līmeni visā finanšu nozarē un vienlaikus ietu kopsolī ar tehnoloģiju attīstību, ar šo regulu būtu jānovērš risks, kas izriet no visu veidu IKT pakalpojumiem. Šajā nolūkā IKT pakalpojumu definīcija šīs regulas kontekstā būtu jāsaprot plaši, ietverot digitālos un datu pakalpojumus, ko ar IKT sistēmu starpniecību pastāvīgi sniedz vienam vai vairākiem iekšējiem vai ārējiem lietotājiem. Minētajai definīcijai, piemēram, būtu jāietver tā sauktie OTT (over the top) pakalpojumi, kas ietilpst elektronisko komunikāciju pakalpojumu kategorijā. Tajā nebūtu jāietver tikai ierobežota tādu tradicionālo analogās telefonijas pakalpojumu kategorija, kuri kvalificējami kā publiskā komutējamā telefonu tīkla (PSTN) pakalpojumi, fiksētā tīkla pakalpojumi, analogā balss telefonijas pieslēguma pakalpojumi (POTS) vai fiksētās telefonijas pakalpojumi.

| (36) | Neraugoties uz šajā regulā paredzēto plašo darbības jomu, piemērojot digitālās darbības noturības noteikumus, būtu jāņem vērā nozīmīgas atšķirības attiecībā uz finanšu vienību lielumu un vispārējo riska profilu. Vispārīgs princips paredz, ka finanšu vienībām, sadalot resursus un spējas IKT riska pārvaldības sistēmas īstenošanai, ar IKT saistītās vajadzības būtu pienācīgi jālīdzsvaro ar to lielumu un vispārējo riska profilu un to pakalpojumu, darbību un operāciju veidu, apmēru un sarežģītību, savukārt kompetentajām iestādēm būtu jāturpina vērtēt un pārskatīt šādas sadales pieeju. |
| --- | --- |

(36)

Neraugoties uz šajā regulā paredzēto plašo darbības jomu, piemērojot digitālās darbības noturības noteikumus, būtu jāņem vērā nozīmīgas atšķirības attiecībā uz finanšu vienību lielumu un vispārējo riska profilu. Vispārīgs princips paredz, ka finanšu vienībām, sadalot resursus un spējas IKT riska pārvaldības sistēmas īstenošanai, ar IKT saistītās vajadzības būtu pienācīgi jālīdzsvaro ar to lielumu un vispārējo riska profilu un to pakalpojumu, darbību un operāciju veidu, apmēru un sarežģītību, savukārt kompetentajām iestādēm būtu jāturpina vērtēt un pārskatīt šādas sadales pieeju.

| (37) | Konta informācijas pakalpojumu sniedzēji, kas minēti Direktīvas (ES) 2015/2366 33. panta 1. punktā, ir nepārprotami iekļauti šīs regulas darbības jomā, ņemot vērā to darbības veidu un ar to saistītos riskus. Turklāt elektroniskās naudas iestādes un maksājumu iestādes, kurām piemēro izņēmumu, ievērojot Eiropas Parlamenta un Padomes Direktīvas 2009/110/EK (14) 9. panta 1. punktu un Direktīvas (ES) 2015/2366 32. panta 1. punktu, ir iekļautas šīs regulas darbības jomā, pat ja tām saskaņā ar Direktīvu 2009/110/EK nav piešķirta atļauja emitēt elektronisko naudu vai ja tām saskaņā ar Direktīvu (ES) 2015/2366 nav piešķirta atļauja sniegt un izpildīt maksājumu pakalpojumus. Tomēr šīs regulas darbības jomā nav iekļautas pasta žiro norēķinu iestādes, kas minētas Eiropas Parlamenta un Padomes Direktīvas 2013/36/ES (15) 2. panta 5. punkta 3. apakšpunktā. Kompetentajai iestādei, ko izraugās maksājumu iestādēm, kam piemēro izņēmumu, ievērojot Direktīvu (ES) 2015/2366, elektroniskās naudas iestādēm, kam piemēro izņēmumu, ievērojot Direktīvu 2009/110/EK, un konta informācijas pakalpojumu sniedzējiem, kas minēti Direktīvas (ES) 2015/2366 33. panta 1. punktā, vajadzētu būt kompetentajai iestādei, kas izraudzīta saskaņā ar Direktīvas (ES) 2015/2366 22. pantu. |
| --- | --- |

(37)

Konta informācijas pakalpojumu sniedzēji, kas minēti Direktīvas (ES) 2015/2366 33. panta 1. punktā, ir nepārprotami iekļauti šīs regulas darbības jomā, ņemot vērā to darbības veidu un ar to saistītos riskus. Turklāt elektroniskās naudas iestādes un maksājumu iestādes, kurām piemēro izņēmumu, ievērojot Eiropas Parlamenta un Padomes Direktīvas 2009/110/EK (14) 9. panta 1. punktu un Direktīvas (ES) 2015/2366 32. panta 1. punktu, ir iekļautas šīs regulas darbības jomā, pat ja tām saskaņā ar Direktīvu 2009/110/EK nav piešķirta atļauja emitēt elektronisko naudu vai ja tām saskaņā ar Direktīvu (ES) 2015/2366 nav piešķirta atļauja sniegt un izpildīt maksājumu pakalpojumus. Tomēr šīs regulas darbības jomā nav iekļautas pasta žiro norēķinu iestādes, kas minētas Eiropas Parlamenta un Padomes Direktīvas 2013/36/ES (15) 2. panta 5. punkta 3. apakšpunktā. Kompetentajai iestādei, ko izraugās maksājumu iestādēm, kam piemēro izņēmumu, ievērojot Direktīvu (ES) 2015/2366, elektroniskās naudas iestādēm, kam piemēro izņēmumu, ievērojot Direktīvu 2009/110/EK, un konta informācijas pakalpojumu sniedzējiem, kas minēti Direktīvas (ES) 2015/2366 33. panta 1. punktā, vajadzētu būt kompetentajai iestādei, kas izraudzīta saskaņā ar Direktīvas (ES) 2015/2366 22. pantu.

| (38) | Tā kā lielākām finanšu vienībām varētu būt vairāk resursu un tās var ātri novirzīt līdzekļus pārvaldības struktūru attīstīšanai un dažādu korporatīvo stratēģiju izveidošanai, sarežģītāka pārvaldības kārtība būtu obligāti jāizveido tikai tām finanšu vienībām, kas nav mikrouzņēmumi šīs regulas nozīmē. Šādām vienībām ir lielākas iespējas izveidot īpašas vadības funkcijas, lai uzraudzītu vienošanās ar trešām personām, kas sniedz IKT pakalpojumus, vai pārvarētu krīzi, organizētu IKT riska pārvaldību atbilstīgi trīs aizsardzības līniju modelim vai izveidotu iekšēju riska pārvaldības un kontroles modeli, un iesniegt iekšējai revīzijai savu IKT riska pārvaldības sistēmu. |
| --- | --- |

(38)

Tā kā lielākām finanšu vienībām varētu būt vairāk resursu un tās var ātri novirzīt līdzekļus pārvaldības struktūru attīstīšanai un dažādu korporatīvo stratēģiju izveidošanai, sarežģītāka pārvaldības kārtība būtu obligāti jāizveido tikai tām finanšu vienībām, kas nav mikrouzņēmumi šīs regulas nozīmē. Šādām vienībām ir lielākas iespējas izveidot īpašas vadības funkcijas, lai uzraudzītu vienošanās ar trešām personām, kas sniedz IKT pakalpojumus, vai pārvarētu krīzi, organizētu IKT riska pārvaldību atbilstīgi trīs aizsardzības līniju modelim vai izveidotu iekšēju riska pārvaldības un kontroles modeli, un iesniegt iekšējai revīzijai savu IKT riska pārvaldības sistēmu.

| (39) | Dažas finanšu vienības gūst labumu no izņēmumiem vai arī tām piemēro ļoti atvieglotu tiesisko regulējumu saskaņā ar attiecīgajiem konkrētai nozarei piemērojamajiem Savienības tiesību aktiem. Šādas finanšu sabiedrības ietver alternatīvo ieguldījumu fondu pārvaldniekus, kas minēti Eiropas Parlamenta un Padomes Direktīvas 2011/61/ES (16) 3. panta 2. punktā, apdrošināšanas un pārapdrošināšanas sabiedrības, kas minētas Eiropas Parlamenta un Padomes Direktīvas 2009/138/EK (17) 4. pantā, un arodpensijas kapitāla uzkrāšanas institūcijas, kas pārvalda pensiju shēmas, kurās kopā nav vairāk par 15 dalībniekiem. Ņemot vērā minētos izņēmumus, nebūtu samērīgi iekļaut šādas finanšu vienības šīs regulas darbības jomā. Turklāt šajā regulā ir atzīta apdrošināšanas starpniecības tirgus struktūras specifika, tāpēc šī regula nebūtu jāpiemēro apdrošināšanas starpniekiem, pārapdrošināšanas starpniekiem un apdrošināšanas papildpakalpojuma starpniekiem, kas kvalificējami kā mikrouzņēmumi vai kā mazie vai vidējie uzņēmumi. |
| --- | --- |

(39)

Dažas finanšu vienības gūst labumu no izņēmumiem vai arī tām piemēro ļoti atvieglotu tiesisko regulējumu saskaņā ar attiecīgajiem konkrētai nozarei piemērojamajiem Savienības tiesību aktiem. Šādas finanšu sabiedrības ietver alternatīvo ieguldījumu fondu pārvaldniekus, kas minēti Eiropas Parlamenta un Padomes Direktīvas 2011/61/ES (16) 3. panta 2. punktā, apdrošināšanas un pārapdrošināšanas sabiedrības, kas minētas Eiropas Parlamenta un Padomes Direktīvas 2009/138/EK (17) 4. pantā, un arodpensijas kapitāla uzkrāšanas institūcijas, kas pārvalda pensiju shēmas, kurās kopā nav vairāk par 15 dalībniekiem. Ņemot vērā minētos izņēmumus, nebūtu samērīgi iekļaut šādas finanšu vienības šīs regulas darbības jomā. Turklāt šajā regulā ir atzīta apdrošināšanas starpniecības tirgus struktūras specifika, tāpēc šī regula nebūtu jāpiemēro apdrošināšanas starpniekiem, pārapdrošināšanas starpniekiem un apdrošināšanas papildpakalpojuma starpniekiem, kas kvalificējami kā mikrouzņēmumi vai kā mazie vai vidējie uzņēmumi.

| (40) | Ņemot vērā, ka Direktīvas 2013/36/ES 2. panta 5. punkta 4.–23. apakšpunktā minētās vienības ir izslēgtas no minētās direktīvas darbības jomas, dalībvalstīm tādējādi būtu jāspēj izvēlēties atbrīvot no šīs regulas piemērošanas šādas vienības, kas atrodas to attiecīgajās teritorijās. |
| --- | --- |

(40)

Ņemot vērā, ka Direktīvas 2013/36/ES 2. panta 5. punkta 4.–23. apakšpunktā minētās vienības ir izslēgtas no minētās direktīvas darbības jomas, dalībvalstīm tādējādi būtu jāspēj izvēlēties atbrīvot no šīs regulas piemērošanas šādas vienības, kas atrodas to attiecīgajās teritorijās.

| (41) | Tāpat, lai šo regulu saskaņotu ar Eiropas Parlamenta un Padomes Direktīvas 2014/65/ES (18) darbības jomu, ir lietderīgi no šīs regulas darbības jomas izslēgt arī fiziskas un juridiskas personas, kas norādītas minētās direktīvas 2. un 3. pantā un kurām ir ļauts sniegt ieguldījumu pakalpojumus bez pienākuma saņemt atļauju saskaņā ar Direktīvu 2014/65/ES. Tomēr ar Direktīvas 2014/65/ES 2. pantu no minētās direktīvas darbības jomas ir izslēgtas arī vienības, kuras šīs regulas nolūkos ir uzskatāmas par finanšu vienībām, piemēram, centrālie vērtspapīru depozitāriji, kolektīvo ieguldījumu uzņēmumi vai apdrošināšanas un pārapdrošināšanas uzņēmumi. Personu un vienību, kas norādītas minētās direktīvas 2. un 3. pantā, izslēgšana no šīs regulas darbības jomas nebūtu jāattiecina uz minētajiem centrālajiem vērtspapīru depozitārijiem, kolektīvo ieguldījumu uzņēmumiem vai apdrošināšanas un pārapdrošināšanas uzņēmumiem. |
| --- | --- |

(41)

Tāpat, lai šo regulu saskaņotu ar Eiropas Parlamenta un Padomes Direktīvas 2014/65/ES (18) darbības jomu, ir lietderīgi no šīs regulas darbības jomas izslēgt arī fiziskas un juridiskas personas, kas norādītas minētās direktīvas 2. un 3. pantā un kurām ir ļauts sniegt ieguldījumu pakalpojumus bez pienākuma saņemt atļauju saskaņā ar Direktīvu 2014/65/ES. Tomēr ar Direktīvas 2014/65/ES 2. pantu no minētās direktīvas darbības jomas ir izslēgtas arī vienības, kuras šīs regulas nolūkos ir uzskatāmas par finanšu vienībām, piemēram, centrālie vērtspapīru depozitāriji, kolektīvo ieguldījumu uzņēmumi vai apdrošināšanas un pārapdrošināšanas uzņēmumi. Personu un vienību, kas norādītas minētās direktīvas 2. un 3. pantā, izslēgšana no šīs regulas darbības jomas nebūtu jāattiecina uz minētajiem centrālajiem vērtspapīru depozitārijiem, kolektīvo ieguldījumu uzņēmumiem vai apdrošināšanas un pārapdrošināšanas uzņēmumiem.

| (42) | Saskaņā ar konkrētai nozarei piemērojamiem Savienības tiesību aktiem dažām finanšu vienībām piemēro mazāk stingras prasības vai izņēmumus tādu iemeslu dēļ, kas saistīti ar to lielumu vai sniegtajiem pakalpojumiem. Minētajā finanšu vienību kategorijā ietilpst nelielas un savstarpēji nesaistītas ieguldījumu brokeru sabiedrības, nelielas arodpensijas kapitāla uzkrāšanas institūcijas, kuras attiecīgā dalībvalsts var izslēgt no Direktīvas (ES) 2016/2341 darbības jomas saskaņā ar minētās direktīvas 5. pantā paredzētajiem nosacījumiem un kuras pārvalda pensiju shēmas, kurās kopā nav vairāk par 100 dalībniekiem, kā arī iestādes, kurām piemēro izņēmumu saskaņā ar Direktīvu 2013/36/ES. Tāpēc saskaņā ar proporcionalitātes principu un lai saglabātu konkrētai nozarei piemērojamo Savienības tiesību aktu garu, ir arī lietderīgi minētajām finanšu vienībām piemērot vienkāršotu IKT riska pārvaldības sistēmu saskaņā ar šo regulu. Regulatīvajiem tehniskajiem standartiem, kas jāizstrādā EUI, nebūtu jāizmaina minētajām finanšu vienībām piemērojamās IKT riska pārvaldības sistēmas samērīgums. Turklāt saskaņā ar proporcionalitātes principu ir lietderīgi arī maksājumu iestādēm, kas minētas Direktīvas (ES) 2015/2366 32. panta 1. punktā, un elektroniskās naudas iestādēm, kas minētas Direktīvas 2009/110/EK 9. pantā un kam piemēro izņēmumu saskaņā ar valsts tiesību aktiem, ar kuriem transponē minētos Savienības tiesību aktus, piemērot vienkāršotu IKT riska pārvaldības sistēmu saskaņā ar šo regulu, savukārt maksājumu iestādēm un elektroniskās naudas iestādēm, kurām nepiemēro izņēmumu saskaņā ar to attiecīgajiem valsts tiesību aktiem, ar kuriem transponē Savienības nozaru tiesību aktus, būtu jāievēro šajā regulā noteiktais vispārējais regulējums. |
| --- | --- |

(42)

Saskaņā ar konkrētai nozarei piemērojamiem Savienības tiesību aktiem dažām finanšu vienībām piemēro mazāk stingras prasības vai izņēmumus tādu iemeslu dēļ, kas saistīti ar to lielumu vai sniegtajiem pakalpojumiem. Minētajā finanšu vienību kategorijā ietilpst nelielas un savstarpēji nesaistītas ieguldījumu brokeru sabiedrības, nelielas arodpensijas kapitāla uzkrāšanas institūcijas, kuras attiecīgā dalībvalsts var izslēgt no Direktīvas (ES) 2016/2341 darbības jomas saskaņā ar minētās direktīvas 5. pantā paredzētajiem nosacījumiem un kuras pārvalda pensiju shēmas, kurās kopā nav vairāk par 100 dalībniekiem, kā arī iestādes, kurām piemēro izņēmumu saskaņā ar Direktīvu 2013/36/ES. Tāpēc saskaņā ar proporcionalitātes principu un lai saglabātu konkrētai nozarei piemērojamo Savienības tiesību aktu garu, ir arī lietderīgi minētajām finanšu vienībām piemērot vienkāršotu IKT riska pārvaldības sistēmu saskaņā ar šo regulu. Regulatīvajiem tehniskajiem standartiem, kas jāizstrādā EUI, nebūtu jāizmaina minētajām finanšu vienībām piemērojamās IKT riska pārvaldības sistēmas samērīgums. Turklāt saskaņā ar proporcionalitātes principu ir lietderīgi arī maksājumu iestādēm, kas minētas Direktīvas (ES) 2015/2366 32. panta 1. punktā, un elektroniskās naudas iestādēm, kas minētas Direktīvas 2009/110/EK 9. pantā un kam piemēro izņēmumu saskaņā ar valsts tiesību aktiem, ar kuriem transponē minētos Savienības tiesību aktus, piemērot vienkāršotu IKT riska pārvaldības sistēmu saskaņā ar šo regulu, savukārt maksājumu iestādēm un elektroniskās naudas iestādēm, kurām nepiemēro izņēmumu saskaņā ar to attiecīgajiem valsts tiesību aktiem, ar kuriem transponē Savienības nozaru tiesību aktus, būtu jāievēro šajā regulā noteiktais vispārējais regulējums.

| (43) | Tāpat finanšu vienībām, kas kvalificējamas kā mikrouzņēmumi vai kurām piemēro vienkāršotu IKT riska pārvaldības sistēmu saskaņā ar šo regulu, nebūtu jānosaka par pienākumu izveidot funkciju, ar kuru uzrauga ar trešām personām, kas sniedz IKT pakalpojumus, noslēgtos līgumus par IKT pakalpojumu izmantošanu; vai iecelt augstākās vadības locekli, kas atbild par to, lai tiktu uzraudzīta pakļautība riskam un attiecīgie dokumenti; uzticēt kontroles funkcijai atbildību par IKT riska pārvaldību un pārraudzību un, lai nepieļautu interešu konfliktus, nodrošināt, ka šādai kontroles funkcijai ir pienācīgs neatkarības līmenis; vismaz reizi gadā dokumentēt un pārskatīt IKT riska pārvaldības sistēmu; regulāri veikt IKT riska pārvaldības sistēmas iekšējo revīziju; veikt padziļinātus novērtējumus pēc būtiskām izmaiņām to tīklu un informācijas sistēmu infrastruktūrā un procesos; regulāri veikt mantoto IKT sistēmu riska analīzi; neatkarīgās iekšējās revīzijās veikt IKT reaģēšanas un seku novēršanas plānu īstenošanas pārskatīšanu; izveidot krīzes pārvaldības funkciju, paplašināt darbības nepārtrauktības un reaģēšanas un seku novēršanas plānu testēšanu, lai aptvertu pārslēgšanās scenārijus starp primāro IKT infrastruktūru un rezerves mehānismiem; pēc kompetento iestāžu pieprasījuma ziņot tām aplēses par gada kopējām izmaksām un zaudējumiem, ko radījuši būtiski ar IKT saistīti incidenti, uzturēt rezerves IKT jaudu; paziņot valstu kompetentajām iestādēm par izmaiņām, kas ieviestas pēc tādu incidentu pārskatīšanas, kuri saistīti ar IKT; pastāvīgi uzraudzīt attiecīgo tehnoloģisko attīstību, izveidot visaptverošu digitālās darbības noturības testēšanas programmu kā šajā regulā minētās IKT riska pārvaldības sistēmas neatņemamu daļu vai pieņemt un regulāri pārskatīt ar trešo personu saistītā IKT riska stratēģiju. Turklāt mikrouzņēmumiem būtu jāuzliek par pienākumu novērtēt vajadzību uzturēt šādu rezerves IKT jaudu, pamatojoties tikai uz to riska profilu. Mikrouzņēmumiem būtu jāpiemēro elastīgāks režīms attiecībā uz digitālās darbības noturības testēšanas programmām. Apsverot veicamās testēšanas veidu un biežumu, tiem būtu pienācīgi jālīdzsvaro mērķis saglabāt augstu digitālās darbības noturību, pieejamie resursi un to vispārējais riska profils. Mikrouzņēmumi un finanšu vienības, kurām piemēro vienkāršotu IKT riska pārvaldības sistēmu saskaņā ar šo regulu, būtu jāatbrīvo no prasības veikt IKT rīku, sistēmu un procesu padziļinātu testēšanu, balstoties uz draudu vadītu ielaušanās testēšanu (DVIT), jo tikai tādām finanšu vienībām, kas atbilst šajā regulā izklāstītajiem kritērijiem, vajadzētu būt pienākumam veikt šādu testēšanu. Ņemot vērā mikrouzņēmumu ierobežotās spējas, tiem būtu jāspēj vienoties ar trešām personām, kas sniedz IKT pakalpojumus, ka piekļuves, pārbaudes un revīzijas veikšanas tiesības tiek deleģētas neatkarīgai trešai personai, kuru iecēlusi trešā persona, kas sniedz IKT pakalpojumus, ar noteikumu, ka finanšu vienība no attiecīgās neatkarīgās trešās personas var jebkurā brīdī pieprasīt visu attiecīgo informāciju un garantiju par izpildes rezultātu, ko nodrošina trešā persona, kas sniedz IKT pakalpojumus. |
| --- | --- |

(43)

Tāpat finanšu vienībām, kas kvalificējamas kā mikrouzņēmumi vai kurām piemēro vienkāršotu IKT riska pārvaldības sistēmu saskaņā ar šo regulu, nebūtu jānosaka par pienākumu izveidot funkciju, ar kuru uzrauga ar trešām personām, kas sniedz IKT pakalpojumus, noslēgtos līgumus par IKT pakalpojumu izmantošanu; vai iecelt augstākās vadības locekli, kas atbild par to, lai tiktu uzraudzīta pakļautība riskam un attiecīgie dokumenti; uzticēt kontroles funkcijai atbildību par IKT riska pārvaldību un pārraudzību un, lai nepieļautu interešu konfliktus, nodrošināt, ka šādai kontroles funkcijai ir pienācīgs neatkarības līmenis; vismaz reizi gadā dokumentēt un pārskatīt IKT riska pārvaldības sistēmu; regulāri veikt IKT riska pārvaldības sistēmas iekšējo revīziju; veikt padziļinātus novērtējumus pēc būtiskām izmaiņām to tīklu un informācijas sistēmu infrastruktūrā un procesos; regulāri veikt mantoto IKT sistēmu riska analīzi; neatkarīgās iekšējās revīzijās veikt IKT reaģēšanas un seku novēršanas plānu īstenošanas pārskatīšanu; izveidot krīzes pārvaldības funkciju, paplašināt darbības nepārtrauktības un reaģēšanas un seku novēršanas plānu testēšanu, lai aptvertu pārslēgšanās scenārijus starp primāro IKT infrastruktūru un rezerves mehānismiem; pēc kompetento iestāžu pieprasījuma ziņot tām aplēses par gada kopējām izmaksām un zaudējumiem, ko radījuši būtiski ar IKT saistīti incidenti, uzturēt rezerves IKT jaudu; paziņot valstu kompetentajām iestādēm par izmaiņām, kas ieviestas pēc tādu incidentu pārskatīšanas, kuri saistīti ar IKT; pastāvīgi uzraudzīt attiecīgo tehnoloģisko attīstību, izveidot visaptverošu digitālās darbības noturības testēšanas programmu kā šajā regulā minētās IKT riska pārvaldības sistēmas neatņemamu daļu vai pieņemt un regulāri pārskatīt ar trešo personu saistītā IKT riska stratēģiju. Turklāt mikrouzņēmumiem būtu jāuzliek par pienākumu novērtēt vajadzību uzturēt šādu rezerves IKT jaudu, pamatojoties tikai uz to riska profilu. Mikrouzņēmumiem būtu jāpiemēro elastīgāks režīms attiecībā uz digitālās darbības noturības testēšanas programmām. Apsverot veicamās testēšanas veidu un biežumu, tiem būtu pienācīgi jālīdzsvaro mērķis saglabāt augstu digitālās darbības noturību, pieejamie resursi un to vispārējais riska profils. Mikrouzņēmumi un finanšu vienības, kurām piemēro vienkāršotu IKT riska pārvaldības sistēmu saskaņā ar šo regulu, būtu jāatbrīvo no prasības veikt IKT rīku, sistēmu un procesu padziļinātu testēšanu, balstoties uz draudu vadītu ielaušanās testēšanu (DVIT), jo tikai tādām finanšu vienībām, kas atbilst šajā regulā izklāstītajiem kritērijiem, vajadzētu būt pienākumam veikt šādu testēšanu. Ņemot vērā mikrouzņēmumu ierobežotās spējas, tiem būtu jāspēj vienoties ar trešām personām, kas sniedz IKT pakalpojumus, ka piekļuves, pārbaudes un revīzijas veikšanas tiesības tiek deleģētas neatkarīgai trešai personai, kuru iecēlusi trešā persona, kas sniedz IKT pakalpojumus, ar noteikumu, ka finanšu vienība no attiecīgās neatkarīgās trešās personas var jebkurā brīdī pieprasīt visu attiecīgo informāciju un garantiju par izpildes rezultātu, ko nodrošina trešā persona, kas sniedz IKT pakalpojumus.

| (44) | Tā kā draudu vadīti ielaušanās testi būtu obligāti jāveic tikai tām finanšu vienībām, kas identificētas padziļinātās digitālās darbības noturības testēšanas mērķiem, ar šādu testu veikšanu saistītie administratīvie procesi un finansiālās izmaksas būtu jāsedz nelielam skaitam finanšu vienību. |
| --- | --- |

(44)

Tā kā draudu vadīti ielaušanās testi būtu obligāti jāveic tikai tām finanšu vienībām, kas identificētas padziļinātās digitālās darbības noturības testēšanas mērķiem, ar šādu testu veikšanu saistītie administratīvie procesi un finansiālās izmaksas būtu jāsedz nelielam skaitam finanšu vienību.

| (45) | Lai nodrošinātu pilnīgu saskaņotību un kopējo vienveidību starp finanšu vienību uzņēmējdarbības stratēģijām, no vienas puses, un IKT riska pārvaldības veikšanu, no otras puses, finanšu vienību vadības struktūrām būtu jāsaglabā nozīmīga un aktīva loma IKT riska pārvaldības sistēmas un kopējās digitālās darbības noturības stratēģijas vadībā un pielāgošanā. Vadības struktūru pieejai vajadzētu būt ne vien vērstai uz to, kā nodrošināt IKT sistēmu noturību, bet arī būtu jāaptver cilvēki un procesi, izmantojot rīcībpolitikas pasākumu kopumu, kas katrā korporatīvās vadības līmenī un attiecībā uz visu personālu sekmē labu izpratni par kiberriskiem un apņemšanos visos līmeņos ievērot stingru kiberhigiēnu. Vadības struktūras galīgajai atbildībai par finanšu vienības IKT riska pārvaldību vajadzētu būt šādas visaptverošas pieejas vispārējam principam, kas tālāk izpaužas kā vadības struktūras pastāvīga iesaiste IKT riska pārvaldības uzraudzības kontrolē. |
| --- | --- |

(45)

Lai nodrošinātu pilnīgu saskaņotību un kopējo vienveidību starp finanšu vienību uzņēmējdarbības stratēģijām, no vienas puses, un IKT riska pārvaldības veikšanu, no otras puses, finanšu vienību vadības struktūrām būtu jāsaglabā nozīmīga un aktīva loma IKT riska pārvaldības sistēmas un kopējās digitālās darbības noturības stratēģijas vadībā un pielāgošanā. Vadības struktūru pieejai vajadzētu būt ne vien vērstai uz to, kā nodrošināt IKT sistēmu noturību, bet arī būtu jāaptver cilvēki un procesi, izmantojot rīcībpolitikas pasākumu kopumu, kas katrā korporatīvās vadības līmenī un attiecībā uz visu personālu sekmē labu izpratni par kiberriskiem un apņemšanos visos līmeņos ievērot stingru kiberhigiēnu. Vadības struktūras galīgajai atbildībai par finanšu vienības IKT riska pārvaldību vajadzētu būt šādas visaptverošas pieejas vispārējam principam, kas tālāk izpaužas kā vadības struktūras pastāvīga iesaiste IKT riska pārvaldības uzraudzības kontrolē.

| (46) | Turklāt princips, ka vadības struktūra ir pilnībā un galīgi atbildīga par finanšu vienības IKT riska pārvaldību, saskan ar vajadzību nodrošināt tādu ar IKT saistītu ieguldījumu līmeni un kopējo finanšu vienības budžetu, kas ļautu finanšu vienībai sasniegt augstu digitālās darbības noturības līmeni. |
| --- | --- |

(46)

Turklāt princips, ka vadības struktūra ir pilnībā un galīgi atbildīga par finanšu vienības IKT riska pārvaldību, saskan ar vajadzību nodrošināt tādu ar IKT saistītu ieguldījumu līmeni un kopējo finanšu vienības budžetu, kas ļautu finanšu vienībai sasniegt augstu digitālās darbības noturības līmeni.

| (47) | Pamatojoties uz starptautisko, nacionālo un nozares attiecīgo paraugpraksi, pamatnostādnēm, ieteikumiem un pieejām kiberriska pārvaldībai, šī regula veicina tādu principu kopumu, kas sekmē IKT riska pārvaldības vispārējo strukturēšanu. Tādējādi, ja galvenās spējas, ko ievieš finanšu vienības, risina šajā regulā noteiktās dažādās funkcijas, kas ietvertas IKT riska pārvaldībā (identifikācija, aizsardzība un profilakse, atklāšana, reaģēšana un seku novēršana, mācīšanās un attīstība, saziņa), finanšu vienībām arī turpmāk vajadzētu būt iespējai brīvi izmantot dažādi formulētus vai citā kategorijā iekļautus IKT riska pārvaldības modeļus. |
| --- | --- |

(47)

Pamatojoties uz starptautisko, nacionālo un nozares attiecīgo paraugpraksi, pamatnostādnēm, ieteikumiem un pieejām kiberriska pārvaldībai, šī regula veicina tādu principu kopumu, kas sekmē IKT riska pārvaldības vispārējo strukturēšanu. Tādējādi, ja galvenās spējas, ko ievieš finanšu vienības, risina šajā regulā noteiktās dažādās funkcijas, kas ietvertas IKT riska pārvaldībā (identifikācija, aizsardzība un profilakse, atklāšana, reaģēšana un seku novēršana, mācīšanās un attīstība, saziņa), finanšu vienībām arī turpmāk vajadzētu būt iespējai brīvi izmantot dažādi formulētus vai citā kategorijā iekļautus IKT riska pārvaldības modeļus.

| (48) | Lai neatpaliktu no strauji mainīgās kiberdraudu vides, finanšu vienībām būtu jāuztur atjauninātas IKT sistēmas, kas ir uzticamas un spēj ne tikai garantēt to pakalpojumiem nepieciešamo datu apstrādi, bet arī nodrošināt pietiekamu tehnoloģisko noturību, lai ļautu tām pienācīgi veikt papildu apstrādi, kas vajadzīga saspringtu tirgus apstākļu vai citas nelabvēlīgas situācijas dēļ. |
| --- | --- |

(48)

Lai neatpaliktu no strauji mainīgās kiberdraudu vides, finanšu vienībām būtu jāuztur atjauninātas IKT sistēmas, kas ir uzticamas un spēj ne tikai garantēt to pakalpojumiem nepieciešamo datu apstrādi, bet arī nodrošināt pietiekamu tehnoloģisko noturību, lai ļautu tām pienācīgi veikt papildu apstrādi, kas vajadzīga saspringtu tirgus apstākļu vai citas nelabvēlīgas situācijas dēļ.

| (49) | Ir nepieciešami efektīvi darbības nepārtrauktības un seku novēršanas plāni, lai finanšu vienības varētu nekavējoties un ātri atrisināt ar IKT saistītos incidentus, jo īpaši kiberuzbrukumus, ierobežojot kaitējumu un dodot priekšroku darbību atsākšanai un seku novēršanas darbībām saskaņā ar to rezerves kopiju veidošanas politiku. Tomēr šāda darbību atsākšana nedrīkstētu nekādā veidā apdraudēt tīklu un informācijas sistēmu integritāti un drošību vai datu pieejamību, autentiskumu, integritāti vai konfidencialitāti. |
| --- | --- |

(49)

Ir nepieciešami efektīvi darbības nepārtrauktības un seku novēršanas plāni, lai finanšu vienības varētu nekavējoties un ātri atrisināt ar IKT saistītos incidentus, jo īpaši kiberuzbrukumus, ierobežojot kaitējumu un dodot priekšroku darbību atsākšanai un seku novēršanas darbībām saskaņā ar to rezerves kopiju veidošanas politiku. Tomēr šāda darbību atsākšana nedrīkstētu nekādā veidā apdraudēt tīklu un informācijas sistēmu integritāti un drošību vai datu pieejamību, autentiskumu, integritāti vai konfidencialitāti.

| (50) | Lai gan šī regula ļauj finanšu vienībām elastīgi konstatēt mērķus attiecībā uz saviem atgūšanas termiņiem un atgūšana punktu un līdz ar to noteikt šādus mērķus, pilnībā ņemot vērā attiecīgo funkciju būtību un kritisko svarīgumu, kā arī jebkādas specifiskās uzņēmējdarbības vajadzības, jebkurā gadījumā tajā būtu jāuzliek pienākums šīm vienībām mērķu noteikšanas procesā veikt novērtējumu par iespējamo kopējo ietekmi uz tirgus efektivitāti. |
| --- | --- |

(50)

Lai gan šī regula ļauj finanšu vienībām elastīgi konstatēt mērķus attiecībā uz saviem atgūšanas termiņiem un atgūšana punktu un līdz ar to noteikt šādus mērķus, pilnībā ņemot vērā attiecīgo funkciju būtību un kritisko svarīgumu, kā arī jebkādas specifiskās uzņēmējdarbības vajadzības, jebkurā gadījumā tajā būtu jāuzliek pienākums šīm vienībām mērķu noteikšanas procesā veikt novērtējumu par iespējamo kopējo ietekmi uz tirgus efektivitāti.

| (51) | Kiberuzbrukumu īstenotāji parasti cenšas gūt finansiālus ieguvumus tieši līdzekļu izcelsmes vietā, tādējādi radot būtiskas sekas finanšu vienībām. Lai novērstu to, ka IKT sistēmas zaudē integritāti vai kļūst nepieejamas, un tādējādi novērstu datu pārkāpumus un kaitējumu fiziskajai IKT infrastruktūrai, būtu ievērojami jāuzlabo un jāracionalizē finanšu vienību ziņošana par būtiskiem ar IKT saistītiem incidentiem. Ar IKT saistītu incidentu paziņošana būtu jāsaskaņo, nosakot prasību visām finanšu vienībām ziņot tieši to attiecīgajām kompetentajām iestādēm. Ja finanšu vienību uzrauga vairāk nekā viena valsts kompetentā iestāde, dalībvalstīm būtu jāizraugās viena kompetentā iestāde, kurai adresē šādus ziņojumus. Kredītiestādēm, kas saskaņā ar Padomes Regulas (ES) Nr. 1024/2013 (19) 6. panta 4. punktu klasificētas kā nozīmīgas, būtu jāiesniedz minētie ziņojumi valsts kompetentajām iestādēm, kurām pēc tam attiecīgais ziņojums būtu jānosūta Eiropas Centrālajai bankai (ECB). |
| --- | --- |

(51)

Kiberuzbrukumu īstenotāji parasti cenšas gūt finansiālus ieguvumus tieši līdzekļu izcelsmes vietā, tādējādi radot būtiskas sekas finanšu vienībām. Lai novērstu to, ka IKT sistēmas zaudē integritāti vai kļūst nepieejamas, un tādējādi novērstu datu pārkāpumus un kaitējumu fiziskajai IKT infrastruktūrai, būtu ievērojami jāuzlabo un jāracionalizē finanšu vienību ziņošana par būtiskiem ar IKT saistītiem incidentiem. Ar IKT saistītu incidentu paziņošana būtu jāsaskaņo, nosakot prasību visām finanšu vienībām ziņot tieši to attiecīgajām kompetentajām iestādēm. Ja finanšu vienību uzrauga vairāk nekā viena valsts kompetentā iestāde, dalībvalstīm būtu jāizraugās viena kompetentā iestāde, kurai adresē šādus ziņojumus. Kredītiestādēm, kas saskaņā ar Padomes Regulas (ES) Nr. 1024/2013 (19) 6. panta 4. punktu klasificētas kā nozīmīgas, būtu jāiesniedz minētie ziņojumi valsts kompetentajām iestādēm, kurām pēc tam attiecīgais ziņojums būtu jānosūta Eiropas Centrālajai bankai (ECB).

| (52) | Tiešai ziņošanai būtu jāļauj finanšu uzraudzības iestādēm nekavējoties piekļūt informācijai par būtiskiem ar IKT saistītiem incidentiem. Savukārt finanšu uzraudzības iestādēm par būtiskiem ar IKT saistītiem incidentiem būtu jāinformē publiskās nefinanšu iestādes (piemēram, kompetentās iestādes un vienotie kontaktpunkti saskaņā ar Direktīvu (ES) 2022/2555, valsts datu aizsardzības iestādes un tiesībaizsardzības iestādes par būtiskiem ar IKT saistītiem krimināla rakstura incidentiem), lai uzlabotu šādu iestāžu informētību par šādiem incidentiem un CSIRT gadījumā sekmētu ātru palīdzību, ko attiecīgā gadījumā var sniegt finanšu vienībām. Turklāt dalībvalstīm būtu jāspēj noteikt, ka finanšu vienībām pašām būtu šāda informācija jāsniedz publiskām iestādēm, kas nav saistītas ar finanšu pakalpojumu jomu. Minētajai informācijas nodošanai būtu jādod iespēja finanšu vienībām ātri iegūt attiecīgo tehnisko informāciju, konsultācijas par tiesiskās aizsardzības līdzekļiem un informāciju par turpmākiem šādu iestāžu veiktiem pasākumiem. Informācija par būtiskiem ar IKT saistītiem incidentiem būtu jāsniedz abpusēji: finanšu uzraudzības iestādēm būtu jāsniedz finanšu vienībai visa nepieciešamā atgriezeniskā saite vai norādījumi, savukārt EUI būtu jādalās ar anonimizētiem datiem par kiberdraudiem un ievainojamību, kas saistīti ar incidentu, lai palīdzētu veidot kolektīvo aizsardzību plašākā nozīmē. |
| --- | --- |

(52)

Tiešai ziņošanai būtu jāļauj finanšu uzraudzības iestādēm nekavējoties piekļūt informācijai par būtiskiem ar IKT saistītiem incidentiem. Savukārt finanšu uzraudzības iestādēm par būtiskiem ar IKT saistītiem incidentiem būtu jāinformē publiskās nefinanšu iestādes (piemēram, kompetentās iestādes un vienotie kontaktpunkti saskaņā ar Direktīvu (ES) 2022/2555, valsts datu aizsardzības iestādes un tiesībaizsardzības iestādes par būtiskiem ar IKT saistītiem krimināla rakstura incidentiem), lai uzlabotu šādu iestāžu informētību par šādiem incidentiem un CSIRT gadījumā sekmētu ātru palīdzību, ko attiecīgā gadījumā var sniegt finanšu vienībām. Turklāt dalībvalstīm būtu jāspēj noteikt, ka finanšu vienībām pašām būtu šāda informācija jāsniedz publiskām iestādēm, kas nav saistītas ar finanšu pakalpojumu jomu. Minētajai informācijas nodošanai būtu jādod iespēja finanšu vienībām ātri iegūt attiecīgo tehnisko informāciju, konsultācijas par tiesiskās aizsardzības līdzekļiem un informāciju par turpmākiem šādu iestāžu veiktiem pasākumiem. Informācija par būtiskiem ar IKT saistītiem incidentiem būtu jāsniedz abpusēji: finanšu uzraudzības iestādēm būtu jāsniedz finanšu vienībai visa nepieciešamā atgriezeniskā saite vai norādījumi, savukārt EUI būtu jādalās ar anonimizētiem datiem par kiberdraudiem un ievainojamību, kas saistīti ar incidentu, lai palīdzētu veidot kolektīvo aizsardzību plašākā nozīmē.

| (53) | Lai gan visām finanšu vienībām būtu jāuzliek par pienākumu ziņot par incidentiem, nav paredzēts, ka šī prasība vienādi skars tās visas. Faktiski attiecīgās būtiskuma robežvērtības, kā arī paziņošanas termiņi būtu pienācīgi jāpielāgo, ņemot vērā deleģētos aktus, kuru pamatā ir regulatīvie tehniskie standarti, kas jāizstrādā EUI, lai aptvertu tikai būtiskus ar IKT saistītus incidentus. Turklāt, nosakot termiņus saistībā ar ziņošanas pienākumu, būtu jāņem vērā finanšu vienību īpatnības. |
| --- | --- |

(53)

Lai gan visām finanšu vienībām būtu jāuzliek par pienākumu ziņot par incidentiem, nav paredzēts, ka šī prasība vienādi skars tās visas. Faktiski attiecīgās būtiskuma robežvērtības, kā arī paziņošanas termiņi būtu pienācīgi jāpielāgo, ņemot vērā deleģētos aktus, kuru pamatā ir regulatīvie tehniskie standarti, kas jāizstrādā EUI, lai aptvertu tikai būtiskus ar IKT saistītus incidentus. Turklāt, nosakot termiņus saistībā ar ziņošanas pienākumu, būtu jāņem vērā finanšu vienību īpatnības.

| (54) | Šajā regulā būtu jānosaka prasība kredītiestādēm, maksājumu iestādēm, konta informācijas pakalpojumu sniedzējiem un elektroniskās naudas iestādēm ziņot par visiem ar maksājumiem saistītajiem darbības vai drošības incidentiem – par kuriem iepriekš bija jāziņo saskaņā ar Direktīvu (ES) 2015/2366 – neatkarīgi no tā, vai incidents ir vai nav saistīts ar IKT. |
| --- | --- |

(54)

Šajā regulā būtu jānosaka prasība kredītiestādēm, maksājumu iestādēm, konta informācijas pakalpojumu sniedzējiem un elektroniskās naudas iestādēm ziņot par visiem ar maksājumiem saistītajiem darbības vai drošības incidentiem – par kuriem iepriekš bija jāziņo saskaņā ar Direktīvu (ES) 2015/2366 – neatkarīgi no tā, vai incidents ir vai nav saistīts ar IKT.

| (55) | EUI būtu jāuztic uzdevums izvērtēt iespējamību un nosacījumus ar IKT saistītas incidentu paziņošanas iespējamai centralizācijai Savienības līmenī. Šāda centralizēšana varētu ietvert vienotu ES centrmezglu ziņošanai par būtiskiem ar IKT saistītiem incidentiem, kas vai nu tieši saņemtu attiecīgos ziņojumus un automātiski informētu valstu kompetentās iestādes, vai centralizētu attiecīgos valstu kompetento iestāžu pārsūtītos ziņojumus un tādējādi pildītu koordinācijas funkciju. EUI būtu jāuztic uzdevums, apspriežoties ar ECB un ENISA, izstrādāt kopīgu ziņojumu, kurā būtu izvērtēta šāda vienota ES centrmezgla izveides iespējamība. |
| --- | --- |

(55)

EUI būtu jāuztic uzdevums izvērtēt iespējamību un nosacījumus ar IKT saistītas incidentu paziņošanas iespējamai centralizācijai Savienības līmenī. Šāda centralizēšana varētu ietvert vienotu ES centrmezglu ziņošanai par būtiskiem ar IKT saistītiem incidentiem, kas vai nu tieši saņemtu attiecīgos ziņojumus un automātiski informētu valstu kompetentās iestādes, vai centralizētu attiecīgos valstu kompetento iestāžu pārsūtītos ziņojumus un tādējādi pildītu koordinācijas funkciju. EUI būtu jāuztic uzdevums, apspriežoties ar ECB un ENISA, izstrādāt kopīgu ziņojumu, kurā būtu izvērtēta šāda vienota ES centrmezgla izveides iespējamība.

| (56) | Lai panāktu augstu digitālās darbības noturības līmeni, kā arī ievērojot attiecīgos starptautiskos standartus (piemēram, G7 draudu vadītas ielaušanās testēšanas pamatelementus) un izmantojot tādas Savienībā piemērojamas sistēmas kā TIBER-EU, finanšu vienībām būtu regulāri jātestē savu IKT sistēmu un personāla, kam ir ar IKT saistīti pienākumi, preventīvo, atklāšanas, reaģēšanas un seku novēršanas spēju efektivitāte, lai atklātu un risinātu potenciālo IKT ievainojamību. Lai atspoguļotu dažādo finanšu apakšnozaru starpā un to iekšienē pastāvošās atšķirības saistībā ar finanšu vienību sagatavotību kiberdrošības jomā, testēšanā būtu jāietver plašs rīku un darbību klāsts, sākot no pamatprasību novērtēšanas (piemēram, ievainojamības novērtējumi un skenēšana, atklātā pirmkoda analīze, tīkla drošības novērtējumi, nepilnību analīze, fiziskās drošības pārbaudes, anketas un skenēšanas programmatūras risinājumi, pirmkodu pārskatīšana – ja iespējams, uz scenārijiem balstīti testi, saderības testēšana, veiktspējas testēšana, testēšana “no gala līdz galam”) līdz padziļinātai testēšanai, izmantojot DVIT. Šāda padziļināta testēšana būtu jāpieprasa tikai tām finanšu vienībām, kuru sagatavotība no IKT viedokļa ir pietiekama, lai to varētu pamatoti veikt. Tādēļ digitālās darbības noturības testēšanai, kas prasīta šajā regulā, attiecībā uz tām finanšu vienībām, kas atbilst šajā regulā izklāstītajiem kritērijiem (piemēram, lielām, sistēmiskām un IKT ziņā nobriedušām kredītiestādēm, biržām, centrālajiem vērtspapīru depozitārijiem un centrālajiem darījumu partneriem) būtu jābūt prasīgākai nekā attiecībā uz citām finanšu vienībām. Vienlaikus digitālās darbības noturības testēšanai, izmantojot DVIT, būtu jābūt lielākai attiecībā uz finanšu vienībām, kuras darbojas finanšu pamatpakalpojumu apakšnozarēs un kam ir sistēmiska loma (piemēram, maksājumi, banku darbība un tīrvērte un norēķini), bet mazākai – attiecībā uz citām apakšnozarēm (piemēram, aktīvu pārvaldītāji un kredītreitingu aģentūras). |
| --- | --- |

(56)

Lai panāktu augstu digitālās darbības noturības līmeni, kā arī ievērojot attiecīgos starptautiskos standartus (piemēram, G7 draudu vadītas ielaušanās testēšanas pamatelementus) un izmantojot tādas Savienībā piemērojamas sistēmas kā TIBER-EU, finanšu vienībām būtu regulāri jātestē savu IKT sistēmu un personāla, kam ir ar IKT saistīti pienākumi, preventīvo, atklāšanas, reaģēšanas un seku novēršanas spēju efektivitāte, lai atklātu un risinātu potenciālo IKT ievainojamību. Lai atspoguļotu dažādo finanšu apakšnozaru starpā un to iekšienē pastāvošās atšķirības saistībā ar finanšu vienību sagatavotību kiberdrošības jomā, testēšanā būtu jāietver plašs rīku un darbību klāsts, sākot no pamatprasību novērtēšanas (piemēram, ievainojamības novērtējumi un skenēšana, atklātā pirmkoda analīze, tīkla drošības novērtējumi, nepilnību analīze, fiziskās drošības pārbaudes, anketas un skenēšanas programmatūras risinājumi, pirmkodu pārskatīšana – ja iespējams, uz scenārijiem balstīti testi, saderības testēšana, veiktspējas testēšana, testēšana “no gala līdz galam”) līdz padziļinātai testēšanai, izmantojot DVIT. Šāda padziļināta testēšana būtu jāpieprasa tikai tām finanšu vienībām, kuru sagatavotība no IKT viedokļa ir pietiekama, lai to varētu pamatoti veikt. Tādēļ digitālās darbības noturības testēšanai, kas prasīta šajā regulā, attiecībā uz tām finanšu vienībām, kas atbilst šajā regulā izklāstītajiem kritērijiem (piemēram, lielām, sistēmiskām un IKT ziņā nobriedušām kredītiestādēm, biržām, centrālajiem vērtspapīru depozitārijiem un centrālajiem darījumu partneriem) būtu jābūt prasīgākai nekā attiecībā uz citām finanšu vienībām. Vienlaikus digitālās darbības noturības testēšanai, izmantojot DVIT, būtu jābūt lielākai attiecībā uz finanšu vienībām, kuras darbojas finanšu pamatpakalpojumu apakšnozarēs un kam ir sistēmiska loma (piemēram, maksājumi, banku darbība un tīrvērte un norēķini), bet mazākai – attiecībā uz citām apakšnozarēm (piemēram, aktīvu pārvaldītāji un kredītreitingu aģentūras).

| (57) | Finanšu vienībām, kas ir iesaistītas pārrobežu darbībās un izmanto iedibinājumbrīvību vai brīvību sniegt pakalpojumus Savienībā, vajadzētu ievērot vienotu padziļinātas testēšanas prasību kopumu (piemēram, DVIT) savā piederības dalībvalstī, un šajā testā būtu jāiekļauj IKT infrastruktūra visās jurisdikcijās, kurās pārrobežu finanšu grupa darbojas Savienībā, tādējādi pieļaujot, ka šādām pārrobežu finanšu grupām ar IKT saistītas testēšanas izmaksas rodas tikai vienā jurisdikcijā. |
| --- | --- |

(57)

Finanšu vienībām, kas ir iesaistītas pārrobežu darbībās un izmanto iedibinājumbrīvību vai brīvību sniegt pakalpojumus Savienībā, vajadzētu ievērot vienotu padziļinātas testēšanas prasību kopumu (piemēram, DVIT) savā piederības dalībvalstī, un šajā testā būtu jāiekļauj IKT infrastruktūra visās jurisdikcijās, kurās pārrobežu finanšu grupa darbojas Savienībā, tādējādi pieļaujot, ka šādām pārrobežu finanšu grupām ar IKT saistītas testēšanas izmaksas rodas tikai vienā jurisdikcijā.

| (58) | Lai izmantotu pieredzi, ko dažas kompetentās iestādes jau guvušas, jo īpaši saistībā ar TIBER-EU sistēmas īstenošanu, šajā regulā būtu jāļauj dalībvalstīm izraudzīties vienu publisku iestādi par atbildīgo finanšu nozarē valsts līmenī attiecībā uz visiem DVIT jautājumiem vai, ja šāda izraudzīšana nav veikta, kompetentajām iestādēm deleģēt ar DVIT saistītu uzdevumu veikšanu citai valsts finanšu kompetentajai iestādei. |
| --- | --- |

(58)

Lai izmantotu pieredzi, ko dažas kompetentās iestādes jau guvušas, jo īpaši saistībā ar TIBER-EU sistēmas īstenošanu, šajā regulā būtu jāļauj dalībvalstīm izraudzīties vienu publisku iestādi par atbildīgo finanšu nozarē valsts līmenī attiecībā uz visiem DVIT jautājumiem vai, ja šāda izraudzīšana nav veikta, kompetentajām iestādēm deleģēt ar DVIT saistītu uzdevumu veikšanu citai valsts finanšu kompetentajai iestādei.

| (59) | Ņemot vērā to, ka šajā regulā nav noteikta prasība finanšu vienībām ietvert visas kritiski svarīgās vai svarīgās funkcijas vienā draudu vadītā ielaušanās testā, finanšu vienībām vajadzētu būt iespējai brīvi noteikt, kuras un cik daudz kritiski svarīgu vai svarīgu funkciju būtu iekļaujamas šāda testa tvērumā. |
| --- | --- |

(59)

Ņemot vērā to, ka šajā regulā nav noteikta prasība finanšu vienībām ietvert visas kritiski svarīgās vai svarīgās funkcijas vienā draudu vadītā ielaušanās testā, finanšu vienībām vajadzētu būt iespējai brīvi noteikt, kuras un cik daudz kritiski svarīgu vai svarīgu funkciju būtu iekļaujamas šāda testa tvērumā.

| (60) | Apvienota testēšana šīs regulas nozīmē – kurā DVIT ir iesaistītas vairākas finanšu vienības un attiecībā uz kuru trešās personas, kas sniedz IKT pakalpojumus, var tieši noslēgt līgumiskas vienošanās ar ārēju testētāju – būtu jāatļauj tikai tad, ja ir pamatoti sagaidāms, ka tiks negatīvi ietekmēta to pakalpojumu kvalitāte vai drošība, kurus trešā persona, kas sniedz IKT pakalpojumus, sniedz klientiem, kas ir vienības, kuras neietilpst šīs regulas darbības jomā, vai ar šādiem pakalpojumiem saistītu datu konfidencialitāte. Apvienotai testēšanai būtu jāpiemēro arī aizsardzības pasākumi (vienas izraudzītas finanšu vienības sniegtas norādes, iesaistīto finanšu vienību skaita kalibrēšana), lai nodrošinātu to iesaistīto finanšu vienību stingru testēšanu, kuras atbilst DVIT mērķiem saskaņā ar šo regulu. |
| --- | --- |

(60)

Apvienota testēšana šīs regulas nozīmē – kurā DVIT ir iesaistītas vairākas finanšu vienības un attiecībā uz kuru trešās personas, kas sniedz IKT pakalpojumus, var tieši noslēgt līgumiskas vienošanās ar ārēju testētāju – būtu jāatļauj tikai tad, ja ir pamatoti sagaidāms, ka tiks negatīvi ietekmēta to pakalpojumu kvalitāte vai drošība, kurus trešā persona, kas sniedz IKT pakalpojumus, sniedz klientiem, kas ir vienības, kuras neietilpst šīs regulas darbības jomā, vai ar šādiem pakalpojumiem saistītu datu konfidencialitāte. Apvienotai testēšanai būtu jāpiemēro arī aizsardzības pasākumi (vienas izraudzītas finanšu vienības sniegtas norādes, iesaistīto finanšu vienību skaita kalibrēšana), lai nodrošinātu to iesaistīto finanšu vienību stingru testēšanu, kuras atbilst DVIT mērķiem saskaņā ar šo regulu.

| (61) | Lai izmantotu korporatīvā līmenī pieejamos iekšējos resursus, šajā regulā būtu jāatļauj DVIT veikšanas nolūkā izmantot iekšējos testētājus, ar noteikumu, ka ir saņemts uzraudzības iestādes apstiprinājums, nav interešu konfliktu un ir periodiski mainīta iekšējo testētāju un ārējo testētāju (katrs trešais tests) izmantošana, vienlaikus arī pieprasot, lai draudu izlūkdatu sniedzējs DVIT vienmēr būtu ārējs un ar finanšu vienību nesaistīts. Atbildība par DVIT veikšanu būtu pilnībā jāuzņemas finanšu vienībai. Iestāžu sniegtajiem apliecinājumiem vajadzētu būt sniegtiem tikai savstarpējas atzīšanas nolūkā, un tiem nebūtu jāliedz veikt turpmākus pasākumus, kas vajadzīgi, lai novērstu IKT risku, kuram finanšu vienība ir pakļauta, kā arī tos nebūtu jāuzskata par finanšu vienības IKT riska pārvaldības un mazināšanas spēju uzraudzības apstiprinājumu. |
| --- | --- |

(61)

Lai izmantotu korporatīvā līmenī pieejamos iekšējos resursus, šajā regulā būtu jāatļauj DVIT veikšanas nolūkā izmantot iekšējos testētājus, ar noteikumu, ka ir saņemts uzraudzības iestādes apstiprinājums, nav interešu konfliktu un ir periodiski mainīta iekšējo testētāju un ārējo testētāju (katrs trešais tests) izmantošana, vienlaikus arī pieprasot, lai draudu izlūkdatu sniedzējs DVIT vienmēr būtu ārējs un ar finanšu vienību nesaistīts. Atbildība par DVIT veikšanu būtu pilnībā jāuzņemas finanšu vienībai. Iestāžu sniegtajiem apliecinājumiem vajadzētu būt sniegtiem tikai savstarpējas atzīšanas nolūkā, un tiem nebūtu jāliedz veikt turpmākus pasākumus, kas vajadzīgi, lai novērstu IKT risku, kuram finanšu vienība ir pakļauta, kā arī tos nebūtu jāuzskata par finanšu vienības IKT riska pārvaldības un mazināšanas spēju uzraudzības apstiprinājumu.

| (62) | Lai nodrošinātu ar trešo personu saistītā IKT riska stabilu uzraudzību finanšu nozarē, ir nepieciešams paredzēt uz principiem balstītu noteikumu kopumu, kas palīdzētu finanšu vienībām, kad tās veic tāda riska uzraudzību, kas rodas saistībā ar funkciju nodošanu ārpakalpojumā trešām personām, kas sniedz IKT pakalpojumus, jo īpaši IKT pakalpojumus, kas atbalsta kritiski svarīgas vai svarīgas funkcijas, kā arī vispārīgāk – saistībā ar visu veidu atkarību no trešām personām, kas sniedz IKT pakalpojumu. |
| --- | --- |

(62)

Lai nodrošinātu ar trešo personu saistītā IKT riska stabilu uzraudzību finanšu nozarē, ir nepieciešams paredzēt uz principiem balstītu noteikumu kopumu, kas palīdzētu finanšu vienībām, kad tās veic tāda riska uzraudzību, kas rodas saistībā ar funkciju nodošanu ārpakalpojumā trešām personām, kas sniedz IKT pakalpojumus, jo īpaši IKT pakalpojumus, kas atbalsta kritiski svarīgas vai svarīgas funkcijas, kā arī vispārīgāk – saistībā ar visu veidu atkarību no trešām personām, kas sniedz IKT pakalpojumu.

| (63) | Lai risinātu IKT riska dažādo avotu sarežģītību, vienlaikus ņemot vērā tādu tehnoloģisko risinājumu sniedzēju lielo skaitu un daudzveidību, kas ļauj netraucēti sniegt finanšu pakalpojumus, šai regulai būtu jāattiecas uz plašu to trešo personu loku, kas sniedz IKT pakalpojumus, tostarp mākoņdatošanas pakalpojumu, programmatūras, datu analītikas pakalpojumu un datu centru pakalpojumu sniedzējiem. Ņemot vērā, ka finanšu vienībām būtu efektīvi un saskaņoti jāapzina un jāpārvalda visu veidu riski, tostarp saistībā ar IKT pakalpojumiem, kuri iepirkti finanšu grupā, būtu arī jāprecizē, ka uzņēmumi, kas ietilpst finanšu grupā un sniedz IKT pakalpojumus galvenokārt savam mātesuzņēmumam vai to mātesuzņēmuma meitasuzņēmumiem vai filiālēm, kā arī finanšu vienības, kas sniedz IKT pakalpojumus citām finanšu vienībām, saskaņā ar šo regulu arī būtu jāuzskata par trešo personu, kas sniedz IKT pakalpojumus. Visbeidzot, ņemot vērā, ka mainīgais maksājumu pakalpojumu tirgus kļūst arvien atkarīgāks no sarežģītiem tehniskiem risinājumiem, un ņemot vērā jaunos maksājumu pakalpojumu veidus un ar maksājumiem saistītus risinājumus, maksājumu pakalpojumu ekosistēmas dalībnieki, kuri veic maksājumu apstrādes darbības vai pārvalda maksājumu infrastruktūru, saskaņā ar šo regulu arī būtu jāuzskata par trešām personām, kas sniedz IKT pakalpojumus, izņemot centrālās bankas, kad tiek izmantotas maksājumu vai vērtspapīru norēķinu sistēmas, un publiskās iestādes, kad tiek sniegti ar IKT saistīti pakalpojumi valsts funkciju pildīšanas kontekstā. |
| --- | --- |

(63)

Lai risinātu IKT riska dažādo avotu sarežģītību, vienlaikus ņemot vērā tādu tehnoloģisko risinājumu sniedzēju lielo skaitu un daudzveidību, kas ļauj netraucēti sniegt finanšu pakalpojumus, šai regulai būtu jāattiecas uz plašu to trešo personu loku, kas sniedz IKT pakalpojumus, tostarp mākoņdatošanas pakalpojumu, programmatūras, datu analītikas pakalpojumu un datu centru pakalpojumu sniedzējiem. Ņemot vērā, ka finanšu vienībām būtu efektīvi un saskaņoti jāapzina un jāpārvalda visu veidu riski, tostarp saistībā ar IKT pakalpojumiem, kuri iepirkti finanšu grupā, būtu arī jāprecizē, ka uzņēmumi, kas ietilpst finanšu grupā un sniedz IKT pakalpojumus galvenokārt savam mātesuzņēmumam vai to mātesuzņēmuma meitasuzņēmumiem vai filiālēm, kā arī finanšu vienības, kas sniedz IKT pakalpojumus citām finanšu vienībām, saskaņā ar šo regulu arī būtu jāuzskata par trešo personu, kas sniedz IKT pakalpojumus. Visbeidzot, ņemot vērā, ka mainīgais maksājumu pakalpojumu tirgus kļūst arvien atkarīgāks no sarežģītiem tehniskiem risinājumiem, un ņemot vērā jaunos maksājumu pakalpojumu veidus un ar maksājumiem saistītus risinājumus, maksājumu pakalpojumu ekosistēmas dalībnieki, kuri veic maksājumu apstrādes darbības vai pārvalda maksājumu infrastruktūru, saskaņā ar šo regulu arī būtu jāuzskata par trešām personām, kas sniedz IKT pakalpojumus, izņemot centrālās bankas, kad tiek izmantotas maksājumu vai vērtspapīru norēķinu sistēmas, un publiskās iestādes, kad tiek sniegti ar IKT saistīti pakalpojumi valsts funkciju pildīšanas kontekstā.

| (64) | Finanšu vienībai vajadzētu nepārtraukti būt pilnībā atbildīgai par šajā regulā tai noteikto pienākumu izpildi. Finanšu vienībām būtu jāpiemēro samērīga pieeja tādu risku uzraudzībai, kas rodas trešām personām, kas sniedz IKT pakalpojumus, pienācīgi ņemot vērā savas ar IKT saistītās atkarības veidu, mērogu, sarežģītību un nozīmi, to pakalpojumu, procesu vai funkciju kritiskumu vai svarīgumu, uz kuriem attiecas līgumiskas vienošanās, un galu galā attiecīgos gadījumos – pamatojoties uz rūpīgu novērtējumu par iespējamo ietekmi uz finanšu pakalpojumu nepārtrauktību un kvalitāti individuālajā un grupas līmenī. |
| --- | --- |

(64)

Finanšu vienībai vajadzētu nepārtraukti būt pilnībā atbildīgai par šajā regulā tai noteikto pienākumu izpildi. Finanšu vienībām būtu jāpiemēro samērīga pieeja tādu risku uzraudzībai, kas rodas trešām personām, kas sniedz IKT pakalpojumus, pienācīgi ņemot vērā savas ar IKT saistītās atkarības veidu, mērogu, sarežģītību un nozīmi, to pakalpojumu, procesu vai funkciju kritiskumu vai svarīgumu, uz kuriem attiecas līgumiskas vienošanās, un galu galā attiecīgos gadījumos – pamatojoties uz rūpīgu novērtējumu par iespējamo ietekmi uz finanšu pakalpojumu nepārtrauktību un kvalitāti individuālajā un grupas līmenī.

| (65) | Šādā uzraudzībā būtu jāievēro stratēģiska pieeja ar trešo personu saistītajam IKT riskam, kas tiek formalizēta, finanšu vienības vadības struktūrai pieņemot īpašu ar trešo personu saistītā IKT riska stratēģiju, kas balstās visu veidu atkarību no trešām personām, kas sniedz IKT pakalpojumus, pastāvīgā izvērtēšanā. Lai uzlabotu uzraugu informētību par atkarību no trešām personām, kas sniedz IKT pakalpojumus, un papildus atbalstītu darbu saistībā ar pārraudzības sistēmu, kas izveidota ar šo regulu, visām finanšu vienībām būtu jāuzliek par pienākumu uzturēt informācijas reģistru attiecībā uz katru līgumisko vienošanos par izmantotajiem IKT pakalpojumiem, ko sniedz trešās personas, kas sniedz IKT pakalpojumus. Finanšu uzraudzības iestādēm būtu jāspēj pieprasīt pilnu reģistru vai konkrētas tā daļas un tādējādi saņemt būtisku informāciju, lai gūtu plašāku izpratni par finanšu vienību atkarību no IKT. |
| --- | --- |

(65)

Šādā uzraudzībā būtu jāievēro stratēģiska pieeja ar trešo personu saistītajam IKT riskam, kas tiek formalizēta, finanšu vienības vadības struktūrai pieņemot īpašu ar trešo personu saistītā IKT riska stratēģiju, kas balstās visu veidu atkarību no trešām personām, kas sniedz IKT pakalpojumus, pastāvīgā izvērtēšanā. Lai uzlabotu uzraugu informētību par atkarību no trešām personām, kas sniedz IKT pakalpojumus, un papildus atbalstītu darbu saistībā ar pārraudzības sistēmu, kas izveidota ar šo regulu, visām finanšu vienībām būtu jāuzliek par pienākumu uzturēt informācijas reģistru attiecībā uz katru līgumisko vienošanos par izmantotajiem IKT pakalpojumiem, ko sniedz trešās personas, kas sniedz IKT pakalpojumus. Finanšu uzraudzības iestādēm būtu jāspēj pieprasīt pilnu reģistru vai konkrētas tā daļas un tādējādi saņemt būtisku informāciju, lai gūtu plašāku izpratni par finanšu vienību atkarību no IKT.

| (66) | Padziļinātai analīzei pirms līguma noslēgšanas vajadzētu būt līgumiskas vienošanās oficiālas noslēgšanas pamatā un jānotiek pirms tās, jo īpaši pievēršoties tādiem elementiem kā paredzētā IKT līguma atbalstīto pakalpojumu kritiskums vai svarīgums, nepieciešamie uzraudzības iestāžu apstiprinājumi vai citi nosacījumi, iespējamais ar to saistītais koncentrācijas risks, kā arī pienācīgas rūpības piemērošana trešo personu, kas sniedz IKT pakalpojumus, atlases un novērtēšanas procesā un iespējamo interešu konfliktu novērtēšana. Attiecībā uz līgumisku vienošanos par kritiski svarīgām vai svarīgām funkcijām finanšu vienībām būtu jāņem vērā tas, ka trešās personas, kas sniedz IKT pakalpojumus, izmanto visjaunākos un visaugstākos informācijas drošības standartus. Līgumiskas vienošanās izbeigšanu varētu izraisīt vismaz vairāki apstākļi, kas liecina par nepilnībām trešās personas, kas sniedz IKT pakalpojumus, līmenī, jo īpaši būtiski tiesību aktu vai līguma noteikumu pārkāpumi, apstākļi, kas atklāj iespējamas izmaiņas to funkciju izpildē, ko paredz līgumiskās vienošanās, pierādījumi par trešās personas, kas sniedz IKT pakalpojumus, nepilnībām vispārējā IKT riska pārvaldībā vai apstākļi, kas liecina par attiecīgās kompetentās iestādes nespēju efektīvi uzraudzīt finanšu vienību. |
| --- | --- |

(66)

Padziļinātai analīzei pirms līguma noslēgšanas vajadzētu būt līgumiskas vienošanās oficiālas noslēgšanas pamatā un jānotiek pirms tās, jo īpaši pievēršoties tādiem elementiem kā paredzētā IKT līguma atbalstīto pakalpojumu kritiskums vai svarīgums, nepieciešamie uzraudzības iestāžu apstiprinājumi vai citi nosacījumi, iespējamais ar to saistītais koncentrācijas risks, kā arī pienācīgas rūpības piemērošana trešo personu, kas sniedz IKT pakalpojumus, atlases un novērtēšanas procesā un iespējamo interešu konfliktu novērtēšana. Attiecībā uz līgumisku vienošanos par kritiski svarīgām vai svarīgām funkcijām finanšu vienībām būtu jāņem vērā tas, ka trešās personas, kas sniedz IKT pakalpojumus, izmanto visjaunākos un visaugstākos informācijas drošības standartus. Līgumiskas vienošanās izbeigšanu varētu izraisīt vismaz vairāki apstākļi, kas liecina par nepilnībām trešās personas, kas sniedz IKT pakalpojumus, līmenī, jo īpaši būtiski tiesību aktu vai līguma noteikumu pārkāpumi, apstākļi, kas atklāj iespējamas izmaiņas to funkciju izpildē, ko paredz līgumiskās vienošanās, pierādījumi par trešās personas, kas sniedz IKT pakalpojumus, nepilnībām vispārējā IKT riska pārvaldībā vai apstākļi, kas liecina par attiecīgās kompetentās iestādes nespēju efektīvi uzraudzīt finanšu vienību.

| (67) | Lai risinātu ar trešo personu saistītā IKT koncentrācijas riska sistēmisko ietekmi, šajā regulā tiek sekmēts līdzsvarots risinājums, pieņemot elastīgu un pakāpenisku pieeju šādam koncentrācijas riskam, jo jebkādu neelastīgu robežvērtību vai stingru ierobežojumu noteikšana varētu kavēt uzņēmējdarbības veikšanu un ierobežot līgumslēgšanas brīvību. Finanšu vienībām būtu rūpīgi jāizvērtē savas paredzētās līgumiskās vienošanās, lai noteiktu šāda riska rašanās iespējamību, tostarp veicot padziļinātu analīzi par apakšuzņēmuma līgumiem, jo īpaši, ja tie noslēgti ar trešā valstī iedibinātām trešām personām, kas sniedz IKT pakalpojumus. Šajā posmā un nolūkā panākt taisnīgu līdzsvaru starp līgumu slēgšanas brīvības saglabāšanu un finanšu stabilitātes garantēšanu nav lietderīgi noteikt stingras robežvērtības un ierobežojumus pakļautībai ar trešo personu saistītam IKT riskam. Pārraudzības sistēmas kontekstā galvenajam pārraugam, kas iecelts, ievērojot šo regulu, attiecībā uz kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, būtu īpaša uzmanība jāpievērš tam, lai pilnībā aptvertu savstarpējo atkarību apjomu, jāatklāj konkrēti gadījumi, kad kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, augsta koncentrācija Savienībā varētu radīt spiedienu uz Savienības finanšu sistēmas stabilitāti un integritāti, un jāuztur dialogs ar kritiski svarīgajām trešām personām, kas sniedz IKT pakalpojumus, ja šāds konkrēts risks ir identificēts. |
| --- | --- |

(67)

Lai risinātu ar trešo personu saistītā IKT koncentrācijas riska sistēmisko ietekmi, šajā regulā tiek sekmēts līdzsvarots risinājums, pieņemot elastīgu un pakāpenisku pieeju šādam koncentrācijas riskam, jo jebkādu neelastīgu robežvērtību vai stingru ierobežojumu noteikšana varētu kavēt uzņēmējdarbības veikšanu un ierobežot līgumslēgšanas brīvību. Finanšu vienībām būtu rūpīgi jāizvērtē savas paredzētās līgumiskās vienošanās, lai noteiktu šāda riska rašanās iespējamību, tostarp veicot padziļinātu analīzi par apakšuzņēmuma līgumiem, jo īpaši, ja tie noslēgti ar trešā valstī iedibinātām trešām personām, kas sniedz IKT pakalpojumus. Šajā posmā un nolūkā panākt taisnīgu līdzsvaru starp līgumu slēgšanas brīvības saglabāšanu un finanšu stabilitātes garantēšanu nav lietderīgi noteikt stingras robežvērtības un ierobežojumus pakļautībai ar trešo personu saistītam IKT riskam. Pārraudzības sistēmas kontekstā galvenajam pārraugam, kas iecelts, ievērojot šo regulu, attiecībā uz kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, būtu īpaša uzmanība jāpievērš tam, lai pilnībā aptvertu savstarpējo atkarību apjomu, jāatklāj konkrēti gadījumi, kad kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, augsta koncentrācija Savienībā varētu radīt spiedienu uz Savienības finanšu sistēmas stabilitāti un integritāti, un jāuztur dialogs ar kritiski svarīgajām trešām personām, kas sniedz IKT pakalpojumus, ja šāds konkrēts risks ir identificēts.

| (68) | Lai regulāri izvērtētu un uzraudzītu trešās personas, kas sniedz IKT pakalpojumus, spēju droši sniegt pakalpojumus finanšu vienībai, nelabvēlīgi neietekmējot finanšu vienības digitālās darbības noturību, būtu jāsaskaņo vairāki galvenie līgumiskie elementi ar trešām personām, kas sniedz IKT pakalpojumus. Šādai saskaņošanai būtu jāaptver minimālās jomas, kas ir būtiskas, lai ļautu finanšu vienībai pilnībā uzraudzīt riskus, ko varētu radīt trešā persona, kas sniedz IKT pakalpojumus, ņemot vērā finanšu vienības vajadzību nodrošināt savu digitālo noturību, jo tā ir ļoti atkarīga no saņemto IKT pakalpojumu stabilitātes, funkcionalitātes, pieejamības un drošības. |
| --- | --- |

(68)

Lai regulāri izvērtētu un uzraudzītu trešās personas, kas sniedz IKT pakalpojumus, spēju droši sniegt pakalpojumus finanšu vienībai, nelabvēlīgi neietekmējot finanšu vienības digitālās darbības noturību, būtu jāsaskaņo vairāki galvenie līgumiskie elementi ar trešām personām, kas sniedz IKT pakalpojumus. Šādai saskaņošanai būtu jāaptver minimālās jomas, kas ir būtiskas, lai ļautu finanšu vienībai pilnībā uzraudzīt riskus, ko varētu radīt trešā persona, kas sniedz IKT pakalpojumus, ņemot vērā finanšu vienības vajadzību nodrošināt savu digitālo noturību, jo tā ir ļoti atkarīga no saņemto IKT pakalpojumu stabilitātes, funkcionalitātes, pieejamības un drošības.

| (69) | Pārskatot līgumiskās vienošanās, lai panāktu saskaņotību ar šīs regulas prasībām, finanšu vienībām un trešām personām, kas sniedz IKT pakalpojumus, būtu jānodrošina, ka tajās ir iekļauti galvenie šajā regulā paredzētie līgumu noteikumi. |
| --- | --- |

(69)

Pārskatot līgumiskās vienošanās, lai panāktu saskaņotību ar šīs regulas prasībām, finanšu vienībām un trešām personām, kas sniedz IKT pakalpojumus, būtu jānodrošina, ka tajās ir iekļauti galvenie šajā regulā paredzētie līgumu noteikumi.

| (70) | Šajā regulā sniegtā jēdziena “kritiski svarīgas vai svarīgas funkcijas” definīcija ietver “kritiski svarīgas funkcijas”, kā tās definētas Eiropas Parlamenta un Padomes Direktīvas 2014/59/ES (20) 2. panta 1. punkta 35) apakšpunktā. Tāpēc funkcijas, ko uzskata par kritiski svarīgām, ievērojot Direktīvu 2014/59/ES, ir iekļautas kritiski svarīgo funkciju definīcijā šīs regulas nozīmē. |
| --- | --- |

(70)

Šajā regulā sniegtā jēdziena “kritiski svarīgas vai svarīgas funkcijas” definīcija ietver “kritiski svarīgas funkcijas”, kā tās definētas Eiropas Parlamenta un Padomes Direktīvas 2014/59/ES (20) 2. panta 1. punkta 35) apakšpunktā. Tāpēc funkcijas, ko uzskata par kritiski svarīgām, ievērojot Direktīvu 2014/59/ES, ir iekļautas kritiski svarīgo funkciju definīcijā šīs regulas nozīmē.

| (71) | Neatkarīgi no IKT pakalpojumu atbalstītās funkcijas kritiskuma vai svarīguma ar līgumisku vienošanos jo īpaši būtu jānosaka funkciju un pakalpojumu pilnīgs apraksts, šādu funkciju sniegšanas un datu apstrādes vieta, kā arī jānorāda pakalpojumu līmeņa apraksti. Citi būtiski elementi, lai ļautu finanšu vienībai uzraudzīt ar trešo personu saistīto IKT risku, ir: līguma noteikumi, kuros precizēts, kā trešā persona, kas sniedz IKT pakalpojumus, nodrošina personas datu piekļūstamību, pieejamību, integritāti, drošību un aizsardzību, noteikumi, ar ko tiek garantēta piekļuve datiem un to atgūšana un atgriešana trešās personas, kas sniedz IKT pakalpojumus, maksātnespējas, noregulējuma vai uzņēmējdarbības izbeigšanas gadījumā, kā arī noteikumi, kuros paredzēts, ka trešās personas, kas sniedz IKT pakalpojumus, nodrošina palīdzību ar sniegto pakalpojumu saistītu IKT incidentu gadījumā bez papildu izmaksām vai par iepriekš noteiktu maksu; noteikumi, kuros paredzēts trešās personas, kas sniedz IKT pakalpojumus, pienākums pilnībā sadarboties ar finanšu vienības kompetentajām iestādēm un noregulējuma iestādēm; un noteikumi par izbeigšanas tiesībām un ar tām saistītajiem minimālajiem paziņošanas termiņiem attiecībā uz līgumiskās vienošanās izbeigšanu atbilstoši tam, kā to sagaida kompetentās iestādes un noregulējuma iestādes. |
| --- | --- |

(71)

Neatkarīgi no IKT pakalpojumu atbalstītās funkcijas kritiskuma vai svarīguma ar līgumisku vienošanos jo īpaši būtu jānosaka funkciju un pakalpojumu pilnīgs apraksts, šādu funkciju sniegšanas un datu apstrādes vieta, kā arī jānorāda pakalpojumu līmeņa apraksti. Citi būtiski elementi, lai ļautu finanšu vienībai uzraudzīt ar trešo personu saistīto IKT risku, ir: līguma noteikumi, kuros precizēts, kā trešā persona, kas sniedz IKT pakalpojumus, nodrošina personas datu piekļūstamību, pieejamību, integritāti, drošību un aizsardzību, noteikumi, ar ko tiek garantēta piekļuve datiem un to atgūšana un atgriešana trešās personas, kas sniedz IKT pakalpojumus, maksātnespējas, noregulējuma vai uzņēmējdarbības izbeigšanas gadījumā, kā arī noteikumi, kuros paredzēts, ka trešās personas, kas sniedz IKT pakalpojumus, nodrošina palīdzību ar sniegto pakalpojumu saistītu IKT incidentu gadījumā bez papildu izmaksām vai par iepriekš noteiktu maksu; noteikumi, kuros paredzēts trešās personas, kas sniedz IKT pakalpojumus, pienākums pilnībā sadarboties ar finanšu vienības kompetentajām iestādēm un noregulējuma iestādēm; un noteikumi par izbeigšanas tiesībām un ar tām saistītajiem minimālajiem paziņošanas termiņiem attiecībā uz līgumiskās vienošanās izbeigšanu atbilstoši tam, kā to sagaida kompetentās iestādes un noregulējuma iestādes.

| (72) | Papildus šādiem līguma noteikumiem un lai nodrošinātu, ka finanšu vienības saglabā pilnīgu kontroli pār visu notikumu attīstību trešo personu līmenī, kas var mazināt to IKT drošību, līgumos par tādu IKT pakalpojumu sniegšanu, ar kuriem atbalsta kritiski svarīgas vai svarīgas funkcijas, būtu jāparedz arī šādi elementi: pilnīgu pakalpojumu līmeņa aprakstu specifikācija ar precīziem kvantitatīviem un kvalitatīviem darbības mērķiem, lai bez liekas kavēšanās varētu veikt atbilstīgus koriģējošus pasākumus, ja netiek ievēroti saskaņotie pakalpojumu līmeņi; trešās personas, kas sniedz IKT pakalpojumus, attiecīgie saistošie paziņošanas termiņi un ziņošanas pienākumi tādu notikumu gadījumā, kas var būtiski ietekmēt trešās personas, kas sniedz IKT pakalpojumus, spēju efektīvi sniegt savus attiecīgos IKT pakalpojumus; prasība trešai personai, kas sniedz IKT pakalpojumus, īstenot un pārbaudīt uzņēmējdarbības ārkārtas rīcības plānus un ieviest IKT drošības pasākumus, rīkus un politiku, kas ļauj droši sniegt pakalpojumus, kā arī piedalīties un pilnībā sadarboties DVIT, ko veic finanšu vienība. |
| --- | --- |

(72)

Papildus šādiem līguma noteikumiem un lai nodrošinātu, ka finanšu vienības saglabā pilnīgu kontroli pār visu notikumu attīstību trešo personu līmenī, kas var mazināt to IKT drošību, līgumos par tādu IKT pakalpojumu sniegšanu, ar kuriem atbalsta kritiski svarīgas vai svarīgas funkcijas, būtu jāparedz arī šādi elementi: pilnīgu pakalpojumu līmeņa aprakstu specifikācija ar precīziem kvantitatīviem un kvalitatīviem darbības mērķiem, lai bez liekas kavēšanās varētu veikt atbilstīgus koriģējošus pasākumus, ja netiek ievēroti saskaņotie pakalpojumu līmeņi; trešās personas, kas sniedz IKT pakalpojumus, attiecīgie saistošie paziņošanas termiņi un ziņošanas pienākumi tādu notikumu gadījumā, kas var būtiski ietekmēt trešās personas, kas sniedz IKT pakalpojumus, spēju efektīvi sniegt savus attiecīgos IKT pakalpojumus; prasība trešai personai, kas sniedz IKT pakalpojumus, īstenot un pārbaudīt uzņēmējdarbības ārkārtas rīcības plānus un ieviest IKT drošības pasākumus, rīkus un politiku, kas ļauj droši sniegt pakalpojumus, kā arī piedalīties un pilnībā sadarboties DVIT, ko veic finanšu vienība.

| (73) | Līgumos par tādu IKT pakalpojumu sniegšanu, ar kuriem atbalsta kritiski svarīgas vai svarīgas funkcijas, vajadzētu ietvert arī noteikumus, kas ļauj īstenot finanšu vienības vai ieceltas trešās personas piekļuves, pārbaudes un revīzijas tiesības un tiesības izgatavot kopijas kā svarīgu rīku finanšu vienības veiktās trešās personas, kas sniedz IKT pakalpojumus, darbības rezultātu pastāvīgās uzraudzības procesā, ko papildina pakalpojumu sniedzēja pilnīga sadarbība pārbaužu laikā. Arī finanšu vienības kompetentajai iestādei vajadzētu būt tiesībām ar iepriekšēju paziņojumu pārbaudīt trešo personu, kas sniedz IKT pakalpojumus, un veikt tā revīziju, nodrošinot konfidenciālas informācijas aizsardzību. |
| --- | --- |

(73)

Līgumos par tādu IKT pakalpojumu sniegšanu, ar kuriem atbalsta kritiski svarīgas vai svarīgas funkcijas, vajadzētu ietvert arī noteikumus, kas ļauj īstenot finanšu vienības vai ieceltas trešās personas piekļuves, pārbaudes un revīzijas tiesības un tiesības izgatavot kopijas kā svarīgu rīku finanšu vienības veiktās trešās personas, kas sniedz IKT pakalpojumus, darbības rezultātu pastāvīgās uzraudzības procesā, ko papildina pakalpojumu sniedzēja pilnīga sadarbība pārbaužu laikā. Arī finanšu vienības kompetentajai iestādei vajadzētu būt tiesībām ar iepriekšēju paziņojumu pārbaudīt trešo personu, kas sniedz IKT pakalpojumus, un veikt tā revīziju, nodrošinot konfidenciālas informācijas aizsardzību.

| (74) | Ar šādu līgumisku vienošanos būtu arī jāparedz skaidri noteiktas atsevišķas atkāpšanās stratēģijas, kas jo īpaši ļauj noteikt obligātus pārejas periodus, kuros trešām personām, kas sniedz IKT pakalpojumus, būtu jāturpina nodrošināt attiecīgos pakalpojumus ar mērķi mazināt traucējumu risku finanšu vienības līmenī, vai jāļauj finanšu vienībai efektīvi pāriet pie citas trešās personas izmantošanas, kas sniedz IKT pakalpojumus, vai arī pāriet uz iekšējiem risinājumiem atbilstīgi sniegtā IKT pakalpojuma sarežģītībai. Turklāt finanšu vienībām, uz kurām attiecas Direktīvas 2014/59/ES darbības joma, būtu jānodrošina, ka attiecīgie līgumi par IKT pakalpojumiem ir stabili un pilnībā izpildāmi minēto finanšu vienību noregulējuma gadījumā. Tādēļ noregulējuma iestādes sagaida, ka minētās finanšu vienības nodrošinās, lai attiecīgie IKT pakalpojumu līgumi būtu noturīgi noregulējuma gadījumā. Kamēr minētās finanšu vienības turpina pildīt savas maksājumu saistības, tām cita starpā būtu jānodrošina, ka attiecīgajos IKT pakalpojumu līgumos ir ietvertas klauzulas par līguma darbības neizbeigšanu, neatcelšanu un nepārveidošanu pārstrukturēšanas vai noregulējuma gadījumā. |
| --- | --- |

(74)

Ar šādu līgumisku vienošanos būtu arī jāparedz skaidri noteiktas atsevišķas atkāpšanās stratēģijas, kas jo īpaši ļauj noteikt obligātus pārejas periodus, kuros trešām personām, kas sniedz IKT pakalpojumus, būtu jāturpina nodrošināt attiecīgos pakalpojumus ar mērķi mazināt traucējumu risku finanšu vienības līmenī, vai jāļauj finanšu vienībai efektīvi pāriet pie citas trešās personas izmantošanas, kas sniedz IKT pakalpojumus, vai arī pāriet uz iekšējiem risinājumiem atbilstīgi sniegtā IKT pakalpojuma sarežģītībai. Turklāt finanšu vienībām, uz kurām attiecas Direktīvas 2014/59/ES darbības joma, būtu jānodrošina, ka attiecīgie līgumi par IKT pakalpojumiem ir stabili un pilnībā izpildāmi minēto finanšu vienību noregulējuma gadījumā. Tādēļ noregulējuma iestādes sagaida, ka minētās finanšu vienības nodrošinās, lai attiecīgie IKT pakalpojumu līgumi būtu noturīgi noregulējuma gadījumā. Kamēr minētās finanšu vienības turpina pildīt savas maksājumu saistības, tām cita starpā būtu jānodrošina, ka attiecīgajos IKT pakalpojumu līgumos ir ietvertas klauzulas par līguma darbības neizbeigšanu, neatcelšanu un nepārveidošanu pārstrukturēšanas vai noregulējuma gadījumā.

| (75) | Turklāt, brīvprātīgi izmantojot līguma standartklauzulas, kuras izstrādājušas valsts iestādes vai Savienības iestādes, jo īpaši līguma klauzulas, ko Komisija izstrādājusi attiecībā uz mākoņdatošanas pakalpojumiem, varētu nodrošināt papildu drošību finanšu vienībām un trešām personām, kas sniedz IKT pakalpojumus, uzlabojot to juridisko noteiktību attiecībā uz mākoņdatošanas pakalpojumu izmantošanu finanšu nozarē un to pilnībā saskaņojot ar Savienības finanšu pakalpojumu tiesību aktu prasībām un gaidām. Līguma standartklauzulu izstrāde balstās uz pasākumiem, kas tika paredzēti jau 2018. gada Finanšu tehnoloģijas rīcības plānā, kurā tika izziņots Komisijas nodoms atbalstīt un veicināt līgumu standartklauzulu izstrādi finanšu vienību darbību uzticēšanai ārējiem mākoņdatošanas pakalpojumu sniedzējiem, par pamatu izmantojot starpnozaru mākoņdatošanas pakalpojumu jomas ieinteresēto personu centienus, ko Komisija ar finanšu nozares iesaisti ir veicinājusi. |
| --- | --- |

(75)

Turklāt, brīvprātīgi izmantojot līguma standartklauzulas, kuras izstrādājušas valsts iestādes vai Savienības iestādes, jo īpaši līguma klauzulas, ko Komisija izstrādājusi attiecībā uz mākoņdatošanas pakalpojumiem, varētu nodrošināt papildu drošību finanšu vienībām un trešām personām, kas sniedz IKT pakalpojumus, uzlabojot to juridisko noteiktību attiecībā uz mākoņdatošanas pakalpojumu izmantošanu finanšu nozarē un to pilnībā saskaņojot ar Savienības finanšu pakalpojumu tiesību aktu prasībām un gaidām. Līguma standartklauzulu izstrāde balstās uz pasākumiem, kas tika paredzēti jau 2018. gada Finanšu tehnoloģijas rīcības plānā, kurā tika izziņots Komisijas nodoms atbalstīt un veicināt līgumu standartklauzulu izstrādi finanšu vienību darbību uzticēšanai ārējiem mākoņdatošanas pakalpojumu sniedzējiem, par pamatu izmantojot starpnozaru mākoņdatošanas pakalpojumu jomas ieinteresēto personu centienus, ko Komisija ar finanšu nozares iesaisti ir veicinājusi.

| (76) | Lai veicinātu konverģenci un efektivitāti attiecībā uz uzraudzības pieejām, ar ko pievēršas ar trešo personu saistītajam IKT riskam finanšu nozarē, kā arī lai stiprinātu to finanšu vienību digitālās darbības noturību, kuras tādu IKT pakalpojumu sniegšanai, ar kuriem atbalsta finanšu pakalpojumus, paļaujas uz kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, un tādējādi palīdzētu saglabāt Savienības finanšu sistēmas stabilitāti un finanšu pakalpojumu iekšējā tirgus integritāti, uz kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, vajadzētu attiekties Savienības pārraudzības sistēmai. Lai gan pārraudzības sistēmas izveide ir pamatota ar pievienoto vērtību, ko sniedz rīcība Savienības līmenī, un ņemot vērā IKT pakalpojumu izmantošanas būtisko nozīmi un specifiku finanšu pakalpojumu sniegšanā, vienlaikus būtu jāatgādina, ka šis risinājums šķiet piemērots tikai saistībā ar šo regulu, kas īpaši attiecas uz digitālās darbības noturību finanšu nozarē. Tomēr šāda pārraudzības sistēma nebūtu jāuzskata par jaunu Savienības uzraudzības modeli citās finanšu pakalpojumu un darbību jomās. |
| --- | --- |

(76)

Lai veicinātu konverģenci un efektivitāti attiecībā uz uzraudzības pieejām, ar ko pievēršas ar trešo personu saistītajam IKT riskam finanšu nozarē, kā arī lai stiprinātu to finanšu vienību digitālās darbības noturību, kuras tādu IKT pakalpojumu sniegšanai, ar kuriem atbalsta finanšu pakalpojumus, paļaujas uz kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, un tādējādi palīdzētu saglabāt Savienības finanšu sistēmas stabilitāti un finanšu pakalpojumu iekšējā tirgus integritāti, uz kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, vajadzētu attiekties Savienības pārraudzības sistēmai. Lai gan pārraudzības sistēmas izveide ir pamatota ar pievienoto vērtību, ko sniedz rīcība Savienības līmenī, un ņemot vērā IKT pakalpojumu izmantošanas būtisko nozīmi un specifiku finanšu pakalpojumu sniegšanā, vienlaikus būtu jāatgādina, ka šis risinājums šķiet piemērots tikai saistībā ar šo regulu, kas īpaši attiecas uz digitālās darbības noturību finanšu nozarē. Tomēr šāda pārraudzības sistēma nebūtu jāuzskata par jaunu Savienības uzraudzības modeli citās finanšu pakalpojumu un darbību jomās.

| (77) | Pārraudzības sistēma būtu jāpiemēro tikai kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus. Tādēļ būtu jāparedz izraudzīšanās mehānisms, lai ņemtu vērā, kādā apmērā un veidā finanšu nozare paļaujas uz šādām trešām personām, kas sniedz IKT pakalpojumus. Minētajam mehānismam būtu jāietver kvantitatīvu un kvalitatīvu kritēriju kopums, kas noteiktu svarīguma parametrus kā pamatu iekļaušanai pārraudzības sistēmā. Lai nodrošinātu minētā novērtējuma precizitāti un neatkarīgi no trešās personas, kas sniedz IKT pakalpojumus, korporatīvās struktūras, šādos kritērijos attiecībā uz trešo personu, kas sniedz IKT pakalpojumus un ir daļa no plašākas grupas, būtu jāņem vērā visa trešās personas, kas sniedz IKT pakalpojumus, grupas struktūra. No vienas puses, kritiski svarīgajām trešām personām, kas sniedz IKT pakalpojumus un kas netiek automātiski izraudzītas, piemērojot minētos kritērijus, vajadzētu būt iespējai brīvprātīgi pievienoties pārraudzības sistēmai, savukārt tās trešās personas, kas sniedz IKT pakalpojumus, uz kurām jau attiecas pārraudzības mehānisma sistēmas, kuru mērķis ir atbalstīt LESD 127. panta 2. punktā minēto Eiropas Centrālo banku sistēmas uzdevumu pildīšanu, būtu jāatbrīvo. |
| --- | --- |

(77)

Pārraudzības sistēma būtu jāpiemēro tikai kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus. Tādēļ būtu jāparedz izraudzīšanās mehānisms, lai ņemtu vērā, kādā apmērā un veidā finanšu nozare paļaujas uz šādām trešām personām, kas sniedz IKT pakalpojumus. Minētajam mehānismam būtu jāietver kvantitatīvu un kvalitatīvu kritēriju kopums, kas noteiktu svarīguma parametrus kā pamatu iekļaušanai pārraudzības sistēmā. Lai nodrošinātu minētā novērtējuma precizitāti un neatkarīgi no trešās personas, kas sniedz IKT pakalpojumus, korporatīvās struktūras, šādos kritērijos attiecībā uz trešo personu, kas sniedz IKT pakalpojumus un ir daļa no plašākas grupas, būtu jāņem vērā visa trešās personas, kas sniedz IKT pakalpojumus, grupas struktūra. No vienas puses, kritiski svarīgajām trešām personām, kas sniedz IKT pakalpojumus un kas netiek automātiski izraudzītas, piemērojot minētos kritērijus, vajadzētu būt iespējai brīvprātīgi pievienoties pārraudzības sistēmai, savukārt tās trešās personas, kas sniedz IKT pakalpojumus, uz kurām jau attiecas pārraudzības mehānisma sistēmas, kuru mērķis ir atbalstīt LESD 127. panta 2. punktā minēto Eiropas Centrālo banku sistēmas uzdevumu pildīšanu, būtu jāatbrīvo.

| (78) | Līdzīgi arī finanšu vienības, kas sniedz IKT pakalpojumus citām finanšu vienībām, lai gan pieder pie trešo personu, kas sniedz IKT pakalpojumus saskaņā ar šo regulu, kategorijas, būtu jāatbrīvo no pārraudzības sistēmas, jo uz tām jau attiecas uzraudzības mehānismi, kas izveidoti ar attiecīgajiem Savienības finanšu pakalpojumu tiesību aktiem. Attiecīgā gadījumā kompetentajām iestādēm saistībā ar savām uzraudzības darbībām būtu jāņem vērā IKT risks, ko finanšu vienībām rada finanšu vienības, kuras sniedz IKT pakalpojumus. Tāpat, ņemot vērā esošos riska uzraudzības mehānismus grupas līmenī, tāds pats atbrīvojums būtu jāievieš attiecībā uz trešām personām, kas sniedz IKT pakalpojumus galvenokārt savas grupas vienībām. Trešās personas, kas sniedz IKT pakalpojumus tikai vienā dalībvalstī finanšu vienībām, kuras darbojas tikai minētajā dalībvalstī, arī būtu jāatbrīvo no izraudzīšanas mehānisma to ierobežoto darbību un pārrobežu ietekmes neesamības dēļ. |
| --- | --- |

(78)

Līdzīgi arī finanšu vienības, kas sniedz IKT pakalpojumus citām finanšu vienībām, lai gan pieder pie trešo personu, kas sniedz IKT pakalpojumus saskaņā ar šo regulu, kategorijas, būtu jāatbrīvo no pārraudzības sistēmas, jo uz tām jau attiecas uzraudzības mehānismi, kas izveidoti ar attiecīgajiem Savienības finanšu pakalpojumu tiesību aktiem. Attiecīgā gadījumā kompetentajām iestādēm saistībā ar savām uzraudzības darbībām būtu jāņem vērā IKT risks, ko finanšu vienībām rada finanšu vienības, kuras sniedz IKT pakalpojumus. Tāpat, ņemot vērā esošos riska uzraudzības mehānismus grupas līmenī, tāds pats atbrīvojums būtu jāievieš attiecībā uz trešām personām, kas sniedz IKT pakalpojumus galvenokārt savas grupas vienībām. Trešās personas, kas sniedz IKT pakalpojumus tikai vienā dalībvalstī finanšu vienībām, kuras darbojas tikai minētajā dalībvalstī, arī būtu jāatbrīvo no izraudzīšanas mehānisma to ierobežoto darbību un pārrobežu ietekmes neesamības dēļ.

| (79) | Finanšu pakalpojumu jomā piedzīvotā digitālā pārveide ir radījusi vēl nepieredzētu IKT pakalpojumu izmantošanas līmeni un paļaušanos uz tiem. Tā kā ir kļuvis neiedomājami sniegt finanšu pakalpojumus, neizmantojot mākoņdatošanas pakalpojumus, programmatūras risinājumus un ar datiem saistītus pakalpojumus, Savienības finanšu ekosistēma ir kļuvusi nesaraujami atkarīga no konkrētiem IKT pakalpojumiem, ko sniedz IKT pakalpojumu sniedzēji. Dažiem no minētajiem piegādātājiem, novatoriem, kas izstrādā un izmanto uz IKT balstītas tehnoloģijas, ir nozīmīga loma finanšu pakalpojumu sniegšanā, vai arī tie ir integrējušies finanšu pakalpojumu vērtības ķēdē. Tādējādi tie ir kļuvuši kritiski svarīgi Savienības finanšu sistēmas stabilitātei un integritātei. Šī plašā paļaušanās uz pakalpojumiem, ko sniedz kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, apvienojumā ar dažādu tirgus dalībnieku informācijas sistēmu savstarpējo atkarību rada tiešu un potenciāli nopietnu risku Savienības finanšu pakalpojumu sistēmai un finanšu pakalpojumu sniegšanas nepārtrauktībai, ja kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, skartu darbības traucējumi vai būtiski kiberincidenti. Kiberincidentiem ir izteikta spēja vairoties un izplatīties visā finanšu sistēmā ievērojami ātrāk nekā citiem riska veidiem, kas tiek uzraudzīti finanšu nozarē, un tie var aptvert dažādas nozares un sniegties pāri ģeogrāfiskajām robežām. Tiem ir potenciāls pāraugt sistēmiskā krīzē, kad uzticēšanās finanšu sistēmai ir mazinājusies reālās ekonomikas atbalsta funkciju traucējumu dēļ vai būtisku finansiālu zaudējumu dēļ, sasniedzot līmeni, ko finanšu sistēma nespēj izturēt vai kam nepieciešama smagu satricinājumu absorbcijas pasākumu īstenošana. Lai novērstu to, ka šādi scenāriji var piepildīties un tādējādi apdraudēt Savienības finanšu stabilitāti un integritāti, ir būtiski nodrošināt uzraudzības prakses konverģenci attiecībā uz tādu risku finanšu jomā, kurš saistīts ar trešo personu, kas sniedz IKT pakalpojumus, jo īpaši ar jauniem noteikumiem, kas ļauj Savienībai pārraudzīt kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus. |
| --- | --- |

(79)

Finanšu pakalpojumu jomā piedzīvotā digitālā pārveide ir radījusi vēl nepieredzētu IKT pakalpojumu izmantošanas līmeni un paļaušanos uz tiem. Tā kā ir kļuvis neiedomājami sniegt finanšu pakalpojumus, neizmantojot mākoņdatošanas pakalpojumus, programmatūras risinājumus un ar datiem saistītus pakalpojumus, Savienības finanšu ekosistēma ir kļuvusi nesaraujami atkarīga no konkrētiem IKT pakalpojumiem, ko sniedz IKT pakalpojumu sniedzēji. Dažiem no minētajiem piegādātājiem, novatoriem, kas izstrādā un izmanto uz IKT balstītas tehnoloģijas, ir nozīmīga loma finanšu pakalpojumu sniegšanā, vai arī tie ir integrējušies finanšu pakalpojumu vērtības ķēdē. Tādējādi tie ir kļuvuši kritiski svarīgi Savienības finanšu sistēmas stabilitātei un integritātei. Šī plašā paļaušanās uz pakalpojumiem, ko sniedz kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, apvienojumā ar dažādu tirgus dalībnieku informācijas sistēmu savstarpējo atkarību rada tiešu un potenciāli nopietnu risku Savienības finanšu pakalpojumu sistēmai un finanšu pakalpojumu sniegšanas nepārtrauktībai, ja kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, skartu darbības traucējumi vai būtiski kiberincidenti. Kiberincidentiem ir izteikta spēja vairoties un izplatīties visā finanšu sistēmā ievērojami ātrāk nekā citiem riska veidiem, kas tiek uzraudzīti finanšu nozarē, un tie var aptvert dažādas nozares un sniegties pāri ģeogrāfiskajām robežām. Tiem ir potenciāls pāraugt sistēmiskā krīzē, kad uzticēšanās finanšu sistēmai ir mazinājusies reālās ekonomikas atbalsta funkciju traucējumu dēļ vai būtisku finansiālu zaudējumu dēļ, sasniedzot līmeni, ko finanšu sistēma nespēj izturēt vai kam nepieciešama smagu satricinājumu absorbcijas pasākumu īstenošana. Lai novērstu to, ka šādi scenāriji var piepildīties un tādējādi apdraudēt Savienības finanšu stabilitāti un integritāti, ir būtiski nodrošināt uzraudzības prakses konverģenci attiecībā uz tādu risku finanšu jomā, kurš saistīts ar trešo personu, kas sniedz IKT pakalpojumus, jo īpaši ar jauniem noteikumiem, kas ļauj Savienībai pārraudzīt kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus.

| (80) | Pārraudzības sistēma lielā mērā ir atkarīga no sadarbības pakāpes starp galveno pārraugu un kritiski svarīgo trešo personu, kas finanšu vienībām sniedz tādus IKT pakalpojumus, kuri ietekmē finanšu pakalpojumu sniegšanu. Sekmīga pārraudzība cita starpā ir atkarīga no galvenā pārrauga spējas efektīvi veikt uzraudzības uzdevumus un pārbaudes, lai novērtētu noteikumus, kontroli un procesus, ko izmanto kritiski svarīgās trešās personas, kas sniedz IKT pakalpojumus, kā arī lai novērtētu to darbību iespējamo kumulatīvo ietekmi uz finanšu stabilitāti un finanšu sistēmas integritāti. Vienlaikus ir būtiski, lai kritiski svarīgās trešās personas, kas sniedz IKT pakalpojumus, ievērotu galvenā pārrauga ieteikumus un kliedētu viņa bažas. Tā kā tādas kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, kuri ietekmē finanšu pakalpojumu sniegšanu, sadarbības trūkums, piemēram, atteikums piešķirt piekļuvi savām telpām vai iesniegt informāciju, galu galā atņemtu galvenajam pārraugam tā būtiski svarīgos rīkus, kas vajadzīgi, lai novērtētu ar trešo personu saistītu IKT risku, un varētu negatīvi ietekmēt finanšu sistēmas finanšu stabilitāti un integritāti, ir jāparedz arī samērīgs sankciju režīms. |
| --- | --- |

(80)

Pārraudzības sistēma lielā mērā ir atkarīga no sadarbības pakāpes starp galveno pārraugu un kritiski svarīgo trešo personu, kas finanšu vienībām sniedz tādus IKT pakalpojumus, kuri ietekmē finanšu pakalpojumu sniegšanu. Sekmīga pārraudzība cita starpā ir atkarīga no galvenā pārrauga spējas efektīvi veikt uzraudzības uzdevumus un pārbaudes, lai novērtētu noteikumus, kontroli un procesus, ko izmanto kritiski svarīgās trešās personas, kas sniedz IKT pakalpojumus, kā arī lai novērtētu to darbību iespējamo kumulatīvo ietekmi uz finanšu stabilitāti un finanšu sistēmas integritāti. Vienlaikus ir būtiski, lai kritiski svarīgās trešās personas, kas sniedz IKT pakalpojumus, ievērotu galvenā pārrauga ieteikumus un kliedētu viņa bažas. Tā kā tādas kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, kuri ietekmē finanšu pakalpojumu sniegšanu, sadarbības trūkums, piemēram, atteikums piešķirt piekļuvi savām telpām vai iesniegt informāciju, galu galā atņemtu galvenajam pārraugam tā būtiski svarīgos rīkus, kas vajadzīgi, lai novērtētu ar trešo personu saistītu IKT risku, un varētu negatīvi ietekmēt finanšu sistēmas finanšu stabilitāti un integritāti, ir jāparedz arī samērīgs sankciju režīms.

| (81) | Ņemot vērā iepriekš minēto, galvenā pārrauga vajadzību piemērot soda maksājumus, lai piespiestu kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, ievērot šajā regulā noteiktos pārredzamības un ar piekļuvi saistītos pienākumus, nedrīkstētu apdraudēt grūtības, ko rada minēto soda maksājumu izpilde attiecībā uz kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus un kas iedibināti trešās valstīs. Lai nodrošinātu šādu sodu izpildāmību un ļautu ātri ieviest procedūras, ar kurām tiek nodrošinātas kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, tiesības uz aizstāvību saistībā ar izraudzīšanas mehānismu un ieteikumu sniegšanu, minētajām kritiski svarīgām trešām personām, kas finanšu vienībām sniedz IKT pakalpojumus, kuri ietekmē finanšu pakalpojumu sniegšanu, būtu jāprasa saglabāt pienācīgu uzņēmējdarbības klātbūtni Savienībā. Ņemot vērā pārraudzības būtību un salīdzināmu pasākumu trūkumu citās jurisdikcijās, nav piemērotu alternatīvu mehānismu, kas nodrošinātu šo mērķi, efektīvi sadarbojoties ar finanšu uzraudzības iestādēm trešās valstīs saistībā ar to digitālo operacionālo risku ietekmes uzraudzību, kurus rada trešās personas, kas sniedz sistēmiskus IKT pakalpojumus un kvalificējas kā kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus un kas iedibinātas trešās valstīs. Tāpēc, lai turpinātu sniegt IKT pakalpojumus finanšu vienībām Savienībā, trešai personai, kas sniedz IKT pakalpojumus un kas iedibināta trešās valstīs, un kas saskaņā ar šo regulu ir izraudzīta par kritiski svarīgu, 12 mēnešu laikā pēc šādas izraudzīšanas būtu jāveic visi nepieciešamie pasākumi, lai nodrošinātu tās nodibināšanu Savienībā, iedibinot meitasuzņēmumu, kā definēts visā Savienības acquis, jo īpaši Eiropas Parlamenta un Padomes Direktīvā 2013/34/ES (21). |
| --- | --- |

(81)

Ņemot vērā iepriekš minēto, galvenā pārrauga vajadzību piemērot soda maksājumus, lai piespiestu kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, ievērot šajā regulā noteiktos pārredzamības un ar piekļuvi saistītos pienākumus, nedrīkstētu apdraudēt grūtības, ko rada minēto soda maksājumu izpilde attiecībā uz kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus un kas iedibināti trešās valstīs. Lai nodrošinātu šādu sodu izpildāmību un ļautu ātri ieviest procedūras, ar kurām tiek nodrošinātas kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, tiesības uz aizstāvību saistībā ar izraudzīšanas mehānismu un ieteikumu sniegšanu, minētajām kritiski svarīgām trešām personām, kas finanšu vienībām sniedz IKT pakalpojumus, kuri ietekmē finanšu pakalpojumu sniegšanu, būtu jāprasa saglabāt pienācīgu uzņēmējdarbības klātbūtni Savienībā. Ņemot vērā pārraudzības būtību un salīdzināmu pasākumu trūkumu citās jurisdikcijās, nav piemērotu alternatīvu mehānismu, kas nodrošinātu šo mērķi, efektīvi sadarbojoties ar finanšu uzraudzības iestādēm trešās valstīs saistībā ar to digitālo operacionālo risku ietekmes uzraudzību, kurus rada trešās personas, kas sniedz sistēmiskus IKT pakalpojumus un kvalificējas kā kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus un kas iedibinātas trešās valstīs. Tāpēc, lai turpinātu sniegt IKT pakalpojumus finanšu vienībām Savienībā, trešai personai, kas sniedz IKT pakalpojumus un kas iedibināta trešās valstīs, un kas saskaņā ar šo regulu ir izraudzīta par kritiski svarīgu, 12 mēnešu laikā pēc šādas izraudzīšanas būtu jāveic visi nepieciešamie pasākumi, lai nodrošinātu tās nodibināšanu Savienībā, iedibinot meitasuzņēmumu, kā definēts visā Savienības acquis, jo īpaši Eiropas Parlamenta un Padomes Direktīvā 2013/34/ES (21).

| (82) | Prasībai izveidot meitasuzņēmumu Savienībā nebūtu jāliedz kritiski svarīgai trešai personai, kas sniedz IKT pakalpojumus, sniegt IKT pakalpojumus un saistīto tehnisko atbalstu no objektiem un infrastruktūras, kas atrodas ārpus Savienības. Ar šo regulu nenosaka datu teritoriālās ierobežošanas pienākumu, jo tajā nav prasīts, lai datu glabāšana vai apstrāde tiktu veikta Savienībā. |
| --- | --- |

(82)

Prasībai izveidot meitasuzņēmumu Savienībā nebūtu jāliedz kritiski svarīgai trešai personai, kas sniedz IKT pakalpojumus, sniegt IKT pakalpojumus un saistīto tehnisko atbalstu no objektiem un infrastruktūras, kas atrodas ārpus Savienības. Ar šo regulu nenosaka datu teritoriālās ierobežošanas pienākumu, jo tajā nav prasīts, lai datu glabāšana vai apstrāde tiktu veikta Savienībā.

| (83) | Kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, būtu jāspēj sniegt IKT pakalpojumus no jebkuras vietas pasaulē, ne obligāti vai ne tikai no telpām, kas atrodas Savienībā. Pārraudzības darbības vispirms būtu jāveic telpās, kas atrodas Savienībā, un mijiedarbojoties ar vienībām, kas atrodas Savienībā, tostarp ar meitasuzņēmumiem, kurus, ievērojot šo regulu, izveidojušas kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus. Tomēr šādas darbības Savienībā varētu būt nepietiekamas, lai galvenais pārraugs varētu pilnībā un efektīvi pildīt savus pienākumus saskaņā ar šo regulu. Tāpēc galvenajam pārraugam būtu jāspēj īstenot savas attiecīgās pārraudzības pilnvaras arī trešās valstīs. Minēto pilnvaru īstenošanai trešās valstīs būtu jāsniedz galvenajam pārraugam iespēja pārbaudīt objektus, no kuriem kritiski svarīgā trešā persona, kas sniedz IKT pakalpojumus, faktiski nodrošina vai pārvalda IKT pakalpojumus vai tehniskā atbalsta pakalpojumus, un būtu jāsniedz galvenajam pārraugam visaptveroša un operacionāla izpratne par kritiski svarīgās trešās personas, kas sniedz IKT pakalpojumus, IKT riska pārvaldību. Galvenā pārrauga – kā Savienības aģentūras – iespējai īstenot pilnvaras ārpus Savienības teritorijas vajadzētu būt pienācīgi regulētai ar attiecīgiem nosacījumiem, jo īpaši ar attiecīgās kritiski svarīgās trešās personas, kas sniedz IKT pakalpojumus, piekrišanu. Tāpat attiecīgās trešās valsts iestādes būtu jāinformē par galvenā pārrauga darbību veikšanu to teritorijā, un būtu jāsaņem to piekrišana. Tomēr, lai nodrošinātu efektīvu īstenošanu un neskarot Savienības iestāžu un dalībvalstu attiecīgās kompetences, šādas pilnvaras ir pilnībā jānostiprina arī, noslēdzot administratīvās sadarbības nolīgumus ar attiecīgās trešās valsts attiecīgajām iestādēm. Tādēļ šai regulai būtu jāļauj EUI noslēgt administratīvās sadarbības nolīgumus ar attiecīgajām trešo valstu iestādēm, kam citādi nevajadzētu radīt juridiskas saistības attiecībā uz Savienību un tās dalībvalstīm. |
| --- | --- |

(83)

Kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, būtu jāspēj sniegt IKT pakalpojumus no jebkuras vietas pasaulē, ne obligāti vai ne tikai no telpām, kas atrodas Savienībā. Pārraudzības darbības vispirms būtu jāveic telpās, kas atrodas Savienībā, un mijiedarbojoties ar vienībām, kas atrodas Savienībā, tostarp ar meitasuzņēmumiem, kurus, ievērojot šo regulu, izveidojušas kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus. Tomēr šādas darbības Savienībā varētu būt nepietiekamas, lai galvenais pārraugs varētu pilnībā un efektīvi pildīt savus pienākumus saskaņā ar šo regulu. Tāpēc galvenajam pārraugam būtu jāspēj īstenot savas attiecīgās pārraudzības pilnvaras arī trešās valstīs. Minēto pilnvaru īstenošanai trešās valstīs būtu jāsniedz galvenajam pārraugam iespēja pārbaudīt objektus, no kuriem kritiski svarīgā trešā persona, kas sniedz IKT pakalpojumus, faktiski nodrošina vai pārvalda IKT pakalpojumus vai tehniskā atbalsta pakalpojumus, un būtu jāsniedz galvenajam pārraugam visaptveroša un operacionāla izpratne par kritiski svarīgās trešās personas, kas sniedz IKT pakalpojumus, IKT riska pārvaldību. Galvenā pārrauga – kā Savienības aģentūras – iespējai īstenot pilnvaras ārpus Savienības teritorijas vajadzētu būt pienācīgi regulētai ar attiecīgiem nosacījumiem, jo īpaši ar attiecīgās kritiski svarīgās trešās personas, kas sniedz IKT pakalpojumus, piekrišanu. Tāpat attiecīgās trešās valsts iestādes būtu jāinformē par galvenā pārrauga darbību veikšanu to teritorijā, un būtu jāsaņem to piekrišana. Tomēr, lai nodrošinātu efektīvu īstenošanu un neskarot Savienības iestāžu un dalībvalstu attiecīgās kompetences, šādas pilnvaras ir pilnībā jānostiprina arī, noslēdzot administratīvās sadarbības nolīgumus ar attiecīgās trešās valsts attiecīgajām iestādēm. Tādēļ šai regulai būtu jāļauj EUI noslēgt administratīvās sadarbības nolīgumus ar attiecīgajām trešo valstu iestādēm, kam citādi nevajadzētu radīt juridiskas saistības attiecībā uz Savienību un tās dalībvalstīm.

| (84) | Lai atvieglotu saziņu ar galveno pārraugu un nodrošinātu pienācīgu pārstāvību, kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus un ir daļa no grupas, par savu koordinācijas punktu būtu jāizraugās viena juridiska persona. |
| --- | --- |

(84)

Lai atvieglotu saziņu ar galveno pārraugu un nodrošinātu pienācīgu pārstāvību, kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus un ir daļa no grupas, par savu koordinācijas punktu būtu jāizraugās viena juridiska persona.

| (85) | Pārraudzības sistēmai nebūtu jāskar dalībvalstu kompetenci veikt savus pārraudzības vai uzraudzības uzdevumus attiecībā uz trešām personām, kas sniedz IKT pakalpojumus un kuras nav izraudzītas par kritiski svarīgām saskaņā ar šo regulu, bet kuras var uzskatīt par svarīgām valsts līmenī. |
| --- | --- |

(85)

Pārraudzības sistēmai nebūtu jāskar dalībvalstu kompetenci veikt savus pārraudzības vai uzraudzības uzdevumus attiecībā uz trešām personām, kas sniedz IKT pakalpojumus un kuras nav izraudzītas par kritiski svarīgām saskaņā ar šo regulu, bet kuras var uzskatīt par svarīgām valsts līmenī.

| (86) | Lai izmantotu finanšu pakalpojumu jomas daudzslāņaino institucionālo struktūru, EUI Apvienotajai komitejai būtu jāturpina nodrošināt vispārēju starpnozaru koordināciju attiecībā uz visiem ar IKT risku saistītajiem jautājumiem saskaņā ar tās uzdevumiem kiberdrošības jomā. Tai būtu jāsaņem atbalsts no jaunas apakškomitejas (Pārraudzības forums), kas veic sagatavošanās darbus gan attiecībā uz atsevišķām kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, adresētiem lēmumiem, gan kolektīvu ieteikumu izsniegšanu, jo īpaši attiecībā uz kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, pārraudzības programmu salīdzinošo novērtēšanu un IKT koncentrācijas riska jautājumu risināšanas labākās prakses noteikšanu. |
| --- | --- |

(86)

Lai izmantotu finanšu pakalpojumu jomas daudzslāņaino institucionālo struktūru, EUI Apvienotajai komitejai būtu jāturpina nodrošināt vispārēju starpnozaru koordināciju attiecībā uz visiem ar IKT risku saistītajiem jautājumiem saskaņā ar tās uzdevumiem kiberdrošības jomā. Tai būtu jāsaņem atbalsts no jaunas apakškomitejas (Pārraudzības forums), kas veic sagatavošanās darbus gan attiecībā uz atsevišķām kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, adresētiem lēmumiem, gan kolektīvu ieteikumu izsniegšanu, jo īpaši attiecībā uz kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, pārraudzības programmu salīdzinošo novērtēšanu un IKT koncentrācijas riska jautājumu risināšanas labākās prakses noteikšanu.

| (87) | Lai nodrošinātu, ka kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, tiek pienācīgi un efektīvi pārraudzītas Savienības līmenī, šajā regulā ir paredzēts, ka jebkuru no trim EUI varētu izraudzīties par galveno pārraugu. Kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, individuālai piešķiršanai vienai no trim EUI būtu jāizriet no to finanšu vienību dominējošā stāvokļa novērtējuma, kuras darbojas finanšu nozarēs, par kurām minētā EUI ir atbildīga. Šai pieejai būtu jānodrošina līdzsvarots uzdevumu un pienākumu sadalījums starp trim EUI saistībā ar pārraudzības funkciju veikšanu un pēc iespējas labāk jāizmanto cilvēkresursi un tehniskās zināšanas, kas pieejamas katrā no trim EUI. |
| --- | --- |

(87)

Lai nodrošinātu, ka kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, tiek pienācīgi un efektīvi pārraudzītas Savienības līmenī, šajā regulā ir paredzēts, ka jebkuru no trim EUI varētu izraudzīties par galveno pārraugu. Kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, individuālai piešķiršanai vienai no trim EUI būtu jāizriet no to finanšu vienību dominējošā stāvokļa novērtējuma, kuras darbojas finanšu nozarēs, par kurām minētā EUI ir atbildīga. Šai pieejai būtu jānodrošina līdzsvarots uzdevumu un pienākumu sadalījums starp trim EUI saistībā ar pārraudzības funkciju veikšanu un pēc iespējas labāk jāizmanto cilvēkresursi un tehniskās zināšanas, kas pieejamas katrā no trim EUI.

| (88) | Galvenajiem pārraugiem vajadzētu būt piešķirtām vajadzīgajām pilnvarām veikt kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, izmeklēšanu un pārbaudes uz vietas un neklātienē to telpās un atrašanās vietās un iegūt pilnīgu un atjauninātu informāciju. Minētajām pilnvarām būtu jāļauj galvenajam pārraugam gūt patiesu priekšstatu par finanšu vienībām un Savienības finanšu sistēmai radītā, ar trešo personu saistītā IKT riska veidu, apmēru un ietekmi. Galvenās pārraudzības lomas uzticēšana EUI ir priekšnoteikums, lai izprastu un risinātu IKT riska sistēmisko dimensiju finanšu jomā. Kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, ietekme uz Savienības finanšu nozari un iespējamās problēmas, ko rada ar IKT koncentrāciju saistītais risks, prasa īstenot kolektīvu pieeju Savienības līmenī. Vairāku revīziju vienlaicīga veikšana un piekļuves tiesību izmantošana, ko īsteno vairākas kompetentās iestādes atsevišķi ar nelielu koordināciju vai vispār bez tās, neļautu finanšu uzraudzības iestādēm iegūt pilnīgu un visaptverošu pārskatu par trešās personas, kas sniedz IKT pakalpojumus, risku Savienībā, vienlaikus radot arī dublēšanos, slogu un sarežģītību kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, ja uz tām attiektos daudzi uzraudzības un pārbaudes pieprasījumi. |
| --- | --- |

(88)

Galvenajiem pārraugiem vajadzētu būt piešķirtām vajadzīgajām pilnvarām veikt kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, izmeklēšanu un pārbaudes uz vietas un neklātienē to telpās un atrašanās vietās un iegūt pilnīgu un atjauninātu informāciju. Minētajām pilnvarām būtu jāļauj galvenajam pārraugam gūt patiesu priekšstatu par finanšu vienībām un Savienības finanšu sistēmai radītā, ar trešo personu saistītā IKT riska veidu, apmēru un ietekmi. Galvenās pārraudzības lomas uzticēšana EUI ir priekšnoteikums, lai izprastu un risinātu IKT riska sistēmisko dimensiju finanšu jomā. Kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, ietekme uz Savienības finanšu nozari un iespējamās problēmas, ko rada ar IKT koncentrāciju saistītais risks, prasa īstenot kolektīvu pieeju Savienības līmenī. Vairāku revīziju vienlaicīga veikšana un piekļuves tiesību izmantošana, ko īsteno vairākas kompetentās iestādes atsevišķi ar nelielu koordināciju vai vispār bez tās, neļautu finanšu uzraudzības iestādēm iegūt pilnīgu un visaptverošu pārskatu par trešās personas, kas sniedz IKT pakalpojumus, risku Savienībā, vienlaikus radot arī dublēšanos, slogu un sarežģītību kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, ja uz tām attiektos daudzi uzraudzības un pārbaudes pieprasījumi.

| (89) | Ņemot vērā būtisko ietekmi, ko rada izraudzīšana par kritiski svarīgu, šai regulai būtu jānodrošina, ka visā pārraudzības sistēmas īstenošanā tiek ievērotas kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, tiesības. Pirms šādi pakalpojumu sniedzēji tiek izraudzīti par kritiski svarīgiem, tiem, piemēram, vajadzētu būt tiesībām iesniegt galvenajam pārraugam pamatotu paziņojumu, kurā ietverta jebkāda ar to izraudzīšanu saistīta būtiska informācija novērtējuma vajadzībām. Tā kā galvenajam pārraugam vajadzētu būt pilnvarotam sniegt ieteikumus par IKT riska jautājumiem un piemērotiem to novēršanas pasākumiem, ietverot pilnvaras iebilst pret konkrētu līgumisku vienošanos, kas ietekmē finanšu vienības vai finanšu sistēmas stabilitāti, kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, arī būtu jādod iespēja pirms minēto ieteikumu pabeigšanas sniegt paskaidrojumus par ieteikumā paredzēto risinājumu paredzamo ietekmi uz klientiem, kas ir vienības, kuras neietilpst šīs regulas darbības jomā, un formulēt risinājumus risku mazināšanai. Kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus un nepiekrīt ieteikumiem, būtu jāiesniedz pamatots paskaidrojums par savu nodomu neapstiprināt ieteikumu. Ja šāds pamatots paskaidrojums nav iesniegts vai ja to uzskata par nepietiekamu, galvenajam pārraugam būtu jāizdod publisks paziņojums, kurā īsumā aprakstīta neatbilstība. |
| --- | --- |

(89)

Ņemot vērā būtisko ietekmi, ko rada izraudzīšana par kritiski svarīgu, šai regulai būtu jānodrošina, ka visā pārraudzības sistēmas īstenošanā tiek ievērotas kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, tiesības. Pirms šādi pakalpojumu sniedzēji tiek izraudzīti par kritiski svarīgiem, tiem, piemēram, vajadzētu būt tiesībām iesniegt galvenajam pārraugam pamatotu paziņojumu, kurā ietverta jebkāda ar to izraudzīšanu saistīta būtiska informācija novērtējuma vajadzībām. Tā kā galvenajam pārraugam vajadzētu būt pilnvarotam sniegt ieteikumus par IKT riska jautājumiem un piemērotiem to novēršanas pasākumiem, ietverot pilnvaras iebilst pret konkrētu līgumisku vienošanos, kas ietekmē finanšu vienības vai finanšu sistēmas stabilitāti, kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, arī būtu jādod iespēja pirms minēto ieteikumu pabeigšanas sniegt paskaidrojumus par ieteikumā paredzēto risinājumu paredzamo ietekmi uz klientiem, kas ir vienības, kuras neietilpst šīs regulas darbības jomā, un formulēt risinājumus risku mazināšanai. Kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus un nepiekrīt ieteikumiem, būtu jāiesniedz pamatots paskaidrojums par savu nodomu neapstiprināt ieteikumu. Ja šāds pamatots paskaidrojums nav iesniegts vai ja to uzskata par nepietiekamu, galvenajam pārraugam būtu jāizdod publisks paziņojums, kurā īsumā aprakstīta neatbilstība.

| (90) | Kompetentajām iestādēm savās darbībās attiecībā uz finanšu vienību prudenciālo uzraudzību būtu pienācīgi jāiekļauj uzdevums pārbaudīt galvenā pārrauga sniegto ieteikumu faktisku ievērošanu. Kompetentajām iestādēm būtu jāspēj pieprasīt finanšu vienībām veikt papildu pasākumus, lai novērstu riskus, kas identificēti galvenā pārrauga ieteikumos, un tām būtu savlaicīgi jāizdod paziņojumi šajā sakarā. Ja galvenais pārraugs adresē ieteikumus kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus un kuras tiek uzraudzītas saskaņā ar Direktīvu (ES) 2022/2555, kompetentajām iestādēm būtu jāspēj brīvprātīgi un pirms papildu pasākumu pieņemšanas apspriesties ar kompetentajām iestādēm saskaņā ar minēto direktīvu, lai veicinātu koordinētu pieeju attiecībā uz attiecīgajām kritiski svarīgajām trešām personām, kas sniedz IKT pakalpojumus. |
| --- | --- |

(90)

Kompetentajām iestādēm savās darbībās attiecībā uz finanšu vienību prudenciālo uzraudzību būtu pienācīgi jāiekļauj uzdevums pārbaudīt galvenā pārrauga sniegto ieteikumu faktisku ievērošanu. Kompetentajām iestādēm būtu jāspēj pieprasīt finanšu vienībām veikt papildu pasākumus, lai novērstu riskus, kas identificēti galvenā pārrauga ieteikumos, un tām būtu savlaicīgi jāizdod paziņojumi šajā sakarā. Ja galvenais pārraugs adresē ieteikumus kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus un kuras tiek uzraudzītas saskaņā ar Direktīvu (ES) 2022/2555, kompetentajām iestādēm būtu jāspēj brīvprātīgi un pirms papildu pasākumu pieņemšanas apspriesties ar kompetentajām iestādēm saskaņā ar minēto direktīvu, lai veicinātu koordinētu pieeju attiecībā uz attiecīgajām kritiski svarīgajām trešām personām, kas sniedz IKT pakalpojumus.

| (91) | Pārraudzības īstenošanā būtu jāievēro trīs darbības principi, kuru mērķis ir nodrošināt: a) ciešu koordināciju EUI starpā to galveno pārraugu lomās, izmantojot kopīgu pārraudzības tīklu (JON), b) atbilstību sistēmai, kas izveidota ar Direktīvu (ES) 2022/2555, (izmantojot brīvprātīgu apspriešanos ar struktūrām saskaņā ar minēto direktīvu, lai izvairītos no tādu pasākumu dublēšanās, kuri vērsti uz kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus), un c) rūpības piemērošanu, lai pēc iespējas samazinātu traucējumu risku pakalpojumiem, ko kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, sniedz klientiem, kuri ir vienības, kas neietilpst šīs regulas darbības jomā. |
| --- | --- |

(91)

Pārraudzības īstenošanā būtu jāievēro trīs darbības principi, kuru mērķis ir nodrošināt: a) ciešu koordināciju EUI starpā to galveno pārraugu lomās, izmantojot kopīgu pārraudzības tīklu (JON), b) atbilstību sistēmai, kas izveidota ar Direktīvu (ES) 2022/2555, (izmantojot brīvprātīgu apspriešanos ar struktūrām saskaņā ar minēto direktīvu, lai izvairītos no tādu pasākumu dublēšanās, kuri vērsti uz kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus), un c) rūpības piemērošanu, lai pēc iespējas samazinātu traucējumu risku pakalpojumiem, ko kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, sniedz klientiem, kuri ir vienības, kas neietilpst šīs regulas darbības jomā.

| (92) | Pārraudzības sistēmai nebūtu jāaizstāj vai nekādā veidā vai daļā jāaizvieto prasība finanšu vienībām pašām pārvaldīt riskus, ko rada tādu trešo personu izmantošana, kas sniedz IKT pakalpojumus, tostarp to pienākumu pastāvīgi uzraudzīt līgumiskas vienošanās, kas noslēgtas ar kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus. Tāpat pārraudzības sistēmai nebūtu jāietekmē finanšu vienību pilna atbildība par visu šajā regulā un attiecīgajos finanšu pakalpojumu tiesību aktos noteikto juridisko saistību ievērošanu un to izpildi. |
| --- | --- |

(92)

Pārraudzības sistēmai nebūtu jāaizstāj vai nekādā veidā vai daļā jāaizvieto prasība finanšu vienībām pašām pārvaldīt riskus, ko rada tādu trešo personu izmantošana, kas sniedz IKT pakalpojumus, tostarp to pienākumu pastāvīgi uzraudzīt līgumiskas vienošanās, kas noslēgtas ar kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus. Tāpat pārraudzības sistēmai nebūtu jāietekmē finanšu vienību pilna atbildība par visu šajā regulā un attiecīgajos finanšu pakalpojumu tiesību aktos noteikto juridisko saistību ievērošanu un to izpildi.

| (93) | Lai izvairītos no dublēšanās un pārklāšanās, kompetentajām iestādēm būtu jāatturas individuāli veikt jebkādus pasākumus, kuru mērķis ir uzraudzīt kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, riskus, un šajā ziņā būtu jāuzticas attiecīgā galvenā pārrauga novērtējumam. Jebkurš pasākums jebkurā gadījumā iepriekš būtu jākoordinē un par to jāvienojas ar galveno pārraugu saistībā ar pārraudzības sistēmas uzdevumu veikšanu. |
| --- | --- |

(93)

Lai izvairītos no dublēšanās un pārklāšanās, kompetentajām iestādēm būtu jāatturas individuāli veikt jebkādus pasākumus, kuru mērķis ir uzraudzīt kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, riskus, un šajā ziņā būtu jāuzticas attiecīgā galvenā pārrauga novērtējumam. Jebkurš pasākums jebkurā gadījumā iepriekš būtu jākoordinē un par to jāvienojas ar galveno pārraugu saistībā ar pārraudzības sistēmas uzdevumu veikšanu.

| (94) | Lai starptautiskā līmenī veicinātu konverģenci attiecībā uz paraugpraksi, ko izmanto, pārskatot un uzraugot trešo personu, kas sniedz IKT pakalpojumus, digitālo riska pārvaldību, būtu jāmudina EUI noslēgt sadarbības nolīgumus ar attiecīgajām uzraudzības un regulatīvajām trešo valstu iestādēm. |
| --- | --- |

(94)

Lai starptautiskā līmenī veicinātu konverģenci attiecībā uz paraugpraksi, ko izmanto, pārskatot un uzraugot trešo personu, kas sniedz IKT pakalpojumus, digitālo riska pārvaldību, būtu jāmudina EUI noslēgt sadarbības nolīgumus ar attiecīgajām uzraudzības un regulatīvajām trešo valstu iestādēm.

| (95) | Lai izmantotu to darbinieku īpašās kompetences, tehniskās prasmes un speciālās zināšanas, kuri specializējas operatīvajā un IKT riska jomā kompetentajās iestādēs, trijās EUI un – brīvprātīgi – kompetentajās iestādēs saskaņā ar Direktīvu (ES) 2022/2555, galvenajam pārraugam būtu jāizmanto valstu uzraudzības spējas un zināšanas un jāizveido īpašas pārbaudes grupas katrai kritiski svarīgai trešai personai, kas sniedz IKT pakalpojumus, apvienojot daudznozaru grupas, lai atbalstītu pārraudzības darbību sagatavošanu un izpildi, tostarp kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, vispārējas izmeklēšanas un pārbaudes, kā arī pēc tam veicot jebkurus vajadzīgos turpmākos pasākumus. |
| --- | --- |

(95)

Lai izmantotu to darbinieku īpašās kompetences, tehniskās prasmes un speciālās zināšanas, kuri specializējas operatīvajā un IKT riska jomā kompetentajās iestādēs, trijās EUI un – brīvprātīgi – kompetentajās iestādēs saskaņā ar Direktīvu (ES) 2022/2555, galvenajam pārraugam būtu jāizmanto valstu uzraudzības spējas un zināšanas un jāizveido īpašas pārbaudes grupas katrai kritiski svarīgai trešai personai, kas sniedz IKT pakalpojumus, apvienojot daudznozaru grupas, lai atbalstītu pārraudzības darbību sagatavošanu un izpildi, tostarp kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, vispārējas izmeklēšanas un pārbaudes, kā arī pēc tam veicot jebkurus vajadzīgos turpmākos pasākumus.

| (96) | Lai gan izmaksas, kas izriet no pārraudzības uzdevumiem, tiktu pilnībā finansētas no maksām, ko iekasē no kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, pirms pārraudzības sistēmas darbības sākuma EUI tomēr, visticamāk, radīsies izmaksas par tādu īpašu IKT sistēmu ieviešanu, kas atbalsta gaidāmo pārraudzību, jo pirms tam būtu jāizstrādā un jāievieš īpašas IKT sistēmas. Tāpēc šajā regulā ir paredzēts hibrīds finansēšanas modelis, saskaņā ar kuru pārraudzības sistēma kā tāda tiktu pilnībā finansēta no maksām, savukārt EUI IKT sistēmu izstrādi finansētu no Savienības un valstu kompetento iestāžu iemaksām. |
| --- | --- |

(96)

Lai gan izmaksas, kas izriet no pārraudzības uzdevumiem, tiktu pilnībā finansētas no maksām, ko iekasē no kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, pirms pārraudzības sistēmas darbības sākuma EUI tomēr, visticamāk, radīsies izmaksas par tādu īpašu IKT sistēmu ieviešanu, kas atbalsta gaidāmo pārraudzību, jo pirms tam būtu jāizstrādā un jāievieš īpašas IKT sistēmas. Tāpēc šajā regulā ir paredzēts hibrīds finansēšanas modelis, saskaņā ar kuru pārraudzības sistēma kā tāda tiktu pilnībā finansēta no maksām, savukārt EUI IKT sistēmu izstrādi finansētu no Savienības un valstu kompetento iestāžu iemaksām.

| (97) | Kompetentajām iestādēm vajadzētu būt visām prasītajām uzraudzības, izmeklēšanas un sankciju pilnvarām, lai nodrošinātu, ka tās var pienācīgi pildīt savus pienākumus saskaņā ar šo regulu. Principā tām būtu jāpublicē paziņojumi par to piemērotajiem administratīvajiem sodiem. Tā kā finanšu vienības un trešās personas, kas sniedz IKT pakalpojumus, var būt iedibināti dažādās dalībvalstīs un tos var uzraudzīt dažādas kompetentās iestādes, šīs regulas piemērošana būtu jāveicina, no vienas puses, ar ciešu sadarbību starp attiecīgajām kompetentajām iestādēm, tostarp ar ECB attiecībā uz īpašiem uzdevumiem, ko tai uztic saskaņā ar Padomes Regulu (ES) Nr. 1024/2013, un, no otras puses, ar konsultācijām EUI starpā, veicot savstarpēju informācijas apmaiņu un sniedzot palīdzību saistībā ar attiecīgajām uzraudzības darbībām. |
| --- | --- |

(97)

Kompetentajām iestādēm vajadzētu būt visām prasītajām uzraudzības, izmeklēšanas un sankciju pilnvarām, lai nodrošinātu, ka tās var pienācīgi pildīt savus pienākumus saskaņā ar šo regulu. Principā tām būtu jāpublicē paziņojumi par to piemērotajiem administratīvajiem sodiem. Tā kā finanšu vienības un trešās personas, kas sniedz IKT pakalpojumus, var būt iedibināti dažādās dalībvalstīs un tos var uzraudzīt dažādas kompetentās iestādes, šīs regulas piemērošana būtu jāveicina, no vienas puses, ar ciešu sadarbību starp attiecīgajām kompetentajām iestādēm, tostarp ar ECB attiecībā uz īpašiem uzdevumiem, ko tai uztic saskaņā ar Padomes Regulu (ES) Nr. 1024/2013, un, no otras puses, ar konsultācijām EUI starpā, veicot savstarpēju informācijas apmaiņu un sniedzot palīdzību saistībā ar attiecīgajām uzraudzības darbībām.

| (98) | Lai turpinātu kvantitatīvi un kvalitatīvi raksturot kritērijus attiecībā uz trešo personu, kas sniedz IKT pakalpojumus, izraudzīšanu par kritiski svarīgām un lai saskaņotu pārraudzības maksas, būtu jādeleģē Komisijai pilnvaras pieņemt aktus saskaņā ar LESD 290. pantu, lai papildinātu šo regulu, sīkāk precizējot sistēmisko ietekmi, kāda trešās personas, kas sniedz IKT pakalpojumus, atteicei vai darbības traucējumam varētu būt uz finanšu vienībām, kurām tā sniedz IKT pakalpojumus, tādu globālo sistēmiski nozīmīgu iestāžu (G-SNI) vai citu sistēmiski nozīmīgu iestāžu (C-SNI) skaitu, kuras paļaujas uz attiecīgo trešo personu, kas sniedz IKT pakalpojumus, aktīvu trešo personu, kas sniedz IKT pakalpojumus, skaitu konkrētajā tirgū, uz izmaksām, kādas ir datu un IKT darba slodzes migrēšanai uz citu trešo personu, kas sniedz IKT pakalpojumus, kā arī pārraudzības maksu apmēru un to, kādā veidā tās ir jāmaksā. Ir īpaši būtiski, lai Komisija, veicot sagatavošanas darbus, rīkotu atbilstīgas apspriešanās, tostarp ekspertu līmenī, un lai minētās apspriešanās tiktu rīkotas saskaņā ar principiem, kas noteikti 2016. gada 13. aprīļa Iestāžu nolīgumā par labāku likumdošanas procesu (22). Jo īpaši, lai deleģēto aktu sagatavošanā nodrošinātu vienādu dalību, Eiropas Parlamentam un Padomei visi dokumenti būtu jāsaņem vienlaicīgi ar dalībvalstu ekspertiem, un minēto iestāžu ekspertiem vajadzētu būt sistemātiskai piekļuvei Komisijas ekspertu grupu sanāksmēm, kurās notiek deleģēto aktu sagatavošana. |
| --- | --- |

(98)

Lai turpinātu kvantitatīvi un kvalitatīvi raksturot kritērijus attiecībā uz trešo personu, kas sniedz IKT pakalpojumus, izraudzīšanu par kritiski svarīgām un lai saskaņotu pārraudzības maksas, būtu jādeleģē Komisijai pilnvaras pieņemt aktus saskaņā ar LESD 290. pantu, lai papildinātu šo regulu, sīkāk precizējot sistēmisko ietekmi, kāda trešās personas, kas sniedz IKT pakalpojumus, atteicei vai darbības traucējumam varētu būt uz finanšu vienībām, kurām tā sniedz IKT pakalpojumus, tādu globālo sistēmiski nozīmīgu iestāžu (G-SNI) vai citu sistēmiski nozīmīgu iestāžu (C-SNI) skaitu, kuras paļaujas uz attiecīgo trešo personu, kas sniedz IKT pakalpojumus, aktīvu trešo personu, kas sniedz IKT pakalpojumus, skaitu konkrētajā tirgū, uz izmaksām, kādas ir datu un IKT darba slodzes migrēšanai uz citu trešo personu, kas sniedz IKT pakalpojumus, kā arī pārraudzības maksu apmēru un to, kādā veidā tās ir jāmaksā. Ir īpaši būtiski, lai Komisija, veicot sagatavošanas darbus, rīkotu atbilstīgas apspriešanās, tostarp ekspertu līmenī, un lai minētās apspriešanās tiktu rīkotas saskaņā ar principiem, kas noteikti 2016. gada 13. aprīļa Iestāžu nolīgumā par labāku likumdošanas procesu (22). Jo īpaši, lai deleģēto aktu sagatavošanā nodrošinātu vienādu dalību, Eiropas Parlamentam un Padomei visi dokumenti būtu jāsaņem vienlaicīgi ar dalībvalstu ekspertiem, un minēto iestāžu ekspertiem vajadzētu būt sistemātiskai piekļuvei Komisijas ekspertu grupu sanāksmēm, kurās notiek deleģēto aktu sagatavošana.

| (99) | Regulatīvajiem tehniskajiem standartiem būtu jānodrošina šajā regulā noteikto prasību konsekventa saskaņošana. Tā kā EUI ir struktūras, kam ir ļoti specializētas zināšanas, tās būtu jāpilnvaro izstrādāt un iesniegt Komisijai ar politikas izvēlēm nesaistītu regulatīvu tehnisko standartu projektus. Būtu jāizstrādā regulatīvie tehniskie standarti tādās jomās kā IKT riska pārvaldība, ziņošana par būtiskiem ar IKT saistītiem incidentiem, testēšana, kā arī saistībā ar galvenajām prasībām ar trešo personu saistīta IKT riska stabilai uzraudzībai. Komisijai un EUI būtu jānodrošina, lai visas finanšu vienības varētu piemērot minētos standartus un prasības tā, lai piemērošana būtu samērīga ar minēto vienību lielumu un vispārējo riska profilu un pakalpojumu, darbību un operāciju veidu, apmēru un sarežģītību. Komisija būtu jāpilnvaro pieņemt šādus regulatīvos tehniskos standartus, pieņemot deleģēšanas aktus saskaņā ar LESD 290. pantu un saskaņā ar 10.–14. pantu Regulās (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 un (ES) Nr. 1095/2010. |
| --- | --- |

(99)

Regulatīvajiem tehniskajiem standartiem būtu jānodrošina šajā regulā noteikto prasību konsekventa saskaņošana. Tā kā EUI ir struktūras, kam ir ļoti specializētas zināšanas, tās būtu jāpilnvaro izstrādāt un iesniegt Komisijai ar politikas izvēlēm nesaistītu regulatīvu tehnisko standartu projektus. Būtu jāizstrādā regulatīvie tehniskie standarti tādās jomās kā IKT riska pārvaldība, ziņošana par būtiskiem ar IKT saistītiem incidentiem, testēšana, kā arī saistībā ar galvenajām prasībām ar trešo personu saistīta IKT riska stabilai uzraudzībai. Komisijai un EUI būtu jānodrošina, lai visas finanšu vienības varētu piemērot minētos standartus un prasības tā, lai piemērošana būtu samērīga ar minēto vienību lielumu un vispārējo riska profilu un pakalpojumu, darbību un operāciju veidu, apmēru un sarežģītību. Komisija būtu jāpilnvaro pieņemt šādus regulatīvos tehniskos standartus, pieņemot deleģēšanas aktus saskaņā ar LESD 290. pantu un saskaņā ar 10.–14. pantu Regulās (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 un (ES) Nr. 1095/2010.

| (100) | Lai atvieglotu ar IKT saistītu būtisku incidentu un būtisku ar maksājumiem saistītu darbības vai drošības incidentu ziņojumu salīdzināmību, kā arī lai nodrošinātu pārredzamību attiecībā uz līgumisku vienošanos par tādu IKT pakalpojumu izmantošanu, ko sniedz trešās personas, kas sniedz IKT pakalpojumus, EUI būtu jāizstrādā īstenošanas tehnisko standartu projekti, ar kuriem izveido standartizētas veidnes, veidlapas un procedūras finanšu vienībām, ar ko ziņot par būtiskiem ar IKT saistītiem incidentiem un būtiskiem ar maksājumiem saistītiem darbības vai drošības incidentiem, kā arī standartizētas veidnes informācijas reģistram. Izstrādājot minētos standartus, EUI būtu jāņem vērā finanšu vienības lielums un vispārējais riska profils, kā arī tās pakalpojumu, darbību un operāciju veids, apmērs un sarežģītība. Komisija būtu jāpilnvaro pieņemt šādus īstenošanas tehniskos standartus, pieņemot īstenošanas aktus saskaņā ar LESD 291. pantu un saskaņā ar 15. pantu Regulās (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 un (ES) Nr. 1095/2010. |
| --- | --- |

(100)

Lai atvieglotu ar IKT saistītu būtisku incidentu un būtisku ar maksājumiem saistītu darbības vai drošības incidentu ziņojumu salīdzināmību, kā arī lai nodrošinātu pārredzamību attiecībā uz līgumisku vienošanos par tādu IKT pakalpojumu izmantošanu, ko sniedz trešās personas, kas sniedz IKT pakalpojumus, EUI būtu jāizstrādā īstenošanas tehnisko standartu projekti, ar kuriem izveido standartizētas veidnes, veidlapas un procedūras finanšu vienībām, ar ko ziņot par būtiskiem ar IKT saistītiem incidentiem un būtiskiem ar maksājumiem saistītiem darbības vai drošības incidentiem, kā arī standartizētas veidnes informācijas reģistram. Izstrādājot minētos standartus, EUI būtu jāņem vērā finanšu vienības lielums un vispārējais riska profils, kā arī tās pakalpojumu, darbību un operāciju veids, apmērs un sarežģītība. Komisija būtu jāpilnvaro pieņemt šādus īstenošanas tehniskos standartus, pieņemot īstenošanas aktus saskaņā ar LESD 291. pantu un saskaņā ar 15. pantu Regulās (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 un (ES) Nr. 1095/2010.

| (101) | Tā kā papildu prasības jau ir noteiktas ar deleģētiem un īstenošanas aktiem, kuru pamatā ir Eiropas Parlamenta un Padomes Regulās (EK) Nr. 1060/2009 (23), (ES) Nr. 648/2012 (24), (ES) Nr. 600/2014 (25) un (ES) Nr. 909/2014 (26) paredzētie tehniskie normatīvie un īstenošanas tehniskie standarti, ir lietderīgi pilnvarot EUI individuāli vai kopīgi ar Apvienotās komitejas starpniecību iesniegt Komisijai regulatīvos un īstenošanas tehniskos standartus, lai pieņemtu deleģētos un īstenošanas aktus, ar kuriem īsteno un atjaunina esošos IKT riska pārvaldības noteikumus. |
| --- | --- |

(101)

Tā kā papildu prasības jau ir noteiktas ar deleģētiem un īstenošanas aktiem, kuru pamatā ir Eiropas Parlamenta un Padomes Regulās (EK) Nr. 1060/2009 (23), (ES) Nr. 648/2012 (24), (ES) Nr. 600/2014 (25) un (ES) Nr. 909/2014 (26) paredzētie tehniskie normatīvie un īstenošanas tehniskie standarti, ir lietderīgi pilnvarot EUI individuāli vai kopīgi ar Apvienotās komitejas starpniecību iesniegt Komisijai regulatīvos un īstenošanas tehniskos standartus, lai pieņemtu deleģētos un īstenošanas aktus, ar kuriem īsteno un atjaunina esošos IKT riska pārvaldības noteikumus.

| (102) | Ņemot vērā to, ka šī regula kopā ar Eiropas Parlamenta un Padomes Direktīvu (ES) Nr. 2022/2556 (27) paredz konsolidēt IKT riska pārvaldības noteikumus, kas ir iekļauti vairākās Savienības finanšu pakalpojumu jomas acquis regulās un direktīvās, tostarp Eiropas Parlamenta un Padomes Regulās (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 un (ES) 2016/1011 (28), lai nodrošinātu pilnīgu konsekvenci, minētās regulas būtu jāgroza, lai precizētu, ka šajā regulā ir paredzēti piemērojamie ar IKT risku saistītie noteikumi. |
| --- | --- |

(102)

Ņemot vērā to, ka šī regula kopā ar Eiropas Parlamenta un Padomes Direktīvu (ES) Nr. 2022/2556 (27) paredz konsolidēt IKT riska pārvaldības noteikumus, kas ir iekļauti vairākās Savienības finanšu pakalpojumu jomas acquis regulās un direktīvās, tostarp Eiropas Parlamenta un Padomes Regulās (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 un (ES) 2016/1011 (28), lai nodrošinātu pilnīgu konsekvenci, minētās regulas būtu jāgroza, lai precizētu, ka šajā regulā ir paredzēti piemērojamie ar IKT risku saistītie noteikumi.

| (103) | Tādēļ ar operacionālo risku saistīto attiecīgo pantu darbības joma, uz kuru pamata Regulās (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 un (ES) 2016/1011 ir piešķirtas pilnvaras pieņemt deleģētos un īstenošanas aktus, būtu jāsašaurina, lai šajā regulā iekļautu visus noteikumus, kas attiecas uz digitālās darbības noturības aspektiem, kuri pašlaik ir minēto regulu daļa. |
| --- | --- |

(103)

Tādēļ ar operacionālo risku saistīto attiecīgo pantu darbības joma, uz kuru pamata Regulās (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 un (ES) 2016/1011 ir piešķirtas pilnvaras pieņemt deleģētos un īstenošanas aktus, būtu jāsašaurina, lai šajā regulā iekļautu visus noteikumus, kas attiecas uz digitālās darbības noturības aspektiem, kuri pašlaik ir minēto regulu daļa.

| (104) | Iespējamais sistēmiskais kiberrisks, kas saistīts ar tādu IKT infrastruktūru izmantošanu, kuras nodrošina maksājumu sistēmu darbību un maksājumu apstrādes darbību nodrošināšanu, būtu pienācīgi jārisina Savienības līmenī, izmantojot saskaņotus digitālās noturības noteikumus. Šajā nolūkā Komisijai būtu ātri jāizvērtē nepieciešamība pārskatīt šīs regulas darbības jomu, vienlaikus saskaņojot šādu pārskatīšanu ar Direktīvā (ES) 2015/2366 paredzētās visaptverošās pārskatīšanas rezultātiem. Daudzi plaša mēroga uzbrukumi pēdējo desmit gadu laikā liecina, ka maksājumu sistēmas ir kļuvušas pakļautas kiberdraudiem. Maksājumu sistēmas un maksājumu apstrādes darbības ir ieguvušas būtisku nozīmi Savienības finanšu tirgu darbībā, jo tās ir maksājumu pakalpojumu ķēdes pamatā un tām ir spēcīgas saiknes ar vispārējo finanšu sistēmu. Kiberuzbrukumi šādām sistēmām var izraisīt smagus darbības traucējumus, kas tieši ietekmē ekonomiskās pamatfunkcijas, piemēram, maksājumu atvieglošanu, un netieši ietekmē saistītos ekonomiskos procesus. Kamēr Savienības līmenī nav ieviests saskaņots režīms un maksājumu sistēmu operatoru un apstrādes vienību uzraudzība, dalībvalstis, piemērojot noteikumus maksājumu sistēmu operatoriem un apstrādes vienībām, ko uzrauga to jurisdikcijā, nolūkā piemērot līdzīgu tirgus praksi var iedvesmoties no šajā regulā noteiktajām digitālās darbības noturības prasībām. |
| --- | --- |

(104)

Iespējamais sistēmiskais kiberrisks, kas saistīts ar tādu IKT infrastruktūru izmantošanu, kuras nodrošina maksājumu sistēmu darbību un maksājumu apstrādes darbību nodrošināšanu, būtu pienācīgi jārisina Savienības līmenī, izmantojot saskaņotus digitālās noturības noteikumus. Šajā nolūkā Komisijai būtu ātri jāizvērtē nepieciešamība pārskatīt šīs regulas darbības jomu, vienlaikus saskaņojot šādu pārskatīšanu ar Direktīvā (ES) 2015/2366 paredzētās visaptverošās pārskatīšanas rezultātiem. Daudzi plaša mēroga uzbrukumi pēdējo desmit gadu laikā liecina, ka maksājumu sistēmas ir kļuvušas pakļautas kiberdraudiem. Maksājumu sistēmas un maksājumu apstrādes darbības ir ieguvušas būtisku nozīmi Savienības finanšu tirgu darbībā, jo tās ir maksājumu pakalpojumu ķēdes pamatā un tām ir spēcīgas saiknes ar vispārējo finanšu sistēmu. Kiberuzbrukumi šādām sistēmām var izraisīt smagus darbības traucējumus, kas tieši ietekmē ekonomiskās pamatfunkcijas, piemēram, maksājumu atvieglošanu, un netieši ietekmē saistītos ekonomiskos procesus. Kamēr Savienības līmenī nav ieviests saskaņots režīms un maksājumu sistēmu operatoru un apstrādes vienību uzraudzība, dalībvalstis, piemērojot noteikumus maksājumu sistēmu operatoriem un apstrādes vienībām, ko uzrauga to jurisdikcijā, nolūkā piemērot līdzīgu tirgus praksi var iedvesmoties no šajā regulā noteiktajām digitālās darbības noturības prasībām.

| (105) | Ņemot vērā to, ka šīs regulas mērķi – proti, augsta digitālās darbības noturības līmeņa sasniegšanu regulētām finanšu vienībām – nevar pietiekami labi sasniegt dalībvalstīs, jo ir jāsaskaņo dažādi atšķirīgi noteikumi Savienības un dalībvalstu tiesībās, bet tā mēroga un iedarbības dēļ minēto mērķi var labāk sasniegt Savienības līmenī, Savienība var pieņemt pasākumus saskaņā ar Līguma par Eiropas Savienību 5. pantā noteikto subsidiaritātes principu. Saskaņā ar minētajā pantā noteikto proporcionalitātes principu šajā regulā paredz vienīgi tos pasākumus, kas ir vajadzīgi minētā mērķa sasniegšanai. |
| --- | --- |

(105)

Ņemot vērā to, ka šīs regulas mērķi – proti, augsta digitālās darbības noturības līmeņa sasniegšanu regulētām finanšu vienībām – nevar pietiekami labi sasniegt dalībvalstīs, jo ir jāsaskaņo dažādi atšķirīgi noteikumi Savienības un dalībvalstu tiesībās, bet tā mēroga un iedarbības dēļ minēto mērķi var labāk sasniegt Savienības līmenī, Savienība var pieņemt pasākumus saskaņā ar Līguma par Eiropas Savienību 5. pantā noteikto subsidiaritātes principu. Saskaņā ar minētajā pantā noteikto proporcionalitātes principu šajā regulā paredz vienīgi tos pasākumus, kas ir vajadzīgi minētā mērķa sasniegšanai.

| (106) | Saskaņā ar Eiropas Parlamenta un Padomes Regulas (ES) 2018/1725 (29) 42. panta 1. punktu ir notikusi apspriešanās ar Eiropas Datu aizsardzības uzraudzītāju, kas 2021. gada 10. maijā (30) sniedza atzinumu, |
| --- | --- |

(106)

Saskaņā ar Eiropas Parlamenta un Padomes Regulas (ES) 2018/1725 (29) 42. panta 1. punktu ir notikusi apspriešanās ar Eiropas Datu aizsardzības uzraudzītāju, kas 2021. gada 10. maijā (30) sniedza atzinumu,

IR PIEŅĒMUŠI ŠO REGULU.

I NODAĻA

Vispārīgi noteikumi

1. pants

Priekšmets

1.   Lai sasniegtu augstu kopējo digitālās darbības noturības līmeni, šajā regulā ir noteiktas šādas vienotas prasības attiecībā uz tādu tīklu un informācijas sistēmu drošību, kas atbalsta finanšu vienību uzņēmējdarbības procesus:

| a) | finanšu vienībām piemērojamās prasības attiecībā uz:






  i) | informācijas un komunikācijas tehnoloģiju (IKT) riska pārvaldību; |
| --- | --- | --- |

a)

finanšu vienībām piemērojamās prasības attiecībā uz:

i)

informācijas un komunikācijas tehnoloģiju (IKT) riska pārvaldību;

| ii) | ziņošanu par būtiskiem ar IKT saistītiem incidentiem un brīvprātīgu paziņošanu kompetentajām iestādēm par būtiskiem kiberdraudiem; |
| --- | --- |

ii)

ziņošanu par būtiskiem ar IKT saistītiem incidentiem un brīvprātīgu paziņošanu kompetentajām iestādēm par būtiskiem kiberdraudiem;

| iii) | 2. panta 1. punkta a)–d) apakšpunktā minēto finanšu vienību ziņošanu kompetentajām iestādēm par būtiskiem ar maksājumiem saistītiem darbības vai drošības incidentiem; |
| --- | --- |

iii)

2. panta 1. punkta a)–d) apakšpunktā minēto finanšu vienību ziņošanu kompetentajām iestādēm par būtiskiem ar maksājumiem saistītiem darbības vai drošības incidentiem;

| iv) | digitālās darbības noturības testēšanu; |
| --- | --- |

iv)

digitālās darbības noturības testēšanu;

| v) | ar kiberdraudiem un ievainojamību saistītu informācijas un izlūkdatu apmaiņu; |
| --- | --- |

v)

ar kiberdraudiem un ievainojamību saistītu informācijas un izlūkdatu apmaiņu;

| vi) | pasākumiem ar trešām personām saistīta IKT riska stabilai pārvaldībai; |
| --- | --- |

vi)

pasākumiem ar trešām personām saistīta IKT riska stabilai pārvaldībai;

| b) | prasības attiecībā uz līgumisku vienošanos, kas noslēgta starp trešām personām, kas sniedz IKT pakalpojumus, un finanšu vienībām; |
| --- | --- |

b)

prasības attiecībā uz līgumisku vienošanos, kas noslēgta starp trešām personām, kas sniedz IKT pakalpojumus, un finanšu vienībām;

| c) | noteikumi par pārraudzības sistēmas izveidi un darbību attiecībā uz trešām personām, kas sniedz kritiski svarīgus IKT pakalpojumus, kad tās sniedz pakalpojumus finanšu vienībām; |
| --- | --- |

c)

noteikumi par pārraudzības sistēmas izveidi un darbību attiecībā uz trešām personām, kas sniedz kritiski svarīgus IKT pakalpojumus, kad tās sniedz pakalpojumus finanšu vienībām;

| d) | kompetento iestāžu sadarbības noteikumi un kompetento iestāžu uzraudzības un izpildes noteikumi attiecībā uz visiem jautājumiem, uz kuriem attiecas šī regula. |
| --- | --- |

d)

kompetento iestāžu sadarbības noteikumi un kompetento iestāžu uzraudzības un izpildes noteikumi attiecībā uz visiem jautājumiem, uz kuriem attiecas šī regula.

2.   Attiecībā uz finanšu vienībām, kas noteiktas kā būtiskas vai svarīgas vienības saskaņā ar valsts noteikumiem, ar kuriem transponē Direktīvas (ES) 2022/2555 3. pantu, šo regulu uzskata kā uz konkrētu nozari attiecināmu Savienības tiesību aktu minētās direktīvas 4. panta vajadzībām.

3.   Šī regula neskar dalībvalstu atbildību par būtiskām valsts funkcijām saistībā ar sabiedrisko drošību, aizsardzību un valsts drošību saskaņā ar Savienības tiesību aktiem.

2. pants

Darbības joma

1.   Neskarot 3. un 4. punktu, šo regulu piemēro šādām vienībām:

| a) | kredītiestādēm; |
| --- | --- |

a)

kredītiestādēm;

| b) | maksājumu iestādēm, tostarp maksājumu iestādēm, kam piemēro atbrīvojumu, ievērojot Direktīvu (ES) 2015/2366; |
| --- | --- |

b)

maksājumu iestādēm, tostarp maksājumu iestādēm, kam piemēro atbrīvojumu, ievērojot Direktīvu (ES) 2015/2366;

| c) | konta informācijas pakalpojumu sniedzējiem; |
| --- | --- |

c)

konta informācijas pakalpojumu sniedzējiem;

| d) | elektroniskās naudas iestādēm, tostarp elektroniskās naudas iestādēm, kam piemēro atbrīvojumu, ievērojot Direktīvu 2009/110/EK; |
| --- | --- |

d)

elektroniskās naudas iestādēm, tostarp elektroniskās naudas iestādēm, kam piemēro atbrīvojumu, ievērojot Direktīvu 2009/110/EK;

| e) | ieguldījumu brokeru sabiedrībām; |
| --- | --- |

e)

ieguldījumu brokeru sabiedrībām;

| f) | kriptoaktīvu pakalpojumu sniedzējiem, kas saņēmuši atļauju saskaņā ar Eiropas Parlamenta un Padomes regulu par kriptoaktīvu tirgiem un ar ko groza Regulas (ES) Nr. 1093/2010 un (ES) Nr. 1095/2010 un Direktīvas 2013/36/ES un (ES) 2019/1937 (“regula par kriptoaktīvu tirgiem”), un aktīviem piesaistītu žetonu emitentiem; |
| --- | --- |

f)

kriptoaktīvu pakalpojumu sniedzējiem, kas saņēmuši atļauju saskaņā ar Eiropas Parlamenta un Padomes regulu par kriptoaktīvu tirgiem un ar ko groza Regulas (ES) Nr. 1093/2010 un (ES) Nr. 1095/2010 un Direktīvas 2013/36/ES un (ES) 2019/1937 (“regula par kriptoaktīvu tirgiem”), un aktīviem piesaistītu žetonu emitentiem;

| g) | centrālajiem vērtspapīru depozitārijiem; |
| --- | --- |

g)

centrālajiem vērtspapīru depozitārijiem;

| h) | centrālajiem darījumu partneriem; |
| --- | --- |

h)

centrālajiem darījumu partneriem;

| i) | tirdzniecības vietām; |
| --- | --- |

i)

tirdzniecības vietām;

| j) | darījumu reģistriem; |
| --- | --- |

j)

darījumu reģistriem;

| k) | alternatīvo ieguldījumu fondu pārvaldniekiem; |
| --- | --- |

k)

alternatīvo ieguldījumu fondu pārvaldniekiem;

| l) | pārvaldības sabiedrībām; |
| --- | --- |

l)

pārvaldības sabiedrībām;

| m) | datu ziņošanas pakalpojumu sniedzējiem; |
| --- | --- |

m)

datu ziņošanas pakalpojumu sniedzējiem;

| n) | apdrošināšanas un pārapdrošināšanas sabiedrībām; |
| --- | --- |

n)

apdrošināšanas un pārapdrošināšanas sabiedrībām;

| o) | apdrošināšanas starpniekiem, pārapdrošināšanas starpniekiem un apdrošināšanas papildpakalpojuma starpniekiem; |
| --- | --- |

o)

apdrošināšanas starpniekiem, pārapdrošināšanas starpniekiem un apdrošināšanas papildpakalpojuma starpniekiem;

| p) | arodpensiju kapitāla uzkrāšanas iestādēm; |
| --- | --- |

p)

arodpensiju kapitāla uzkrāšanas iestādēm;

| q) | kredītreitingu aģentūrām; |
| --- | --- |

q)

kredītreitingu aģentūrām;

| r) | kritiski svarīgu etalonu administratoriem; |
| --- | --- |

r)

kritiski svarīgu etalonu administratoriem;

| s) | kolektīvās finansēšanas pakalpojumu sniedzējiem; |
| --- | --- |

s)

kolektīvās finansēšanas pakalpojumu sniedzējiem;

| t) | vērtspapīrošanas repozitorijiem; |
| --- | --- |

t)

vērtspapīrošanas repozitorijiem;

| u) | trešām personām, kas sniedz IKT pakalpojumus. |
| --- | --- |

u)

trešām personām, kas sniedz IKT pakalpojumus.

2.   Šā panta 1. punkta a)–t) apakšpunktā minētās vienības šajā regulā kopā sauc par “finanšu vienībām”.

3.   Šo regulu nepiemēro:

| a) | alternatīvo ieguldījumu fondu pārvaldniekiem, kā minēts Direktīvas 2011/61/ES 3. panta 2. punktā; |
| --- | --- |

a)

alternatīvo ieguldījumu fondu pārvaldniekiem, kā minēts Direktīvas 2011/61/ES 3. panta 2. punktā;

| b) | apdrošināšanas sabiedrībām un pārapdrošināšanas sabiedrībām, kā minēts Direktīvas 2009/138/EK 4. pantā; |
| --- | --- |

b)

apdrošināšanas sabiedrībām un pārapdrošināšanas sabiedrībām, kā minēts Direktīvas 2009/138/EK 4. pantā;

| c) | arodpensijas kapitāla uzkrāšanas iestādēm, kas pārvalda pensiju plānus, kuros kopā nav vairāk par 15 dalībniekiem; |
| --- | --- |

c)

arodpensijas kapitāla uzkrāšanas iestādēm, kas pārvalda pensiju plānus, kuros kopā nav vairāk par 15 dalībniekiem;

| d) | fiziskām vai juridiskām personām, kam piemēro atbrīvojumu, ievērojot Direktīvas 2014/65/ES 2. un 3. pantu; |
| --- | --- |

d)

fiziskām vai juridiskām personām, kam piemēro atbrīvojumu, ievērojot Direktīvas 2014/65/ES 2. un 3. pantu;

| e) | apdrošināšanas starpniekiem, pārapdrošināšanas starpniekiem un apdrošināšanas papildpakalpojuma starpniekiem, kas ir mikrouzņēmumi vai mazie vai vidējie uzņēmumi; |
| --- | --- |

e)

apdrošināšanas starpniekiem, pārapdrošināšanas starpniekiem un apdrošināšanas papildpakalpojuma starpniekiem, kas ir mikrouzņēmumi vai mazie vai vidējie uzņēmumi;

| f) | pasta žiro norēķinu iestādēm, kā minēts Direktīvas 2013/36/ES 2. panta 5. punkta 3) apakšpunktā. |
| --- | --- |

f)

pasta žiro norēķinu iestādēm, kā minēts Direktīvas 2013/36/ES 2. panta 5. punkta 3) apakšpunktā.

4.   Dalībvalstis var izslēgt no šīs regulas darbības jomas vienības, kas minētas Direktīvas 2013/36/ES 2. panta 5. punkta 4.–23. apakšpunktā un kas atrodas to attiecīgajās teritorijās. Ja dalībvalsts izmanto šādu iespēju, tā informē Komisiju par to, kā arī par jebkādām turpmākām izmaiņām šajā sakarā. Komisija minēto informāciju dara publiski pieejamu savā tīmekļa vietnē vai citā viegli pieejamā veidā.

3. pants

Definīcijas

Šajā regulā piemēro šādas definīcijas:

| 1) | “digitālās darbības noturība” ir finanšu vienības spēja veidot, nodrošināt un pārskatīt savu darbības integritāti un uzticamību, tieši vai netieši, izmantojot pakalpojumus, ko sniedz trešās personas, kas sniedz IKT pakalpojumus, nodrošinot visas ar IKT saistītās iespējas, kas vajadzīgas, lai risinātu finanšu vienības izmantoto tīklu un informācijas sistēmu drošību, un kas atbalsta finanšu pakalpojumu nepārtrauktu sniegšanu un to kvalitāti, tostarp traucējumu laikā; |
| --- | --- |

1)

“digitālās darbības noturība” ir finanšu vienības spēja veidot, nodrošināt un pārskatīt savu darbības integritāti un uzticamību, tieši vai netieši, izmantojot pakalpojumus, ko sniedz trešās personas, kas sniedz IKT pakalpojumus, nodrošinot visas ar IKT saistītās iespējas, kas vajadzīgas, lai risinātu finanšu vienības izmantoto tīklu un informācijas sistēmu drošību, un kas atbalsta finanšu pakalpojumu nepārtrauktu sniegšanu un to kvalitāti, tostarp traucējumu laikā;

| 2) | “tīklu un informācijas sistēma” ir tīklu un informācijas sistēma, kā definēts Direktīvas (ES) 2022/2555 6. panta 1. punktā; |
| --- | --- |

2)

“tīklu un informācijas sistēma” ir tīklu un informācijas sistēma, kā definēts Direktīvas (ES) 2022/2555 6. panta 1. punktā;

| 3) | “mantota IKT sistēma” ir IKT sistēma, kas ir sasniegusi sava aprites cikla beigas (ekspluatācijas laika beigas), kas nav piemērota modernizācijai vai labošanai tehnoloģisku vai komerciālu iemeslu dēļ vai ko vairs neatbalsta tās piegādātājs vai trešā persona, kas sniedz IKT pakalpojumus, bet kura joprojām tiek izmantota un atbalsta finanšu vienības funkcijas; |
| --- | --- |

3)

“mantota IKT sistēma” ir IKT sistēma, kas ir sasniegusi sava aprites cikla beigas (ekspluatācijas laika beigas), kas nav piemērota modernizācijai vai labošanai tehnoloģisku vai komerciālu iemeslu dēļ vai ko vairs neatbalsta tās piegādātājs vai trešā persona, kas sniedz IKT pakalpojumus, bet kura joprojām tiek izmantota un atbalsta finanšu vienības funkcijas;

| 4) | “tīklu un informācijas sistēmu drošība” ir tīklu un informācijas sistēmu drošība, kā definēts Direktīvas (ES) 2022/2555 6. panta 2. punktā; |
| --- | --- |

4)

“tīklu un informācijas sistēmu drošība” ir tīklu un informācijas sistēmu drošība, kā definēts Direktīvas (ES) 2022/2555 6. panta 2. punktā;

| 5) | “IKT risks” ir jebkāds ar tīklu un informācijas sistēmu izmantošanu saistīts un saprātīgi identificējams apstāklis, kas īstenošanās gadījumā varētu apdraudēt tīklu un informācijas sistēmu, jebkura no tehnoloģijām atkarīga rīka vai procesa, darbības un noritošo procesu vai pakalpojumu sniegšanas drošību, radot negatīvas sekas digitālajā vai fiziskajā vidē; |
| --- | --- |

5)

“IKT risks” ir jebkāds ar tīklu un informācijas sistēmu izmantošanu saistīts un saprātīgi identificējams apstāklis, kas īstenošanās gadījumā varētu apdraudēt tīklu un informācijas sistēmu, jebkura no tehnoloģijām atkarīga rīka vai procesa, darbības un noritošo procesu vai pakalpojumu sniegšanas drošību, radot negatīvas sekas digitālajā vai fiziskajā vidē;

| 6) | “informācijas aktīvs” ir materiāls vai nemateriāls informācijas kopums, ko ir vērts aizsargāt; |
| --- | --- |

6)

“informācijas aktīvs” ir materiāls vai nemateriāls informācijas kopums, ko ir vērts aizsargāt;

| 7) | “IKT aktīvs” ir programmatūras vai aparatūras aktīvs tīklu un informācijas sistēmās, ko izmanto finanšu vienība; |
| --- | --- |

7)

“IKT aktīvs” ir programmatūras vai aparatūras aktīvs tīklu un informācijas sistēmās, ko izmanto finanšu vienība;

| 8) | “ar IKT saistīts incidents” ir atsevišķs incidents vai savstarpēji saistītu notikumu virkne, ko finanšu vienība nav plānojusi un kas apdraud drošību tīklu un informācijas sistēmās, un negatīvi ietekmē datu pieejamību, autentiskumu, integritāti vai konfidencialitāti vai finanšu vienības sniegtos pakalpojumus; |
| --- | --- |

8)

“ar IKT saistīts incidents” ir atsevišķs incidents vai savstarpēji saistītu notikumu virkne, ko finanšu vienība nav plānojusi un kas apdraud drošību tīklu un informācijas sistēmās, un negatīvi ietekmē datu pieejamību, autentiskumu, integritāti vai konfidencialitāti vai finanšu vienības sniegtos pakalpojumus;

| 9) | “ar maksājumiem saistīts darbības vai drošības incidents” ir atsevišķs notikums vai savstarpēji saistītu notikumu virkne, ko neplāno 2. panta 1. punkta a)–d) apakšpunktā minētās finanšu vienības, neatkarīgi no tā, vai tas ir vai nav saistīts ar IKT, un kas negatīvi ietekmē ar maksājumiem saistīto datu pieejamību, autentiskumu, integritāti vai konfidencialitāti vai ar maksājumiem saistītos finanšu vienības sniegtos pakalpojumus; |
| --- | --- |

9)

“ar maksājumiem saistīts darbības vai drošības incidents” ir atsevišķs notikums vai savstarpēji saistītu notikumu virkne, ko neplāno 2. panta 1. punkta a)–d) apakšpunktā minētās finanšu vienības, neatkarīgi no tā, vai tas ir vai nav saistīts ar IKT, un kas negatīvi ietekmē ar maksājumiem saistīto datu pieejamību, autentiskumu, integritāti vai konfidencialitāti vai ar maksājumiem saistītos finanšu vienības sniegtos pakalpojumus;

| 10) | “būtisks ar IKT saistīts incidents” ir ar IKT saistīts incidents, kam ir liela nelabvēlīga ietekme uz tīklu un informācijas sistēmām, kas atbalsta finanšu vienības kritiski svarīgas vai svarīgas funkcijas; |
| --- | --- |

10)

“būtisks ar IKT saistīts incidents” ir ar IKT saistīts incidents, kam ir liela nelabvēlīga ietekme uz tīklu un informācijas sistēmām, kas atbalsta finanšu vienības kritiski svarīgas vai svarīgas funkcijas;

| 11) | “būtisks ar maksājumiem saistīts darbības vai drošības incidents” ir ar maksājumiem saistīts darbības vai drošības incidents, kam ir liela nelabvēlīga ietekme uz sniegtajiem pakalpojumiem, kas saistīti ar maksājumiem; |
| --- | --- |

11)

“būtisks ar maksājumiem saistīts darbības vai drošības incidents” ir ar maksājumiem saistīts darbības vai drošības incidents, kam ir liela nelabvēlīga ietekme uz sniegtajiem pakalpojumiem, kas saistīti ar maksājumiem;

| 12) | “kiberdraudi” ir kiberdraudi, kā definēts Regulas (ES) 2019/881 2. panta 8. punktā; |
| --- | --- |

12)

“kiberdraudi” ir kiberdraudi, kā definēts Regulas (ES) 2019/881 2. panta 8. punktā;

| 13) | “būtiski kiberdraudi” ir kiberdraudi, kuru tehniskās īpašības norāda, ka tie varētu izraisīt būtisku ar IKT saistītu incidentu vai būtisku ar maksājumiem saistītu darbības vai drošības incidentu; |
| --- | --- |

13)

“būtiski kiberdraudi” ir kiberdraudi, kuru tehniskās īpašības norāda, ka tie varētu izraisīt būtisku ar IKT saistītu incidentu vai būtisku ar maksājumiem saistītu darbības vai drošības incidentu;

| 14) | “kiberuzbrukums” ir ļaunprātīgs ar IKT saistīts incidents, kas ir izraisīts, mēģinot iznīcināt, pakļaut, mainīt, atspējot, nozagt aktīvu vai iegūt neatļautu piekļuvi aktīvam, vai neatļauti izmantot aktīvu, un ko veic jebkurš apdraudējuma dalībnieks; |
| --- | --- |

14)

“kiberuzbrukums” ir ļaunprātīgs ar IKT saistīts incidents, kas ir izraisīts, mēģinot iznīcināt, pakļaut, mainīt, atspējot, nozagt aktīvu vai iegūt neatļautu piekļuvi aktīvam, vai neatļauti izmantot aktīvu, un ko veic jebkurš apdraudējuma dalībnieks;

| 15) | “draudu izlūkdati” ir informācija, kas apkopota, pārveidota, analizēta, interpretēta vai papildināta, lai nodrošinātu vajadzīgo kontekstu lēmumu pieņemšanai un lai ļautu panākt būtisku un pietiekamu izpratni, kā mazināt ar IKT saistīta incidenta vai kiberdraudu ietekmi, tostarp tehnisko informāciju par kiberuzbrukumu, par uzbrukumu atbildīgajām personām, to darbības veidu un motīviem; |
| --- | --- |

15)

“draudu izlūkdati” ir informācija, kas apkopota, pārveidota, analizēta, interpretēta vai papildināta, lai nodrošinātu vajadzīgo kontekstu lēmumu pieņemšanai un lai ļautu panākt būtisku un pietiekamu izpratni, kā mazināt ar IKT saistīta incidenta vai kiberdraudu ietekmi, tostarp tehnisko informāciju par kiberuzbrukumu, par uzbrukumu atbildīgajām personām, to darbības veidu un motīviem;

| 16) | “ievainojamība” ir aktīva, sistēmas, procesa vai kontroles trūkums, uzņēmība vai nepilnība, ko var izmantot; |
| --- | --- |

16)

“ievainojamība” ir aktīva, sistēmas, procesa vai kontroles trūkums, uzņēmība vai nepilnība, ko var izmantot;

| 17) | “draudu vadīta ielaušanās testēšana (DVIT)” ir sistēma, kura imitē tādu apdraudējuma dalībnieku taktiku, paņēmienus un procedūras, kas tiek uztverti kā patiesi kiberdraudi, un kura nodrošina kontrolētu, īpaši izstrādātu, izlūkdatu vadītu (sarkanās komandas) finanšu vienības kritiski svarīgas aktīvas izstrādes sistēmas testēšanu; |
| --- | --- |

17)

“draudu vadīta ielaušanās testēšana (DVIT)” ir sistēma, kura imitē tādu apdraudējuma dalībnieku taktiku, paņēmienus un procedūras, kas tiek uztverti kā patiesi kiberdraudi, un kura nodrošina kontrolētu, īpaši izstrādātu, izlūkdatu vadītu (sarkanās komandas) finanšu vienības kritiski svarīgas aktīvas izstrādes sistēmas testēšanu;

| 18) | “ar trešo personu saistīts IKT risks” ir IKT risks, kas finanšu vienībai var rasties saistībā ar to, ka tā izmanto trešās personas, kas sniedz IKT pakalpojumus, vai tās apakšuzņēmēju sniegtus IKT pakalpojumus, tostarp ar ārpakalpojumu līgumu starpniecību; |
| --- | --- |

18)

“ar trešo personu saistīts IKT risks” ir IKT risks, kas finanšu vienībai var rasties saistībā ar to, ka tā izmanto trešās personas, kas sniedz IKT pakalpojumus, vai tās apakšuzņēmēju sniegtus IKT pakalpojumus, tostarp ar ārpakalpojumu līgumu starpniecību;

| 19) | “trešā persona, kas sniedz IKT pakalpojumus” ir uzņēmums, kas sniedz IKT pakalpojumus; |
| --- | --- |

19)

“trešā persona, kas sniedz IKT pakalpojumus” ir uzņēmums, kas sniedz IKT pakalpojumus;

| 20) | “IKT pakalpojumu sniedzēji, kuri pieder vienai grupai” ir uzņēmums, kas pieder finanšu grupai un galvenokārt sniedz IKT pakalpojumus tās pašas grupas finanšu vienībām vai finanšu vienībām, uz kurām attiecas tā pati institucionālā aizsardzības shēma, tostarp mātesuzņēmumiem, meitasuzņēmumiem, filiālēm vai citām vienībām, kas pakļautas tām pašām īpašumtiesībām vai kontrolei; |
| --- | --- |

20)

“IKT pakalpojumu sniedzēji, kuri pieder vienai grupai” ir uzņēmums, kas pieder finanšu grupai un galvenokārt sniedz IKT pakalpojumus tās pašas grupas finanšu vienībām vai finanšu vienībām, uz kurām attiecas tā pati institucionālā aizsardzības shēma, tostarp mātesuzņēmumiem, meitasuzņēmumiem, filiālēm vai citām vienībām, kas pakļautas tām pašām īpašumtiesībām vai kontrolei;

| 21) | “IKT pakalpojumi” ir digitālie un datu pakalpojumi, ko ar IKT sistēmu starpniecību pastāvīgi sniedz vienam vai vairākiem iekšējiem vai ārējiem lietotājiem, tostarp aparatūras nodrošināšanas pakalpojumi un ar aparatūru saistīti pakalpojumi, kas ietver tehniskā atbalsta sniegšanu, izmantojot programmatūru vai aparātprogrammatūras atjauninājumus, ko veic aparatūras nodrošinātājs, izņemot tradicionālos analogās telefonijas pakalpojumus; |
| --- | --- |

21)

“IKT pakalpojumi” ir digitālie un datu pakalpojumi, ko ar IKT sistēmu starpniecību pastāvīgi sniedz vienam vai vairākiem iekšējiem vai ārējiem lietotājiem, tostarp aparatūras nodrošināšanas pakalpojumi un ar aparatūru saistīti pakalpojumi, kas ietver tehniskā atbalsta sniegšanu, izmantojot programmatūru vai aparātprogrammatūras atjauninājumus, ko veic aparatūras nodrošinātājs, izņemot tradicionālos analogās telefonijas pakalpojumus;

| 22) | “kritiski svarīga vai svarīga funkcija” ir funkcija, kuras traucējums būtiski pasliktinātu finanšu vienības finanšu darbības rezultātus vai tās pakalpojumu un darbību stabilitāti vai nepārtrauktību, vai kuras izpildes izbeigšana, trūkumi vai neizpilde būtiski kaitētu finanšu vienības atļaujā paredzēto noteikumu un nosacījumu vai citu piemērojamajos finanšu pakalpojumu tiesību aktos paredzēto saistību turpmākai izpildei; |
| --- | --- |

22)

“kritiski svarīga vai svarīga funkcija” ir funkcija, kuras traucējums būtiski pasliktinātu finanšu vienības finanšu darbības rezultātus vai tās pakalpojumu un darbību stabilitāti vai nepārtrauktību, vai kuras izpildes izbeigšana, trūkumi vai neizpilde būtiski kaitētu finanšu vienības atļaujā paredzēto noteikumu un nosacījumu vai citu piemērojamajos finanšu pakalpojumu tiesību aktos paredzēto saistību turpmākai izpildei;

| 23) | “kritiski svarīga trešā persona, kas sniedz IKT pakalpojumus” ir trešā persona, kas sniedz IKT pakalpojumus un kura ir izraudzīta par kritiski svarīgu saskaņā ar 31. pantu; |
| --- | --- |

23)

“kritiski svarīga trešā persona, kas sniedz IKT pakalpojumus” ir trešā persona, kas sniedz IKT pakalpojumus un kura ir izraudzīta par kritiski svarīgu saskaņā ar 31. pantu;

| 24) | “trešā valstī iedibināta trešā persona, kas sniedz IKT pakalpojumus” ir trešā persona, kas sniedz IKT pakalpojumus un kas ir trešā valstī iedibināta juridiska persona, kura ir noslēgusi līgumisku vienošanos ar finanšu vienību par IKT pakalpojumu sniegšanu; |
| --- | --- |

24)

“trešā valstī iedibināta trešā persona, kas sniedz IKT pakalpojumus” ir trešā persona, kas sniedz IKT pakalpojumus un kas ir trešā valstī iedibināta juridiska persona, kura ir noslēgusi līgumisku vienošanos ar finanšu vienību par IKT pakalpojumu sniegšanu;

| 25) | “meitasuzņēmums” ir meitasuzņēmums Direktīvas 2013/34/ES 2. panta 10. punkta un 22. panta nozīmē; |
| --- | --- |

25)

“meitasuzņēmums” ir meitasuzņēmums Direktīvas 2013/34/ES 2. panta 10. punkta un 22. panta nozīmē;

| 26) | “grupa” ir grupa, kā definēts Direktīvas 2013/34/ES 2. panta 11. punktā; |
| --- | --- |

26)

“grupa” ir grupa, kā definēts Direktīvas 2013/34/ES 2. panta 11. punktā;

| 27) | “mātesuzņēmums” ir mātesuzņēmums Direktīvas 2013/34/ES 2. panta 9. punkta un 22. panta nozīmē; |
| --- | --- |

27)

“mātesuzņēmums” ir mātesuzņēmums Direktīvas 2013/34/ES 2. panta 9. punkta un 22. panta nozīmē;

| 28) | “trešā valstī iedibināts IKT apakšuzņēmējs” ir IKT apakšuzņēmējs, kas ir trešā valstī iedibināta juridiska persona un kas ir noslēdzis līgumisku vienošanos vai nu ar trešo personu, kas sniedz IKT pakalpojumus, vai ar trešā valstī iedibinātu trešo personu, kas sniedz IKT pakalpojumus; |
| --- | --- |

28)

“trešā valstī iedibināts IKT apakšuzņēmējs” ir IKT apakšuzņēmējs, kas ir trešā valstī iedibināta juridiska persona un kas ir noslēdzis līgumisku vienošanos vai nu ar trešo personu, kas sniedz IKT pakalpojumus, vai ar trešā valstī iedibinātu trešo personu, kas sniedz IKT pakalpojumus;

| 29) | “IKT koncentrācijas risks” ir pakļautība atsevišķām vai vairākām saistītām trešām personām, kas sniedz kritiski svarīgus IKT pakalpojumus, kas rada zināmu atkarību no šādiem pakalpojumu sniedzējiem, tā ka to nepieejamība, atteice vai cita veida trūkums var iespējami apdraudēt finanšu vienības spēju nodrošināt kritiski svarīgas vai svarīgas funkcijas vai likt ciest cita veida nelabvēlīgas sekas, tostarp lielus zaudējumus, vai apdraudēt Savienības finansiālo stabilitāti kopumā; |
| --- | --- |

29)

“IKT koncentrācijas risks” ir pakļautība atsevišķām vai vairākām saistītām trešām personām, kas sniedz kritiski svarīgus IKT pakalpojumus, kas rada zināmu atkarību no šādiem pakalpojumu sniedzējiem, tā ka to nepieejamība, atteice vai cita veida trūkums var iespējami apdraudēt finanšu vienības spēju nodrošināt kritiski svarīgas vai svarīgas funkcijas vai likt ciest cita veida nelabvēlīgas sekas, tostarp lielus zaudējumus, vai apdraudēt Savienības finansiālo stabilitāti kopumā;

| 30) | “vadības struktūra” ir vadības struktūra, kā definēts Direktīvas 2014/65/ES 4. panta 1. punkta 36) apakšpunktā, Direktīvas 2013/36/ES 3. panta 1. punkta 7) apakšpunktā, Eiropas Parlamenta un Padomes Direktīvas 2009/65/EK (31) 2. panta 1. punkta s) apakšpunktā, Regulas (ES) Nr. 909/2014 2. panta 1. punkta 45) apakšpunktā, Regulas (ES) 2016/1011 3. panta 1. punkta 20) apakšpunktā un Regulas par kriptoaktīvu tirgiem attiecīgajā noteikumā, vai līdzvērtīgās personas, kas faktiski vada vienību vai pilda galvenās funkcijas saskaņā ar attiecīgajiem Savienības vai valsts tiesību aktiem; |
| --- | --- |

30)

“vadības struktūra” ir vadības struktūra, kā definēts Direktīvas 2014/65/ES 4. panta 1. punkta 36) apakšpunktā, Direktīvas 2013/36/ES 3. panta 1. punkta 7) apakšpunktā, Eiropas Parlamenta un Padomes Direktīvas 2009/65/EK (31) 2. panta 1. punkta s) apakšpunktā, Regulas (ES) Nr. 909/2014 2. panta 1. punkta 45) apakšpunktā, Regulas (ES) 2016/1011 3. panta 1. punkta 20) apakšpunktā un Regulas par kriptoaktīvu tirgiem attiecīgajā noteikumā, vai līdzvērtīgās personas, kas faktiski vada vienību vai pilda galvenās funkcijas saskaņā ar attiecīgajiem Savienības vai valsts tiesību aktiem;

31

| 31) | “kredītiestāde” ir kredītiestāde, kā definēts Eiropas Parlamenta un Padomes Regulas (ES) Nr. 575/2013 (32) 4. panta 1. punkta 1. apakšpunktā; |
| --- | --- |

31)

“kredītiestāde” ir kredītiestāde, kā definēts Eiropas Parlamenta un Padomes Regulas (ES) Nr. 575/2013 (32) 4. panta 1. punkta 1. apakšpunktā;

32

| 32) | “iestāde, kam piemēro atbrīvojumu, ievērojot Direktīvu 2013/36/ES” ir vienība, kas minēta Direktīvas 2013/36/ES 2. panta 5. punkta 4)–23) apakšpunktā; |
| --- | --- |

32)

“iestāde, kam piemēro atbrīvojumu, ievērojot Direktīvu 2013/36/ES” ir vienība, kas minēta Direktīvas 2013/36/ES 2. panta 5. punkta 4)–23) apakšpunktā;

| 33) | “ieguldījumu brokeru sabiedrība” ir ieguldījumu brokeru sabiedrība, kā definēts Direktīvas 2014/65/ES 4. panta 1. punkta 1. apakšpunktā; |
| --- | --- |

33)

“ieguldījumu brokeru sabiedrība” ir ieguldījumu brokeru sabiedrība, kā definēts Direktīvas 2014/65/ES 4. panta 1. punkta 1. apakšpunktā;

| 34) | “neliela un savstarpēji nesaistīta ieguldījumu brokeru sabiedrība” ir ieguldījumu brokeru sabiedrība, kas atbilst nosacījumiem, kuri izklāstīti Eiropas Parlamenta un Padomes Regulas (ES) 2019/2033 (33) 12. panta 1. punktā; |
| --- | --- |

34)

“neliela un savstarpēji nesaistīta ieguldījumu brokeru sabiedrība” ir ieguldījumu brokeru sabiedrība, kas atbilst nosacījumiem, kuri izklāstīti Eiropas Parlamenta un Padomes Regulas (ES) 2019/2033 (33) 12. panta 1. punktā;

33

| 35) | “maksājumu iestāde” ir maksājumu iestāde, kā definēts Direktīvas (ES) 2015/2366 4. panta 4. punktā; |
| --- | --- |

35)

“maksājumu iestāde” ir maksājumu iestāde, kā definēts Direktīvas (ES) 2015/2366 4. panta 4. punktā;

| 36) | “maksājumu iestāde, kam piemēro atbrīvojumu, ievērojot Direktīvu (ES) 2015/2366” ir maksājumu iestāde, kam piemēro atbrīvojumu, ievērojot Direktīvas (ES) 2015/2366 32. panta 1. punktu; |
| --- | --- |

36)

“maksājumu iestāde, kam piemēro atbrīvojumu, ievērojot Direktīvu (ES) 2015/2366” ir maksājumu iestāde, kam piemēro atbrīvojumu, ievērojot Direktīvas (ES) 2015/2366 32. panta 1. punktu;

| 37) | “konta informācijas pakalpojumu sniedzējs” ir konta informācijas pakalpojumu sniedzējs, kā minēts Direktīvas (ES) 2015/2366 33. panta 1. punktā; |
| --- | --- |

37)

“konta informācijas pakalpojumu sniedzējs” ir konta informācijas pakalpojumu sniedzējs, kā minēts Direktīvas (ES) 2015/2366 33. panta 1. punktā;

| 38) | “elektroniskās naudas iestāde” ir elektroniskās naudas iestāde, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2009/110/EK 2. panta 1. punktā; |
| --- | --- |

38)

“elektroniskās naudas iestāde” ir elektroniskās naudas iestāde, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2009/110/EK 2. panta 1. punktā;

| 39) | “elektroniskās naudas iestāde, kam piemēro atbrīvojumu, ievērojot Direktīvu 2009/110/EK” ir elektroniskās naudas iestāde, kam piemēro atbrīvojumu, ievērojot Direktīvas 2009/110/EK 9. panta 1. punktu; |
| --- | --- |

39)

“elektroniskās naudas iestāde, kam piemēro atbrīvojumu, ievērojot Direktīvu 2009/110/EK” ir elektroniskās naudas iestāde, kam piemēro atbrīvojumu, ievērojot Direktīvas 2009/110/EK 9. panta 1. punktu;

| 40) | “centrālais darījumu partneris” ir centrālais darījumu partneris, kā definēts Regulas (ES) Nr. 648/2012 2. panta 1. punktā; |
| --- | --- |

40)

“centrālais darījumu partneris” ir centrālais darījumu partneris, kā definēts Regulas (ES) Nr. 648/2012 2. panta 1. punktā;

| 41) | “darījumu reģistrs” ir darījumu reģistrs, kā definēts Regulas (ES) Nr. 648/2012 2. panta 2. punktā; |
| --- | --- |

41)

“darījumu reģistrs” ir darījumu reģistrs, kā definēts Regulas (ES) Nr. 648/2012 2. panta 2. punktā;

| 42) | “centrālais vērtspapīru depozitārijs” ir centrālais vērtspapīru depozitārijs, kā definēts Regulas (ES) Nr. 909/2014 2. panta 1. punkta 1. apakšpunktā; |
| --- | --- |

42)

“centrālais vērtspapīru depozitārijs” ir centrālais vērtspapīru depozitārijs, kā definēts Regulas (ES) Nr. 909/2014 2. panta 1. punkta 1. apakšpunktā;

| 43) | “tirdzniecības vieta” ir tirdzniecības vieta, kā definēts Direktīvas 2014/65/ES 4. panta 1. punkta 24. apakšpunktā; |
| --- | --- |

43)

“tirdzniecības vieta” ir tirdzniecības vieta, kā definēts Direktīvas 2014/65/ES 4. panta 1. punkta 24. apakšpunktā;

| 44) | “alternatīvo ieguldījumu fondu pārvaldnieks” ir alternatīvo ieguldījumu fondu pārvaldnieks, kā definēts Direktīvas 2011/61/ES 4. panta 1. punkta b) apakšpunktā; |
| --- | --- |

44)

“alternatīvo ieguldījumu fondu pārvaldnieks” ir alternatīvo ieguldījumu fondu pārvaldnieks, kā definēts Direktīvas 2011/61/ES 4. panta 1. punkta b) apakšpunktā;

| 45) | “pārvaldības sabiedrība” ir pārvaldības sabiedrība, kā definēts Direktīvas 2009/65/EK 2. panta 1. punkta b) apakšpunktā; |
| --- | --- |

45)

“pārvaldības sabiedrība” ir pārvaldības sabiedrība, kā definēts Direktīvas 2009/65/EK 2. panta 1. punkta b) apakšpunktā;

| 46) | “datu ziņošanas pakalpojumu sniedzējs” ir datu ziņošanas pakalpojumu sniedzējs Regulas (ES) Nr. 600/2014 nozīmē, kā minēts tās 2. panta 1. punkta 34)–36) apakšpunktā; |
| --- | --- |

46)

“datu ziņošanas pakalpojumu sniedzējs” ir datu ziņošanas pakalpojumu sniedzējs Regulas (ES) Nr. 600/2014 nozīmē, kā minēts tās 2. panta 1. punkta 34)–36) apakšpunktā;

| 47) | “apdrošināšanas sabiedrība” ir apdrošināšanas sabiedrība, kā definēts Direktīvas 2009/138/EK 13. panta 1. punktā; |
| --- | --- |

47)

“apdrošināšanas sabiedrība” ir apdrošināšanas sabiedrība, kā definēts Direktīvas 2009/138/EK 13. panta 1. punktā;

| 48) | “pārapdrošināšanas sabiedrība” ir pārapdrošināšanas sabiedrība, kā definēts Direktīvas 2009/138/EK 13. panta 4. punktā; |
| --- | --- |

48)

“pārapdrošināšanas sabiedrība” ir pārapdrošināšanas sabiedrība, kā definēts Direktīvas 2009/138/EK 13. panta 4. punktā;

| 49) | “apdrošināšanas starpnieks” ir apdrošināšanas starpnieks, kā definēts Eiropas Parlamenta un Padomes Direktīvas (ES) 2016/97 (34) 2. panta 1. punkta 3) apakšpunktā; |
| --- | --- |

49)

“apdrošināšanas starpnieks” ir apdrošināšanas starpnieks, kā definēts Eiropas Parlamenta un Padomes Direktīvas (ES) 2016/97 (34) 2. panta 1. punkta 3) apakšpunktā;

34

| 50) | “apdrošināšanas papildpakalpojuma starpnieks” ir apdrošināšanas papildpakalpojuma starpnieks, kā definēts Direktīvas (ES) 2016/97 2. panta 1. punkta 4) apakšpunktā; |
| --- | --- |

50)

“apdrošināšanas papildpakalpojuma starpnieks” ir apdrošināšanas papildpakalpojuma starpnieks, kā definēts Direktīvas (ES) 2016/97 2. panta 1. punkta 4) apakšpunktā;

| 51) | “pārapdrošināšanas starpnieks” ir pārapdrošināšanas starpnieks, kā definēts Direktīvas (ES) 2016/97 2. panta 1. punkta 5) apakšpunktā; |
| --- | --- |

51)

“pārapdrošināšanas starpnieks” ir pārapdrošināšanas starpnieks, kā definēts Direktīvas (ES) 2016/97 2. panta 1. punkta 5) apakšpunktā;

| 52) | “arodpensijas kapitāla uzkrāšanas institūcija” ir arodpensijas kapitāla uzkrāšanas institūcija, kā definēts Direktīvas (ES) 2016/2341 6. panta 1. punktā; |
| --- | --- |

52)

“arodpensijas kapitāla uzkrāšanas institūcija” ir arodpensijas kapitāla uzkrāšanas institūcija, kā definēts Direktīvas (ES) 2016/2341 6. panta 1. punktā;

| 53) | “neliela arodpensijas kapitāla uzkrāšanas institūcija” ir arodpensijas kapitāla uzkrāšanas institūcija, kas pārvalda pensiju plānus, kuros kopā ir mazāk nekā 100 dalībnieku; |
| --- | --- |

53)

“neliela arodpensijas kapitāla uzkrāšanas institūcija” ir arodpensijas kapitāla uzkrāšanas institūcija, kas pārvalda pensiju plānus, kuros kopā ir mazāk nekā 100 dalībnieku;

| 54) | “kredītreitingu aģentūra” ir kredītreitingu aģentūra, kā definēts Regulas (EK) Nr. 1060/2009 3. panta 1. punkta b) apakšpunktā; |
| --- | --- |

54)

“kredītreitingu aģentūra” ir kredītreitingu aģentūra, kā definēts Regulas (EK) Nr. 1060/2009 3. panta 1. punkta b) apakšpunktā;

| 55) | “kriptoaktīvu pakalpojumu sniedzējs” ir kriptoaktīvu pakalpojumu sniedzējs, kā definēts Regulas par kriptoaktīvu tirgiem attiecīgajā noteikumā; |
| --- | --- |

55)

“kriptoaktīvu pakalpojumu sniedzējs” ir kriptoaktīvu pakalpojumu sniedzējs, kā definēts Regulas par kriptoaktīvu tirgiem attiecīgajā noteikumā;

| 56) | “aktīviem piesaistītu žetonu emitents” ir “aktīviem piesaistītu žetonu” emitents, kā definēts Regulas par kriptoaktīvu tirgiem attiecīgajā noteikumā; |
| --- | --- |

56)

“aktīviem piesaistītu žetonu emitents” ir “aktīviem piesaistītu žetonu” emitents, kā definēts Regulas par kriptoaktīvu tirgiem attiecīgajā noteikumā;

| 57) | “kritiski svarīgu etalonu administrators” ir “kritiski svarīgu etalonu” administrators, kā definēts Regulas (ES) 2016/1011 3. panta 1. punkta 25) apakšpunktā; |
| --- | --- |

57)

“kritiski svarīgu etalonu administrators” ir “kritiski svarīgu etalonu” administrators, kā definēts Regulas (ES) 2016/1011 3. panta 1. punkta 25) apakšpunktā;

| 58) | “kolektīvās finansēšanas pakalpojumu sniedzējs” ir kolektīvās finansēšanas pakalpojumu sniedzējs, kā definēts Eiropas Parlamenta un Padomes Regulas (ES) 2020/1503 (35) 2. panta 1. punkta e) apakšpunktā; |
| --- | --- |

58)

“kolektīvās finansēšanas pakalpojumu sniedzējs” ir kolektīvās finansēšanas pakalpojumu sniedzējs, kā definēts Eiropas Parlamenta un Padomes Regulas (ES) 2020/1503 (35) 2. panta 1. punkta e) apakšpunktā;

35

| 59) | “vērtspapīrošanas repozitorijs” ir vērtspapīrošanas repozitorijs, kā definēts Eiropas Parlamenta un Padomes Regulas (ES) 2017/2402 (36) 2. panta 23. punktā; |
| --- | --- |

59)

“vērtspapīrošanas repozitorijs” ir vērtspapīrošanas repozitorijs, kā definēts Eiropas Parlamenta un Padomes Regulas (ES) 2017/2402 (36) 2. panta 23. punktā;

36

| 60) | “mikrouzņēmums” ir finanšu vienība, kura nav tirdzniecības vieta, centrālais darījumu partneris, darījumu reģistrs vai centrālais vērtspapīru depozitārijs un kura nodarbina mazāk nekā 10 personas un kuras gada apgrozījums un/vai kopējā gada bilance nepārsniedz 2 miljonus EUR; |
| --- | --- |

60)

“mikrouzņēmums” ir finanšu vienība, kura nav tirdzniecības vieta, centrālais darījumu partneris, darījumu reģistrs vai centrālais vērtspapīru depozitārijs un kura nodarbina mazāk nekā 10 personas un kuras gada apgrozījums un/vai kopējā gada bilance nepārsniedz 2 miljonus EUR;

| 61) | “galvenais pārraugs” ir Eiropas Uzraudzības iestāde, kas izraudzīta saskaņā ar šīs regulas 31. panta 1. punkta b) apakšpunktu; |
| --- | --- |

61)

“galvenais pārraugs” ir Eiropas Uzraudzības iestāde, kas izraudzīta saskaņā ar šīs regulas 31. panta 1. punkta b) apakšpunktu;

| 62) | “apvienotā komiteja” ir komiteja, kas minēta Regulu (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 un (ES) Nr. 1095/2010 54. pantā; |
| --- | --- |

62)

“apvienotā komiteja” ir komiteja, kas minēta Regulu (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 un (ES) Nr. 1095/2010 54. pantā;

| 63) | “mazais uzņēmums” ir finanšu vienība, kura nodarbina 10 vai vairāk personas, bet mazāk nekā 50 personas, un kuras gada apgrozījums un/vai kopējā gada bilance pārsniedz 2 miljonus EUR, bet nepārsniedz 10 miljonus EUR; |
| --- | --- |

63)

“mazais uzņēmums” ir finanšu vienība, kura nodarbina 10 vai vairāk personas, bet mazāk nekā 50 personas, un kuras gada apgrozījums un/vai kopējā gada bilance pārsniedz 2 miljonus EUR, bet nepārsniedz 10 miljonus EUR;

| 64) | “vidējais uzņēmums” ir finanšu vienība, kura nav mazais uzņēmums un kura nodarbina mazāk nekā 250 personas un kuras gada apgrozījums nepārsniedz 50 miljonus EUR un/vai gada bilance nepārsniedz 43 miljonus EUR; |
| --- | --- |

64)

“vidējais uzņēmums” ir finanšu vienība, kura nav mazais uzņēmums un kura nodarbina mazāk nekā 250 personas un kuras gada apgrozījums nepārsniedz 50 miljonus EUR un/vai gada bilance nepārsniedz 43 miljonus EUR;

| 65) | “publiska iestāde” ir jebkura valdības vai cita valsts pārvaldes struktūra, tostarp valstu centrālās bankas. |
| --- | --- |

65)

“publiska iestāde” ir jebkura valdības vai cita valsts pārvaldes struktūra, tostarp valstu centrālās bankas.

4. pants

Proporcionalitātes princips

1.   Finanšu vienības II nodaļā paredzētos noteikumus īsteno saskaņā ar proporcionalitātes principu, ņemot vērā savu lielumu un vispārējo rika profilu, kā arī savu pakalpojumu, darbību un operāciju veidu, apmēru un sarežģītību.

2.   Turklāt tas, kā finanšu vienības piemēro III un IV nodaļu un V nodaļas I iedaļu, ir proporcionāls to lielumam un vispārējam riska profilam, kā arī to pakalpojumu, darbību un operāciju veidam, apmēram un sarežģītībai, kā konkrēti noteikts minēto nodaļu attiecīgajos noteikumos.

3.   Kad kompetentās iestādes pārskata IKT riska pārvaldības sistēmas saskaņotību, pamatojoties uz ziņojumiem, kas iesniegti pēc kompetento iestāžu pieprasījuma, ievērojot 6. panta 5. punktu un 16. panta 2. punktu, tās ņem vērā to, kā finanšu vienības piemēro proporcionalitātes principu.

II NODAĻA

IKT riska pārvaldība

I iedaļa

5. pants

Pārvaldība un organizācija

1.   Finanšu vienībām ir izveidota iekšējās pārvaldības un kontroles sistēma, kas nodrošina IKT riska efektīvu un prudenciālu pārvaldību saskaņā ar 6. panta 4. punktu, lai sasniegtu augstu digitālās darbības noturības līmeni.

2.   Finanšu vienības vadības struktūra nosaka, apstiprina, pārrauga un atbild par visu ar 6. panta 1. punktā minēto IKT riska pārvaldības sistēmu saistīto pasākumu īstenošanu:

Pirmās daļas īstenošanas vajadzībām vadības struktūra:

| a) | uzņemas galīgo atbildību par finanšu vienības IKT riska pārvaldību; |
| --- | --- |

a)

uzņemas galīgo atbildību par finanšu vienības IKT riska pārvaldību;

| b) | ievieš politiku, kuras mērķis ir nodrošināt augstu datu pieejamības, autentiskuma, integritātes un konfidencialitātes standartu uzturēšanu; |
| --- | --- |

b)

ievieš politiku, kuras mērķis ir nodrošināt augstu datu pieejamības, autentiskuma, integritātes un konfidencialitātes standartu uzturēšanu;

| c) | nosaka visu ar IKT saistīto funkciju uzdevumus un atbildību un izveido atbilstošu pārvaldības kārtību, lai nodrošinātu efektīvu un savlaicīgu saziņu, sadarbību un koordināciju starp minētajām funkcijām; |
| --- | --- |

c)

nosaka visu ar IKT saistīto funkciju uzdevumus un atbildību un izveido atbilstošu pārvaldības kārtību, lai nodrošinātu efektīvu un savlaicīgu saziņu, sadarbību un koordināciju starp minētajām funkcijām;

| d) | uzņemas vispārēju atbildību par digitālās darbības noturības stratēģijas noteikšanu un apstiprināšanu, kā minēts 6. panta 8. punktā, tostarp par atbilstīgas finanšu vienības IKT riska tolerances līmeņa noteikšanu, kā minēts 6. panta 8. punkta b) apakšpunktā; |
| --- | --- |

d)

uzņemas vispārēju atbildību par digitālās darbības noturības stratēģijas noteikšanu un apstiprināšanu, kā minēts 6. panta 8. punktā, tostarp par atbilstīgas finanšu vienības IKT riska tolerances līmeņa noteikšanu, kā minēts 6. panta 8. punkta b) apakšpunktā;

| e) | apstiprina, pārrauga un periodiski pārskata attiecīgi 11. panta 1. un 3. punktā minēto finanšu vienības IKT darbības nepārtrauktības politikas un IKT reaģēšanas un seku novēršanas plānu īstenošanu, kurus var pieņemt kā īpašu politiku, kas ir neatņemama daļa no finanšu vienības vispārējās darbības nepārtrauktības politikas un reaģēšanas un seku novēršanas plāna; |
| --- | --- |

e)

apstiprina, pārrauga un periodiski pārskata attiecīgi 11. panta 1. un 3. punktā minēto finanšu vienības IKT darbības nepārtrauktības politikas un IKT reaģēšanas un seku novēršanas plānu īstenošanu, kurus var pieņemt kā īpašu politiku, kas ir neatņemama daļa no finanšu vienības vispārējās darbības nepārtrauktības politikas un reaģēšanas un seku novēršanas plāna;

| f) | apstiprina un periodiski pārskata finanšu vienības IKT iekšējās revīzijas plānus, IKT revīzijas un būtiskus to grozījumus; |
| --- | --- |

f)

apstiprina un periodiski pārskata finanšu vienības IKT iekšējās revīzijas plānus, IKT revīzijas un būtiskus to grozījumus;

| g) | piešķir un periodiski pārskata atbilstīgu budžetu, lai apmierinātu finanšu vienības digitālās darbības noturības vajadzības attiecībā uz visu veidu resursiem, tostarp uz attiecīgajām IKT drošības izpratnes veidošanas programmām un digitālās darbības noturības mācībām, kas minētas 13. panta 6. punktā, un IKT prasmēm visam personālam; |
| --- | --- |

g)

piešķir un periodiski pārskata atbilstīgu budžetu, lai apmierinātu finanšu vienības digitālās darbības noturības vajadzības attiecībā uz visu veidu resursiem, tostarp uz attiecīgajām IKT drošības izpratnes veidošanas programmām un digitālās darbības noturības mācībām, kas minētas 13. panta 6. punktā, un IKT prasmēm visam personālam;

| h) | apstiprina un periodiski pārskata finanšu vienības politiku attiecībā uz kārtību, kādā tiek izmantoti IKT pakalpojumi, ko sniedz IKT pakalpojumus sniedzošās trešās personas; |
| --- | --- |

h)

apstiprina un periodiski pārskata finanšu vienības politiku attiecībā uz kārtību, kādā tiek izmantoti IKT pakalpojumi, ko sniedz IKT pakalpojumus sniedzošās trešās personas;

| i) | korporatīvā līmenī izveido ziņošanas kanālus, kas tai ļauj būt pienācīgi informētai par šādiem jautājumiem:






  i) | vienošanās, kas noslēgtas ar trešām personām, kas sniedz IKT pakalpojumus, par IKT pakalpojumu izmantošanu, |
| --- | --- | --- |

i)

korporatīvā līmenī izveido ziņošanas kanālus, kas tai ļauj būt pienācīgi informētai par šādiem jautājumiem:

i)

vienošanās, kas noslēgtas ar trešām personām, kas sniedz IKT pakalpojumus, par IKT pakalpojumu izmantošanu,

| ii) | jebkādas attiecīgās plānotās būtiskās izmaiņas attiecībā uz trešām personām, kas sniedz IKT pakalpojumus, |
| --- | --- |

ii)

jebkādas attiecīgās plānotās būtiskās izmaiņas attiecībā uz trešām personām, kas sniedz IKT pakalpojumus,

| iii) | šādu izmaiņu iespējamo ietekmi uz kritiski svarīgajām vai svarīgajām funkcijām, uz kurām attiecas minētās vienošanās, tostarp riska analīzes kopsavilkumu, lai novērtētu minēto izmaiņu ietekmi, un vismaz par būtiskiem ar IKT saistītiem incidentiem un to ietekmi, kā arī reaģēšanas, seku novēršanas un korektīvajiem pasākumiem. |
| --- | --- |

iii)

šādu izmaiņu iespējamo ietekmi uz kritiski svarīgajām vai svarīgajām funkcijām, uz kurām attiecas minētās vienošanās, tostarp riska analīzes kopsavilkumu, lai novērtētu minēto izmaiņu ietekmi, un vismaz par būtiskiem ar IKT saistītiem incidentiem un to ietekmi, kā arī reaģēšanas, seku novēršanas un korektīvajiem pasākumiem.

3.   Finanšu vienības, kas nav mikrouzņēmumi, izveido funkciju nolūkā uzraudzīt ar trešām personām, kas sniedz IKT pakalpojumus, noslēgtās vienošanās par IKT pakalpojumu izmantošanu, vai iecelt augstākās vadības locekli, kas atbild par to, lai tiktu uzraudzīta pakļautība riskam un attiecīgie dokumenti.

4.   Finanšu vienības vadības struktūras locekļi aktīvi atjaunina pietiekamas zināšanas un prasmes, kas ļauj saprast un novērtēt IKT risku un tā ietekmi uz finanšu vienības darbību, tostarp regulāri apmeklējot īpašas mācības atbilstīgi pārvaldītajam IKT riskam.

II iedaļa

6. pants

IKT riska pārvaldības sistēma

1.   Finanšu vienībām ir stabila, visaptveroša un labi dokumentēta IKT riska pārvaldības sistēma, kas veido daļu no viņu vispārējās riska pārvaldīšanas sistēmas un ļauj tām ātri, efektīvi un visaptveroši novērst IKT risku un nodrošināt augstu digitālās darbības noturības līmeni.

2.   IKT riska pārvaldības sistēma ietver vismaz stratēģijas, politiku, procedūras, IKT protokolus un rīkus, kas ir vajadzīgi, lai rūpīgi un pienācīgi aizsargātu visus informācijas aktīvus un IKT aktīvus, tostarp datoru programmatūru, aparatūru, serverus, kā arī lai aizsargātu visus attiecīgos fiziskos komponentus un infrastruktūras, piemēram, telpas, datu centrus un sensitīvas noteiktās teritorijas, lai nodrošinātu, ka visi informācijas aktīvi un IKT aktīvi ir pienācīgi aizsargāti pret riskiem, tostarp bojājumiem un neatļautu piekļuvi vai izmantošanu.

3.   Saskaņā ar savu IKT riska pārvaldības sistēmu finanšu vienības pēc iespējas samazina IKT riska ietekmi, izmantojot piemērotas stratēģijas, politiku, procedūras, IKT protokolus un rīkus. Tās kompetentajām iestādēm pēc pieprasījuma sniedz pilnīgu un atjauninātu informāciju par IKT risku un par savu IKT riska pārvaldības sistēmu.

4.   Finanšu vienības, kas nav mikrouzņēmumi, atbildību par IKT riska pārvaldību un pārraudzību uztic kontroles funkcijai un, lai izvairītos no interešu konfliktiem, nodrošina pienācīgu šīs kontroles funkcijas neatkarības līmeni. Finanšu vienības nodrošina IKT riska pārvaldības funkciju, kontroles funkciju un iekšējās revīzijas funkciju pienācīgu nodalījumu un neatkarību atbilstīgi trīs aizsardzības līniju modelim vai iekšējam riska pārvaldības un kontroles modelim.

5.   IKT riska pārvaldības sistēmu dokumentē un pārskata vismaz reizi gadā vai periodiski mikrouzņēmumu gadījumā, kā arī pēc būtisku ar IKT saistītu incidentu iestāšanās, ievērojot uzraudzības norādījumus vai attiecīgos digitālās darbības noturības testēšanas un revīzijas procesos gūtos secinājumus. To pastāvīgi uzlabo, balstoties uz īstenošanas un uzraudzības gaitā gūtajām atziņām. Ziņojumu par IKT riska pārvaldības sistēmas pārskatīšanu kompetentajai iestādei iesniedz pēc tās pieprasījuma.

6.   Finanšu vienību, kas nav mikrouzņēmumi, IKT riska pārvaldības sistēmai revidenti regulāri veic iekšējo revīziju atbilstīgi finanšu vienību revīzijas plānam. Minētajiem revidentiem ir pietiekamas zināšanas, prasmes un zinātība par IKT risku, kā arī pienācīga neatkarība. IKT revīzijas biežums un tajā galvenokārt pievērstā uzmanība ir samērīga ar finanšu vienības IKT riskam.

7.   Pamatojoties uz iekšējās revīzijas pārskata secinājumiem, finanšu vienības izveido oficiālu turpmākās pārraudzības procesu, tostarp noteikumus par kritiski svarīgu IKT revīzijas konstatējumu savlaicīgu verifikāciju un izlabošanu.

8.   IKT riska pārvaldības sistēma ietver digitālās darbības noturības stratēģiju, kurā izklāstīts, kā sistēma jāīsteno. Šajā nolūkā digitālās darbības noturības stratēģija ietver metodes, kā novērst IKT risku un sasniegt konkrētus IKT mērķus:

| a) | izskaidrojot, kā IKT riska pārvaldības sistēma atbalsta finanšu vienības uzņēmējdarbības stratēģiju un mērķus; |
| --- | --- |

a)

izskaidrojot, kā IKT riska pārvaldības sistēma atbalsta finanšu vienības uzņēmējdarbības stratēģiju un mērķus;

| b) | nosakot riska tolerances līmeni IKT riskam saskaņā ar finanšu vienības gatavību uzņemties risku, kā arī analizējot IKT traucējumu ietekmes noturību; |
| --- | --- |

b)

nosakot riska tolerances līmeni IKT riskam saskaņā ar finanšu vienības gatavību uzņemties risku, kā arī analizējot IKT traucējumu ietekmes noturību;

| c) | nosakot skaidrus informācijas drošības mērķus, tostarp galvenos snieguma rādītājus un galvenos riska rādītājus; |
| --- | --- |

c)

nosakot skaidrus informācijas drošības mērķus, tostarp galvenos snieguma rādītājus un galvenos riska rādītājus;

| d) | izskaidrojot IKT atsauces arhitektūru un jebkādas izmaiņas, kas vajadzīgas, lai sasniegtu konkrētus uzņēmējdarbības mērķus; |
| --- | --- |

d)

izskaidrojot IKT atsauces arhitektūru un jebkādas izmaiņas, kas vajadzīgas, lai sasniegtu konkrētus uzņēmējdarbības mērķus;

| e) | izklāstot dažādos mehānismus, kas ieviesti, lai atklātu ar IKT saistītus incidentus, novērstu to ietekmi un nodrošinātu aizsardzību pret to; |
| --- | --- |

e)

izklāstot dažādos mehānismus, kas ieviesti, lai atklātu ar IKT saistītus incidentus, novērstu to ietekmi un nodrošinātu aizsardzību pret to;

| f) | pamatojot pašreizējās digitālās darbības noturības situāciju, balstoties uz paziņoto būtisko ar IKT saistīto incidentu skaitu un preventīvo pasākumu efektivitāti; |
| --- | --- |

f)

pamatojot pašreizējās digitālās darbības noturības situāciju, balstoties uz paziņoto būtisko ar IKT saistīto incidentu skaitu un preventīvo pasākumu efektivitāti;

| g) | īstenojot digitālās darbības noturības testēšanu saskaņā ar šīs regulas IV nodaļu; |
| --- | --- |

g)

īstenojot digitālās darbības noturības testēšanu saskaņā ar šīs regulas IV nodaļu;

| h) | izklāstot saziņas stratēģiju ar IKT saistītu incidentu gadījumā, par ko jāsniedz informācija saskaņā ar 14. pantu. |
| --- | --- |

h)

izklāstot saziņas stratēģiju ar IKT saistītu incidentu gadījumā, par ko jāsniedz informācija saskaņā ar 14. pantu.

9.   Finanšu vienības saistībā ar 8. punktā minēto digitālās darbības noturības stratēģiju var noteikt holistisku IKT vairāku piegādātāju stratēģiju grupas vai vienības līmenī, norādot svarīgākās atkarības no trešām personām, kas sniedz IKT pakalpojumus, un izskaidrojot trešo personu, kas sniedz pakalpojumus, iepirkuma loka pamatojumu.

10.   Finanšu vienības saskaņā ar Savienības un valsts nozaru tiesību aktiem var IKT riska pārvaldības prasību izpildes pārbaudes uzdevumus kā ārpakalpojumu uzticēt grupas iekšienē vai ārējiem uzņēmumiem. Šādu ārpakalpojumu gadījumā finanšu vienība joprojām ir pilnībā atbildīga par IKT riska pārvaldības prasību izpildes pārbaudi.

7. pants

IKT sistēmas, protokoli un rīki

Lai novērstu un pārvaldītu IKT risku, finanšu vienības izmanto un uztur atjauninātas IKT sistēmas, protokolus un rīkus, kas ir:

| a) | piemēroti to operāciju apjomam, ar kurām tiek atbalstīta to darbība, saskaņā ar 4. pantā minēto proporcionalitātes principu; |
| --- | --- |

a)

piemēroti to operāciju apjomam, ar kurām tiek atbalstīta to darbība, saskaņā ar 4. pantā minēto proporcionalitātes principu;

| b) | uzticami; |
| --- | --- |

b)

uzticami;

| c) | aprīkoti ar pietiekamu veiktspēju, lai precīzi apstrādātu darbību veikšanai un savlaicīgai pakalpojumu sniegšanai nepieciešamos datus, kā arī pēc vajadzības apstrādātu rīkojumu, ziņojumu vai darījumu maksimālos apjomus, tostarp, ja tiek ieviesta jauna tehnoloģija; |
| --- | --- |

c)

aprīkoti ar pietiekamu veiktspēju, lai precīzi apstrādātu darbību veikšanai un savlaicīgai pakalpojumu sniegšanai nepieciešamos datus, kā arī pēc vajadzības apstrādātu rīkojumu, ziņojumu vai darījumu maksimālos apjomus, tostarp, ja tiek ieviesta jauna tehnoloģija;

| d) | tehnoloģiski elastīgi, lai pienācīgi risinātu papildu informācijas apstrādes vajadzības, kas nepieciešams saspringtos tirgus apstākļos vai citās nelabvēlīgās situācijās. |
| --- | --- |

d)

tehnoloģiski elastīgi, lai pienācīgi risinātu papildu informācijas apstrādes vajadzības, kas nepieciešams saspringtos tirgus apstākļos vai citās nelabvēlīgās situācijās.

8. pants

Identifikācija

1.   Regulas 6. panta 1. punktā minētās IKT riska pārvaldības sistēmas ietvaros finanšu vienības identificē, klasificē un pienācīgi dokumentē visas IKT atbalstītās uzņēmējdarbības funkcijas, uzdevumus un pienākumus, minēto funkciju atbalstošos informācijas aktīvus un IKT aktīvus, un to uzdevumus un atkarības saistībā ar IKT risku. Finanšu vienības pēc vajadzības, bet ne retāk kā reizi gadā izvērtē šīs klasifikācijas un jebkuru attiecīgo dokumentu piemērotību.

2.   Finanšu vienības pastāvīgi identificē visus IKT riska avotus, jo īpaši pakļautību riskam, kur iesaistītas citas finanšu vienības, un izvērtē kiberdraudus un IKT ievainojamību, kam ir nozīme to IKT atbalstītajās uzņēmējdarbības funkcijās, informācijas aktīvos un IKT aktīvos. Finanšu vienības regulāri, bet ne retāk kā reizi gadā izvērtē riska scenārijus, kas tās ietekmē.

3.   Finanšu vienības, kas nav mikrouzņēmumi, veic riska novērtējumu pēc katrām būtiskām tīklu un informācijas sistēmas infrastruktūras, procesu vai procedūru izmaiņām, kas ietekmē to IKT atbalstītās uzņēmējdarbības funkcijas, informācijas aktīvus vai IKT aktīvus.

4.   Finanšu vienības identificē visus informācijas aktīvus un IKT aktīvus, tostarp tos, kas atrodas attālās vietnēs, tīkla resursus un aparatūras iekārtas, un kartē tās, kuras uzskata par kritiski svarīgām. Tās kartē informācijas aktīvu un IKT aktīvu konfigurāciju, kā arī dažādu informācijas aktīvu un IKT aktīvu saites un savstarpējo atkarību.

5.   Finanšu vienības identificē un dokumentē visus procesus, kas ir atkarīgi no trešām personām, kas sniedz IKT pakalpojumus, un identificē savstarpējus savienojumus ar trešām personām, kas sniedz IKT pakalpojumus, kuri palīdz nodrošināt kritiski svarīgas vai svarīgas funkcijas.

6.   Šā panta 1., 4. un 5. punkta nolūkiem finanšu vienības uztur attiecīgos krājumus un atjaunina tos periodiski un katru reizi, kad notiek jebkādas būtiskas izmaiņas, kā minēts 3. punktā.

7.   Finanšu vienības, kas nav mikrouzņēmumi, visu mantoto IKT sistēmu IKT riska īpašu novērtējumu veic regulāri un vismaz reizi gadā, un jebkurā gadījumā pirms tehnoloģiju, lietojumprogrammu vai sistēmu savienošanas, kā arī pēc tās.

9. pants

Aizsardzība un profilakse

1.   Lai pienācīgi aizsargātu IKT sistēmas un ar mērķi organizēt reaģēšanas pasākumus, finanšu vienības pastāvīgi uzrauga un kontrolē IKT sistēmu un rīku drošību un darbību un pēc iespējas samazina IKT riska ietekmi uz IKT sistēmām, ieviešot attiecīgus IKT drošības rīkus, rīcībpolitiku un procedūras.

2.   Finanšu vienības izstrādā, sagādā un īsteno IKT drošības rīcībpolitiku, procedūras, protokolus un rīkus, kuru mērķis ir nodrošināt IKT sistēmu noturību, nepārtrauktību un pieejamību, jo īpaši to sistēmu, kuras atbalsta kritiski svarīgu vai svarīgu funkciju izpildi, un uzturēt augstus datu pieejamības, autentiskuma, integritātes un konfidencialitātes standartus neatkarīgi no tā, vai tie tiek glabāti, lietoti vai pārsūtīti.

3.   Lai sasniegtu 2. punktā minētos mērķus, finanšu vienības izmanto IKT risinājumus un procesus, kas ir piemēroti saskaņā ar 4. pantu. Minētie IKT risinājumi un procesi:

| a) | nodrošina datu pārsūtīšanas līdzekļu drošību; |
| --- | --- |

a)

nodrošina datu pārsūtīšanas līdzekļu drošību;

| b) | pēc iespējas samazina datu bojājumu vai zudumu, neatļautas piekļuves un tehnisko nepilnību, kas varētu kavēt uzņēmējdarbību, risku; |
| --- | --- |

b)

pēc iespējas samazina datu bojājumu vai zudumu, neatļautas piekļuves un tehnisko nepilnību, kas varētu kavēt uzņēmējdarbību, risku;

| c) | novērš datu pieejamības trūkumu, autentiskuma un integritātes aizskārumu, konfidencialitātes pārkāpumus un datu zudumu; |
| --- | --- |

c)

novērš datu pieejamības trūkumu, autentiskuma un integritātes aizskārumu, konfidencialitātes pārkāpumus un datu zudumu;

| d) | nodrošina datu aizsardzību pret riskiem, kas rodas no datu pārvaldības, tostarp sliktas pārvaldības, ar apstrādi saistītiem riskiem un cilvēka kļūdām. |
| --- | --- |

d)

nodrošina datu aizsardzību pret riskiem, kas rodas no datu pārvaldības, tostarp sliktas pārvaldības, ar apstrādi saistītiem riskiem un cilvēka kļūdām.

4.   Šā panta 6. panta 1. punktā minētās IKT riska pārvaldības sistēmas ietvaros finanšu vienības:

| a) | izstrādā un dokumentē informācijas drošības politiku, ar ko paredz noteikumus, lai aizsargātu savu un attiecīgā gadījumā klientu datu, informācijas aktīvu un IKT aktīvu pieejamību, autentiskumu, integritāti un konfidencialitāti; |
| --- | --- |

a)

izstrādā un dokumentē informācijas drošības politiku, ar ko paredz noteikumus, lai aizsargātu savu un attiecīgā gadījumā klientu datu, informācijas aktīvu un IKT aktīvu pieejamību, autentiskumu, integritāti un konfidencialitāti;

| b) | saskaņā ar uz risku balstītu pieeju izveido stabilu tīkla un infrastruktūras pārvaldības struktūru, lietojot attiecīgus paņēmienus, metodes un protokolus, kas var ietvert tādu automatizētu mehānismu ieviešanu, ar kuriem izolēt skartos informācijas aktīvus kiberuzbrukuma gadījumā; |
| --- | --- |

b)

saskaņā ar uz risku balstītu pieeju izveido stabilu tīkla un infrastruktūras pārvaldības struktūru, lietojot attiecīgus paņēmienus, metodes un protokolus, kas var ietvert tādu automatizētu mehānismu ieviešanu, ar kuriem izolēt skartos informācijas aktīvus kiberuzbrukuma gadījumā;

| c) | īsteno rīcībpolitiku, kas ierobežo fizisku vai loģisku piekļuvi informācijas aktīviem un IKT aktīviem un datiem tikai tādā apjomā, kāds ir nepieciešams leģitīmām un atļautām funkcijām un darbībām, un šim nolūkam izveido rīcībpolitikas, procedūru un kontroles pasākumu kopumu, ar ko nosaka piekļuves tiesības un nodrošina to pareizu pārvaldību; |
| --- | --- |

c)

īsteno rīcībpolitiku, kas ierobežo fizisku vai loģisku piekļuvi informācijas aktīviem un IKT aktīviem un datiem tikai tādā apjomā, kāds ir nepieciešams leģitīmām un atļautām funkcijām un darbībām, un šim nolūkam izveido rīcībpolitikas, procedūru un kontroles pasākumu kopumu, ar ko nosaka piekļuves tiesības un nodrošina to pareizu pārvaldību;

| d) | īsteno rīcībpolitiku un protokolus, kas paredz spēcīgus autentificēšanas mehānismus, kuri ir balstīti uz attiecīgiem standartiem un īpašām kontroles sistēmām, un aizsardzības pasākumus šifrēšanas atslēgu veidā, ar kurām dati tiek šifrēti, balstoties uz apstiprinātiem datu klasifikācijas un IKT riska novērtējuma procesiem; |
| --- | --- |

d)

īsteno rīcībpolitiku un protokolus, kas paredz spēcīgus autentificēšanas mehānismus, kuri ir balstīti uz attiecīgiem standartiem un īpašām kontroles sistēmām, un aizsardzības pasākumus šifrēšanas atslēgu veidā, ar kurām dati tiek šifrēti, balstoties uz apstiprinātiem datu klasifikācijas un IKT riska novērtējuma procesiem;

| e) | īsteno dokumentētu IKT izmaiņu, tostarp programmatūras, aparatūras, aparātprogrammatūras komponentu, sistēmu vai drošības parametru, pārvaldības politiku, procedūras un kontroli, kas ir balstītas uz riska novērtēšanas pieeju un ir finanšu vienības kopējās izmaiņu pārvaldības politikas neatņemama daļa, lai nodrošinātu, ka visas IKT sistēmu izmaiņas tiek kontrolēti reģistrētas, testētas, novērtētas, apstiprinātas, ieviestas un pārbaudītas; |
| --- | --- |

e)

īsteno dokumentētu IKT izmaiņu, tostarp programmatūras, aparatūras, aparātprogrammatūras komponentu, sistēmu vai drošības parametru, pārvaldības politiku, procedūras un kontroli, kas ir balstītas uz riska novērtēšanas pieeju un ir finanšu vienības kopējās izmaiņu pārvaldības politikas neatņemama daļa, lai nodrošinātu, ka visas IKT sistēmu izmaiņas tiek kontrolēti reģistrētas, testētas, novērtētas, apstiprinātas, ieviestas un pārbaudītas;

| f) | ievieš dokumentētu attiecīgu un visaptverošu labojumu un atjauninājumu politiku. |
| --- | --- |

f)

ievieš dokumentētu attiecīgu un visaptverošu labojumu un atjauninājumu politiku.

Pirmās daļas b) apakšpunkta vajadzībām finanšu vienības projektē tīkla savienojuma infrastruktūru tā, lai to varētu nekavējoties pārtraukt vai segmentēt nolūkā pēc iespējas samazināt kaitīgas ietekmes izplatīšanos, jo īpaši attiecībā uz savstarpēji savienotiem finanšu procesiem.

Pirmās daļas e) apakšpunkta vajadzībām IKT izmaiņu pārvaldības procesu apstiprina atbilstīga hierarhiskā vadība, un tam ir ieviesti īpaši protokoli.

10. pants

Atklāšana

1.   Finanšu vienības saskaņā ar 17. pantu ievieš mehānismus, lai nekavējoties atklātu anomālas darbības, tostarp IKT tīkla veiktspējas problēmas un ar IKT saistītus incidentus, kā arī identificētu iespējamās būtiskās atsevišķu ķēdes punktu kļūdainas darbības.

Visus pirmajā daļā minētos atklāšanas mehānismus regulāri testē saskaņā ar 25. pantu.

2.   Šā panta 1. punktā minētie atklāšanas mehānismi ļauj veikt vairākslāņu kontroli, nosaka brīdināšanas mehānismu robežvērtības un kritērijus, atbilstīgi kuriem tiek ierosināti un uzsākti ar IKT saistīto incidentu reaģēšanas procesi, tostarp automātiskus mehānismus, lai brīdinātu attiecīgo personālu, kas atbild par reaģēšanu uz incidentiem, kas saistīti ar IKT.

3.   Finanšu vienības atvēl pietiekamus resursus un spējas, ar ko uzraudzīt lietotāju darbības, IKT anomāliju un ar IKT saistīto incidentu, jo īpaši kiberuzbrukumu, iestāšanos.

4.   Datu ziņošanas pakalpojumu sniedzējs papildus minētajam ir ieviesis sistēmas, kas ļauj efektīvi pārbaudīt tirdzniecības ziņojumu pilnīgumu, identificēt izlaidumus un acīmredzamas kļūdas, kā arī pieprasīt minēto ziņojumu atkārtotu nosūtīšanu.

11. pants

Reaģēšana un seku novēršana

1.   Regulas 6. panta 1. punktā minētās IKT riska pārvaldības sistēmas ietvaros un pamatojoties uz 8. pantā noteiktajām identifikācijas prasībām, finanšu vienības ievieš visaptverošu IKT darbības nepārtrauktības politiku, ko var pieņemt kā īpašu, atsevišķu politiku un kas veido finanšu vienības vispārējas darbības nepārtrauktības politikas neatņemamu daļu.

2.   Finanšu vienības īsteno IKT darbības nepārtrauktības politiku, izmantojot īpašu, piemērotu un dokumentētu kārtību, plānus, procedūras un mehānismus, kuru mērķis ir:

| a) | nodrošināt finanšu vienības kritiski svarīgo vai svarīgo funkciju nepārtrauktību; |
| --- | --- |

a)

nodrošināt finanšu vienības kritiski svarīgo vai svarīgo funkciju nepārtrauktību;

| b) | ātri, pienācīgi un efektīvi reaģēt uz visiem ar IKT saistītajiem incidentiem un novērst tos tā, lai ierobežotu kaitējumu un par prioritārām noteiktu darbības atsākšanu un seku novēršanu; |
| --- | --- |

b)

ātri, pienācīgi un efektīvi reaģēt uz visiem ar IKT saistītajiem incidentiem un novērst tos tā, lai ierobežotu kaitējumu un par prioritārām noteiktu darbības atsākšanu un seku novēršanu;

| c) | nekavējoties aktivizēt īpašus plānus, kas ļauj īstenot ierobežošanas pasākumus, procesus un tehnoloģijas, kuri piemēroti katram ar IKT saistīto incidentu veidam un ļauj novērst turpmāku kaitējumu, kā arī pielāgotas reaģēšanas un seku novēršanas procedūras, kas noteiktas saskaņā ar 12. pantu; |
| --- | --- |

c)

nekavējoties aktivizēt īpašus plānus, kas ļauj īstenot ierobežošanas pasākumus, procesus un tehnoloģijas, kuri piemēroti katram ar IKT saistīto incidentu veidam un ļauj novērst turpmāku kaitējumu, kā arī pielāgotas reaģēšanas un seku novēršanas procedūras, kas noteiktas saskaņā ar 12. pantu;

| d) | provizoriski aplēst ietekmi, kaitējumu un zaudējumus; |
| --- | --- |

d)

provizoriski aplēst ietekmi, kaitējumu un zaudējumus;

| e) | noteikt saziņas un krīzes pārvarēšanas pasākumus, kas nodrošina atjauninātas informācijas nosūtīšanu visam attiecīgajam iekšējam personālam un ārējām ieinteresētajām personām saskaņā ar 14. pantu un tās paziņošanu kompetentajām iestādēm saskaņā ar 19. pantu. |
| --- | --- |

e)

noteikt saziņas un krīzes pārvarēšanas pasākumus, kas nodrošina atjauninātas informācijas nosūtīšanu visam attiecīgajam iekšējam personālam un ārējām ieinteresētajām personām saskaņā ar 14. pantu un tās paziņošanu kompetentajām iestādēm saskaņā ar 19. pantu.

3.   Regulas 6. panta 1. punktā minētās IKT riska pārvaldības sistēmas ietvaros finanšu vienības īsteno saistītu IKT reaģēšanas un seku novēršanas plānus, uz kuriem finanšu vienību, kas nav mikrouzņēmumi, gadījumā attiecas neatkarīgas iekšējas revīzijas pārskatīšanas.

4.   Finanšu vienības ievieš, uztur un periodiski testē attiecīgus IKT darbības nepārtrauktības plānus, jo īpaši attiecībā uz kritiski svarīgām vai svarīgām funkcijām, kas ir uzticētas ārpakalpojumā vai par ko noslēgts līgums ar trešām personām, kas sniedz IKT pakalpojumus.

5.   Kā daļu no vispārējās darbības nepārtrauktības politikas finanšu vienības veic uzņēmējdarbības ietekmes analīzi (UIA) saistībā ar savu pakļautību nopietnu uzņēmējdarbības traucējumu riskam. UIA ietvaros finanšu vienības novērtē nopietnu uzņēmējdarbības traucējumu iespējamo ietekmi, izmantojot kvantitatīvus un kvalitatīvus kritērijus, attiecīgā gadījumā izmantojot iekšējo un ārējo datus un scenāriju analīzi. UIA ņem vērā identificēto un kartēto uzņēmējdarbības funkciju, atbalsta procesu, trešo personu atkarības un informācijas aktīvu svarīgumu un to savstarpējo atkarību. Finanšu vienības nodrošina, ka IKT aktīvi un IKT pakalpojumi tiek izstrādāti un izmantoti pilnīgā saskaņā ar UIA, jo īpaši attiecībā uz to, lai pienācīgi nodrošinātu visu kritiski svarīgo komponentu dublēšanos.

6.   Finanšu vienības kā daļu no visaptverošās IKT riska pārvaldības:

| a) | vismaz reizi gadā, kā arī pēc būtiskām tādu IKT sistēmu izmaiņām, ar kurām atbalsta kritiski svarīgas vai svarīgas funkcijas, testē IKT darbības nepārtrauktības plānus un IKT reaģēšanas un seku novēršanas plānus saistībā ar IKT sistēmām, kas atbalsta visas funkcijas; |
| --- | --- |

a)

vismaz reizi gadā, kā arī pēc būtiskām tādu IKT sistēmu izmaiņām, ar kurām atbalsta kritiski svarīgas vai svarīgas funkcijas, testē IKT darbības nepārtrauktības plānus un IKT reaģēšanas un seku novēršanas plānus saistībā ar IKT sistēmām, kas atbalsta visas funkcijas;

| b) | testē saskaņā ar 14. pantu izveidotos krīzes saziņas plānus. |
| --- | --- |

b)

testē saskaņā ar 14. pantu izveidotos krīzes saziņas plānus.

Pirmās daļas a) apakšpunkta vajadzībām finanšu vienības, kas nav mikrouzņēmumi, testēšanas plānos iekļauj scenārijus, kuros notiek kiberuzbrukumi un pārslēgšanās starp primāro IKT infrastruktūru un rezerves jaudu, rezerves kopijām un rezerves mehānismiem, kas vajadzīgi 12. pantā noteikto pienākumu izpildei.

Finanšu vienības regulāri pārskata savu IKT darbības nepārtrauktības politiku un IKT reaģēšanas un seku novēršanas plānus, ņemot vērā saskaņā ar panta pirmo daļu veikto testu rezultātus un ieteikumus, kas izriet no revīzijas pārbaudēm vai uzraudzības pārskatiem.

7.   Finanšu vienībām, kas nav mikrouzņēmumi, ir krīzes pārvarēšanas funkcija, kurā IKT darbības nepārtrauktības plānu vai IKT reaģēšanas un seku novēršanas plānu aktivizēšanas gadījumā cita starpā paredz skaidras procedūras, kā pārvaldīt iekšējo un ārējo krīzes saziņu saskaņā ar 14. pantu.

8.   Finanšu vienības uztur viegli pieejamu reģistru, kurā ietver pirms traucējuma un traucējuma laikā veiktās darbības, ja ticis aktivizēts IKT darbības nepārtrauktības plāns vai IKT reaģēšanas un seku novēršanas plāns.

9.   Centrālais vērtspapīru depozitārijs iesniedz kompetentajām iestādēm IKT darbības nepārtrauktības testu vai līdzīgu izmēģinājumu rezultātu kopijas.

10.   Finanšu vienības, kas nav mikrouzņēmumi, pēc kompetento iestāžu pieprasījuma ziņo tām par aplēsēm par kopējām gada izmaksām un zaudējumiem, ko radījuši būtiski ar IKT saistīti incidenti.

11.   Saskaņā ar Regulu (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 un (ES) Nr. 1095/2010 16. pantu EUI ar Apvienotās komitejas starpniecību līdz 2024. gada 17. jūlijam izstrādā kopīgas pamatnostādnes attiecībā uz 10. punktā minēto kopējo gada izmaksu un zaudējumu aplēsi.

12. pants

Rezerves kopiju veidošanas politika un procedūras, atjaunošanas un atgūšanas procedūras un metodes

1.   Lai nodrošinātu IKT sistēmu un datu atjaunošanu ar minimāliem laika zaudējumiem, ierobežotiem traucējumiem un zaudējumiem, finanšu vienības kā daļu no IKT riska pārvaldības sistēmas izstrādā un dokumentē:

| a) | rezerves kopiju veidošanas politiku un procedūras, kur nosaka to datu tvērumu, kuriem jāveido rezerves kopijas, un rezerves kopiju veidošanas minimālo biežumu, balstoties uz informācijas svarīgumu vai datu konfidencialitātes līmeni; |
| --- | --- |

a)

rezerves kopiju veidošanas politiku un procedūras, kur nosaka to datu tvērumu, kuriem jāveido rezerves kopijas, un rezerves kopiju veidošanas minimālo biežumu, balstoties uz informācijas svarīgumu vai datu konfidencialitātes līmeni;

| b) | atjaunošanas un atgūšanas procedūras un metodes. |
| --- | --- |

b)

atjaunošanas un atgūšanas procedūras un metodes.

2.   Finanšu vienības izveido rezerves sistēmas, ko var aktivizēt saskaņā ar rezerves kopiju veidošanas politiku un procedūrām, kā arī atjaunošanas un atgūšanas procedūrām un metodēm. Rezerves sistēmu aktivizēšana neapdraud tīklu un informācijas sistēmu drošību vai datu pieejamību, autentiskumu, integritāti vai konfidencialitāti. Regulāri veic rezerves kopiju veidošanas procedūru un atjaunošanas, kā arī atgūšanas procedūru un metožu testēšanu.

3.   Atjaunojot rezerves kopijas datus, finanšu iestādes izmanto IKT sistēmas, kas ir fiziski un loģiski nošķirtas no avota IKT sistēmas. IKT sistēmas ir droši aizsargātas pret jebkādu neatļautu piekļuvi vai IKT bojājumiem un ļauj laikus atjaunot pakalpojumus, vajadzības gadījumā izmantojot datus un sistēmu rezerves kopijas.

Centrālo darījumu partneru seku novēršanas plāni atļauj atjaunot visus darījumus pārtraukšanas brīdī, lai centrālais darījumu partneris varētu turpināt droši darboties un pabeigt norēķinus paredzētajā dienā.

Datu ziņošanas pakalpojumu sniedzēji papildus uztur pienācīgus resursus un nodrošina rezerves kopijas un atjaunošanas iekārtas, lai jebkurā laikā piedāvātu un uzturētu savus pakalpojumus.

4.   Finanšu vienības, kas nav mikrouzņēmumi, uztur rezerves IKT jaudu, kam ir uzņēmējdarbības vajadzību nodrošināšanai pienācīgi resursi, spējas un funkcijas. Mikrouzņēmumi, pamatojoties uz to riska profilu, novērtē vajadzību uzturēt šādu rezerves IKT jaudu.

5.   Centrālie vērtspapīru depozitāriji uztur vismaz vienu rezerves apstrādes vietu, kam ir uzņēmējdarbības vajadzību nodrošināšanai pienācīgi resursi, spējas, funkcijas un personāls.

Rezerves apstrādes vieta:

| a) | atrodas ģeogrāfiski attālu no galvenās apstrādes vietas, lai nodrošinātu, ka tai ir atšķirīgs riska profils, un novērstu, ka to skar notikums, kas ir skāris galveno vietu; |
| --- | --- |

a)

atrodas ģeogrāfiski attālu no galvenās apstrādes vietas, lai nodrošinātu, ka tai ir atšķirīgs riska profils, un novērstu, ka to skar notikums, kas ir skāris galveno vietu;

| b) | spēj nodrošināt kritiski svarīgu vai svarīgu funkciju nepārtrauktību tieši tāpat kā galvenā vieta vai sniegt pakalpojumus līmenī, kas nepieciešams, lai nodrošinātu, ka finanšu vienība veic kritiski svarīgās darbības saskaņā ar atgūšanas mērķiem; |
| --- | --- |

b)

spēj nodrošināt kritiski svarīgu vai svarīgu funkciju nepārtrauktību tieši tāpat kā galvenā vieta vai sniegt pakalpojumus līmenī, kas nepieciešams, lai nodrošinātu, ka finanšu vienība veic kritiski svarīgās darbības saskaņā ar atgūšanas mērķiem;

| c) | ir nekavējoties pieejama finanšu vienības personālam, lai nodrošinātu kritiski svarīgu vai svarīgu funkciju nepārtrauktību gadījumā, ja galvenā apstrādes vieta ir kļuvusi nepieejama. |
| --- | --- |

c)

ir nekavējoties pieejama finanšu vienības personālam, lai nodrošinātu kritiski svarīgu vai svarīgu funkciju nepārtrauktību gadījumā, ja galvenā apstrādes vieta ir kļuvusi nepieejama.

6.   Nosakot mērķus attiecībā uz katras funkcijas atgūšanas laiku un atgūšanas punktu, finanšu vienības ņem vērā to, vai attiecīgā funkcija ir kritiski svarīga vai svarīga, un iespējamo kopējo ietekmi uz tirgus efektivitāti. Šie laika mērķi nodrošina noteiktā pakalpojumu līmeņa izpildi ekstremālos scenārijos.

7.   Novēršot ar IKT saistītā incidenta sekas, finanšu vienības veic vajadzīgās pārbaudes, tostarp vairākas pārbaudes un saskaņošanu, lai nodrošinātu, ka datu integritāte tiek saglabāta visaugstākajā līmenī. Šīs pārbaudes veic arī, atjaunojot datus no ārējām ieinteresētajām personām, lai nodrošinātu, ka sistēmu dati ir savstarpēji sakritīgi.

13. pants

Mācīšanās un attīstība

1.   Finanšu vienībām ir spējas un personāls, kas var apkopot informāciju par ievainojamību un kiberdraudiem, ar IKT saistītiem incidentiem, jo īpaši kiberuzbrukumiem, un analizēt ietekmi, kas tiem varētu būt uz to digitālās darbības noturību.

2.   Finanšu vienības ievieš ar IKT saistītu incidentu pārskatīšanu gadījumiem, kad būtisks ar IKT saistīts incidents traucē to pamatdarbības; tajā tiek analizēti traucējumu cēloņi un noteikti nepieciešamie uzlabojumi IKT darbībās vai IKT darbības nepārtrauktības politikā, kas minēta 11. pantā.

Finanšu vienības, kas nav mikrouzņēmumi, pēc pieprasījuma paziņo kompetentajām iestādēm par izmaiņām, kas veiktas pēc pirmajā daļā minētās ar IKT saistīto incidentu pārskatīšanas.

Pirmajā daļā minētajā ar IKT saistītā incidenta pārskatīšanā nosaka, vai tika ievērotas noteiktās procedūras un vai veiktās darbības bija efektīvas, tostarp attiecībā uz:

| a) | tūlītēju reaģēšanu uz drošības brīdinājumiem un ar IKT saistīto incidentu ietekmes un to būtiskuma noteikšanu; |
| --- | --- |

a)

tūlītēju reaģēšanu uz drošības brīdinājumiem un ar IKT saistīto incidentu ietekmes un to būtiskuma noteikšanu;

| b) | kriminālistikas analīzes kvalitāti un ātrumu, ja to uzskata par lietderīgu; |
| --- | --- |

b)

kriminālistikas analīzes kvalitāti un ātrumu, ja to uzskata par lietderīgu;

| c) | incidentu eskalācijas efektivitāti finanšu vienībā; |
| --- | --- |

c)

incidentu eskalācijas efektivitāti finanšu vienībā;

| d) | iekšējās un ārējās saziņas efektivitāti. |
| --- | --- |

d)

iekšējās un ārējās saziņas efektivitāti.

3.   IKT riska novērtējuma procesā pastāvīgi iekļauj pieredzi, kas gūta saskaņā ar 26. un 27. pantu veiktās digitālās darbības noturības testos un no reāliem ar IKT saistītiem incidentiem, jo īpaši kiberuzbrukumiem, kā arī saistībā ar problēmām, ar ko saskaras, aktivizējot IKT darbības nepārtrauktības plānus un IKT reaģēšanas un seku novēršanas plānus, kopā ar attiecīgo informāciju, kas koplietota ar darījumu partneriem un novērtēta uzraudzības pārbaudēs. Minētie konstatējumi ir pamats 6. panta 1. punktā minētās IKT riska pārvaldības sistēmas attiecīgo komponentu pienācīgai pārskatīšanai.

4.   Finanšu vienības uzrauga 6. panta 8. punktā noteiktās digitālās darbības noturības stratēģijas īstenošanas efektivitāti. Tās kartē IKT riska attīstību laika gaitā, analizē ar IKT saistīto incidentu biežumu, veidus, mērogu un attīstību, jo īpaši kiberuzbrukumus un to modeļus, lai izprastu, cik lielā mērā tās ir pakļautas IKT riskam, jo īpaši saistībā ar kritiski svarīgām vai svarīgām funkcijām, un palielinātu finanšu vienības kiberbriedumu un sagatavotību.

5.   Augstākā līmeņa IKT darbinieki vismaz reizi gadā ziņo vadības struktūrai par 3. punktā minētajiem konstatējumiem un sniedz ieteikumus.

6.   Finanšu vienības savās personāla apmācības shēmās kā obligātos moduļus izstrādā IKT drošības izpratnes veidošanas programmas un digitālās darbības noturības mācības. Minētās programmas un mācības attiecas uz visiem darbiniekiem un augstākās vadības darbiniekiem, un to sarežģītības pakāpe ir samērīga ar viņu funkciju jomu. Attiecīgā gadījumā finanšu vienības iekļauj arī trešās personas, kas sniedz IKT pakalpojumus, savās attiecīgajās mācību shēmās saskaņā ar 30. panta 2. punkta i) apakšpunktu.

7.   Finanšu vienības, kas nav mikrouzņēmumi, pastāvīgi uzrauga attiecīgo tehnoloģisko attīstību, tostarp lai izprastu šādu jaunu tehnoloģiju ieviešanas iespējamo ietekmi uz IKT drošības prasībām un digitālās darbības noturību. Tās seko jaunākajiem IKT riska pārvaldības procesiem, lai efektīvi apkarotu pašreizējās vai jaunās kiberuzbrukumu formas.

14. pants

Saziņa

1.   Regulas 6. panta 1. punktā minētās IKT riska pārvaldības sistēmas ietvaros finanšu vienībām ir krīzes saziņas plāni, kas ļauj vismaz būtiskus ar IKT saistītos incidentus vai ievainojamības atbildīgi atklāt klientiem un darījumu partneriem, kā arī sabiedrībai.

2.   IKT riska pārvaldības sistēmas ietvaros finanšu vienības īsteno saziņas politiku attiecībā uz iekšējo personālu un ārējām ieinteresētajām personām. Ar personālu saistītajā saziņas politikā ņem vērā vajadzību nošķirt personālu, kas ir jāinformē, no IKT riska pārvaldībā, jo īpaši par reaģēšanu un seku novēršanu, atbildīgā personāla.

3.   Vismaz vienai personai finanšu vienībā ir uzdots īstenot saziņas stratēģiju ar IKT saistītu incidentu gadījumā un šim nolūkam pildīt publisko un mediju funkciju.

15. pants

IKT riska pārvaldības rīku, metožu, procesu un politikas tālāka saskaņošana

EUI ar Apvienotās komitejas starpniecību, apspriežoties ar Eiropas Savienības Kiberdrošības aģentūru (ENISA), izstrādā kopīgu regulatīvo tehnisko standartu projektu, lai:

ENISA

| a) | noteiktu papildu elementus, kas jāiekļauj 9. panta 2. punktā minētajā IKT drošības rīcībpolitikā, procedūrās, protokolos un rīkos, lai nodrošinātu tīklu drošību, ļautu īstenot atbilstošus aizsardzības pasākumus pret ielaušanos un datu ļaunprātīgu izmantošanu, saglabātu datu pieejamību, autentiskumu, integritāti un konfidencialitāti, tostarp kriptogrāfijas metodes, un garantētu datu precīzu un ātru pārraidi bez būtiskiem traucējumiem un nepamatotiem kavējumiem; |
| --- | --- |

a)

noteiktu papildu elementus, kas jāiekļauj 9. panta 2. punktā minētajā IKT drošības rīcībpolitikā, procedūrās, protokolos un rīkos, lai nodrošinātu tīklu drošību, ļautu īstenot atbilstošus aizsardzības pasākumus pret ielaušanos un datu ļaunprātīgu izmantošanu, saglabātu datu pieejamību, autentiskumu, integritāti un konfidencialitāti, tostarp kriptogrāfijas metodes, un garantētu datu precīzu un ātru pārraidi bez būtiskiem traucējumiem un nepamatotiem kavējumiem;

| b) | izstrādātu papildu komponentus 9. panta 4. punkta c) apakšpunktā minētajai piekļuves pārvaldības tiesību kontrolei un ar to saistīto cilvēkresursu politiku, lai precizētu piekļuves tiesības, tiesību piešķiršanas un anulēšanas procedūras, uzraudzītu anomālu rīcību saistībā ar IKT riskiem, izmantojot atbilstošus rādītājus, tostarp tīkla izmantošanas modeļus, laikus, IT darbību un nezināmas ierīces; |
| --- | --- |

b)

izstrādātu papildu komponentus 9. panta 4. punkta c) apakšpunktā minētajai piekļuves pārvaldības tiesību kontrolei un ar to saistīto cilvēkresursu politiku, lai precizētu piekļuves tiesības, tiesību piešķiršanas un anulēšanas procedūras, uzraudzītu anomālu rīcību saistībā ar IKT riskiem, izmantojot atbilstošus rādītājus, tostarp tīkla izmantošanas modeļus, laikus, IT darbību un nezināmas ierīces;

| c) | sīkāk izstrādātu 10. panta 1. punktā noteiktos mehānismus, kas ļautu operatīvi atklāt anomālas darbības, un 10. panta 2. punktā izklāstītos kritērijus, kas ierosina ar IKT saistītu incidentu atklāšanas un reaģēšanas procesus; |
| --- | --- |

c)

sīkāk izstrādātu 10. panta 1. punktā noteiktos mehānismus, kas ļautu operatīvi atklāt anomālas darbības, un 10. panta 2. punktā izklāstītos kritērijus, kas ierosina ar IKT saistītu incidentu atklāšanas un reaģēšanas procesus;

| d) | sīkāk precizētu 11. panta 1. punktā minētās IKT darbības nepārtrauktības politikas komponentus; |
| --- | --- |

d)

sīkāk precizētu 11. panta 1. punktā minētās IKT darbības nepārtrauktības politikas komponentus;

| e) | sīkāk precizētu 11. panta 6. punktā minēto IKT darbības nepārtrauktības plānu testēšanu, lai nodrošinātu, ka šādā testēšanā pienācīgi ņemti vērā scenāriji, kuros kritiski svarīgas vai svarīgas funkcijas nodrošināšanas kvalitāte nepieņemami pasliktinās vai netiek ievērota vispār, un pienācīgi apsvērta attiecīgās trešās personas, kas sniedz IKT pakalpojumus, maksātnespējas vai citas atteices iespējamā ietekme un konkrētā gadījumā – attiecīgo pakalpojumu sniedzēju jurisdikciju politiskie riski; |
| --- | --- |

e)

sīkāk precizētu 11. panta 6. punktā minēto IKT darbības nepārtrauktības plānu testēšanu, lai nodrošinātu, ka šādā testēšanā pienācīgi ņemti vērā scenāriji, kuros kritiski svarīgas vai svarīgas funkcijas nodrošināšanas kvalitāte nepieņemami pasliktinās vai netiek ievērota vispār, un pienācīgi apsvērta attiecīgās trešās personas, kas sniedz IKT pakalpojumus, maksātnespējas vai citas atteices iespējamā ietekme un konkrētā gadījumā – attiecīgo pakalpojumu sniedzēju jurisdikciju politiskie riski;

| f) | sīkāk precizētu 11. panta 3. punktā minēto IKT reaģēšanas un seku novēršanas plānu komponentus; |
| --- | --- |

f)

sīkāk precizētu 11. panta 3. punktā minēto IKT reaģēšanas un seku novēršanas plānu komponentus;

| g) | sīkāk precizētu 6. panta 5. punktā minētā ziņojuma par IKT riska pārvaldības sistēmas pārskatīšanu saturu un formātu. |
| --- | --- |

g)

sīkāk precizētu 6. panta 5. punktā minētā ziņojuma par IKT riska pārvaldības sistēmas pārskatīšanu saturu un formātu.

Izstrādājot minēto regulatīvo tehnisko standartu projektu, EUI ņem vērā finanšu vienības lielumu un vispārējo riska profilu, kā arī tās pakalpojumu, darbību un operāciju veidu, apmēru un sarežģītību, vienlaikus pienācīgi ņemot vērā visas īpašās iezīmes, kas izriet no darbību atšķirīgā rakstura dažādās finanšu pakalpojumu nozarēs.

EUI iesniedz Komisijai minēto regulatīvo tehnisko standartu projektu līdz 2024. gada 17. janvārim.

Komisijai tiek deleģētas pilnvaras papildināt šo regulu, pieņemot pirmajā daļā minētos regulatīvos tehniskos standartus saskaņā ar 10.–14. pantu Regulās (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 un (ES) Nr. 1095/2010.

16. pats

Vienkāršota IKT riska pārvaldības sistēma

1.   Šīs regulas 5.–15. pantu nepiemēro nelielām un savstarpēji nesaistītām ieguldījumu brokeru sabiedrībām, maksājumu iestādēm, kam piemēro atbrīvojumu, ievērojot Direktīvu (ES) 2015/2366; iestādēm, kam piemēro atbrīvojumu, ievērojot Direktīvu 2013/36/ES, un attiecībā uz kurām dalībvalstis ir nolēmušas nepiemērot šīs regulas 2. panta 4. punktā minēto iespēju; elektroniskās naudas iestādēm, kam piemēro atbrīvojumu, ievērojot Direktīvu 2009/110/EK; un nelielām arodpensijas kapitāla uzkrāšanas institūcijām.

Neskarot pirmo daļu, tajā uzskaitītās vienības:

| a) | ievieš un uztur stabilu un dokumentētu IKT riska pārvaldības sistēmu, ar ko sīki izklāsta mehānismus un pasākumus, kuru mērķis ir ātra, efektīva un visaptveroša IKT riska pārvaldība, tostarp attiecīgo fizisko komponentu un infrastruktūru aizsardzība; |
| --- | --- |

a)

ievieš un uztur stabilu un dokumentētu IKT riska pārvaldības sistēmu, ar ko sīki izklāsta mehānismus un pasākumus, kuru mērķis ir ātra, efektīva un visaptveroša IKT riska pārvaldība, tostarp attiecīgo fizisko komponentu un infrastruktūru aizsardzība;

| b) | pastāvīgi uzrauga visu IKT sistēmu drošību un darbību; |
| --- | --- |

b)

pastāvīgi uzrauga visu IKT sistēmu drošību un darbību;

| c) | pēc iespējas samazina IKT riska ietekmi, izmantojot stabilas, noturīgas un atjauninātas IKT sistēmas, protokolus un rīkus, kuri ir piemēroti to darbību nodrošināšanai un pakalpojumu sniegšanai un tīklu un informācijas sistēmās esošo datu pieejamības, autentiskuma, integritātes un konfidencialitātes pienācīgai aizsardzībai; |
| --- | --- |

c)

pēc iespējas samazina IKT riska ietekmi, izmantojot stabilas, noturīgas un atjauninātas IKT sistēmas, protokolus un rīkus, kuri ir piemēroti to darbību nodrošināšanai un pakalpojumu sniegšanai un tīklu un informācijas sistēmās esošo datu pieejamības, autentiskuma, integritātes un konfidencialitātes pienācīgai aizsardzībai;

| d) | ļauj ātri identificēt un atklāt IKT riska un anomāliju cēloņus tīklu un informācijas sistēmās un ātri rīkoties IKT incidentu gadījumos; |
| --- | --- |

d)

ļauj ātri identificēt un atklāt IKT riska un anomāliju cēloņus tīklu un informācijas sistēmās un ātri rīkoties IKT incidentu gadījumos;

| e) | nosaka galvenās atkarības no trešām personām, kas sniedz IKT pakalpojumus; |
| --- | --- |

e)

nosaka galvenās atkarības no trešām personām, kas sniedz IKT pakalpojumus;

| f) | nodrošina kritiski svarīgo vai svarīgo funkciju nepārtrauktību, izmantojot darbības nepārtrauktības plānus un reaģēšanas un seku novēršanas pasākumus, kas ietver vismaz rezerves kopiju veidošanas un atjaunošanas pasākumus; |
| --- | --- |

f)

nodrošina kritiski svarīgo vai svarīgo funkciju nepārtrauktību, izmantojot darbības nepārtrauktības plānus un reaģēšanas un seku novēršanas pasākumus, kas ietver vismaz rezerves kopiju veidošanas un atjaunošanas pasākumus;

| g) | regulāri testē f) apakšpunktā minētos plānus un pasākumus, kā arī saskaņā ar a) un c) apakšpunktu īstenoto kontroļu efektivitāti; |
| --- | --- |

g)

regulāri testē f) apakšpunktā minētos plānus un pasākumus, kā arī saskaņā ar a) un c) apakšpunktu īstenoto kontroļu efektivitāti;

| h) | attiecīgā gadījumā IKT riska novērtēšanas procesā īsteno attiecīgus darbības secinājumus, kas izriet no g) apakšpunktā minētajiem testiem un pēcincidentu analīzes, un saskaņā ar vajadzībām un IKT riska profilu izstrādā IKT drošības izpratnes veidošanas programmas un digitālās darbības noturības mācības personālam un vadībai. |
| --- | --- |

h)

attiecīgā gadījumā IKT riska novērtēšanas procesā īsteno attiecīgus darbības secinājumus, kas izriet no g) apakšpunktā minētajiem testiem un pēcincidentu analīzes, un saskaņā ar vajadzībām un IKT riska profilu izstrādā IKT drošības izpratnes veidošanas programmas un digitālās darbības noturības mācības personālam un vadībai.

2.   IKT riska pārvaldības sistēmu, kas minēta 1. punkta otrās daļas a) apakšpunktā, dokumentē un pārskata periodiski un pēc būtiskiem ar IKT saistītiem incidentiem, ievērojot uzraudzības norādījumus. To pastāvīgi uzlabo, balstoties uz īstenošanas un uzraudzības gaitā gūtajām atziņām. Ziņojumu par IKT riska pārvaldības sistēmas pārskatīšanu kompetentajai iestādei iesniedz pēc tās pieprasījuma.

3.   EUI ar Apvienotās komitejas starpniecību, apspriežoties ar ENISA, izstrādā kopīgu regulatīvo tehnisko standartu projektu, lai:

| a) | sīkāk precizētu elementus, kas jāiekļauj 1. punkta otrās daļas a) apakšpunktā minētajā IKT riska pārvaldības sistēmā; |
| --- | --- |

a)

sīkāk precizētu elementus, kas jāiekļauj 1. punkta otrās daļas a) apakšpunktā minētajā IKT riska pārvaldības sistēmā;

| b) | sīkāk precizētu elementus, kas saistīti ar 1. punkta otrās daļas c) apakšpunktā minētajām sistēmām, protokoliem un rīkiem IKT riska ietekmes iespējamai samazināšanai, nolūkā nodrošināt tīklu drošību, nodrošināt pienācīgus aizsardzības pasākumus pret ielaušanos un datu ļaunprātīgu izmantošanu un saglabātu datu pieejamību, autentiskumu, integritāti un konfidencialitāti; |
| --- | --- |

b)

sīkāk precizētu elementus, kas saistīti ar 1. punkta otrās daļas c) apakšpunktā minētajām sistēmām, protokoliem un rīkiem IKT riska ietekmes iespējamai samazināšanai, nolūkā nodrošināt tīklu drošību, nodrošināt pienācīgus aizsardzības pasākumus pret ielaušanos un datu ļaunprātīgu izmantošanu un saglabātu datu pieejamību, autentiskumu, integritāti un konfidencialitāti;

| c) | sīkāk precizētu 1. punkta otrās daļas f) apakšpunktā minēto IKT darbības nepārtrauktības plānu komponentus; |
| --- | --- |

c)

sīkāk precizētu 1. punkta otrās daļas f) apakšpunktā minēto IKT darbības nepārtrauktības plānu komponentus;

| d) | sīkāk precizētu noteikumus par darbības nepārtrauktības plānu testēšanu un nodrošinātu 1. punkta otrās daļas g) apakšpunktā minētās kontroles efektivitāti un nodrošinātu, ka šādā testēšanā pienācīgi ņem vērā scenārijus, kuros kritiski svarīgas vai svarīgas funkcijas nodrošināšanas kvalitāte pasliktinās līdz nepieņemamam līmenim vai kad tā nedarbojas; |
| --- | --- |

d)

sīkāk precizētu noteikumus par darbības nepārtrauktības plānu testēšanu un nodrošinātu 1. punkta otrās daļas g) apakšpunktā minētās kontroles efektivitāti un nodrošinātu, ka šādā testēšanā pienācīgi ņem vērā scenārijus, kuros kritiski svarīgas vai svarīgas funkcijas nodrošināšanas kvalitāte pasliktinās līdz nepieņemamam līmenim vai kad tā nedarbojas;

| e) | sīkāk precizētu 2. punktā minētā ziņojuma par IKT riska pārvaldības sistēmas pārskatīšanu saturu un formātu. |
| --- | --- |

e)

sīkāk precizētu 2. punktā minētā ziņojuma par IKT riska pārvaldības sistēmas pārskatīšanu saturu un formātu.

Izstrādājot minēto regulatīvo tehnisko standartu projektu, EUI ņem vērā finanšu vienības lielumu un vispārējo riska profilu, kā arī tās pakalpojumu, darbību un operāciju veidu, apmēru un sarežģītību.

EUI iesniedz Komisijai minēto īstenošanas tehnisko standartu projektus līdz 2024. gada 17. janvārim.

Komisijai tiek deleģētas pilnvaras papildināt šo regulu, pieņemot pirmajā daļā minētos regulatīvos tehniskos standartus saskaņā ar 10.–14. pantu Regulās (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 un (ES) Nr. 1095/2010.

III NODAĻA

Ar IKT saistītu incidentu pārvaldības process, klasifikācija un ziņošana

17. pants

Ar IKT saistītu incidentu pārvaldības process

1.   Finanšu vienības nosaka, izveido un īsteno ar IKT saistītu incidentu pārvaldības procesu, lai atklātu ar IKT saistītus incidentus, pārvaldītu tos un ziņotu par tiem.

2.   Finanšu vienības reģistrē visus ar IKT saistītos incidentus un būtiskus kiberdraudus. Finanšu vienības izveido attiecīgas procedūras un procesus, lai nodrošinātu ar IKT saistītu incidentu konsekventu un integrētu uzraudzību, apstrādi un turpmāko kontroli, lai nodrošinātu, ka ir identificēti, dokumentēti un novērsti to pamatā esošie cēloņi, lai nepieļautu šādu incidentu atkārtošanos.

3.   Šā panta 1. punktā minētajā ar IKT saistītu incidentu pārvaldības procesā:

| a) | ievieš agrīnās brīdināšanas rādītājus; |
| --- | --- |

a)

ievieš agrīnās brīdināšanas rādītājus;

| b) | izveido procedūras ar IKT saistītu incidentu identificēšanai, izsekošanai, reģistrēšanai, kategorizācijai un klasificēšanai atbilstīgi to prioritātei, kā arī skarto pakalpojumu nopietnībai un kritiskumam saskaņā ar 18. panta 1. punktā izklāstītajiem kritērijiem; |
| --- | --- |

b)

izveido procedūras ar IKT saistītu incidentu identificēšanai, izsekošanai, reģistrēšanai, kategorizācijai un klasificēšanai atbilstīgi to prioritātei, kā arī skarto pakalpojumu nopietnībai un kritiskumam saskaņā ar 18. panta 1. punktā izklāstītajiem kritērijiem;

| c) | iedala funkcijas un atbildību, kas jāiedarbina attiecībā uz dažādiem ar IKT saistītiem incidentu veidiem un scenārijiem; |
| --- | --- |

c)

iedala funkcijas un atbildību, kas jāiedarbina attiecībā uz dažādiem ar IKT saistītiem incidentu veidiem un scenārijiem;

| d) | saskaņā ar 14. pantu izstrādā plānus, kā sazināties ar personālu, ārējām ieinteresētajām personām un plašsaziņas līdzekļiem un kā informēt klientus, īstenot iekšējās eskalācijas procedūras, tostarp saistībā ar klientu sūdzībām par IKT jautājumiem, kā arī informācijas sniegšanai finanšu vienībām, kas attiecīgi darbojas kā darījumu partneri; |
| --- | --- |

d)

saskaņā ar 14. pantu izstrādā plānus, kā sazināties ar personālu, ārējām ieinteresētajām personām un plašsaziņas līdzekļiem un kā informēt klientus, īstenot iekšējās eskalācijas procedūras, tostarp saistībā ar klientu sūdzībām par IKT jautājumiem, kā arī informācijas sniegšanai finanšu vienībām, kas attiecīgi darbojas kā darījumu partneri;

| e) | nodrošina, ka vismaz par būtiskiem ar IKT saistītiem incidentiem tiek ziņots attiecīgajai augstākajai vadībai, kā arī vadības struktūra tiek informēta vismaz par būtiskiem ar IKT saistītiem incidentiem, skaidrojot to ietekmi, reaģēšanu un papildu kontroli, kas tiek noteikta šādu ar IKT saistītu incidentu rezultātā; |
| --- | --- |

e)

nodrošina, ka vismaz par būtiskiem ar IKT saistītiem incidentiem tiek ziņots attiecīgajai augstākajai vadībai, kā arī vadības struktūra tiek informēta vismaz par būtiskiem ar IKT saistītiem incidentiem, skaidrojot to ietekmi, reaģēšanu un papildu kontroli, kas tiek noteikta šādu ar IKT saistītu incidentu rezultātā;

| f) | izveido ar IKT saistītu incidentu reaģēšanas procedūras, lai mazinātu ietekmi un nodrošinātu to, ka pakalpojumi laikus kļūst operatīvi un drošāki. |
| --- | --- |

f)

izveido ar IKT saistītu incidentu reaģēšanas procedūras, lai mazinātu ietekmi un nodrošinātu to, ka pakalpojumi laikus kļūst operatīvi un drošāki.

18. pants

Ar IKT saistītu incidentu un kiberdraudu klasifikācija

1.   Finanšu vienības klasificē ar IKT saistītus incidentus un nosaka to ietekmi, pamatojoties uz šādiem kritērijiem:

| a) | to klientu vai finanšu darījumu partneru skaits un/vai relevance, kurus ir skāris ar IKT saistītais incidents un – attiecīgā gadījumā – skarto darījumu apjoms vai skaits, kā arī tas, vai ar IKT saistītais incidents ir ietekmējis reputāciju; |
| --- | --- |

a)

to klientu vai finanšu darījumu partneru skaits un/vai relevance, kurus ir skāris ar IKT saistītais incidents un – attiecīgā gadījumā – skarto darījumu apjoms vai skaits, kā arī tas, vai ar IKT saistītais incidents ir ietekmējis reputāciju;

| b) | ar IKT saistītā incidenta ilgums, tostarp konkrētā pakalpojuma nepieejamība; |
| --- | --- |

b)

ar IKT saistītā incidenta ilgums, tostarp konkrētā pakalpojuma nepieejamība;

| c) | ģeogrāfiskā izplatība attiecībā uz jomām, ko skāris ar IKT saistītais incidents, jo īpaši, ja tas skar vairāk nekā divas dalībvalstis; |
| --- | --- |

c)

ģeogrāfiskā izplatība attiecībā uz jomām, ko skāris ar IKT saistītais incidents, jo īpaši, ja tas skar vairāk nekā divas dalībvalstis;

| d) | datu zudumi, ko rada ar IKT saistītais incidents, saistībā ar datu pieejamību, autentiskumu, integritāti vai konfidencialitāti; |
| --- | --- |

d)

datu zudumi, ko rada ar IKT saistītais incidents, saistībā ar datu pieejamību, autentiskumu, integritāti vai konfidencialitāti;

| e) | ietekmēto pakalpojumu, tostarp finanšu vienības darījumu un operāciju, kritiskums; |
| --- | --- |

e)

ietekmēto pakalpojumu, tostarp finanšu vienības darījumu un operāciju, kritiskums;

| f) | ar IKT saistītā incidenta ekonomiskā ietekme, jo īpaši tiešās un netiešās izmaksas un zaudējumi, gan absolūtā, gan relatīvā izteiksmē. |
| --- | --- |

f)

ar IKT saistītā incidenta ekonomiskā ietekme, jo īpaši tiešās un netiešās izmaksas un zaudējumi, gan absolūtā, gan relatīvā izteiksmē.

2.   Finanšu vienības kiberdraudus klasificē kā nozīmīgus, pamatojoties uz riskam pakļauto pakalpojumu kritiskumu, tostarp finanšu vienības darījumiem un darbībām, par mērķi izvirzīto klientu vai finanšu darījumu partneru skaitu un/vai relevanci un riskam pakļauto teritoriju ģeogrāfisko izplatību.

3.   EUI ar Apvienotās komitejas starpniecību un apspriežoties ar ECB un ENISA izstrādā kopēju regulatīvo tehnisko standartu projektu, tajā sīkāk nosakot:

| a) | 1. punktā izklāstītos kritērijus, tostarp būtiskuma robežvērtības, pēc kā noteikt būtiskus ar IKT saistītus incidentus vai – attiecīgā gadījumā – būtiskus ar maksājumiem saistītus darbības vai drošības incidentus, kam piemēro 19. panta 1. punktā paredzēto ziņošanas pienākumu; |
| --- | --- |

a)

1. punktā izklāstītos kritērijus, tostarp būtiskuma robežvērtības, pēc kā noteikt būtiskus ar IKT saistītus incidentus vai – attiecīgā gadījumā – būtiskus ar maksājumiem saistītus darbības vai drošības incidentus, kam piemēro 19. panta 1. punktā paredzēto ziņošanas pienākumu;

| b) | kritērijus, ko piemēro kompetentās iestādes, lai izvērtētu būtisku ar IKT saistītu incidentu vai – attiecīgā gadījumā – būtisku ar maksājumiem saistītu darbības vai drošības incidentu relevanci attiecīgajām kompetentajām iestādēm citās dalībvalstīs, kā arī sīkāku informāciju no ziņojumiem par būtiskiem ar IKT saistītiem incidentiem vai – attiecīgā gadījumā – būtiskiem ar maksājumiem saistītiem darbības vai drošības incidentiem, kas tiek koplietota ar citām kompetentajām iestādēm, ievērojot 19. panta 6. un 7. punktu; |
| --- | --- |

b)

kritērijus, ko piemēro kompetentās iestādes, lai izvērtētu būtisku ar IKT saistītu incidentu vai – attiecīgā gadījumā – būtisku ar maksājumiem saistītu darbības vai drošības incidentu relevanci attiecīgajām kompetentajām iestādēm citās dalībvalstīs, kā arī sīkāku informāciju no ziņojumiem par būtiskiem ar IKT saistītiem incidentiem vai – attiecīgā gadījumā – būtiskiem ar maksājumiem saistītiem darbības vai drošības incidentiem, kas tiek koplietota ar citām kompetentajām iestādēm, ievērojot 19. panta 6. un 7. punktu;

| c) | kritērijus, kas izklāstīti šā panta 2. punktā, tostarp augstas būtiskuma robežvērtības būtisku kiberdraudu noteikšanai. |
| --- | --- |

c)

kritērijus, kas izklāstīti šā panta 2. punktā, tostarp augstas būtiskuma robežvērtības būtisku kiberdraudu noteikšanai.

4.   Izstrādājot šā panta 3. punktā minēto kopējo regulatīvo tehnisko standartu projektus, EUI ņem vērā 4. panta 2. punktā izklāstītos kritērijus, kā arī starptautiskos standartus, norādījumus un ENISA izstrādātās un publicētās specifikācijas, tostarp – attiecīgā gadījumā – citu ekonomikas nozaru specifikācijas. Lai piemērotu 4. panta 2. punktā izklāstītos kritērijus, EUI pienācīgi apsver vajadzību mikrouzņēmumiem un maziem un vidējiem uzņēmumiem mobilizēt pietiekamus resursus un spējas, lai nodrošinātu ar IKT saistītu incidentu ātru pārvaldību.

Minētos kopējo regulatīvo tehnisko standartu projektus EUI iesniedz Komisijai līdz 2024. gada 17. janvārim.

Komisijai tiek deleģētas pilnvaras papildināt šo regulu, pieņemot 3. punktā minētos regulatīvos tehniskos standartus saskaņā ar 10.–14. pantu Regulās (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 un (ES) Nr. 1095/2010.

19. pants

Ziņošana par būtiskiem ar IKT saistītiem incidentiem un brīvprātīga paziņošana par būtiskiem kiberdraudiem

1.   Finanšu vienības par būtiskiem ar IKT saistītiem incidentiem ziņo 46. pantā minētajai attiecīgajai kompetentajai iestādei saskaņā ar šā panta 4. punktu.

Ja finanšu vienību uzrauga vairāk nekā viena 46. pantā minētā valsts kompetentā iestāde, dalībvalstis izraugās vienu kompetento iestādi par attiecīgo kompetento iestādi, kas ir atbildīga par šajā pantā paredzēto funkciju un pienākumu izpildi.

Kredītiestādes, kas saskaņā ar Regulas (ES) Nr. 1024/2013 6. panta 4. punktu klasificētas kā nozīmīgas, ziņo par būtiskiem ar IKT saistītiem incidentiem attiecīgajai valsts kompetentajai iestādei, kura izraudzīta saskaņā ar Direktīvas 2013/36/ES 4. pantu un kura nekavējoties nosūta minēto ziņojumu ECB.

Piemērojot šā punkta pirmo daļu, finanšu vienības pēc visas attiecīgās informācijas ievākšanas un analīzes, sagatavo sākotnējo paziņojumu un šā panta 4. punktā minētos ziņojumus, izmantojot 20. pantā minētās veidnes, un iesniedz tos kompetentajai iestādei. Ja tehniska neiespējamība liedz iesniegt sākotnējo paziņojumu, izmantojot veidni, finanšu vienības par to paziņo kompetentajai iestādei, izmantojot alternatīvus līdzekļus.

Sākotnējā paziņojumā un 4. punktā minētajos ziņojumos ietver visu informāciju, kas nepieciešama kompetentajai iestādei, lai noteiktu būtiskā ar IKT saistītā incidenta nozīmīgumu un izvērtētu iespējamo pārrobežu ietekmi.

Neskarot ziņošanu attiecīgajai kompetentajai iestādei, kuru finanšu vienība īsteno, ievērojot pirmo daļu, dalībvalstis var papildus noteikt, ka dažas vai visas finanšu vienības, izmantojot 20. pantā minētās veidnes, sniedz arī sākotnējo paziņojumu un katru no šā panta 4. punktā minētajiem ziņojumiem kompetentajām iestādēm vai datordrošības incidentu reaģēšanas vienībām (CSIRT), kas izraudzītas vai izveidotas saskaņā ar Direktīvu (ES) 2022/2555.

2.   Finanšu vienības var brīvprātīgi paziņot attiecīgajai kompetentajai iestādei par būtiskiem kiberdraudiem, ja tās uzskata, ka apdraudējums ir būtisks finanšu sistēmai, pakalpojumu lietotājiem vai klientiem. Attiecīgā kompetentā iestāde var sniegt šādu informāciju citām attiecīgajām iestādēm, kas minētas 6. punktā.

Kredītiestādes, kas saskaņā ar Regulas (ES) Nr. 1024/2013 6. panta 4. punktu klasificētas kā nozīmīgas, var brīvprātīgi ziņot par būtiskiem kiberdraudiem attiecīgajai valsts kompetentajai iestādei, kura izraudzīta saskaņā ar Direktīvas 2013/36/ES 4. pantu un kura nekavējoties nosūta minēto ziņojumu ECB.

Dalībvalstis var noteikt, ka minētās finanšu vienības, kuras veic brīvprātīgo paziņošanu saskaņā ar pirmo daļu, var nosūtīt minēto paziņojumu arī CSIRT, kas izraudzītas vai izveidotas saskaņā ar Direktīvu (ES) 2022/2555.

3.   Ja notiek būtisks ar IKT saistīts incidents, un tas ietekmē klientu finanšu intereses, finanšu vienības, tiklīdz tās par to uzzina, bez nepamatotas kavēšanās informē savus klientus par būtisko ar IKT saistīto incidentu un par pasākumiem, kas veikti, lai mazinātu šā incidenta nelabvēlīgo ietekmi.

Būtiska kiberdrauda gadījumā finanšu vienības attiecīgā gadījumā informē savus klientus, kurus minētais drauds varētu potenciāli ietekmēt, par jebkādiem piemērotiem aizsardzības pasākumiem, ko viņi varētu apsvērt veikt.

4.   Finanšu vienības termiņā, kas jānosaka saskaņā ar 20. panta pirmās daļas a) apakšpunkta ii) punktu, attiecīgajai kompetentajai iestādei iesniedz:

| a) | sākotnējo paziņojumu; |
| --- | --- |

a)

sākotnējo paziņojumu;

| b) | starpposma ziņojumu pēc a) apakšpunktā minētā sākotnējā ziņojuma, tiklīdz ir būtiski mainījies sākotnējā incidenta statuss vai ja, pamatojoties uz pieejamo jauno informāciju, ir mainījusies būtiskā ar IKT saistītā incidenta apstrāde, kam attiecīgā gadījumā seko atjaunināti paziņojumi ikreiz, kad ir pieejams attiecīgs statusa atjauninājums, kā arī pēc kompetentās iestādes konkrēta pieprasījuma; |
| --- | --- |

b)

starpposma ziņojumu pēc a) apakšpunktā minētā sākotnējā ziņojuma, tiklīdz ir būtiski mainījies sākotnējā incidenta statuss vai ja, pamatojoties uz pieejamo jauno informāciju, ir mainījusies būtiskā ar IKT saistītā incidenta apstrāde, kam attiecīgā gadījumā seko atjaunināti paziņojumi ikreiz, kad ir pieejams attiecīgs statusa atjauninājums, kā arī pēc kompetentās iestādes konkrēta pieprasījuma;

| c) | gala ziņojumu, kad ir pabeigta pamatcēloņu analīze un neatkarīgi no tā, vai mazināšanas pasākumi jau ir ieviesti, un kad ir pieejami faktiskie ietekmes rādītāji, ar ko aizstāt aplēses. |
| --- | --- |

c)

gala ziņojumu, kad ir pabeigta pamatcēloņu analīze un neatkarīgi no tā, vai mazināšanas pasākumi jau ir ieviesti, un kad ir pieejami faktiskie ietekmes rādītāji, ar ko aizstāt aplēses.

5.   Finanšu vienības saskaņā ar Savienības un valsts nozaru tiesību aktiem šajā pantā noteikto ziņošanas pienākumu var nodot trešās puses ārpakalpojumu sniedzējam. Šādas ārpakalpojumu izmantošanas gadījumā finanšu vienība joprojām pilnībā atbild par incidentu paziņošanas prasību izpildi.

6.   Saņemot sākotnējo paziņojumu un katru 4. punktā minēto ziņojumu, kompetentā iestāde savlaicīgi sniedz informāciju par būtisko ar IKT saistīto incidentu šādiem saņēmējiem, attiecīgā gadījumā pamatojoties uz to attiecīgajām kompetencēm:

| a) | EBI, EVTI vai EAAPI; |
| --- | --- |

a)

EBI, EVTI vai EAAPI;

| b) | šīs regulas 2. panta 1. punkta a), b) un d) apakšpunktā minēto finanšu vienību gadījumā – ECB; |
| --- | --- |

b)

šīs regulas 2. panta 1. punkta a), b) un d) apakšpunktā minēto finanšu vienību gadījumā – ECB;

| c) | kompetentajām iestādēm, vienotajiem kontaktpunktiem vai CSIRT, kas izraudzītas vai izveidotas, attiecīgi, saskaņā ar Direktīvu (ES) 2022/2555. |
| --- | --- |

c)

kompetentajām iestādēm, vienotajiem kontaktpunktiem vai CSIRT, kas izraudzītas vai izveidotas, attiecīgi, saskaņā ar Direktīvu (ES) 2022/2555.

| d) | noregulējuma iestādēm, kā minēts Direktīvas 2014/59/ES 3. pantā, un Vienotajai noregulējuma valdei (VNV) attiecībā uz vienībām, kas minētas Eiropas Parlamenta un Padomes Regulas (ES) Nr. 806/2014 (37) 7. panta 2. punktā, un attiecībā uz vienībām un grupām, kas minētas Regulas (ES) Nr. 806/2014 7. panta 4. punkta b) apakšpunktā un 5. punktā, ja šāda informācija attiecas uz incidentiem, kas rada risku kritiski svarīgu funkciju nodrošināšanai Direktīvas 2014/59/ES 2. panta 1. punkta 35) apakšpunkta nozīmē; un |
| --- | --- |

d)

noregulējuma iestādēm, kā minēts Direktīvas 2014/59/ES 3. pantā, un Vienotajai noregulējuma valdei (VNV) attiecībā uz vienībām, kas minētas Eiropas Parlamenta un Padomes Regulas (ES) Nr. 806/2014 (37) 7. panta 2. punktā, un attiecībā uz vienībām un grupām, kas minētas Regulas (ES) Nr. 806/2014 7. panta 4. punkta b) apakšpunktā un 5. punktā, ja šāda informācija attiecas uz incidentiem, kas rada risku kritiski svarīgu funkciju nodrošināšanai Direktīvas 2014/59/ES 2. panta 1. punkta 35) apakšpunkta nozīmē; un

| e) | citām attiecīgām valsts iestādēm saskaņā ar valsts tiesību aktiem. |
| --- | --- |

e)

citām attiecīgām valsts iestādēm saskaņā ar valsts tiesību aktiem.

7.   Pēc informācijas saņemšanas saskaņā ar 6. punktu EBI, EVTI vai EAAPI un ECB, apspriežoties ar ENISA un sadarbojoties ar attiecīgo kompetento iestādi, novērtē, vai būtiskais ar IKT saistītais incidents ir relevants kompetentajām iestādēm citās dalībvalstīs. Pēc minētā novērtējuma EBI, EVTI vai EAAPI pēc iespējas drīz attiecīgi informē attiecīgās kompetentās iestādes citās dalībvalstīs. ECB paziņo Eiropas Centrālo banku sistēmas locekļiem par jautājumiem, kuri attiecas uz maksājumu sistēmu. Pamatojoties uz minēto paziņojumu, kompetentās iestādes vajadzības gadījumā veic visus pasākumus, kas nepieciešami, lai īstermiņā aizsargātu finanšu sistēmas drošību.

8.   Paziņojums, kas EVTI jāveic, ievērojot šā panta 7. punktu, neskar kompetentās iestādes atbildību steidzami nosūtīt sīku informāciju par būtisko ar IKT saistīto incidentu attiecīgajai iestādei uzņēmējā dalībvalstī, ja centrālajam vērtspapīru depozitārijam uzņēmējā dalībvalstī ir nozīmīga pārrobežu darbība, ja būtiskais ar IKT saistītais incidents, visticamāk, radīs smagas sekas uzņēmējas dalībvalsts finanšu tirgiem un ja starp kompetentajām iestādēm ir sadarbības mehānismi saistībā ar finanšu vienību uzraudzību.

20. pants

Ziņojumu satura un veidņu saskaņošana

EUI, ar Apvienotās komitejas starpniecību un apspriežoties ar ENISA un ECB, izstrādā:

ENISA

| a) | kopējo regulatīvo tehnisko standartu projektus, ar ko:






  i) | nosaka ziņojumu par būtiskiem ar IKT saistītiem incidentiem saturu, lai atspoguļotu 18. panta 1. punktā noteiktos kritērijus un ietvertu papildu elementus, piemēram, sīku informāciju nolūkā noteikt, vai iesniegtie ziņojumi ir relevanti citām dalībvalstīm, un to, vai tas ir vai nav būtisks ar maksājumiem saistīts darbības vai drošības incidents; |
| --- | --- | --- |

a)

kopējo regulatīvo tehnisko standartu projektus, ar ko:

i)

nosaka ziņojumu par būtiskiem ar IKT saistītiem incidentiem saturu, lai atspoguļotu 18. panta 1. punktā noteiktos kritērijus un ietvertu papildu elementus, piemēram, sīku informāciju nolūkā noteikt, vai iesniegtie ziņojumi ir relevanti citām dalībvalstīm, un to, vai tas ir vai nav būtisks ar maksājumiem saistīts darbības vai drošības incidents;

| ii) | nosaka termiņus sākotnējam paziņojumam un katram 19. panta 4. punktā minētajam ziņojumam; |
| --- | --- |

ii)

nosaka termiņus sākotnējam paziņojumam un katram 19. panta 4. punktā minētajam ziņojumam;

| iii) | nosaka par būtiskiem kiberdraudiem veikto paziņojumu saturu. |
| --- | --- |

iii)

nosaka par būtiskiem kiberdraudiem veikto paziņojumu saturu.

Izstrādājot minētos regulatīvo tehnisko standartu projektus, EUI ņem vērā finanšu vienības lielumu, tās pakalpojumu, darbību un operāciju veidu, apmēru un sarežģītību, kā arī tās vispārējo riska profilu, un jo īpaši nolūkā nodrošināt, ka šīs daļas a) punkta ii) apakšpunkta vajadzībām dažādi termiņi attiecīgā gadījumā varētu atspoguļot finanšu nozaru īpatnības, neskarot vienotas pieejas uzturēšanu ar IKT saistīto incidentu paziņošanai, ievērojot šo regulu un Direktīvu (ES) 2022/2555 EUI attiecīgā gadījumā sniedz pamatojumu, ja notiek novirzīšanās no pieejām, kas ieņemtas minētās direktīvas kontekstā;

| b) | kopējo īstenošanas tehnisko standartu projektus, ar ko nosaka standarta veidlapas, veidnes un procedūras, kā finanšu vienības ziņo par būtisku ar IKT saistītu incidentu un kā paziņo būtisku kiberdraudu. |
| --- | --- |

b)

kopējo īstenošanas tehnisko standartu projektus, ar ko nosaka standarta veidlapas, veidnes un procedūras, kā finanšu vienības ziņo par būtisku ar IKT saistītu incidentu un kā paziņo būtisku kiberdraudu.

EUI iesniedz Komisijai pirmās daļas a) punktā minēto kopējo regulatīvo tehnisko standartu projektus un pirmās daļas b) punktā minēto kopējo īstenošanas tehnisko standartu projektus līdz 2024. gada 17. jūlijam.

Komisijai tiek deleģētas pilnvaras papildināt šo regulu, pieņemot pirmās daļas a) punktā minētos kopējos regulatīvos tehniskos standartus saskaņā ar 10.–14. pantu Regulās (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 un (ES) Nr. 1095/2010.

Komisijai tiek deleģētas pilnvaras pieņemt pirmās daļas b) punktā minētos kopējos īstenošanas tehniskos standartus saskaņā ar 15. pantu Regulās (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 un (ES) Nr. 1095/2010.

21. pants

Centralizēta ziņošana par būtiskiem ar IKT saistītiem incidentiem

1.   EUI ar Apvienotās komitejas starpniecību un apspriežoties ar ECB un ENISA, sagatavo kopīgu ziņojumu, kurā izvērtē iespēju turpināt centralizēt ziņošanu par incidentiem, izveidojot vienotu ES centrmezglu finanšu vienību ziņojumiem par būtiskiem ar IKT saistītiem incidentiem. Kopīgajā ziņojumā aplūko veidus, kā atvieglot ar IKT saistītu incidentu paziņošanas plūsmu, samazināt ar to saistītās izmaksas un izmantot tematiskās analīzes, lai uzlabotu uzraudzības konverģenci.

2.   Šā panta 1. punktā minētajā kopīgajā ziņojumā ir vismaz šādi elementi:

| a) | priekšnoteikumi šāda vienota ES centrmezgla izveidei; |
| --- | --- |

a)

priekšnoteikumi šāda vienota ES centrmezgla izveidei;

| b) | ieguvumi, ierobežojumi un riski, tostarp riski, kas saistīti ar augstu sensitīvas informācijas koncentrāciju; |
| --- | --- |

b)

ieguvumi, ierobežojumi un riski, tostarp riski, kas saistīti ar augstu sensitīvas informācijas koncentrāciju;

| c) | spēja, kas nepieciešama, lai nodrošinātu sadarbspēju salīdzinājumā ar citām attiecīgajām ziņošanas shēmām; |
| --- | --- |

c)

spēja, kas nepieciešama, lai nodrošinātu sadarbspēju salīdzinājumā ar citām attiecīgajām ziņošanas shēmām;

| d) | darbības vadības elementi; |
| --- | --- |

d)

darbības vadības elementi;

| e) | dalības nosacījumi; |
| --- | --- |

e)

dalības nosacījumi;

| f) | tehniskā kārtība, kādā finanšu vienības un valstu kompetentās iestādes var piekļūt vienotajam ES centrmezglam; |
| --- | --- |

f)

tehniskā kārtība, kādā finanšu vienības un valstu kompetentās iestādes var piekļūt vienotajam ES centrmezglam;

| g) | provizorisks novērtējums par finansiālajām izmaksām, kas radušās ar vienotā ES centrmezgla atbalsta darbības platformas izveidi, tostarp tai vajadzīgajām speciālām zināšanām. |
| --- | --- |

g)

provizorisks novērtējums par finansiālajām izmaksām, kas radušās ar vienotā ES centrmezgla atbalsta darbības platformas izveidi, tostarp tai vajadzīgajām speciālām zināšanām.

3.   EUI iesniedz 1. punktā minēto ziņojumu Eiropas Parlamentam, Padomei un Komisijai līdz 2025. gada 17. janvārim.

22. pants

Uzraudzības atgriezeniskā saite

1.   Neskarot tehnisko informāciju, konsultācijas vai tiesiskās aizsardzības līdzekļus un turpmākos pasākumus, ko CSIRT attiecīgā gadījumā var īstenot saskaņā ar valsts tiesību aktiem, ievērojot Direktīvu (ES) 2022/2555, kompetentā iestāde, saņemot sākotnējo paziņojumu un katru ziņojumu, kā minēts 19. panta 4. punktā, apstiprina paziņojuma saņemšanu un var, ja iespējams, savlaicīgi sniegt relevantu un samērīgu atgriezenisko saiti vai augsta līmeņa norādījumus finanšu vienībai, jo īpaši, darot pieejamu jebkādu attiecīgu anonimizētu informāciju un izlūkdatus par līdzīgiem draudiem, un var apspriest tiesiskās aizsardzības līdzekļus, kas piemēroti finanšu vienības līmenī, un veidus, kā pēc iespējas samazināt un mīkstināt nelabvēlīgo ietekmi visā finanšu nozarē. Neskarot saņemto uzraudzības atgriezenisko saiti, finanšu vienības ir pilnībā atbildīgas par tādu ar IKT saistītu incidentu apstrādi, par kuriem ziņots, ievērojot 19. panta 1. punktu, un par šādu incidentu sekām.

2.   EUI ar Apvienotās komitejas starpniecību katru gadu sniedz anonimizētu un apkopotu informāciju par būtiskiem ar IKT saistītiem incidentiem, par kuriem saskaņā ar 19. panta 6. punktu sīkas ziņas sniedz kompetentās iestādes, izklāstot vismaz būtisko ar IKT saistīto incidentu skaitu, to būtību un to ietekmi uz finanšu vienību vai klientu darbību, veiktos korektīvos pasākumus un radušās izmaksas.

EUI izdod brīdinājumus un sagatavo augsta līmeņa statistiku, lai atbalstītu IKT apdraudējumu un ievainojamības novērtējumus.

23. pants

Ar maksājumiem saistīti darbības vai drošības incidenti, kas attiecas uz kredītiestādēm, maksājumu iestādēm, konta informācijas pakalpojumu sniedzējiem un elektroniskās naudas iestādēm

Šajā nodaļā paredzētās prasības piemēro arī ar maksājumiem saistītiem darbības vai drošības incidentiem un būtiskiem ar maksājumiem saistītiem darbības vai drošības incidentiem, ja tie attiecas uz kredītiestādēm, maksājumu iestādēm, konta informācijas pakalpojumu sniedzējiem un elektroniskās naudas iestādēm.

IV NODAĻA

Digitālās darbības noturības testēšana

24. pants

Vispārējās prasības digitālās darbības noturības testu veikšanai

1.   Lai novērtētu gatavību apstrādāt ar IKT saistītus incidentus, identificēt vājās vietas, trūkumus un nepilnības digitālās darbības noturībā un nekavējoties īstenot korektīvos pasākumus, finanšu vienības, kas nav mikrouzņēmumi, ņemot vērā 4. panta 2. punktā izklāstītos kritērijus, izveido, uztur un pārskata stabilu un visaptverošu digitālās darbības noturības testēšanas programmu kā 6. pantā minētās IKT riska pārvaldības sistēmas neatņemamu daļu.

2.   Digitālās darbības noturības testēšanas programma ietver virkni novērtējumu, testu, metožu, prakšu un rīku, ko piemēro saskaņā ar 25. un 26. pantu.

3.   Veicot šā panta 1. punktā minēto digitālās darbības noturības testēšanas programmu, finanšu vienības, kas nav mikrouzņēmumi, ievēro uz risku balstītu pieeju, ņemot vērā 4. panta 2. punktā izklāstītos kritērijus, pienācīgi ņemot vērā IKT riska mainīgo ainu, jebkādus īpašus riskus, kuriem attiecīgā finanšu vienība ir vai varētu būt pakļauta, informācijas aktīvu un sniegto pakalpojumu kritisko svarīgumu, kā arī jebkuru citu faktoru, ko finanšu vienība uzskata par nozīmīgu.

4.   Finanšu vienības, kas nav mikrouzņēmumi, nodrošina, ka testēšanu veic neatkarīgas personas, kas var būt iekšējas vai ārējas. Ja testus veic iekšējais testētājs, finanšu vienības šā uzdevuma veikšanai piešķir pietiekamus resursus un nodrošina, ka visā testa izstrādes un izpildes laikā netiek pieļauti interešu konflikti.

5.   Finanšu vienības, kas nav mikrouzņēmumi, izveido procedūras un politikas pasākumus, lai noteiktu par prioritārām, klasificētu un novērstu visas problēmas, kuru pastāvēšana ir atklāta visā testu veikšanas procesā, un izveido iekšējās validēšanas metodiku, lai pārliecinātos, ka visas konstatētās vājās vietas, trūkumi vai nepilnības ir pilnībā novērsti.

6.   Finanšu vienības, kas nav mikrouzņēmumi, nodrošina, ka vismaz reizi gadā pienācīgi tiek testētas visas IKT sistēmas un lietojumprogrammas, kas atbalsta kritiski svarīgas vai svarīgas funkcijas.

25. pants

IKT rīku un sistēmu testēšana

1.   Regulas 24. pantā minētā digitālās darbības noturības testēšanas programma saskaņā ar 4. panta 2. punktā izklāstītajiem kritērijiem paredz tādu atbilstīgu testu veikšanu kā, piemēram, ievainojamības novērtējumi un skenēšana, atklātā pirmkoda analīze, tīkla drošības novērtējumi, nepilnību analīze, fiziskās drošības pārbaudes, anketas un skenēšanas programmatūras risinājumi, pirmkodu pārskatīšanas, ja iespējams, uz scenārijiem balstīti testi, saderības testēšana, veiktspējas testēšana, pilnīga testēšana (“no gala līdz galam”) un ielaušanās testēšana.

2.   Centrālie vērtspapīru depozitāriji un centrālie darījumu partneri veic ievainojamības novērtējumu, pirms tiek ieviestas vai atkārtoti ieviestas jaunas vai esošas lietojumprogrammas un infrastruktūras komponenti, un IKT pakalpojumi, kas atbalsta finanšu vienības kritiski svarīgas vai svarīgas funkcijas.

3.   Mikrouzņēmumi 1. punktā minētos testus veic, uz risku balstītu pieeju kombinējot ar IKT testēšanas stratēģisko plānošanu, pienācīgi ņemot vērā nepieciešamību saglabāt līdzsvarotu pieeju starp resursu mērogu un laiku, kas jāpiešķir šajā pantā paredzētajai IKT testēšanai, no vienas puses, un steidzamību, riska veidu, informācijas aktīvu un sniegto pakalpojumu kritisko svarīgumu, kā arī jebkādus citus relevantus faktorus, cita starpā finanšu vienības spēju uzņemties aprēķinātu risku, no otras puses.

26. pants

IKT rīku, sistēmu un procesu padziļināta testēšana, balstoties uz DVIT

1.   Finanšu vienības, kas nav 16. panta 1. punkta pirmajā daļā minētās vienības un kas nav mikrouzņēmumi, kuri ir identificēti saskaņā ar šā panta 8. punkta trešo daļu, vismaz reizi trijos gados veic padziļinātu testēšanu, izmantojot DVIT. Pamatojoties uz finanšu vienības riska profilu un ņemot vērā operacionālos apstākļus, kompetentā iestāde vajadzības gadījumā var pieprasīt finanšu vienībai samazināt vai palielināt šo biežumu.

2.   Katrs draudu vadīts ielaušanās tests aptver vairākas vai visas finanšu vienības kritiski svarīgās vai svarīgās funkcijas, un to veic aktīvā izstrādes sistēmā, kas atbalsta šīs funkcijas.

Finanšu vienības identificē visas attiecīgās pamatā esošās IKT sistēmas, procesus un tehnoloģijas, kas atbalsta kritiski svarīgas vai svarīgas funkcijas un IKT pakalpojumus, tostarp tos, kas atbalsta kritiski svarīgas vai svarīgas funkcijas, kas nodotas ārpakalpojumā vai par ko noslēgts līgums ar trešām personām, kas sniedz IKT pakalpojumus.

Finanšu vienības novērtē, kuras kritiski svarīgās vai svarīgās funkcijas ir jāiekļauj DVIT. Šā novērtējuma rezultāts nosaka precīzu DVIT jomu, un to validē kompetentās iestādes.

3.   Ja DVIT joma aptver trešās personas, kas sniedz IKT pakalpojumus, finanšu vienība veic nepieciešamos pasākumus un aizsardzības pasākumus, lai nodrošinātu šādu trešo personu, kas sniedz IKT pakalpojumus, dalību DVIT, un nepārtraukti saglabā pilnīgu atbildību par to, lai tiktu nodrošināta atbilstība šai regulai.

4.   Neskarot 2. punkta pirmo un otro daļu, – ja ir pamatoti sagaidāms, ka trešās personas, kas sniedz IKT pakalpojumus, 3. punktā minētajai dalībai DVIT būs nelabvēlīga ietekme uz to pakalpojumu kvalitāti vai drošību, kurus trešā persona, kas sniedz IKT pakalpojumus, sniedz klientiem, kas ir vienības, kuras neietilpst šīs regulas darbības jomā, vai uz to datu konfidencialitāti, kas saistīti ar šādiem pakalpojumiem, finanšu vienība un trešā persona, kas sniedz IKT pakalpojumus, var rakstiski vienoties par to, ka trešā persona, kas sniedz IKT pakalpojumus, tieši noslēdz līgumiskas vienošanās ar ārēju testētāju, lai vienas izraudzītas finanšu vienības vadībā veiktu apvienotu DVIT, kurā iesaistītas vairākas finanšu vienības (apvienotā testēšana), kurām trešā persona, kas sniedz IKT pakalpojumus, sniedz IKT pakalpojumus.

Minētā apvienotā testēšana aptver attiecīgo IKT pakalpojumu klāstu, ar kuriem atbalsta kritiski svarīgās vai svarīgās funkcijas, par kurām finanšu vienības ir noslēgušas līgumu ar attiecīgo trešo personu, kas sniedz IKT pakalpojumus. Apvienoto testēšanu uzskata par DVIT, ko veic finanšu vienības, kuras piedalās apvienotajā testēšanā.

To finanšu vienību skaitu, kas piedalās apvienotajā testēšanā, pienācīgi kalibrē, ņemot vērā iesaistīto pakalpojumu sarežģītību un veidus.

5.   Finanšu vienības, sadarbojoties ar trešām personām, kas sniedz IKT pakalpojumus, un citām iesaistītajām pusēm, tostarp testētājiem, bet ne kompetentajām iestādēm, piemēro efektīvu riska pārvaldības kontroli, lai mazinātu riskus, ka varētu tikt ietekmēti pašas finanšu vienības, tās darījumu partneru vai finanšu nozares dati, bojāti aktīvi un traucētas kritiski svarīgas vai svarīgas funkcijas, pakalpojumi vai darbības.

6.   Pēc testa beigām, kad apstiprināti ziņojumi un sanācijas plāni, finanšu vienība un attiecīgā gadījumā ārējie testētāji iesniedz iestādei, kas izraudzīta saskaņā ar 9. vai 10. punktu, attiecīgo konstatējumu kopsavilkumu, sanācijas plānus un dokumentus, kas apliecina, ka DVIT ir veikta atbilstīgi prasībām.

7.   Iestādes finanšu vienībām sniedz apliecinājumu, kas apstiprina, ka tests tika veikts saskaņā ar prasībām, kā apliecināts dokumentos, lai starp kompetentajām iestādēm būtu iespējama draudu vadītu ielaušanās testu savstarpēja atzīšana. Finanšu vienība paziņo attiecīgajai kompetentajai iestādei par apliecinājumu, attiecīgo konstatējumu kopsavilkumu un sanācijas plānus.

Neskarot šādu apliecinājumu, finanšu vienības nepārtraukti ir pilnībā atbildīgas par 4. punktā minēto testu ietekmi.

8.   Finanšu vienības slēdz līgumus ar testētājiem, lai veiktu DVIT saskaņā ar 27. pantu. Ja finanšu vienības DVIT veikšanas nolūkā izmanto iekšējos testētājus, tās katra trešā testa veikšanai slēdz līgumu ar ārēju testētāju.

Kredītiestādes, kas saskaņā ar Regulas (ES) Nr. 1024/2013 6. panta 4. punktu ir klasificētas kā nozīmīgas, saskaņā ar 27. panta 1. punkta a)–e) apakšpunktu izmanto tikai ārējos testētājus.

Kompetentās iestādes identificē finanšu vienības, kam ir pienākums veikt DVIT, ņemot vērā 4. panta 2. punktā izklāstītos kritērijus, pamatojoties uz šādu faktoru izvērtējumu:

| a) | ar ietekmi saistīti faktori, jo īpaši tas, kādā mērā finanšu vienības sniegtie pakalpojumi un veiktās darbības ietekmē finanšu nozari; |
| --- | --- |

a)

ar ietekmi saistīti faktori, jo īpaši tas, kādā mērā finanšu vienības sniegtie pakalpojumi un veiktās darbības ietekmē finanšu nozari;

| b) | iespējamās bažas par finanšu stabilitāti, tostarp finanšu vienības sistēmiskumu Savienības vai – attiecīgā gadījumā – valsts līmenī; |
| --- | --- |

b)

iespējamās bažas par finanšu stabilitāti, tostarp finanšu vienības sistēmiskumu Savienības vai – attiecīgā gadījumā – valsts līmenī;

| c) | finanšu vienības konkrētais IKT riska profils, IKT gatavības līmenis vai iesaistītās tehnoloģijas īpašības. |
| --- | --- |

c)

finanšu vienības konkrētais IKT riska profils, IKT gatavības līmenis vai iesaistītās tehnoloģijas īpašības.

9.   Dalībvalstis finanšu nozarē var izraudzīties vienotu publisku iestādi, lai tā valsts līmenī būtu atbildīga par jautājumiem, kuri saistīti ar DVIT finanšu nozarē, un šajā nolūkā tai uztic visas kompetences un uzdevumus.

10.   Ja nav notikusi izraudzīšanās saskaņā ar šā panta 9. punktu un neskarot pilnvaras identificēt finanšu vienības, kam prasīts veikt DVIT, kompetentā iestāde dažu vai visu šajā pantā un 27. pantā minēto uzdevumu izpildi var deleģēt citai valsts iestādei finanšu nozarē.

11.   EUI, vienojoties ar ECB, izstrādā kopēju regulatīvo tehnisko standartu projektu saskaņā ar TIBER–EU sistēmu, lai sīkāk precizētu:

| a) | 8. punkta otrās daļas piemērošanas vajadzībām izmantotos kritērijus; |
| --- | --- |

a)

8. punkta otrās daļas piemērošanas vajadzībām izmantotos kritērijus;

| b) | prasības un standartus, kas reglamentē iekšējo testētāju izmantošanu; |
| --- | --- |

b)

prasības un standartus, kas reglamentē iekšējo testētāju izmantošanu;

| c) | prasības attiecībā uz:






  i) | šā panta 2. punktā minēto DVIT darbības jomu; |
| --- | --- | --- |

c)

prasības attiecībā uz:

i)

šā panta 2. punktā minēto DVIT darbības jomu;

| ii) | testēšanas metodiku un pieeju, ko ievēro katrā testēšanas procesa konkrētajā posmā; |
| --- | --- |

ii)

testēšanas metodiku un pieeju, ko ievēro katrā testēšanas procesa konkrētajā posmā;

| iii) | testēšanas rezultātu, slēgšanas un kļūdu novēršanas posmus; |
| --- | --- |

iii)

testēšanas rezultātu, slēgšanas un kļūdu novēršanas posmus;

| d) | tādas uzraudzības un citas attiecīgas sadarbības veidu, kas vajadzīga, lai īstenotu DVIT un veicinātu minētās testēšanas savstarpēju atzīšanu saistībā ar finanšu vienībām, kas darbojas vairāk nekā vienā dalībvalstī, lai nodrošinātu pienācīgu uzraudzības iesaisti un elastīgu īstenošanu nolūkā ņemt vērā finanšu apakšnozaru vai vietējo finanšu tirgu īpatnības. |
| --- | --- |

d)

tādas uzraudzības un citas attiecīgas sadarbības veidu, kas vajadzīga, lai īstenotu DVIT un veicinātu minētās testēšanas savstarpēju atzīšanu saistībā ar finanšu vienībām, kas darbojas vairāk nekā vienā dalībvalstī, lai nodrošinātu pienācīgu uzraudzības iesaisti un elastīgu īstenošanu nolūkā ņemt vērā finanšu apakšnozaru vai vietējo finanšu tirgu īpatnības.

Izstrādājot minēto regulatīvo tehnisko standartu projektus, EUI pienācīgi ņem vērā visas īpašās iezīmes, kas izriet no darbību atšķirīgā rakstura dažādās finanšu pakalpojumu nozarēs.

Minētos regulatīvo tehnisko standartu projektus EUI iesniedz Komisijai līdz 2024. gada 17. jūlijam.

Komisijai tiek deleģētas pilnvaras papildināt šo regulu, pieņemot pirmajā daļā minētos regulatīvos tehniskos standartus saskaņā ar 10.–14. pantu Regulās (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 un (ES) Nr. 1095/2010.

27. pants

Prasības testētājiem attiecībā uz DVIT veikšanu

1.   Finanšu vienības DVIT veikšanai izmanto tikai testētājus:

| a) | kam ir visaugstākā piemērotība un reputācija; |
| --- | --- |

a)

kam ir visaugstākā piemērotība un reputācija;

| b) | kam ir tehniskās un organizēšanas spējas un kuri ir apliecinājuši, ka tiem ir īpaša zinātība par draudu izlūkdatiem, ielaušanās testēšanu un sarkanās komandas testēšanu; |
| --- | --- |

b)

kam ir tehniskās un organizēšanas spējas un kuri ir apliecinājuši, ka tiem ir īpaša zinātība par draudu izlūkdatiem, ielaušanās testēšanu un sarkanās komandas testēšanu;

| c) | ko ir sertificējusi dalībvalsts akreditācijas struktūra vai kas ievēro oficiālus rīcības kodeksus vai ētikas regulējumu; |
| --- | --- |

c)

ko ir sertificējusi dalībvalsts akreditācijas struktūra vai kas ievēro oficiālus rīcības kodeksus vai ētikas regulējumu;

| d) | kas sniedz neatkarīgu apliecinājumu vai revīzijas ziņojumu saistībā ar tādu risku stabilu pārvaldību, kas ir saistīti ar DVIT veikšanu, tostarp finanšu vienības konfidenciālās informācijas pienācīgu aizsardzību un finanšu vienības uzņēmējdarbības risku atlīdzināšanu; |
| --- | --- |

d)

kas sniedz neatkarīgu apliecinājumu vai revīzijas ziņojumu saistībā ar tādu risku stabilu pārvaldību, kas ir saistīti ar DVIT veikšanu, tostarp finanšu vienības konfidenciālās informācijas pienācīgu aizsardzību un finanšu vienības uzņēmējdarbības risku atlīdzināšanu;

| e) | kam ir pienācīgs un pilnīgs attiecīgas profesionālās apdrošināšanas segums, tostarp pret ļaunprātīgas rīcības un nolaidības riskiem. |
| --- | --- |

e)

kam ir pienācīgs un pilnīgs attiecīgas profesionālās apdrošināšanas segums, tostarp pret ļaunprātīgas rīcības un nolaidības riskiem.

2.   Izmantojot iekšējos testētājus, finanšu iestādes nodrošina, ka papildus 1. punkta prasībām, tiek izpildīti šādi nosacījumi:

| a) | šādu izmantošanu ir apstiprinājusi attiecīgā kompetentā iestāde vai vienotā publiskā iestāde, kas izraudzīta saskaņā ar 26. panta 9. un 10. punktu; |
| --- | --- |

a)

šādu izmantošanu ir apstiprinājusi attiecīgā kompetentā iestāde vai vienotā publiskā iestāde, kas izraudzīta saskaņā ar 26. panta 9. un 10. punktu;

| b) | attiecīgā kompetentā iestāde ir pārbaudījusi, ka finanšu vienībai ir pietiekami atvēlēti resursi, un nodrošinājusi, ka visā testa izstrādes un izpildes laikā netiek pieļauti interešu konflikti; un |
| --- | --- |

b)

attiecīgā kompetentā iestāde ir pārbaudījusi, ka finanšu vienībai ir pietiekami atvēlēti resursi, un nodrošinājusi, ka visā testa izstrādes un izpildes laikā netiek pieļauti interešu konflikti; un

| c) | draudu izlūkdatu sniedzējs ir ar finanšu vienību nesaistīts. |
| --- | --- |

c)

draudu izlūkdatu sniedzējs ir ar finanšu vienību nesaistīts.

3.   Finanšu vienības nodrošina, ka ar ārējiem testētājiem noslēgtajos līgumos ir obligāti noteikts stabili pārvaldīt DVIT rezultātus un ka jebkāda datu apstrāde, tostarp izveidošana, glabāšana, apkopošana, izstrāde, ziņošana, paziņošana vai iznīcināšana, nerada riskus finanšu vienībai.

V NODAĻA

Ar trešo personu saistīta IKT riska pārvaldība

I iedaļa

Ar trešo personu saistīta IKT riska stabilas pārvaldības pamatprincipi

28. pants

Vispārējie principi

1.   Finanšu vienības savās IKT riska pārvaldības sistēmās, kā minēts 6. panta 1. punktā, pārvalda ar trešo personu saistīto IKT risku kā IKT riska neatņemamu daļu saskaņā ar turpmāk izklāstītajiem principiem:

| a) | finanšu vienības, kurām ir līgumiskas vienošanās par IKT pakalpojumu izmantošanu savas uzņēmējdarbības veikšanai, nepārtraukti ir pilnībā atbildīgas par visu šajā regulā un piemērojamos finanšu pakalpojumu tiesību aktos noteikto saistību ievērošanu un izpildi; |
| --- | --- |

a)

finanšu vienības, kurām ir līgumiskas vienošanās par IKT pakalpojumu izmantošanu savas uzņēmējdarbības veikšanai, nepārtraukti ir pilnībā atbildīgas par visu šajā regulā un piemērojamos finanšu pakalpojumu tiesību aktos noteikto saistību ievērošanu un izpildi;

| b) | finanšu vienības īsteno ar trešo personu saistītā IKT riska pārvaldību saskaņā ar proporcionalitātes principu, ņemot vērā:






  i) | ar IKT saistītu atkarību veidu, apmēru, sarežģītību un svarīgumu; |
| --- | --- | --- |

b)

finanšu vienības īsteno ar trešo personu saistītā IKT riska pārvaldību saskaņā ar proporcionalitātes principu, ņemot vērā:

i)

ar IKT saistītu atkarību veidu, apmēru, sarežģītību un svarīgumu;

| ii) | riskus, kuri rodas no tādas līgumiskas vienošanās par IKT pakalpojumu sniegšanu, kas noslēgta ar trešām personām, kas sniedz IKT pakalpojumus, ņemot vērā attiecīgā pakalpojuma, procesa vai funkcijas kritisko svarīgumu vai svarīgumu un iespējamo ietekmi uz finanšu pakalpojumu un darbību nepārtrauktību un pieejamību individuālā un grupas līmenī. |
| --- | --- |

ii)

riskus, kuri rodas no tādas līgumiskas vienošanās par IKT pakalpojumu sniegšanu, kas noslēgta ar trešām personām, kas sniedz IKT pakalpojumus, ņemot vērā attiecīgā pakalpojuma, procesa vai funkcijas kritisko svarīgumu vai svarīgumu un iespējamo ietekmi uz finanšu pakalpojumu un darbību nepārtrauktību un pieejamību individuālā un grupas līmenī.

2.   Finanšu vienības, kas nav 16. panta 1. punkta pirmajā daļā minētās vienības un kas nav mikrouzņēmumi, kā daļu no savas IKT riska pārvaldības sistēmas pieņem un regulāri pārskata ar trešo personu saistītā IKT riska stratēģiju, attiecīgā gadījumā ņemot vērā 6. panta 9. punktā minēto vairāku piegādātāju stratēģiju. Ar trešo personu saistītā IKT riska stratēģijā ietver rīcībpolitiku par tādu IKT pakalpojumu izmantošanu, ar kuriem atbalsta kritiski svarīgas vai svarīgas funkcijas, ko nodrošina trešās personas, kas sniedz IKT pakalpojumus, un to piemēro individuāli un attiecīgā gadījumā subkonsolidēti un konsolidēti. Vadības struktūra, pamatojoties uz finanšu vienības vispārējā riska profila un uzņēmējdarbības pakalpojumu apmēra un sarežģītības novērtējumu, regulāri pārskata apzinātos riskus attiecībā uz līgumiskajām vienošanām par tādu IKT pakalpojumu izmantošanu, ar kuriem atbalsta kritiski svarīgas vai svarīgas funkcijas.

3.   Finanšu vienības IKT riska pārvaldības sistēmas ietvaros vienības līmenī, kā arī subkonsolidētajā un konsolidētajā līmenī uztur un atjaunina informācijas reģistru saistībā ar katru līgumisku vienošanos par izmantotajiem IKT pakalpojumiem, ko sniedz trešās personas.

Pirmajā daļā minētās līgumiskās vienošanās attiecīgi dokumentē, nošķirot tās, kas attiecas uz IKT pakalpojumiem, ar ko atbalsta kritiski svarīgas vai svarīgas funkcijas, no tām, kas uz tiem neattiecas.

Finanšu vienības vismaz reizi gadā ziņo kompetentajām iestādēm par jaunu vienošanos skaitu attiecībā uz IKT pakalpojumu izmantošanu, trešo personu, kas sniedz IKT pakalpojumus, kategorijām, līgumisku vienošanos veidiem un nodrošinātajiem IKT pakalpojumiem un funkcijām.

Finanšu vienības dara kompetentajai iestādei pieejamu pilno informācijas reģistru vai konkrētas tā daļas pēc tās pieprasījuma, kā arī jebkādu informāciju, ko uzskata par nepieciešamu finanšu vienības efektīvas uzraudzības nodrošināšanai.

Finanšu vienības laikus informē kompetento iestādi par visām plānotajām līgumiskajām vienošanām par tādu IKT pakalpojumu izmantošanu, ar kuriem atbalsta kritiski svarīgas vai svarīgas funkcijas, kā arī par to, ka funkcija ir kļuvusi par kritiski svarīgu vai svarīgu.

4.   Finanšu vienības, pirms tās noslēdz līgumisku vienošanos par IKT pakalpojumu izmantošanu:

| a) | novērtē, vai līgumiskā vienošanās attiecas uz tādu IKT pakalpojumu izmantošanu, ar kuriem atbalsta kritiski svarīgu vai svarīgu funkciju; |
| --- | --- |

a)

novērtē, vai līgumiskā vienošanās attiecas uz tādu IKT pakalpojumu izmantošanu, ar kuriem atbalsta kritiski svarīgu vai svarīgu funkciju;

| b) | novērtē, vai ir izpildīti uzraudzības nosacījumi līguma slēgšanai; |
| --- | --- |

b)

novērtē, vai ir izpildīti uzraudzības nosacījumi līguma slēgšanai;

| c) | identificē un novērtē visus būtiskos riskus saistībā ar līgumisko vienošanos, tostarp iespēju, ka šāda līgumiska vienošanās var sekmēt IKT koncentrācijas riska palielināšanos, kā minēts 29. pantā; |
| --- | --- |

c)

identificē un novērtē visus būtiskos riskus saistībā ar līgumisko vienošanos, tostarp iespēju, ka šāda līgumiska vienošanās var sekmēt IKT koncentrācijas riska palielināšanos, kā minēts 29. pantā;

| d) | ar visu pienācīgo rūpību pārbauda iespējamās trešās personas, kas sniedz IKT pakalpojumus, un visos atlases un novērtēšanas procesos nodrošina, ka trešā persona, kas sniedz IKT pakalpojumus, ir piemērota; |
| --- | --- |

d)

ar visu pienācīgo rūpību pārbauda iespējamās trešās personas, kas sniedz IKT pakalpojumus, un visos atlases un novērtēšanas procesos nodrošina, ka trešā persona, kas sniedz IKT pakalpojumus, ir piemērota;

| e) | identificē un novērtē interešu konfliktus, ko var izraisīt līgumiskā vienošanās. |
| --- | --- |

e)

identificē un novērtē interešu konfliktus, ko var izraisīt līgumiskā vienošanās.

5.   Līgumiskas vienošanās ar trešām personām, kas sniedz IKT pakalpojumus, finanšu vienības var slēgt tikai tad, ja attiecīgo trešo personu darbība atbilst attiecīgiem informācijas drošības standartiem. Kad minētās līgumiskās vienošanās attiecas uz kritiski svarīgām vai svarīgām funkcijām, finanšu vienības pirms vienošanos noslēgšanas pienācīgi ņem vērā to, kā trešās personas, kas sniedz IKT pakalpojumus, izmanto visjaunākos un kvalitatīvākos informācijas drošības standartus.

6.   Īstenojot piekļuves, pārbaudes un revīzijas tiesības attiecībā uz trešo personu, kas sniedz IKT pakalpojumus, finanšu vienības, pamatojoties uz risku balstītu pieeju, iepriekš nosaka revīziju un pārbaužu biežumu un revidējamās jomas, ievērojot vispārpieņemtus revīzijas standartus un atbilstīgi uzraudzības norādījumiem par šādu revīzijas standartu izmantošanu un iestrādāšanu.

Ja līgumiskas vienošanās, kas noslēgtas ar trešām personām, kas sniedz IKT pakalpojumus, par IKT pakalpojumu izmantošanu rada lielu tehnisku sarežģītību, finanšu vienība pārbauda, vai revidentiem – gan iekšējiem, gan ārējiem revidentiem, vai revidentu grupai – ir atbilstīgas prasmes un zināšanas, lai efektīvi veiktu attiecīgās revīzijas un novērtējumus.

7.   Finanšu vienības nodrošina, ka līgumiskas vienošanās par IKT pakalpojumu izmantošanu var izbeigt jebkurā no šādiem gadījumiem:

| a) | trešā persona, kas sniedz IKT pakalpojumus, būtiski pārkāpj piemērojamos tiesību aktus, noteikumus vai līguma noteikumus; |
| --- | --- |

a)

trešā persona, kas sniedz IKT pakalpojumus, būtiski pārkāpj piemērojamos tiesību aktus, noteikumus vai līguma noteikumus;

| b) | pastāv apstākļi, kuri identificēti visā ar trešo personu saistītā riska pārraudzībā un kurus uzskata par tādiem, kas var mainīt ar līgumisko vienošanos sniegto funkciju izpildi, tostarp būtiskas izmaiņas, kas ietekmē trešās personas, kas sniedz IKT pakalpojumus, struktūru vai situāciju; |
| --- | --- |

b)

pastāv apstākļi, kuri identificēti visā ar trešo personu saistītā riska pārraudzībā un kurus uzskata par tādiem, kas var mainīt ar līgumisko vienošanos sniegto funkciju izpildi, tostarp būtiskas izmaiņas, kas ietekmē trešās personas, kas sniedz IKT pakalpojumus, struktūru vai situāciju;

| c) | pastāv trešās personas, kas sniedz IKT pakalpojumus, pierādītas nepilnības attiecībā uz tās vispārējā IKT riska pārvaldību un jo īpaši attiecībā uz veidu, kādā tas nodrošina datu – gan personas, gan citādi sensitīvu datu, gan datu, kas nav personas dati – pieejamību, autentiskumu, integritāti un konfidenciālitāti; |
| --- | --- |

c)

pastāv trešās personas, kas sniedz IKT pakalpojumus, pierādītas nepilnības attiecībā uz tās vispārējā IKT riska pārvaldību un jo īpaši attiecībā uz veidu, kādā tas nodrošina datu – gan personas, gan citādi sensitīvu datu, gan datu, kas nav personas dati – pieejamību, autentiskumu, integritāti un konfidenciālitāti;

| d) | ja kompetentā iestāde vairs nevar efektīvi uzraudzīt finanšu vienību attiecīgās līgumiskās vienošanās nosacījumu rezultātā vai ar to saistītu apstākļu dēļ. |
| --- | --- |

d)

ja kompetentā iestāde vairs nevar efektīvi uzraudzīt finanšu vienību attiecīgās līgumiskās vienošanās nosacījumu rezultātā vai ar to saistītu apstākļu dēļ.

8.   Attiecībā uz IKT pakalpojumiem, ar kuriem atbalsta kritiski svarīgas vai svarīgas funkcijas, finanšu vienības ievieš atkāpšanās stratēģijas. Atkāpšanās stratēģijās ņem vērā riskus, kas var rasties trešo personu, kas sniedz IKT pakalpojumus, līmenī, jo īpaši to saistību iespējamu neizpildi, sniegto IKT pakalpojumu kvalitātes pasliktināšanos, jebkādus uzņēmējdarbības traucējumus IKT pakalpojumu neatbilstīgas vai nesekmīgas sniegšanas dēļ vai jebkādu būtisku risku, kas rodas saistībā ar attiecīgā IKT pakalpojuma pienācīgu un nepārtrauktu izvēršanu, vai līgumiskas vienošanās izbeigšanu ar trešām personām, kas sniedz IKT pakalpojumus, jebkuru no 7. punktā minēto apstākļu dēļ.

Finanšu vienības nodrošina, ka tās var atkāpties no līgumiskas vienošanās:

| a) | netraucējot to uzņēmējdarbībai; |
| --- | --- |

a)

netraucējot to uzņēmējdarbībai;

| b) | neierobežojot atbilstību regulatīvajām prasībām; |
| --- | --- |

b)

neierobežojot atbilstību regulatīvajām prasībām;

| c) | nekaitējot klientiem sniegto pakalpojumu nepārtrauktībai un kvalitātei. |
| --- | --- |

c)

nekaitējot klientiem sniegto pakalpojumu nepārtrauktībai un kvalitātei.

Atkāpšanās plāni ir visaptveroši, dokumentēti un saskaņā ar 4. panta 2. punktā noteiktajiem kritērijiem tiek pietiekami pārbaudīti un periodiski pārskatīti.

Finanšu vienības identificē alternatīvus risinājumus un izstrādā pārejas plānus, kas tām ļauj ar līgumu noteiktos IKT pakalpojumus un attiecīgos datus pārvietot no trešās personas, kas sniedz IKT pakalpojumus, un droši un vienoti nodot tos citiem pakalpojumu sniedzējiem vai atkārtoti iekļaut vienības iekšienē.

Finanšu vienības veic attiecīgus ārkārtas pasākumus, lai nodrošinātu darbības nepārtrauktību pirmajā daļā minēto apstākļu gadījumā.

9.   EUI ar Apvienotās komitejas starpniecību izstrādā īstenošanas tehnisko standartu projektus, lai izveidotu standarta veidnes 3. punktā minētā informācijas reģistra vajadzībām, tostarp informāciju, kas ir kopīga visām līgumiskajām vienošanām par IKT pakalpojumu izmantošanu. EUI iesniedz minētos īstenošanas tehnisko standartu projektus Komisijai līdz 2024. gada 17. janvārim.

Komisijai tiek deleģētas pilnvaras pieņemt pirmajā daļā minētos īstenošanas tehniskos standartus saskaņā ar 15. pantu Regulās (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 un (ES) Nr. 1095/2010.

10.   EUI ar Apvienotās komitejas starpniecību izstrādā regulatīvo tehnisko standartu projektus, lai sīkāk precizētu 2. punktā minētās rīcībpolitikas detalizēto saturu saistībā ar līgumisko vienošanos par tādu IKT pakalpojumu izmantošanu, ar kuriem atbalsta kritiski svarīgas vai svarīgas funkcijas, ko nodrošina trešās personas, kas sniedz IKT pakalpojumus.

Izstrādājot minēto regulatīvo tehnisko standartu projektus, EUI ņem vērā finanšu vienības lielumu un vispārējo riska profilu, kā arī tās pakalpojumu, darbību un darbību veidu, apmēru un sarežģītību. Minēto regulatīvo tehnisko standartu projektu EUI iesniedz Komisijai līdz 2024. gada 17. janvārim.

Komisijai tiek deleģētas pilnvaras papildināt šo regulu, pieņemot pirmajā daļā minētos regulatīvos tehniskos standartus saskaņā ar 10.–14. pantu Regulās (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 un (ES) Nr. 1095/2010.

29. pants

IKT koncentrācijas riska sākotnējais novērtējums

1.   Veicot 28. panta 4. punkta c) apakšpunktā minētā riska identificēšanu un novērtēšanu, finanšu vienības ņem vērā arī to, vai plānotā līgumiskas vienošanās noslēgšana par IKT pakalpojumiem, ar kuriem atbalsta kritiski svarīgas vai svarīgas funkcijas, radītu kādas no šādām sekām:

| a) | līguma noslēgšana ar trešo personu, kas sniedz IKT pakalpojumus un kas nav viegli aizstājama; vai |
| --- | --- |

a)

līguma noslēgšana ar trešo personu, kas sniedz IKT pakalpojumus un kas nav viegli aizstājama; vai

| b) | pastāvētu vairākas līgumiskas vienošanās attiecībā uz IKT pakalpojumu, ar kuriem atbalsta kritiski svarīgas vai svarīgas funkcijas, sniegšanu ar to pašu trešo personu, kas sniedz IKT pakalpojumus, vai ar cieši saistītām trešām personām, kas sniedz IKT pakalpojumus. |
| --- | --- |

b)

pastāvētu vairākas līgumiskas vienošanās attiecībā uz IKT pakalpojumu, ar kuriem atbalsta kritiski svarīgas vai svarīgas funkcijas, sniegšanu ar to pašu trešo personu, kas sniedz IKT pakalpojumus, vai ar cieši saistītām trešām personām, kas sniedz IKT pakalpojumus.

Finanšu vienības izvērtē izmaksas un ieguvumus no alternatīvu risinājumu izmantošanas, piemēram, dažādu trešo personu, kas sniedz IKT pakalpojumus, izmantošanas, ņemot vērā, vai un kā paredzētie risinājumi atbilst digitālās darbības noturības stratēģijā izklāstītajām uzņēmējdarbības vajadzībām un mērķiem.

2.   Ja līgumiskās vienošanās par IKT pakalpojumu, ar kuriem atbalsta kritiski svarīgas vai svarīgas funkcijas, izmantošanu ietver iespēju, ka trešā persona, kas sniedz IKT pakalpojumus, IKT pakalpojumus, ar kuriem atbalsta kritiski svarīgu vai svarīgu funkciju, nodod tālāk apakšuzņēmējiem – citām trešām personām, kas sniedz IKT pakalpojumus, finanšu vienības izvērtē ieguvumus un riskus, kas varētu rasties saistībā ar šādu nodošanu apakšuzņēmējiem, jo īpaši, ja IKT apakšuzņēmējs ir iedibināts trešā valstī.

Ja līgumiskas vienošanās attiecas uz IKT pakalpojumiem, ar kuriem atbalsta kritiski svarīgas vai svarīgas funkcijas, finanšu vienības pienācīgi ņem vērā maksātnespējas tiesību aktu noteikumus, ko piemērotu, ja trešā persona, kas sniedz IKT pakalpojumus, bankrotē, kā arī jebkādus ierobežojumus, kas varētu rasties saistībā ar finanšu vienības datu steidzamu atgūšanu.

Ja līgumisko vienošanos par IKT pakalpojumu, ar kuriem atbalsta kritiski svarīgas vai svarīgas funkcijas, izmantošanu slēdz ar trešo personu, kas sniedz IKT pakalpojumus un kas ir iedibināta trešā valstī, līdztekus pirmajā un otrajā daļā minētajiem apsvērumiem finanšu vienības apsver arī atbilstību Savienības datu aizsardzības noteikumiem un tiesību aktu efektīvu izpildi minētajā trešā valstī.

Ja līgumiskajās vienošanās par tādu IKT pakalpojumu izmantošanu, ar kuriem atbalsta kritiski svarīgas vai svarīgas funkcijas, paredz apakšuzņēmuma līgumu slēgšanu, finanšu vienības vērtē, vai un kā iespējamās garās vai sarežģītās apakšuzņēmēju ķēdes varētu ietekmēt to spēju pilnībā uzraudzīt ar līgumu nodotās funkcijas un kompetentās iestādes spēju šajā ziņā efektīvi uzraudzīt finanšu vienību.

30. pants

Svarīgākie līgumu noteikumi

1.   Finanšu vienības un trešās personas, kas sniedz IKT pakalpojumus, tiesības un pienākumus sadala skaidri un noformulē rakstiski. Pilns līgums ietver pakalpojuma līmeņa vienošanās, un to dokumentē vienā rakstiskā dokumentā, kas pusēm ir pieejams papīra formātā, vai dokumentā, kam ir cits lejupielādējams, noturīgs un piekļūstams formāts.

2.   Līgumiskas vienošanās par IKT pakalpojumu izmantošanu ietver vismaz šādus elementus:

| a) | skaidru un pilnīgu aprakstu par visām funkcijām un IKT pakalpojumiem, ko nodrošina trešā persona, kas sniedz IKT pakalpojumus, norādot, vai ir atļauts IKT pakalpojumu, ar ko atbalsta kritiski svarīgu vai svarīgu funkciju, vai būtiskas tā daļas nodot apakšuzņēmējam un, ja tā ir – nosacījumus, ko piemēro nodošanai apakšuzņēmējam; |
| --- | --- |

a)

skaidru un pilnīgu aprakstu par visām funkcijām un IKT pakalpojumiem, ko nodrošina trešā persona, kas sniedz IKT pakalpojumus, norādot, vai ir atļauts IKT pakalpojumu, ar ko atbalsta kritiski svarīgu vai svarīgu funkciju, vai būtiskas tā daļas nodot apakšuzņēmējam un, ja tā ir – nosacījumus, ko piemēro nodošanai apakšuzņēmējam;

| b) | ar līgumu vai apakšuzņēmuma līgumu nodoto funkciju un IKT pakalpojumu izpildes un datu apstrādes vietas, proti, reģioni vai valstis, tostarp to glabāšanas vietu, kā arī prasību trešai personai, kas sniedz IKT pakalpojumus, iepriekš paziņot finanšu vienībai, ja tā plāno šādas vietas mainīt; |
| --- | --- |

b)

ar līgumu vai apakšuzņēmuma līgumu nodoto funkciju un IKT pakalpojumu izpildes un datu apstrādes vietas, proti, reģioni vai valstis, tostarp to glabāšanas vietu, kā arī prasību trešai personai, kas sniedz IKT pakalpojumus, iepriekš paziņot finanšu vienībai, ja tā plāno šādas vietas mainīt;

| c) | noteikumus par pieejamību, autentiskumu, integritāti un konfidencialitāti, saistībā ar datu, tostarp personas datu, aizsardzību; |
| --- | --- |

c)

noteikumus par pieejamību, autentiskumu, integritāti un konfidencialitāti, saistībā ar datu, tostarp personas datu, aizsardzību;

| d) | noteikumus par to, kā nodrošināt piekļuvi finanšu vienības apstrādātajiem personas datiem un datiem, kas nav personas dati, to atgūšanu un atgriešanu viegli piekļūstamā formātā trešās personas, kas sniedz IKT pakalpojumus, maksātnespējas, noregulējuma vai uzņēmējdarbības izbeigšanas gadījumā vai līgumisku vienošanos izbeigšanas gadījumā; |
| --- | --- |

d)

noteikumus par to, kā nodrošināt piekļuvi finanšu vienības apstrādātajiem personas datiem un datiem, kas nav personas dati, to atgūšanu un atgriešanu viegli piekļūstamā formātā trešās personas, kas sniedz IKT pakalpojumus, maksātnespējas, noregulējuma vai uzņēmējdarbības izbeigšanas gadījumā vai līgumisku vienošanos izbeigšanas gadījumā;

| e) | pakalpojumu līmeņa aprakstus, tostarp to atjauninājumus un labojumus; |
| --- | --- |

e)

pakalpojumu līmeņa aprakstus, tostarp to atjauninājumus un labojumus;

| f) | trešās personas, kas sniedz IKT pakalpojumus, pienākumu sniegt palīdzību finanšu vienībai bez papildu izmaksām vai par izmaksām, kas ir noteiktas ex-ante, ja notiek IKT incidents, kas ir saistīts ar finanšu vienībai sniegto IKT pakalpojumu; |
| --- | --- |

f)

trešās personas, kas sniedz IKT pakalpojumus, pienākumu sniegt palīdzību finanšu vienībai bez papildu izmaksām vai par izmaksām, kas ir noteiktas ex-ante, ja notiek IKT incidents, kas ir saistīts ar finanšu vienībai sniegto IKT pakalpojumu;

| g) | trešās personas, kas sniedz IKT pakalpojumus, pienākumu pilnībā sadarboties ar finanšu vienības kompetentajām iestādēm un noregulējuma iestādēm, tostarp to ieceltajām personām; |
| --- | --- |

g)

trešās personas, kas sniedz IKT pakalpojumus, pienākumu pilnībā sadarboties ar finanšu vienības kompetentajām iestādēm un noregulējuma iestādēm, tostarp to ieceltajām personām;

| h) | izbeigšanas tiesības un ar tām saistītos minimālos paziņošanas termiņus attiecībā uz līgumiskās vienošanās izbeigšanu atbilstoši tam, kā to sagaida kompetentās iestādes un noregulējuma iestādes; |
| --- | --- |

h)

izbeigšanas tiesības un ar tām saistītos minimālos paziņošanas termiņus attiecībā uz līgumiskās vienošanās izbeigšanu atbilstoši tam, kā to sagaida kompetentās iestādes un noregulējuma iestādes;

| i) | nosacījumus trešo personu, kas sniedz IKT pakalpojumus, dalībai finanšu vienību IKT drošības izpratnes veidošanas programmās un digitālās darbības noturības mācībās saskaņā ar 13. panta 6. punktu. |
| --- | --- |

i)

nosacījumus trešo personu, kas sniedz IKT pakalpojumus, dalībai finanšu vienību IKT drošības izpratnes veidošanas programmās un digitālās darbības noturības mācībās saskaņā ar 13. panta 6. punktu.

3.   Papildus 2. punktā minētajiem elementiem līgumiskās vienošanās par tādu IKT pakalpojumu izmantošanu, ar kuriem atbalsta kritiski svarīgas vai svarīgas funkcijas, ietver vismaz:

| a) | pilnīgus pakalpojumu līmeņa aprakstus, tostarp to atjauninājumus un labojumus, norādot precīzus kvantitatīvus un kvalitatīvus darbības mērķus saskaņotajos pakalpojumu līmeņos, lai ļautu finanšu vienībai efektīvi uzraudzīt IKT pakalpojumus un lai bez liekas kavēšanās varētu veikt atbilstīgus koriģējošus pasākumus, ja netiek ievēroti saskaņotie pakalpojumu līmeņi; |
| --- | --- |

a)

pilnīgus pakalpojumu līmeņa aprakstus, tostarp to atjauninājumus un labojumus, norādot precīzus kvantitatīvus un kvalitatīvus darbības mērķus saskaņotajos pakalpojumu līmeņos, lai ļautu finanšu vienībai efektīvi uzraudzīt IKT pakalpojumus un lai bez liekas kavēšanās varētu veikt atbilstīgus koriģējošus pasākumus, ja netiek ievēroti saskaņotie pakalpojumu līmeņi;

| b) | trešai personai, kas sniedz IKT pakalpojumus, saistošos paziņošanas termiņus un ziņošanas pienākumus attiecībā pret finanšu vienību, tostarp paziņošanu par jebkādu notikumu attīstību, kura varētu būtiski ietekmēt trešās personas, kas sniedz IKT pakalpojumus, spēju efektīvi sniegt IKT pakalpojumus, ar ko atbalsta kritiski svarīgas vai svarīgas funkcijas atbilstīgi saskaņotajiem pakalpojumu līmeņiem; |
| --- | --- |

b)

trešai personai, kas sniedz IKT pakalpojumus, saistošos paziņošanas termiņus un ziņošanas pienākumus attiecībā pret finanšu vienību, tostarp paziņošanu par jebkādu notikumu attīstību, kura varētu būtiski ietekmēt trešās personas, kas sniedz IKT pakalpojumus, spēju efektīvi sniegt IKT pakalpojumus, ar ko atbalsta kritiski svarīgas vai svarīgas funkcijas atbilstīgi saskaņotajiem pakalpojumu līmeņiem;

| c) | prasības trešai personai, kas sniedz IKT pakalpojumus, īstenot un testēt uzņēmējdarbības ārkārtas rīcības plānus un ieviest IKT drošības pasākumus, instrumentus un politikas pasākumus, kas nodrošina pienācīgu drošības līmeni finanšu vienības pakalpojumu sniegšanai saskaņā ar tās normatīvo regulējumu; |
| --- | --- |

c)

prasības trešai personai, kas sniedz IKT pakalpojumus, īstenot un testēt uzņēmējdarbības ārkārtas rīcības plānus un ieviest IKT drošības pasākumus, instrumentus un politikas pasākumus, kas nodrošina pienācīgu drošības līmeni finanšu vienības pakalpojumu sniegšanai saskaņā ar tās normatīvo regulējumu;

| d) | trešās personas, kas sniedz IKT pakalpojumus, pienākumu piedalīties un pilnībā sadarboties finanšu vienības DVIT, kā minēts 26. un 27. pantā; |
| --- | --- |

d)

trešās personas, kas sniedz IKT pakalpojumus, pienākumu piedalīties un pilnībā sadarboties finanšu vienības DVIT, kā minēts 26. un 27. pantā;

| e) | tiesības pastāvīgi uzraudzīt trešās personas, kas sniedz IKT pakalpojumus, veikto izpildi, kas ietver:






  i) | finanšu vienības vai ieceltas trešās personas un kompetentās iestādes neierobežotas tiesības piekļūt, pārbaudīt un veikt revīziju, kā arī tiesības uz attiecīgo dokumentu kopēšanu uz vietas, ja tiem ir būtiski svarīga nozīme trešo personu, kas sniedz IKT pakalpojumus, darbībās, un šo tiesību efektīvu īstenošanu nekavē un neierobežo citas līgumiskas vienošanās vai īstenošanas politika; |
| --- | --- | --- |

e)

tiesības pastāvīgi uzraudzīt trešās personas, kas sniedz IKT pakalpojumus, veikto izpildi, kas ietver:

i)

finanšu vienības vai ieceltas trešās personas un kompetentās iestādes neierobežotas tiesības piekļūt, pārbaudīt un veikt revīziju, kā arī tiesības uz attiecīgo dokumentu kopēšanu uz vietas, ja tiem ir būtiski svarīga nozīme trešo personu, kas sniedz IKT pakalpojumus, darbībās, un šo tiesību efektīvu īstenošanu nekavē un neierobežo citas līgumiskas vienošanās vai īstenošanas politika;

| ii) | tiesības vienoties par alternatīviem garantijas līmeņiem, ja tiek skartas citu klientu tiesības; |
| --- | --- |

ii)

tiesības vienoties par alternatīviem garantijas līmeņiem, ja tiek skartas citu klientu tiesības;

| iii) | trešās personas, kas sniedz IKT pakalpojumus, pienākumu pilnībā sadarboties kompetento iestāžu, galvenā pārrauga, finanšu vienības vai ieceltas trešās personas veiktajās pārbaudēs uz vietas un revīzijās; un |
| --- | --- |

iii)

trešās personas, kas sniedz IKT pakalpojumus, pienākumu pilnībā sadarboties kompetento iestāžu, galvenā pārrauga, finanšu vienības vai ieceltas trešās personas veiktajās pārbaudēs uz vietas un revīzijās; un

| iv) | pienākumu sniegt sīku informāciju par šādu pārbaužu un revīziju tvērumu, procedūrām, kuras jāievēro, un biežumu; |
| --- | --- |

iv)

pienākumu sniegt sīku informāciju par šādu pārbaužu un revīziju tvērumu, procedūrām, kuras jāievēro, un biežumu;

| f) | atkāpšanās stratēģijas, jo īpaši obligāta piemērota pārejas perioda noteikšanu:






  i) | kuras laikā trešā persona, kas sniedz IKT pakalpojumus, turpinās nodrošināt attiecīgās funkcijas vai IKT pakalpojumus nolūkā samazināt finanšu vienības darbības traucējumu risku vai nodrošināt tās efektīvu noregulējumu un pārstrukturēšanu; |
| --- | --- | --- |

f)

atkāpšanās stratēģijas, jo īpaši obligāta piemērota pārejas perioda noteikšanu:

i)

kuras laikā trešā persona, kas sniedz IKT pakalpojumus, turpinās nodrošināt attiecīgās funkcijas vai IKT pakalpojumus nolūkā samazināt finanšu vienības darbības traucējumu risku vai nodrošināt tās efektīvu noregulējumu un pārstrukturēšanu;

| ii) | kas ļauj finanšu vienībai migrēt pie citas trešās personas, kas sniedz IKT pakalpojumus, vai pāriet uz iekšējiem risinājumiem, kas atbilst sniegtā pakalpojuma sarežģītībai. |
| --- | --- |

ii)

kas ļauj finanšu vienībai migrēt pie citas trešās personas, kas sniedz IKT pakalpojumus, vai pāriet uz iekšējiem risinājumiem, kas atbilst sniegtā pakalpojuma sarežģītībai.

Atkāpjoties no e) apakšpunkta, trešā persona, kas sniedz IKT pakalpojumus, un finanšu vienība, kas ir mikrouzņēmums, var vienoties, ka finanšu vienības piekļuves, pārbaudes un revīzijas veikšanas tiesības ir iespējams deleģēt neatkarīgai trešai personai, kuru iecēlusi trešā persona, kas sniedz IKT pakalpojumus, un ka finanšu vienība no šādas trešās personas jebkurā brīdī var pieprasīt informāciju un garantiju par izpildes rezultātu, kuru nodrošina trešā persona, kas sniedz IKT pakalpojumus.

4.   Sarunās par līgumisku vienošanos finanšu vienības un trešās personas, kas sniedz IKT pakalpojumus, apsver iespēju izmantot līguma standartklauzulas, ko publiskās iestādes izstrādājušas attiecībā uz konkrētiem pakalpojumiem.

5.   EUI ar Apvienotās komitejas starpniecību izstrādā regulatīvo tehnisko standartu projektus, lai sīkāk precizētu 2. punkta a) apakšpunktā minētos elementus, kas finanšu vienībai jānosaka un jānovērtē, slēdzot apakšuzņēmuma līgumus par IKT pakalpojumiem, ar kuriem atbalsta kritiski svarīgas vai svarīgas funkcijas.

Izstrādājot minēto regulatīvo tehnisko standartu projektus, EUI ņem vērā finanšu vienības lielumu un vispārējo riska profilu, kā arī tās pakalpojumu, darbību un operāciju veidu, apmēru un sarežģītību.

Minēto regulatīvo tehnisko standartu projektus EBI iesniedz Komisijai līdz 2024. gada 17. jūlijam.

Komisijai tiek deleģētas pilnvaras papildināt šo regulu, pieņemot pirmajā daļā minētos regulatīvos tehniskos standartus saskaņā ar 10.–14. pantu Regulās (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 un (ES) Nr. 1095/2010.

II iedaļa

Kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, pārraudzības sistēma

31. pants

Kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, izraudzīšanās

1.   EUI ar Apvienotās komitejas starpniecību un pēc saskaņā ar 32. panta 1. punktu izveidotā Pārraudzības foruma ieteikuma:

| a) | izraugās trešās personas, kas sniedz IKT pakalpojumus, kuras ir kritiski svarīgas finanšu vienībām, pēc novērtējuma, kurā ņemti vērā 2. punktā minētie kritēriji; |
| --- | --- |

a)

izraugās trešās personas, kas sniedz IKT pakalpojumus, kuras ir kritiski svarīgas finanšu vienībām, pēc novērtējuma, kurā ņemti vērā 2. punktā minētie kritēriji;

| b) | par galveno pārraugu katrai kritiski svarīgai trešai personai, kas sniedz IKT pakalpojumus, ieceļ EUI, kas saskaņā ar Regulām (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 vai (ES) Nr. 1095/2010 ir atbildīga par finanšu vienībām, kurām aktīvu kopējā vērtība veido lielāko daļu no visu to finanšu vienību kopējo aktīvu vērtības, kuras izmanto pakalpojumus, kurus sniedz attiecīgās kritiski svarīgās trešās personas, kas sniedz IKT pakalpojumus, ko apliecina minēto finanšu vienību individuālo bilanču summa. |
| --- | --- |

b)

par galveno pārraugu katrai kritiski svarīgai trešai personai, kas sniedz IKT pakalpojumus, ieceļ EUI, kas saskaņā ar Regulām (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 vai (ES) Nr. 1095/2010 ir atbildīga par finanšu vienībām, kurām aktīvu kopējā vērtība veido lielāko daļu no visu to finanšu vienību kopējo aktīvu vērtības, kuras izmanto pakalpojumus, kurus sniedz attiecīgās kritiski svarīgās trešās personas, kas sniedz IKT pakalpojumus, ko apliecina minēto finanšu vienību individuālo bilanču summa.

2.   Šā panta 1. punkta a) apakšpunktā minētās izraudzīšanās pamatā ir visi turpmāk minētie kritēriji attiecībā uz IKT pakalpojumiem, ko sniedz trešā persona, kas sniedz IKT pakalpojumus:

| a) | sistēmiskā ietekme uz finanšu pakalpojumu sniegšanas stabilitāti, nepārtrauktību vai kvalitāti gadījumā, ja attiecīgajai trešai personai, kas sniedz IKT pakalpojumus, iestātos plaši darbības traucējumi, kuru dēļ tā nespētu sniegt savus pakalpojumus, ņemot vērā finanšu vienību skaitu un to finanšu vienību aktīvu kopējo vērtību, kurām attiecīgā trešā persona, kas sniedz IKT pakalpojumus, sniedz pakalpojumus; |
| --- | --- |

a)

sistēmiskā ietekme uz finanšu pakalpojumu sniegšanas stabilitāti, nepārtrauktību vai kvalitāti gadījumā, ja attiecīgajai trešai personai, kas sniedz IKT pakalpojumus, iestātos plaši darbības traucējumi, kuru dēļ tā nespētu sniegt savus pakalpojumus, ņemot vērā finanšu vienību skaitu un to finanšu vienību aktīvu kopējo vērtību, kurām attiecīgā trešā persona, kas sniedz IKT pakalpojumus, sniedz pakalpojumus;

| b) | finanšu vienību, kas paļaujas uz attiecīgo trešo personu, kas sniedz IKT pakalpojumus, sistēmiskais raksturs vai nozīme, ko novērtē saskaņā ar šādiem parametriem:






  i) | to globālo sistēmiski nozīmīgo iestāžu (G-SNI) vai citu sistēmiski nozīmīgu iestāžu (C-SNI) skaits, kuras paļaujas uz attiecīgo trešo personu, kas sniedz IKT pakalpojumus; |
| --- | --- | --- |

b)

finanšu vienību, kas paļaujas uz attiecīgo trešo personu, kas sniedz IKT pakalpojumus, sistēmiskais raksturs vai nozīme, ko novērtē saskaņā ar šādiem parametriem:

i)

to globālo sistēmiski nozīmīgo iestāžu (G-SNI) vai citu sistēmiski nozīmīgu iestāžu (C-SNI) skaits, kuras paļaujas uz attiecīgo trešo personu, kas sniedz IKT pakalpojumus;

| ii) | iepriekš i) apakšpunktā minēto G-SNI vai C-SNI un citu finanšu vienību savstarpējā atkarība, tostarp situācijas, kad G-SNI vai C-SNI sniedz finanšu infrastruktūras pakalpojumus citām finanšu vienībām; |
| --- | --- |

ii)

iepriekš i) apakšpunktā minēto G-SNI vai C-SNI un citu finanšu vienību savstarpējā atkarība, tostarp situācijas, kad G-SNI vai C-SNI sniedz finanšu infrastruktūras pakalpojumus citām finanšu vienībām;

| c) | finanšu vienību paļaušanās uz attiecīgās trešās personas, kas sniedz IKT pakalpojumus, sniegtajiem pakalpojumiem saistībā ar tādu finanšu vienību kritiski svarīgām vai svarīgām funkcijām, kurās galu galā ir iesaistīta viena un tā pati trešā persona, kas sniedz IKT pakalpojumus, neatkarīgi no tā, vai finanšu vienības šos pakalpojumus izmanto tieši vai netieši, izmantojot apakšuzņēmuma līgumus; |
| --- | --- |

c)

finanšu vienību paļaušanās uz attiecīgās trešās personas, kas sniedz IKT pakalpojumus, sniegtajiem pakalpojumiem saistībā ar tādu finanšu vienību kritiski svarīgām vai svarīgām funkcijām, kurās galu galā ir iesaistīta viena un tā pati trešā persona, kas sniedz IKT pakalpojumus, neatkarīgi no tā, vai finanšu vienības šos pakalpojumus izmanto tieši vai netieši, izmantojot apakšuzņēmuma līgumus;

| d) | trešās personas, kas sniedz IKT pakalpojumus, aizstājamības pakāpe, ņemot vērā šādus parametrus:






  i) | reālu alternatīvu trūkums, pat daļējs, ņemot vērā konkrētā tirgū strādājošo trešo personu, kas sniedz IKT pakalpojumus, ierobežoto skaitu vai attiecīgās trešās personas, kas sniedz IKT pakalpojumus, tirgus daļu, vai attiecīgo tehnisko sarežģītību vai komplicētību, tostarp attiecībā uz jebkuru patentētu tehnoloģiju, vai trešās personas, kas sniedz IKT pakalpojumus, organizācijas vai darbības specifiku; |
| --- | --- | --- |

d)

trešās personas, kas sniedz IKT pakalpojumus, aizstājamības pakāpe, ņemot vērā šādus parametrus:

i)

reālu alternatīvu trūkums, pat daļējs, ņemot vērā konkrētā tirgū strādājošo trešo personu, kas sniedz IKT pakalpojumus, ierobežoto skaitu vai attiecīgās trešās personas, kas sniedz IKT pakalpojumus, tirgus daļu, vai attiecīgo tehnisko sarežģītību vai komplicētību, tostarp attiecībā uz jebkuru patentētu tehnoloģiju, vai trešās personas, kas sniedz IKT pakalpojumus, organizācijas vai darbības specifiku;

| ii) | grūtības, kas saistītas ar attiecīgo datu un darba slodzes daļēju vai pilnīgu migrēšanu no attiecīgās trešās personas, kas sniedz IKT pakalpojumus, pie citas trešās personas, kas sniedz IKT pakalpojumus, ko rada vai nu būtiskas finansiālās izmaksas, laika vai citu resursu patēriņš, ko varētu radīt migrācijas process, vai palielināts IKT risks vai citi operacionālie riski, kam finanšu vienība šādā migrēšanā varētu tikt pakļauta. |
| --- | --- |

ii)

grūtības, kas saistītas ar attiecīgo datu un darba slodzes daļēju vai pilnīgu migrēšanu no attiecīgās trešās personas, kas sniedz IKT pakalpojumus, pie citas trešās personas, kas sniedz IKT pakalpojumus, ko rada vai nu būtiskas finansiālās izmaksas, laika vai citu resursu patēriņš, ko varētu radīt migrācijas process, vai palielināts IKT risks vai citi operacionālie riski, kam finanšu vienība šādā migrēšanā varētu tikt pakļauta.

3.   Ja trešā persona, kas sniedz IKT pakalpojumus, pieder pie grupas, 2. punktā minētos kritērijus ņem vērā saistībā ar IKT pakalpojumiem, ko sniedz grupa kopumā.

4.   Kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus un ir daļa no grupas, izraugās vienu juridisku personu par koordinācijas punktu, lai nodrošinātu pienācīgu pārstāvību un saziņu ar galveno pārraugu.

5.   Galvenais pārraugs paziņo trešai personai, kas sniedz IKT pakalpojumus, par novērtējuma rezultātiem, pēc kuriem notiek 1. punkta a) apakšpunktā minētā izraudzīšanās. Trešā persona, kas sniedz IKT pakalpojumus, sešu nedēļu laikā no paziņojuma dienas var iesniegt galvenajam pārraugam argumentētu paziņojumu ar visu būtisko informāciju novērtējuma vajadzībām. Galvenais pārraugs izskata argumentēto paziņojumu un var pieprasīt papildu informāciju, kas iesniedzama 30 kalendāro dienu laikā no šāda paziņojuma saņemšanas.

Pēc tam, kad trešā persona, kas sniedz IKT pakalpojumus, ir izraudzīta par kritiski svarīgu, EUI ar Apvienotās komitejas starpniecību paziņo trešai personai, kas sniedz IKT pakalpojumus, par šādu izraudzīšanu un par sākuma datumu, no kura uz to faktiski attieksies pārraudzības darbības. Minētais sākuma datums ir ne vēlāk kā vienu mēnesi pēc paziņojuma. Trešā persona, kas sniedz IKT pakalpojumus, paziņo finanšu vienībām, kurām tā sniedz pakalpojumus, par to, ka tā ir izraudzīta par kritiski svarīgu.

6.   Komisija tiek pilnvarota līdz 2024. gada 17. jūlijam pieņemt deleģēto aktu saskaņā ar 57. pantu, lai papildinātu šo regulu, sīkāk precizējot šā panta 2. punktā minētos kritērijus.

7.   Šā panta 1. punkta a) apakšpunktā minēto izraudzīšanu neizmanto, kamēr Komisija saskaņā ar 6. punktu nav pieņēmusi deleģēto aktu.

8.   Šā panta 1. punkta a) apakšpunktā minēto izraudzīšanu nepiemēro:

| i) | finanšu vienībām, kas sniedz IKT pakalpojumus citām finanšu vienībām; |
| --- | --- |

i)

finanšu vienībām, kas sniedz IKT pakalpojumus citām finanšu vienībām;

| ii) | trešām personām, kas sniedz IKT pakalpojumus un kurām piemēro Līguma par Eiropas Savienības darbību 127. panta 2. punktā minēto uzdevumu atbalstam izveidotās pārraudzības sistēmas; |
| --- | --- |

ii)

trešām personām, kas sniedz IKT pakalpojumus un kurām piemēro Līguma par Eiropas Savienības darbību 127. panta 2. punktā minēto uzdevumu atbalstam izveidotās pārraudzības sistēmas;

| iii) | IKT pakalpojumu sniedzējiem, kas pieder vienai grupai; |
| --- | --- |

iii)

IKT pakalpojumu sniedzējiem, kas pieder vienai grupai;

| iv) | trešām personām, kas sniedz IKT pakalpojumus tikai vienā dalībvalstī finanšu vienībām, kuras darbojas tikai attiecīgajā dalībvalstī. |
| --- | --- |

iv)

trešām personām, kas sniedz IKT pakalpojumus tikai vienā dalībvalstī finanšu vienībām, kuras darbojas tikai attiecīgajā dalībvalstī.

9.   EUI ar Apvienotās komitejas starpniecību nosaka, publicē un katru gadu atjaunina Savienības līmeņa kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, sarakstu.

10.   Šā panta 1. punkta a) apakšpunkta mērķiem kompetentās iestādes katru gadu apkopotā veidā nosūta 28. panta 3. punkta trešajā daļā minētos ziņojumus saskaņā ar 32. pantu izveidotajam Pārraudzības forumam. Pārraudzības forums izvērtē finanšu vienību atkarību no trešām personām, kas sniedz IKT pakalpojumus, balstoties uz informāciju, kas saņemta no kompetentajām iestādēm.

11.   Trešās personas, kas sniedz IKT pakalpojumus un kuras nav iekļautas 9. punktā minētajā sarakstā, var pieprasīt, lai tās saskaņā ar 1. punkta a) apakšpunktu izraugās par kritiski svarīgām.

Pirmās daļas vajadzībām trešā persona, kas sniedz IKT pakalpojumus, iesniedz argumentētu pieteikumu EBI, EVTI vai EAAPI, kas ar Apvienotās komitejas starpniecību lemj, vai izraudzīties minēto trešo personu, kas sniedz IKT pakalpojumus, par kritiski svarīgu saskaņā ar 1. punkta a) apakšpunktu.

Otrajā daļā minēto lēmumu pieņem un par to paziņo trešai personai, kas sniedz IKT pakalpojumus, sešu mēnešu laikā no pieteikuma saņemšanas.

12.   Finanšu vienības izmanto pakalpojumus, ko sniedz trešā valstī iedibināta trešā persona, kas sniedz IKT pakalpojumus un kas ir izraudzīta kā kritiski svarīga saskaņā ar 1. punkta a) apakšpunktu, ja minētā persona 12 mēnešu laikā no izraudzīšanas ir iedibinājusi meitasuzņēmumu Savienībā.

13.   Šā panta 12. punktā minētā kritiski svarīgā trešā persona, kas sniedz IKT pakalpojumus, informē galveno pārraugu par visām izmaiņām Savienībā iedibinātā meitasuzņēmuma vadības struktūrā.

32. pants

Pārraudzības sistēmas struktūra

1.   Apvienotā komiteja saskaņā ar 57. panta 1. punktu Regulās (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 un (ES) Nr. 1095/2010 izveido Pārraudzības forumu kā apakškomiteju, lai tā atbalstītu 31. panta 1. punkta b) apakšpunktā minēto Apvienotās komitejas un galvenā pārrauga darbību ar trešām personām saistīta IKT riska jomā visās finanšu nozarēs. Pārraudzības forums izstrādā Apvienotās komitejas kopīgās nostājas projektus un kopīgo aktu projektus šajā jomā.

Pārraudzības forums regulāri apspriež attiecīgās norises saistībā ar IKT risku un ievainojamību un veicina saskaņotas pieejas izmantošanu, uzraugot ar trešām personām saistīto IKT risku Savienības līmenī.

2.   Pārraudzības forums katru gadu veic attiecībā uz visām kritiski svarīgajām trešām personām, kas sniedz IKT pakalpojumus, veikto pārraudzības darbību rezultātu un konstatējumu kolektīvu novērtējumu un veicina koordinēšanas pasākumus, lai palielinātu finanšu vienību digitālās darbības noturību, veicinātu labāko praksi IKT koncentrācijas riska risināšanā un izpētītu atbildību mīkstinošus faktorus pārrobežu riska nodošanas gadījumos.

3.   Pārraudzības forums saskaņā ar 56. panta 1. punktu Regulās (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 un (ES) Nr. 1095/2010 iesniedz visaptverošus kritiski svarīgo trešo personu, kas sniedz IKT pakalpojumus, kritērijus, ko Apvienotā komiteja pieņem kā EUI kopīgās nostājas.

4.   Pārraudzības forumu veido:

| a) | EUI vadītāji; |
| --- | --- |

a)

EUI vadītāji;

| b) | viens augsta līmeņa pārstāvis no attiecīgās 46. pantā minētās kompetentās iestādes pašreizējā personāla katrā dalībvalstī; |
| --- | --- |

b)

viens augsta līmeņa pārstāvis no attiecīgās 46. pantā minētās kompetentās iestādes pašreizējā personāla katrā dalībvalstī;

| c) | katras EUI izpilddirektori un pa vienam pārstāvim no Komisijas, ESRK, ECB un ENISA kā novērotāji; |
| --- | --- |

c)

katras EUI izpilddirektori un pa vienam pārstāvim no Komisijas, ESRK, ECB un ENISA kā novērotāji;

| d) | attiecīgā gadījumā – vēl viens 46. pantā minētās kompetentās iestādes pārstāvis no katras dalībvalsts kā novērotājs; |
| --- | --- |

d)

attiecīgā gadījumā – vēl viens 46. pantā minētās kompetentās iestādes pārstāvis no katras dalībvalsts kā novērotājs;

| e) | attiecīgā gadījumā – kā novērotājs viens tādu kompetento iestāžu pārstāvis, kas izraudzītas vai izveidotas saskaņā ar Direktīvu (ES) 2022/2555 un ir atbildīgas par tādas būtiskas vai svarīgas vienības uzraudzību, kas ir izraudzīta par kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, uz kuru attiecas minētā direktīva. |
| --- | --- |

e)

attiecīgā gadījumā – kā novērotājs viens tādu kompetento iestāžu pārstāvis, kas izraudzītas vai izveidotas saskaņā ar Direktīvu (ES) 2022/2555 un ir atbildīgas par tādas būtiskas vai svarīgas vienības uzraudzību, kas ir izraudzīta par kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, uz kuru attiecas minētā direktīva.

Pārraudzības forums attiecīgā gadījumā var vērsties pēc padoma pie neatkarīgiem ekspertiem, kas iecelti saskaņā ar 6. punktu.

5.   Katra dalībvalsts izraugās attiecīgo kompetento iestādi, kuras personāla loceklis ir 4. punkta pirmās daļas b) apakšpunktā minētais augsta līmeņa pārstāvis, un par to informē galveno pārraugu.

EUI savā tīmekļa vietnē publicē sarakstu ar dalībvalstu izraudzītiem augsta līmeņa pārstāvjiem no attiecīgās kompetentās iestādes pašreizējā personāla.

6.   Neatkarīgos ekspertus, kas minēti 4. punkta otrajā daļā, ieceļ Pārraudzības forums no ekspertu kopuma, kas atlasīti pēc publiska un pārredzama pieteikšanās procesa.

Neatkarīgos ekspertus ieceļ, pamatojoties uz viņu speciālajām zināšanām finansiālās stabilitātes, digitālās darbības noturības un IKT drošības jautājumos. Viņi rīkojas neatkarīgi un objektīvi vienīgi Savienības interesēs kopumā un nelūdz, un nepieņem Savienības iestāžu vai struktūru, jebkuras dalībvalsts valdības vai citas valsts vai privātas struktūras norādījumus.

7.   EUI saskaņā ar 16. pantu Regulās (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 un (ES) Nr. 1095/2010 līdz 2024. gada 17. jūlijam izdod pamatnostādnes par EUI un kompetento iestāžu sadarbību šīs iedaļas vajadzībām, kurās izklāstītas detalizētas procedūras un nosacījumi attiecībā uz uzdevumu sadali un izpildi starp kompetentajām iestādēm un EUI, un ziņas par informācijas apmaiņu, kas kompetentajām iestādēm nepieciešama, lai nodrošinātu turpmāku rīcību pēc ieteikumiem, kuri saskaņā ar 35. panta 1. punkta d) apakšpunktu adresēti kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus.

8.   Šajā iedaļā izklāstītās prasības neskar Direktīvas (ES) 2022/2555 un citu Savienības noteikumu par mākoņdatošanas pakalpojumu sniedzēju pārraudzību piemērošanu.

9.   EUI ar Apvienotās komitejas starpniecību un pamatojoties uz Pārraudzības foruma veikto sagatavošanās darbu katru gadu iesniedz Eiropas Parlamentam, Padomei un Komisijai ziņojumu par šīs iedaļas piemērošanu.

33. pants

Galvenā pārrauga uzdevumi

1.   Galvenais pārraugs, kurš iecelts saskaņā ar 31. panta 1. punkta b) apakšpunktu, veic norīkoto kritiski svarīgo trešo personu, kas sniedz IKT pakalpojumus, pārraudzību, un visos jautājumos, kas saistīti ar pārraudzību, ir galvenais kontaktpunkts minētajām trešām personām, kas sniedz IKT pakalpojumus.

2.   Šā panta 1. punkta nolūkos galvenais pārraugs novērtē, vai katrai kritiski svarīgajai trešai personai, kas sniedz IKT pakalpojumus, ir ieviesti visaptveroši, stabili un efektīvi noteikumi, procedūras, mehānismi un kārtība, lai pārvaldītu IKT risku, ko tā var radīt finanšu vienībām.

Pirmajā daļā minētajā novērtējumā galvenā uzmanība tiek pievērsta IKT pakalpojumiem, ko sniedz tā kritiski svarīgā trešā persona, kas sniedz IKT pakalpojumus un kura atbalsta kritiski svarīgās vai svarīgās finanšu vienību funkcijas. Ja tas ir nepieciešams, lai pievērstos visiem attiecīgajiem riskiem, minētais novērtējums tiek attiecināts arī uz IKT pakalpojumiem, kas atbalsta funkcijas, kas nav tikai kritiski svarīgas vai svarīgas.

3.   Šā panta 2. punktā minētais novērtējums ietver:

| a) | IKT prasības, kuru mērķis jo īpaši ir nodrošināt to pakalpojumu drošību, pieejamību, nepārtrauktību, mērogojamību un kvalitāti, kurus kritiski svarīgā trešā persona, kas sniedz IKT pakalpojumus, sniedz finanšu vienībām, kā arī spēju nepārtraukti uzturēt augstus datu pieejamības, autentiskuma, integritātes vai konfidencialitātes standartus; |
| --- | --- |

a)

IKT prasības, kuru mērķis jo īpaši ir nodrošināt to pakalpojumu drošību, pieejamību, nepārtrauktību, mērogojamību un kvalitāti, kurus kritiski svarīgā trešā persona, kas sniedz IKT pakalpojumus, sniedz finanšu vienībām, kā arī spēju nepārtraukti uzturēt augstus datu pieejamības, autentiskuma, integritātes vai konfidencialitātes standartus;

| b) | fizisko drošību, kas palīdz nodrošināt IKT drošību, tostarp telpu, objektu, datu centru drošību; |
| --- | --- |

b)

fizisko drošību, kas palīdz nodrošināt IKT drošību, tostarp telpu, objektu, datu centru drošību;

| c) | riska pārvaldības procesus, tostarp IKT riska pārvaldības rīcībpolitiku, IKT darbības nepārtrauktības politiku un IKT reaģēšanas un seku novēršanas plānus; |
| --- | --- |

c)

riska pārvaldības procesus, tostarp IKT riska pārvaldības rīcībpolitiku, IKT darbības nepārtrauktības politiku un IKT reaģēšanas un seku novēršanas plānus;

| d) | pārvaldības kārtību, tostarp organizatorisku struktūru ar skaidriem, pārredzamiem un konsekventiem atbildības un pārskatatbildības noteikumiem, kas ļauj veikt efektīvu IKT riska pārvaldību; |
| --- | --- |

d)

pārvaldības kārtību, tostarp organizatorisku struktūru ar skaidriem, pārredzamiem un konsekventiem atbildības un pārskatatbildības noteikumiem, kas ļauj veikt efektīvu IKT riska pārvaldību;

| e) | ar IKT saistītu būtisku incidentu apzināšanu, uzraudzību un tūlītēju paziņošanu finanšu vienībām, šo incidentu, jo īpaši kiberuzbrukumu, pārvaldību un atrisināšanu; |
| --- | --- |

e)

ar IKT saistītu būtisku incidentu apzināšanu, uzraudzību un tūlītēju paziņošanu finanšu vienībām, šo incidentu, jo īpaši kiberuzbrukumu, pārvaldību un atrisināšanu;

| f) | datu pārnesamības, lietojumprogrammu pārnesamības un sadarbspējas mehānismus, kas finanšu vienībām nodrošina izbeigšanas tiesību efektīvu īstenošanu; |
| --- | --- |

f)

datu pārnesamības, lietojumprogrammu pārnesamības un sadarbspējas mehānismus, kas finanšu vienībām nodrošina izbeigšanas tiesību efektīvu īstenošanu;

| g) | IKT sistēmu, infrastruktūras un kontroles testēšanu; |
| --- | --- |

g)

IKT sistēmu, infrastruktūras un kontroles testēšanu;

| h) | IKT revīzijas; |
| --- | --- |

h)

IKT revīzijas;

| i) | tādu attiecīgu valsts un starptautisko standartu izmantošanu, ko piemēro IKT pakalpojumu sniegšanai finanšu vienībām. |
| --- | --- |

i)

tādu attiecīgu valsts un starptautisko standartu izmantošanu, ko piemēro IKT pakalpojumu sniegšanai finanšu vienībām.

4.   Pamatojoties uz 2. punktā minēto novērtējumu un koordinācijā ar 34. panta 1. punktā minēto Kopīgo pārraudzības tīklu (JON), galvenais pārraugs attiecībā uz katru kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, pieņem skaidru, detalizētu un pamatotu individuālo pārraudzības plānu, kurā aprakstīti ikgadējie pārraudzības mērķi un plānotās galvenās pārraudzības darbības. Šo plānu katru gadu paziņo kritiski svarīgajai trešai personai, kas sniedz IKT pakalpojumus.

Pirms pārraudzības plāna pieņemšanas galvenais pārraugs kritiski svarīgajai trešai personai, kas sniedz IKT pakalpojumus, paziņo pārraudzības plāna projektu.

Saņēmusi pārraudzības plāna projektu, kritiski svarīgā trešā persona, kas sniedz IKT pakalpojumus, 15 kalendāro dienu laikā var iesniegt argumentētu paziņojumu, kurā pamatoti izklāstītas gaidāmās sekas klientiem, kas ir vienības, kuras neietilpst šīs regulas darbības jomā, un attiecīgā gadījumā formulēti risinājumi risku mazināšanai.

5.   Tiklīdz 4. punktā minētie gada pārraudzības plāni ir pieņemti un paziņoti kritiski svarīgajām trešām personām, kas sniedz IKT pakalpojumus, kompetentās iestādes attiecībā uz šādām kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, var veikt pasākumus tikai ar galvenā pārrauga piekrišanu.

34. pants

Darbības koordinācija starp galvenajiem pārraugiem

1.   Lai nodrošinātu konsekventu pieeju pārraudzības darbībām un lai būtu iespējamas koordinētas vispārējas pārraudzības stratēģijas un saskaņotas darbības pieejas un darba metodika, trīs galvenie pārraugi, kuri iecelti saskaņā ar 31. panta 1. punkta b) apakšpunktu, izveido JON, lai veiktu savstarpēju koordināciju sagatavošanās posmos un lai koordinētu pārraudzības darbību veikšanu pār to attiecīgajām pārraugāmajām kritiski svarīgajām trešām personām, kas sniedz IKT pakalpojumus, kā arī jebkuras rīcības gaitā, kas var būt nepieciešama, ievērojot 42. pantu.

2.   Šā panta 1. punkta nolūkos galvenie pārraugi izstrādā kopīgu pārraudzības protokolu, kurā norādītas detalizētas procedūras, kas jāievēro, veicot ikdienas koordināciju un lai nodrošinātu raitu apmaiņu un reaģēšanu. Protokolu periodiski pārskata, lai atspoguļotu darbības vajadzības, jo īpaši izmaiņas pārraudzības praktiskajā kārtībā.

3.   Galvenie pārraugi ad hoc kārtībā var vērsties pēc tehniskām konsultācijām pie ECB un ENISA, dalīties praktiskā pieredzē vai piedalīties konkrētās JON koordinācijas sanāksmēs.

35. pants

Galvenā pārrauga pilnvaras

1.   Pildot šajā iedaļā paredzētos pienākumus, galvenajam pārraugam ir šādas pilnvaras attiecībā uz kritiski svarīgajām trešām personām, kas sniedz IKT pakalpojumus:

| a) | pieprasīt visu attiecīgo informāciju un dokumentus saskaņā ar 37. pantu; |
| --- | --- |

a)

pieprasīt visu attiecīgo informāciju un dokumentus saskaņā ar 37. pantu;

| b) | veikt vispārēju izmeklēšanu un pārbaudes saskaņā ar attiecīgi 38. un 39. pantu; |
| --- | --- |

b)

veikt vispārēju izmeklēšanu un pārbaudes saskaņā ar attiecīgi 38. un 39. pantu;

| c) | pēc pārraudzības darbību pabeigšanas pieprasīt ziņojumus, kuros ir norādītas kritiski svarīgo trešo personu, kas sniedz IKT pakalpojumus, veiktās darbības vai īstenotie novēršanas pasākumi saistībā ar šā punkta d) apakšpunktā minētajiem ieteikumiem; |
| --- | --- |

c)

pēc pārraudzības darbību pabeigšanas pieprasīt ziņojumus, kuros ir norādītas kritiski svarīgo trešo personu, kas sniedz IKT pakalpojumus, veiktās darbības vai īstenotie novēršanas pasākumi saistībā ar šā punkta d) apakšpunktā minētajiem ieteikumiem;

| d) | sniegt ieteikumus attiecībā uz 33. panta 3. punktā minētajām jomām, jo īpaši saistībā ar šādiem jautājumiem:






  i) | konkrētu IKT drošības un kvalitātes prasību vai procesu izmantošanu, jo īpaši saistībā ar ielāpu, atjauninājumu, šifrēšanas un citu drošības pasākumu ieviešanu, kurus galvenais pārraugs uzskata par nozīmīgiem finanšu vienībām sniegto pakalpojumu IKT drošības nodrošināšanai; |
| --- | --- | --- |

d)

sniegt ieteikumus attiecībā uz 33. panta 3. punktā minētajām jomām, jo īpaši saistībā ar šādiem jautājumiem:

i)

konkrētu IKT drošības un kvalitātes prasību vai procesu izmantošanu, jo īpaši saistībā ar ielāpu, atjauninājumu, šifrēšanas un citu drošības pasākumu ieviešanu, kurus galvenais pārraugs uzskata par nozīmīgiem finanšu vienībām sniegto pakalpojumu IKT drošības nodrošināšanai;

| ii) | noteikumu un nosacījumu izmantošanu, tostarp to tehnisko īstenošanu, saskaņā ar kuriem finanšu vienībām IKT pakalpojumus sniedz kritiski svarīgas trešās personas un kurus galvenais pārraugs uzskata par nozīmīgiem saistībā ar viena kļūdaina ķēdes punkta rašanās novēršanu vai tā pastiprināšanu, vai IKT koncentrācijas riska gadījumā – iespējamās sistēmiskās ietekmes uz Savienības finanšu nozari samazināšanu līdz minimumam; |
| --- | --- |

ii)

noteikumu un nosacījumu izmantošanu, tostarp to tehnisko īstenošanu, saskaņā ar kuriem finanšu vienībām IKT pakalpojumus sniedz kritiski svarīgas trešās personas un kurus galvenais pārraugs uzskata par nozīmīgiem saistībā ar viena kļūdaina ķēdes punkta rašanās novēršanu vai tā pastiprināšanu, vai IKT koncentrācijas riska gadījumā – iespējamās sistēmiskās ietekmes uz Savienības finanšu nozari samazināšanu līdz minimumam;

| iii) | jebkādiem plānotiem apakšuzņēmuma līgumiem, attiecībā uz kuriem galvenais pārraugs, pamatojoties uz tādas informācijas izskatīšanu, kas savākta saskaņā ar 37. un 38. pantu, uzskata, ka tālāka apakšuzņēmuma līguma slēgšana, tostarp tādi apakšuzņēmuma līgumi, ko kritiski svarīgās trešās personas, kas sniedz IKT pakalpojumus, plāno slēgt ar citām trešām personām, kas sniedz IKT pakalpojumus, vai ar trešā valstī iedibinātiem IKT apakšuzņēmējiem, var radīt risku finanšu vienības pakalpojumu sniegšanai vai finanšu stabilitātes risku; |
| --- | --- |

iii)

jebkādiem plānotiem apakšuzņēmuma līgumiem, attiecībā uz kuriem galvenais pārraugs, pamatojoties uz tādas informācijas izskatīšanu, kas savākta saskaņā ar 37. un 38. pantu, uzskata, ka tālāka apakšuzņēmuma līguma slēgšana, tostarp tādi apakšuzņēmuma līgumi, ko kritiski svarīgās trešās personas, kas sniedz IKT pakalpojumus, plāno slēgt ar citām trešām personām, kas sniedz IKT pakalpojumus, vai ar trešā valstī iedibinātiem IKT apakšuzņēmējiem, var radīt risku finanšu vienības pakalpojumu sniegšanai vai finanšu stabilitātes risku;

| iv) | tālāku apakšuzņēmuma līgumu neslēgšanu, ja pastāv šādi kumulatīvi nosacījumi:






  — | paredzētais apakšuzņēmējs ir trešā valstī iedibināta trešā persona, kas sniedz IKT pakalpojumus, vai trešā valstī iedibināts IKT apakšuzņēmējs, |
| --- | --- | --- |

iv)

tālāku apakšuzņēmuma līgumu neslēgšanu, ja pastāv šādi kumulatīvi nosacījumi:

—

paredzētais apakšuzņēmējs ir trešā valstī iedibināta trešā persona, kas sniedz IKT pakalpojumus, vai trešā valstī iedibināts IKT apakšuzņēmējs,

| — | apakšuzņēmuma līguma slēgšana attiecas uz kritiski svarīgu vai svarīgu finanšu vienības funkciju; un |
| --- | --- |

—

apakšuzņēmuma līguma slēgšana attiecas uz kritiski svarīgu vai svarīgu finanšu vienības funkciju; un

| — | galvenais pārraugs uzskata, ka šādas apakšuzņēmuma līguma slēgšanas izmantošana rada nepārprotamu un nopietnu risku Savienības finanšu stabilitātei vai finanšu vienībām, tostarp finanšu vienību spējai izpildīt uzraudzības prasības. |
| --- | --- |

—

galvenais pārraugs uzskata, ka šādas apakšuzņēmuma līguma slēgšanas izmantošana rada nepārprotamu un nopietnu risku Savienības finanšu stabilitātei vai finanšu vienībām, tostarp finanšu vienību spējai izpildīt uzraudzības prasības.

Šā apakšpunkta iv) punkta nolūkos trešās personas, kas sniedz IKT pakalpojumus, izmantojot 41. panta 1. punkta b) apakšpunktā minēto veidni, nosūta informāciju par apakšuzņēmuma līguma slēgšanu galvenajam pārraugam.

2.   Īstenojot šajā pantā minētās pilnvaras, galvenais pārraugs:

| a) | nodrošina regulāru koordināciju JON ietvaros un jo īpaši attiecīgos gadījumos cenšas panākt konsekventas pieejas attiecībā uz kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, pārraudzību; |
| --- | --- |

a)

nodrošina regulāru koordināciju JON ietvaros un jo īpaši attiecīgos gadījumos cenšas panākt konsekventas pieejas attiecībā uz kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, pārraudzību;

| b) | pienācīgi ņem vērā satvaru, kas izveidots ar Direktīvu (ES) 2022/2555, un vajadzības gadījumā apspriežas ar attiecīgajām kompetentajām iestādēm, kas izraudzītas vai izveidotas saskaņā ar minēto direktīvu, lai izvairītos no tādu tehnisko un organizatorisko pasākumu dublēšanās, kas, ievērojot minēto direktīvu, varētu attiekties uz kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus; |
| --- | --- |

b)

pienācīgi ņem vērā satvaru, kas izveidots ar Direktīvu (ES) 2022/2555, un vajadzības gadījumā apspriežas ar attiecīgajām kompetentajām iestādēm, kas izraudzītas vai izveidotas saskaņā ar minēto direktīvu, lai izvairītos no tādu tehnisko un organizatorisko pasākumu dublēšanās, kas, ievērojot minēto direktīvu, varētu attiekties uz kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus;

| c) | ciktāl iespējams, cenšas līdz minimumam samazināt risku, ka tiek traucēti kritiski svarīgo trešo personu sniegtie IKT pakalpojumi klientiem, kas ir vienības, kuras neietilpst šīs regulas darbības jomā. |
| --- | --- |

c)

ciktāl iespējams, cenšas līdz minimumam samazināt risku, ka tiek traucēti kritiski svarīgo trešo personu sniegtie IKT pakalpojumi klientiem, kas ir vienības, kuras neietilpst šīs regulas darbības jomā.

3.   Pirms 1. punktā minēto pilnvaru īstenošanas galvenais pārraugs apspriežas ar Pārraudzības forumu.

Pirms sniegt ieteikumus saskaņā ar 1. punkta d) apakšpunktu, galvenais pārraugs dod iespēju trešai personai, kas sniedz IKT pakalpojumus, 30 kalendāro dienu laikā sniegt attiecīgu informāciju, kurā pamatoti izklāstītas gaidāmās sekas klientiem, kas ir vienības, kuras neietilpst šīs regulas darbības jomā, un attiecīgā gadījumā formulēti risinājumi risku mazināšanai.

4.   Galvenais pārraugs informē JON par 1. punkta a) un b) apakšpunktā minēto pilnvaru īstenošanas rezultātiem. Galvenais pārraugs bez nepamatotas kavēšanās 1. punkta c) apakšpunktā minētos ziņojumus nosūta JON un to finanšu vienību kompetentajām iestādēm, kuras izmanto attiecīgās kritiski svarīgās trešās personas sniegtos IKT pakalpojumus.

5.   Kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, labticīgi sadarbojas ar galveno pārraugu un palīdz tam pildīt tā uzdevumus.

6.   Gadījumā, ja pilnībā vai daļēji netiek veikti pasākumi, kurus ir noteikts pienākums veikt, ievērojot saskaņā ar 1. punkta a), b) un c) apakšpunktā paredzēto pilnvaru īstenošanu, un pēc tam, kad ir pagājušas vismaz 30 kalendārās dienas no dienas, kurā kritiski svarīgā trešā persona, kas sniedz IKT pakalpojumus, saņēma paziņojumu par attiecīgajiem pasākumiem, galvenais pārraugs pieņem lēmumu, ar ko piemēro periodisku soda maksājumu, lai piespiestu kritiski svarīgo trešo personu, kas sniedz IKT pakalpojumus, ievērot minētos pasākumus.

7.   Šā panta 6. punktā minēto periodisko soda maksājumu piemēro katru dienu, līdz tiek panākta atbilstības prasību ievērošana, un ne ilgāk kā sešus mēnešus pēc tam, kad par lēmumu piemērot periodisku soda maksājumu ir paziņots kritiski svarīgajai trešai personai, kas sniedz IKT pakalpojumus.

8.   Periodiskā soda maksājuma summa, rēķinot no lēmumā par periodiska soda maksājuma piemērošanu paredzētā datuma, nepārsniedz 1 % no kritiski svarīgās trešās personas, kas sniedz IKT pakalpojumus, dienas vidējā apgrozījuma pasaulē iepriekšējā finanšu gadā. Nosakot soda maksājuma lielumu, galvenais pārraugs ņem vērā šādus kritērijus attiecībā uz neatbilstību 6. punktā minētajiem pasākumiem:

| a) | neatbilstības smagums un ilgums; |
| --- | --- |

a)

neatbilstības smagums un ilgums;

| b) | tas, vai neatbilstība ir notikusi tīši vai nolaidības dēļ; |
| --- | --- |

b)

tas, vai neatbilstība ir notikusi tīši vai nolaidības dēļ;

| c) | apmērs, kādā trešā persona, kas sniedz IKT pakalpojumus, ir sadarbojusies ar galveno pārraugu. |
| --- | --- |

c)

apmērs, kādā trešā persona, kas sniedz IKT pakalpojumus, ir sadarbojusies ar galveno pārraugu.

Pirmās daļas nolūkos, lai panāktu konsekventu pieeju, galvenais pārraugs iesaistās apspriedēs JON ietvaros.

9.   Soda maksājums ir administratīvs un izpildāms piespiedu kārtā. Izpildi reglamentē tās valsts spēkā esošās civilprocesa normas, kurā veic pārbaudes un notiek piekļuve. Attiecīgās dalībvalsts tiesām ir piekritīgas ar izpildes procesa pārkāpumiem saistītās sūdzības. Soda maksājumu summas ieskaita Eiropas Savienības vispārējā budžetā.

10.   Galvenais pārraugs publisko informāciju par visiem piemērotajiem periodiskajiem soda maksājumiem, ja vien šādas informācijas publiskošana būtiski nekaitē finanšu tirgiem vai nerada nesamērīgu kaitējumu iesaistītajām personām.

11.   Galvenais pārraugs pirms periodiska soda maksājuma piemērošanas saskaņā ar 6. punktu nodrošina procesā iesaistītās kritiski svarīgās trešās personas, kas sniedz IKT pakalpojumus, pārstāvjiem tiesības tikt uzklausītiem attiecībā uz konstatējumiem, kā arī pamato savus lēmumus tikai ar konstatējumiem, par kuriem procesā iesaistītajām kritiski svarīgajām trešām personām, kas sniedz IKT pakalpojumus, ir bijis iespējams izteikties.

Lietas izskatīšanā pilnībā ievēro procesā iesaistīto personu tiesības uz aizstāvību. Procesā iesaistītā kritiski svarīgā trešā persona, kas sniedz IKT pakalpojumus, ir tiesīga piekļūt lietas materiāliem, ievērojot citu personu likumīgās intereses attiecībā uz viņu komercnoslēpumu aizsardzību. Tiesības piekļūt lietas materiāliem neattiecas uz konfidenciālu informāciju vai galvenā pārrauga iekšējiem darba sagatavošanas dokumentiem.

36. pants

Galvenā pārrauga pilnvaru īstenošana ārpus Savienības

1.   Ja pārraudzības mērķus nevar sasniegt, mijiedarbojoties ar 31. panta 12. punkta nolūkā izveidoto meitasuzņēmuma struktūru vai īstenojot pārraudzības darbības Savienībā esošās telpās, galvenais pārraugs var īstenot pilnvaras, kas minētas turpmāk minētajos noteikumos, jebkādās telpās, kas atrodas trešā valstī un kas pieder kritiski svarīgai trešai persona, kas sniedz IKT pakalpojumus, vai ko tā izmanto jebkādā veidā pakalpojumu sniegšanai Savienības finanšu vienībām, saistībā ar tās uzņēmējdarbību, funkcijām vai pakalpojumiem, tostarp jebkādos administratīvajos, darījumu vai darbības birojos, telpās, zemēs, ēkās vai citos īpašumos:

| a) | 35. panta 1. punkta a) apakšpunktā; un |
| --- | --- |

a)

35. panta 1. punkta a) apakšpunktā; un

| b) | 35. panta 1. punkta b) apakšpunktā saskaņā ar 38. panta 2. punkta a), b) un d) apakšpunktu un 39. panta 1. punktā un 2. punkta a) apakšpunktā. |
| --- | --- |

b)

35. panta 1. punkta b) apakšpunktā saskaņā ar 38. panta 2. punkta a), b) un d) apakšpunktu un 39. panta 1. punktā un 2. punkta a) apakšpunktā.

Pirmajā daļā minētās pilnvaras var īstenot, ievērojot visus turpmāk minētos nosacījumus:

| i) | galvenais pārraugs pārbaudes veikšanu trešā valstī uzskata par nepieciešamu, lai varētu pilnīgi un efektīvi veikt savus šajā regulā paredzētos pienākumus; |
| --- | --- |

i)

galvenais pārraugs pārbaudes veikšanu trešā valstī uzskata par nepieciešamu, lai varētu pilnīgi un efektīvi veikt savus šajā regulā paredzētos pienākumus;

| ii) | pārbaude trešā valstī ir tieši saistīta ar IKT pakalpojumu sniegšanu finanšu vienībām Savienībā; |
| --- | --- |

ii)

pārbaude trešā valstī ir tieši saistīta ar IKT pakalpojumu sniegšanu finanšu vienībām Savienībā;

| iii) | attiecīgā kritiski svarīgā trešā persona, kas sniedz IKT pakalpojumus, piekrīt pārbaudes veikšanai trešā valstī; un |
| --- | --- |

iii)

attiecīgā kritiski svarīgā trešā persona, kas sniedz IKT pakalpojumus, piekrīt pārbaudes veikšanai trešā valstī; un

| iv) | galvenais pārraugs ir oficiāli informējis attiecīgās trešās valsts attiecīgo iestādi, un tā nav pret to cēlusi nekādus iebildumus. |
| --- | --- |

iv)

galvenais pārraugs ir oficiāli informējis attiecīgās trešās valsts attiecīgo iestādi, un tā nav pret to cēlusi nekādus iebildumus.

2.   Neskarot Savienības iestāžu un dalībvalstu attiecīgo kompetenci, 1. punkta nolūkos EBI, EVTI vai EAAPI noslēdz administratīvās sadarbības vienošanās ar trešās valsts attiecīgo iestādi, lai galvenais pārraugs un tā izraudzītā darba grupa nosūtījumam attiecīgajā trešajā valstī varētu raiti veikt pārbaudes minētajā trešā valstī. Minētās sadarbības vienošanās nerada juridiskas saistības attiecībā uz Savienību un tās dalībvalstīm, nedz arī liedz dalībvalstīm un to kompetentajām iestādēm slēgt divpusējas vai daudzpusējas vienošanās ar minētajām trešām valstīm un to attiecīgajām iestādēm.

Minētajās sadarbības vienošanās norāda vismaz šādus elementus:

| a) | koordinācijas procedūras attiecībā uz pārraudzības darbībām, ko veic saskaņā ar šo regulu, un jebkādu analogu pārraudzību attiecībā uz IKT trešo personu risku finanšu nozarē, kuru īsteno attiecīgās trešās valsts attiecīgā iestāde, tostarp informāciju par to, kā tiek nosūtīta minētās iestādes piekrišana tam, ka galvenais pārraugs un tā izraudzītā darba grupa iestādes jurisdikcijā esošajā teritorijā veic vispārēju izmeklēšanu un pārbaudes uz vietas, kā minēts 1. punkta pirmajā daļā; |
| --- | --- |

a)

koordinācijas procedūras attiecībā uz pārraudzības darbībām, ko veic saskaņā ar šo regulu, un jebkādu analogu pārraudzību attiecībā uz IKT trešo personu risku finanšu nozarē, kuru īsteno attiecīgās trešās valsts attiecīgā iestāde, tostarp informāciju par to, kā tiek nosūtīta minētās iestādes piekrišana tam, ka galvenais pārraugs un tā izraudzītā darba grupa iestādes jurisdikcijā esošajā teritorijā veic vispārēju izmeklēšanu un pārbaudes uz vietas, kā minēts 1. punkta pirmajā daļā;

| b) | mehānisms, saskaņā ar kuru tiek nosūtīta visa nozīmīgā informācija starp EBI, EVTI vai EAAPI un attiecīgās trešās valsts attiecīgo iestādi, jo īpaši saistībā ar informāciju, ko var pieprasīt galvenais pārraugs, ievērojot 37. pantu; |
| --- | --- |

b)

mehānisms, saskaņā ar kuru tiek nosūtīta visa nozīmīgā informācija starp EBI, EVTI vai EAAPI un attiecīgās trešās valsts attiecīgo iestādi, jo īpaši saistībā ar informāciju, ko var pieprasīt galvenais pārraugs, ievērojot 37. pantu;

| c) | mehānisms, saskaņā ar kuru attiecīgās trešās valsts attiecīgā iestāde ātri informē EBI, EVTI vai EAAPI par gadījumiem, kad ir uzskatāms, ka trešā valstī iedibināta trešā persona, kas sniedz IKT pakalpojumus un kas ir izraudzīta kā kritiski svarīga saskaņā ar 31. panta 1. punkta a) apakšpunktu, ir pārkāpusi prasības, kuras tai ir pienākums ievērot saskaņā ar attiecīgās trešās valsts spēkā esošajiem tiesību aktiem, kad tiek sniegti pakalpojumi finanšu vienībām minētajā trešajā valstī, kā arī par piemērotajiem tiesiskās aizsardzības līdzekļiem un sodiem; |
| --- | --- |

c)

mehānisms, saskaņā ar kuru attiecīgās trešās valsts attiecīgā iestāde ātri informē EBI, EVTI vai EAAPI par gadījumiem, kad ir uzskatāms, ka trešā valstī iedibināta trešā persona, kas sniedz IKT pakalpojumus un kas ir izraudzīta kā kritiski svarīga saskaņā ar 31. panta 1. punkta a) apakšpunktu, ir pārkāpusi prasības, kuras tai ir pienākums ievērot saskaņā ar attiecīgās trešās valsts spēkā esošajiem tiesību aktiem, kad tiek sniegti pakalpojumi finanšu vienībām minētajā trešajā valstī, kā arī par piemērotajiem tiesiskās aizsardzības līdzekļiem un sodiem;

| d) | regulāra aktuālās informācijas nosūtīšana par norisēm saistībā ar regulējumu un uzraudzību attiecībā uz finanšu iestāžu ar trešo personu saistītā IKT riska uzraudzību attiecīgajā trešā valstī; |
| --- | --- |

d)

regulāra aktuālās informācijas nosūtīšana par norisēm saistībā ar regulējumu un uzraudzību attiecībā uz finanšu iestāžu ar trešo personu saistītā IKT riska uzraudzību attiecīgajā trešā valstī;

| e) | informācija par to, ka vajadzības gadījumā tiek atļauta attiecīgās trešās valsts iestādes pārstāvja piedalīšanās pārbaudēs, ko veic galvenais pārraugs un izraudzītā darba grupa. |
| --- | --- |

e)

informācija par to, ka vajadzības gadījumā tiek atļauta attiecīgās trešās valsts iestādes pārstāvja piedalīšanās pārbaudēs, ko veic galvenais pārraugs un izraudzītā darba grupa.

3.   Ja galvenais pārraugs nespēj veikt 1. un 2. punktā minētās pārraudzības darbības ārpus Savienības, galvenais pārraugs:

| a) | īsteno savas 35. pantā paredzētās pilnvaras, pamatojoties uz visiem tam pieejamajiem faktiem un dokumentiem; |
| --- | --- |

a)

īsteno savas 35. pantā paredzētās pilnvaras, pamatojoties uz visiem tam pieejamajiem faktiem un dokumentiem;

| b) | dokumentē un skaidro visas sekas, kādas rada tā nespēja veikt paredzētās pārraudzības darbības, kā minēts šajā pantā. |
| --- | --- |

b)

dokumentē un skaidro visas sekas, kādas rada tā nespēja veikt paredzētās pārraudzības darbības, kā minēts šajā pantā.

Šā punkta b) apakšpunktā minētās iespējamās sekas tiek ņemtas vērā galvenā pārrauga ieteikumos, ko izdod, ievērojot 35. panta 1. punkta d) apakšpunktu.

37. pants

Informācijas pieprasījums

1.   Galvenais pārraugs ar vienkāršu pieprasījumu vai lēmumu var noteikt, ka kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, ir jāsniedz visa informācija, kas galvenajam pārraugam ir nepieciešama, lai pildītu šajā regulā noteiktos pienākumus, tostarp visus attiecīgos uzņēmējdarbības vai darbības dokumentus, līgumus, rīcībpolitikas, dokumentāciju, IKT drošības revīzijas ziņojumus, ar IKT saistītu incidentu ziņojumus, kā arī jebkuru informāciju, kas ir saistīta ar personām, kam kritiski svarīga trešā persona, kas sniedz IKT pakalpojumus, ir nodevusi ārpakalpojumā darbības funkcijas vai darbības.

2.   Sūtot vienkāršu pieprasījumu sniegt informāciju saskaņā ar 1. punktu, galvenais pārraugs:

| a) | atsaucas uz šo pantu kā pieprasījuma juridisko pamatu; |
| --- | --- |

a)

atsaucas uz šo pantu kā pieprasījuma juridisko pamatu;

| b) | norāda pieprasījuma mērķi; |
| --- | --- |

b)

norāda pieprasījuma mērķi;

| c) | norāda, kāda informācija ir vajadzīga; |
| --- | --- |

c)

norāda, kāda informācija ir vajadzīga;

| d) | nosaka termiņu, līdz kuram informācija ir jāsniedz; |
| --- | --- |

d)

nosaka termiņu, līdz kuram informācija ir jāsniedz;

| e) | informē kritiski svarīgās trešās personas, kas sniedz IKT pakalpojumus un no kuras tiek pieprasīta informācija, pārstāvi, ka tā var nesniegt šo informāciju, bet, ja tā atbildi sniedz brīvprātīgi, sniegtā informācija nedrīkst būt nepatiesa un maldinoša. |
| --- | --- |

e)

informē kritiski svarīgās trešās personas, kas sniedz IKT pakalpojumus un no kuras tiek pieprasīta informācija, pārstāvi, ka tā var nesniegt šo informāciju, bet, ja tā atbildi sniedz brīvprātīgi, sniegtā informācija nedrīkst būt nepatiesa un maldinoša.

3.   Ar lēmumu pieprasot sniegt informāciju saskaņā ar 1. punktu, galvenais pārraugs:

| a) | atsaucas uz šo pantu kā pieprasījuma juridisko pamatu; |
| --- | --- |

a)

atsaucas uz šo pantu kā pieprasījuma juridisko pamatu;

| b) | norāda pieprasījuma mērķi; |
| --- | --- |

b)

norāda pieprasījuma mērķi;

| c) | norāda, kāda informācija ir vajadzīga; |
| --- | --- |

c)

norāda, kāda informācija ir vajadzīga;

| d) | nosaka termiņu, līdz kuram informācija ir jāsniedz; |
| --- | --- |

d)

nosaka termiņu, līdz kuram informācija ir jāsniedz;

| e) | norāda 35. panta 6. punktā paredzēto periodisko soda maksājumu, ja pieprasītā informācija nav sniegta pilnā apmērā vai ja šāda informācija netiek sniegta šā punkta d) apakšpunktā minētajā termiņā; |
| --- | --- |

e)

norāda 35. panta 6. punktā paredzēto periodisko soda maksājumu, ja pieprasītā informācija nav sniegta pilnā apmērā vai ja šāda informācija netiek sniegta šā punkta d) apakšpunktā minētajā termiņā;

| f) | norāda uz tiesībām šo lēmumu apstrīdēt EUI Apelācijas padomē un uz iespēju to pārskatīt Eiropas Savienības Tiesā (Tiesa) saskaņā ar 60. un 61. pantu Regulās (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 un (ES) Nr. 1095/2010. |
| --- | --- |

f)

norāda uz tiesībām šo lēmumu apstrīdēt EUI Apelācijas padomē un uz iespēju to pārskatīt Eiropas Savienības Tiesā (Tiesa) saskaņā ar 60. un 61. pantu Regulās (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 un (ES) Nr. 1095/2010.

4.   Pieprasīto informāciju sniedz kritiski svarīgo trešo personu, kas sniedz IKT pakalpojumus, pārstāvji. Juristi, kas ir attiecīgi pilnvaroti rīkoties, var sniegt informāciju savu klientu vārdā. Kritiski svarīga trešā persona, kas sniedz IKT pakalpojumus, ir pilnībā atbildīga, ja sniegtā informācija ir nepilnīga, nepareiza vai maldinoša.

5.   Galvenais pārraugs nekavējoties nosūta lēmuma par informācijas sniegšanu kopiju to finanšu vienību kompetentajām iestādēm, kuras izmanto attiecīgo kritiski svarīgo trešo personu, kas sniedz IKT pakalpojumus, sniegtos pakalpojumus, un JON.

38. pants

Vispārēja izmeklēšana

1.   Lai veiktu savus pienākumus saskaņā ar šo regulu, galvenais pārraugs, kam palīdz 40. panta 1. punktā minētā kopīgā pārbaudes grupa, vajadzības gadījumā var veikt izmeklēšanu par kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus.

2.   Galvenais pārraugs ir pilnvarots:

| a) | pārbaudīt uzskaites dokumentus, datus, procedūras un pārējos materiālus, kas saistīti ar tā uzdevumu izpildi, neatkarīgi no tā, kādā veidā šī informācija tiek glabāta; |
| --- | --- |

a)

pārbaudīt uzskaites dokumentus, datus, procedūras un pārējos materiālus, kas saistīti ar tā uzdevumu izpildi, neatkarīgi no tā, kādā veidā šī informācija tiek glabāta;

| b) | noņemt vai iegūt šādu uzskaites dokumentu, datu, dokumentētu procedūru un jebkādu citu materiālu apstiprinātas kopijas vai izrakstus; |
| --- | --- |

b)

noņemt vai iegūt šādu uzskaites dokumentu, datu, dokumentētu procedūru un jebkādu citu materiālu apstiprinātas kopijas vai izrakstus;

| c) | izsaukt kritiski svarīgās trešās personas, kas sniedz IKT pakalpojumus, pārstāvjus sniegt mutiskus vai rakstiskus paskaidrojumus par faktiem vai dokumentiem, kas attiecas uz izmeklēšanas priekšmetu un mērķi, un fiksēt atbildes; |
| --- | --- |

c)

izsaukt kritiski svarīgās trešās personas, kas sniedz IKT pakalpojumus, pārstāvjus sniegt mutiskus vai rakstiskus paskaidrojumus par faktiem vai dokumentiem, kas attiecas uz izmeklēšanas priekšmetu un mērķi, un fiksēt atbildes;

| d) | iztaujāt jebkuru citu fizisku vai juridisku personu, kas piekrīt iztaujāšanai, lai iegūtu informāciju, kas saistīta ar izmeklēšanas priekšmetu; |
| --- | --- |

d)

iztaujāt jebkuru citu fizisku vai juridisku personu, kas piekrīt iztaujāšanai, lai iegūtu informāciju, kas saistīta ar izmeklēšanas priekšmetu;

| e) | pieprasīt telefona sarunu izdrukas vai datplūsmas pārskatus. |
| --- | --- |

e)

pieprasīt telefona sarunu izdrukas vai datplūsmas pārskatus.

3.   Amatpersonas un citas personas, ko galvenais pārraugs pilnvarojis veikt 1. punktā minēto izmeklēšanu, īsteno savas pilnvaras, uzrādot rakstisku atļauju, kurā norādīts izmeklēšanas priekšmets un mērķis.

Minētajā atļaujā norāda arī 35. panta 6. punktā paredzētos periodiskos soda maksājumus, ja pieprasīto uzskaites dokumentu, datu, dokumentētu procedūru vai citu materiālu sagatavošana vai atbilžu sniegšana uz trešās personas, kas sniedz IKT pakalpojumus, pārstāvjiem uzdotajiem jautājumiem nenotiek vai ir nepilnīga.

4.   Kritiski svarīgo trešo personu, kas sniedz IKT pakalpojumus, pārstāvjiem ir jāpakļaujas izmeklēšanai, pamatojoties uz galvenā pārrauga lēmumu. Lēmumā nosaka izmeklēšanas priekšmetu un mērķi, periodiskos soda maksājumus, kas paredzēti 35. panta 6. punktā, tiesiskās aizsardzības līdzekļus, kuri pieejami saskaņā ar Regulām (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 un (ES) Nr. 1095/2010, un tiesības vērsties Tiesā, lai šo lēmumu pārskatītu.

5.   Pirms izmeklēšanas sākuma galvenais pārraugs laicīgi informē to finanšu vienību kompetentās iestādes, kas izmanto IKT pakalpojumus, ko sniedz šī kritiski svarīgā trešā persona, kas sniedz IKT pakalpojumus, par paredzēto izmeklēšanu un atļauju saņēmušo personu identitāti.

Galvenais pārraugs paziņo JON visu informāciju, kas nodota saskaņā ar pirmo daļu.

39. pants

Pārbaudes

1.   Lai veiktu savus pienākumus saskaņā ar šo regulu, galvenais pārraugs, kam palīdz 40. panta 1. punktā minētās kopīgās pārbaudes grupas, var ieiet un veikt visas vajadzīgās pārbaudes uz vietas visās trešo personu, kas sniedz IKT pakalpojumus, uzņēmuma telpās, zemes gabalos vai īpašumos, piemēram, galvenajos birojos, operāciju centros, rezerves telpās, kā arī veikt pārbaudes bezsaistē.

Lai īstenotu pirmajā daļā minētās pilnvaras, galvenais pārraugs apspriežas ar JON.

2.   Amatpersonas un citas personas, kuras galvenais pārraugs pilnvarojis veikt pārbaudi uz vietas, ir tiesīgas:

| a) | iekļūt jebkurās šādās uzņēmuma telpās, zemes gabalos vai īpašumā; un |
| --- | --- |

a)

iekļūt jebkurās šādās uzņēmuma telpās, zemes gabalos vai īpašumā; un

| b) | aizzīmogot jebkuras šāda uzņēmuma telpas, uzskaites žurnālus un reģistrus uz tik ilgu laiku un tādā apjomā, kāds vajadzīgs pārbaudei. |
| --- | --- |

b)

aizzīmogot jebkuras šāda uzņēmuma telpas, uzskaites žurnālus un reģistrus uz tik ilgu laiku un tādā apjomā, kāds vajadzīgs pārbaudei.

Amatpersonas un citas personas, kuras galvenais pārraugs pilnvarojis, īsteno savas pilnvaras, uzrādot rakstisku atļauju, kurā norādīts pārbaudes priekšmets un mērķis, kā arī 35. panta 6. punktā paredzētie periodiskie soda maksājumi gadījumam, ja attiecīgo kritiski svarīgo trešo personu, kas sniedz IKT pakalpojumus, pārstāvji nepakļaujas pārbaudei.

3.   Pirms pārbaudes sākuma galvenais pārraugs laicīgi informē to finanšu vienību kompetentās iestādes, kas izmanto IKT pakalpojumus, ko sniedz minētā trešā persona.

4.   Pārbaudes aptver visu attiecīgo IKT sistēmu, tīklu, ierīču, informācijas un datu klāstu, ko vai nu izmanto IKT pakalpojumu sniegšanai finanšu vienībām, vai kas sekmē šādu pakalpojumu sniegšanu.

5.   Pirms jebkādas plānotas pārbaudes uz vietas galvenais pārraugs saprātīgā termiņā par to paziņo kritiski svarīgajām trešām personām, kas sniedz IKT pakalpojumus, ja vien šāds paziņojums nav iespējams ārkārtas vai krīzes situācijas dēļ vai ja tas radītu situāciju, kad pārbaude vai revīzija vairs nebūtu efektīva.

6.   Kritiski svarīga trešā persona, kas sniedz IKT pakalpojumus, pakļaujas pārbaudei uz vietas, ko uzdots veikt ar galvenā pārrauga lēmumu. Šajā lēmumā norāda pārbaudes priekšmetu un mērķi, nosaka dienu, kurā pārbaude sāksies, un norāda periodiskos soda maksājumus, kas paredzēti 35. panta 6. punktā, tiesiskās aizsardzības līdzekļus, kas pieejami saskaņā ar Regulām (ES) Nr. 1093/2010, (ES) Nr. 1094/2010 un (ES) Nr. 1095/2010, kā arī tiesības vērsties Tiesā, lai šo lēmumu pārskatītu.

7.   Ja galvenā pārrauga pilnvarotās amatpersonas un citas personas konstatē, ka kritiski svarīga trešā persona, kas sniedz IKT pakalpojumus, iebilst pret pārbaudi, kas noteikta saskaņā ar šo pantu, galvenais pārraugs informē kritiski svarīgo trešo personu, kas sniedz IKT pakalpojumus, par šāda iebilduma sekām, tostarp par iespēju attiecīgo finanšu vienību kompetentajām iestādēm prasīt finanšu vienībām izbeigt ar minēto kritiski svarīgo trešo personu, kas sniedz IKT pakalpojumus, noslēgtās līgumiskās vienošanās.

40. pants

Pastāvīgā pārraudzība

1.   Veicot pārraudzības darbības, jo īpaši vispārēju izmeklēšanu vai pārbaudes, galvenajam pārraugam palīdz katrai kritiski svarīgajai trešai personai, kas sniedz IKT pakalpojumus, izveidota kopīga pārbaudes grupa.

2.   Šā panta 1. punktā minētās kopīgās pārbaudes grupas sastāvā ir darbinieki no:

| a) | EUI; |
| --- | --- |

a)

EUI;

| b) | attiecīgajām kompetentajām iestādēm, kas uzrauga finanšu vienības, kurām IKT pakalpojumus sniedz kritiski svarīga trešā persona, kas sniedz IKT pakalpojumus; |
| --- | --- |

b)

attiecīgajām kompetentajām iestādēm, kas uzrauga finanšu vienības, kurām IKT pakalpojumus sniedz kritiski svarīga trešā persona, kas sniedz IKT pakalpojumus;

| c) | valsts kompetentās iestādes, kas minēta 32. panta 4. punkta e) apakšpunktā, – brīvprātīgā kārtā; |
| --- | --- |

c)

valsts kompetentās iestādes, kas minēta 32. panta 4. punkta e) apakšpunktā, – brīvprātīgā kārtā;

| d) | vienas valsts kompetentās iestādes dalībvalstī, kurā ir iedibināta kritiski svarīgā trešā persona, kas sniedz IKT pakalpojumus, – brīvprātīgā kārtā. |
| --- | --- |

d)

vienas valsts kompetentās iestādes dalībvalstī, kurā ir iedibināta kritiski svarīgā trešā persona, kas sniedz IKT pakalpojumus, – brīvprātīgā kārtā.

Kopīgās pārbaudes grupas dalībniekiem ir zināšanas IKT jautājumos un operacionālā riska jomā. Kopīgā pārbaudes grupa strādā iecelta galvenā pārrauga darbinieka (“galvenā pārrauga koordinators”) vadībā.

3.   Trīs mēnešu laikā pēc tam, kad pabeigta izmeklēšana vai pārbaude, galvenais pārraugs, apspriedies ar Pārraudzības forumu, pieņem ieteikumus, ko saskaņā ar 35. pantā minētajām pilnvarām adresē kritiski svarīgajai trešai personai, kas sniedz IKT pakalpojumus.

4.   Šā panta 3. punktā minētos ieteikumus nekavējoties paziņo kritiski svarīgajai trešai personai, kas sniedz IKT pakalpojumus, un to finanšu vienību kompetentajām iestādēm, kurām tas sniedz IKT pakalpojumus.

Lai izpildītu pārraudzības darbības, galvenais pārraugs var ņemt vērā visus attiecīgos trešās personas izsniegtos sertifikātus un trešās personas, kas sniedz IKT pakalpojumus, iekšējās vai ārējās revīzijas ziņojumus, ko darījusi pieejamus kritiski svarīgā trešā persona, kas sniedz IKT pakalpojumus.

41. pants

Saskaņoti nosacījumi, kas ļauj veikt pārraudzības darbības

1.   EUI ar Apvienotās komitejas starpniecību izstrādā regulatīvo tehnisko standartu projektus, lai noteiktu:

| a) | informāciju, kas trešai personai, kas sniedz IKT pakalpojumus, jāsniedz pieteikumā ar brīvprātīgu pieprasījumu izraudzīšanai par kritiski svarīgu saskaņā ar par 31. panta 11. punktu; |
| --- | --- |

a)

informāciju, kas trešai personai, kas sniedz IKT pakalpojumus, jāsniedz pieteikumā ar brīvprātīgu pieprasījumu izraudzīšanai par kritiski svarīgu saskaņā ar par 31. panta 11. punktu;

| b) | tās informācijas saturu, struktūru un formātu, kas trešai personai, kas sniedz IKT pakalpojumus, jāiesniedz, jāatklāj vai jāpaziņo saskaņā ar 35. panta 1. punktu, tostarp veidni informācijas sniegšanai par apakšuzņēmuma līgumiem; |
| --- | --- |

b)

tās informācijas saturu, struktūru un formātu, kas trešai personai, kas sniedz IKT pakalpojumus, jāiesniedz, jāatklāj vai jāpaziņo saskaņā ar 35. panta 1. punktu, tostarp veidni informācijas sniegšanai par apakšuzņēmuma līgumiem;

| c) | kritērijus, pēc kuriem nosaka kopīgās pārbaudes grupas sastāvu, nodrošinot EUI un attiecīgo kompetento iestāžu darbinieku līdzsvarotu dalību, viņu iecelšanu, uzdevumus un darba procedūras; |
| --- | --- |

c)

kritērijus, pēc kuriem nosaka kopīgās pārbaudes grupas sastāvu, nodrošinot EUI un attiecīgo kompetento iestāžu darbinieku līdzsvarotu dalību, viņu iecelšanu, uzdevumus un darba procedūras;

| d) | detalizētu informāciju par kompetento iestāžu veikto novērtējumu attiecībā uz pasākumiem, ko veic kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, pamatojoties uz galvenā pārrauga ieteikumiem saskaņā ar 42. panta 3. punktu. |
| --- | --- |

d)

detalizētu informāciju par kompetento iestāžu veikto novērtējumu attiecībā uz pasākumiem, ko veic kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, pamatojoties uz galvenā pārrauga ieteikumiem saskaņā ar 42. panta 3. punktu.

2.   Minēto regulatīvo tehnisko standartu projektu EUI iesniedz Komisijai līdz 2024. gada 17. jūlijam.

Komisijai tiek deleģētas pilnvaras papildināt šo regulu, pieņemot 1. punktā minētos regulatīvos tehniskos standartus saskaņā ar 10.–14. pantu Regulās (ES) Nr. 1093/2010, (ES) Nr. 1095/2010 un (ES) Nr. 1094/2010.

42. pants

Kompetento iestāžu turpmākā rīcība

1.   60 kalendāro dienu laikā pēc galvenā pārrauga sniegto ieteikumu saņemšanas saskaņā ar 35. panta 1. punkta d) apakšpunktu kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, vai nu informē galveno pārraugu par savu nodomu ievērot ieteikumus, vai sniedz pamatotu paskaidrojumu par minēto ieteikumu neievērošanu. Galvenais pārraugs nekavējoties nosūta šo informāciju attiecīgo finanšu vienību kompetentajām iestādēm.

2.   Galvenais pārraugs publisko informāciju, ja kritiski svarīga trešā persona, kas sniedz IKT pakalpojumus, neinformē galveno pārraugu saskaņā ar 1. punktu vai ja kritiski svarīgās trešās personas, kas sniedz IKT pakalpojumus, sniegtais skaidrojums netiek uzskatīts par pietiekamu. Publicētajā informācijā atklāj kritiski svarīgās trešās personas, kas sniedz IKT pakalpojumus, identitāti, kā arī informāciju par neatbilstības veidu un būtību. Šāda informācija attiecas tikai uz to, kas ir būtisks un samērīgs, lai nodrošinātu sabiedrības informētību, izņemot gadījumus, kad šāda publicēšana radītu nesamērīgu kaitējumu iesaistītajām pusēm vai varētu nopietni apdraudēt finanšu tirgu pienācīgu darbību un integritāti vai visas Savienības finanšu sistēmas vai tās daļas stabilitāti.

Galvenais pārraugs informē trešo personu, kas sniedz IKT pakalpojumus, par šādu publiskošanu.

3.   Kompetentās iestādes informē attiecīgās finanšu vienības par riskiem, kas identificēti kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, adresētajos ieteikumos saskaņā ar 35. panta 1. punkta d) apakšpunktu.

Pārvaldot ar trešo personu saistītu IKT risku, finanšu vienības ņem vērā pirmajā daļā minētos riskus.

4.   Ja kompetentā iestāde uzskata, ka finanšu vienība ar trešo personu saistīta IKT riska pārvaldībā neņem vērā vai pietiekami nenovērš ieteikumos apzinātos konkrētos riskus, tā paziņo finanšu vienībai par iespēju 60 kalendāro dienu laikā pēc šāda paziņojuma saņemšanas, ievērojot 6. punktu, pieņemt lēmumu, ja nav atbilstīgu līgumisku vienošanos, kuru mērķis ir novērst šādus riskus.

5.   Pēc 35. panta 1. punkta c) apakšpunktā minēto ziņojumu saņemšanas un pirms šā panta 6. punktā minētā lēmuma pieņemšanas kompetentās iestādes var brīvprātīgi apspriesties ar kompetentajām iestādēm, kas izraudzītas vai izveidotas saskaņā ar Direktīvu (ES) 2022/2555 un kas ir atbildīgas par tādas būtiskas vai svarīgas vienības uzraudzību, kura ir izraudzīta par kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, uz kuru attiecas minētā direktīva.

6.   Kompetentās iestādes kā galējo līdzekli pēc paziņojuma saņemšanas un attiecīgā gadījumā pēc apspriešanās, kā izklāstīts šā panta 4. un 5. punktā, saskaņā ar 50. pantu var noteikt finanšu vienībām pienākumu īslaicīgi pilnībā vai daļēji apturēt tāda IKT pakalpojuma izmantošanu vai izvietošanu, ko sniedz kritiski svarīga trešā persona, kamēr nav novērsti kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, adresētajos ieteikumos identificētie riski. Ja nepieciešams, tās var noteikt, ka finanšu vienībām ir pilnībā vai daļēji jāizbeidz attiecīgās līgumiskās vienošanās, kas ir noslēgtas ar kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus.

7.   Ja kritiski svarīga trešā persona, kas sniedz IKT pakalpojumus, atsakās apstiprināt ieteikumus, pamatojoties uz pieeju, kas atšķiras no tās, kuru iesaka galvenais pārraugs, un šāda atšķirīga pieeja var negatīvi ietekmēt lielu skaitu finanšu vienību vai ievērojamu finanšu nozares daļu, un kompetento iestāžu atsevišķi brīdinājumi nav devuši konsekventu pieeju, lai mazinātu iespējamo risku finanšu stabilitātei, galvenais pārraugs pēc apspriešanās ar Pārraudzības forumu var kompetentajām iestādēm sniegt nesaistošus un nepubliskus atzinumus, lai vajadzības gadījumā veicinātu konsekventus un saskaņotus pārraudzības pēcpasākumus.

8.   Pēc 35. panta 1. punkta c) apakšpunktā minēto ziņojumu saņemšanas kompetentās iestādes, pieņemot šā panta 6. punktā minēto lēmumu, ņem vērā kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, nenovērstā riska veidu un tā lielumu, kā arī neatbilstības smagumu saskaņā ar šādiem kritērijiem:

| a) | neatbilstības smagums un ilgums; |
| --- | --- |

a)

neatbilstības smagums un ilgums;

| b) | vai neatbilstība ir atklājusi būtiskus trūkumus kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, procedūrās, pārvaldības sistēmās, riska pārvaldībā un iekšējā kontrolē; |
| --- | --- |

b)

vai neatbilstība ir atklājusi būtiskus trūkumus kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, procedūrās, pārvaldības sistēmās, riska pārvaldībā un iekšējā kontrolē;

| c) | vai neatbilstība ir veicinājusi vai izraisījusi finanšu noziegumu vai kā citādi ir ar to saistīta; |
| --- | --- |

c)

vai neatbilstība ir veicinājusi vai izraisījusi finanšu noziegumu vai kā citādi ir ar to saistīta;

| d) | vai neatbilstība ir notikusi tīši vai nolaidības dēļ; |
| --- | --- |

d)

vai neatbilstība ir notikusi tīši vai nolaidības dēļ;

| e) | vai līgumisku vienošanos apturēšana vai izbeigšana rada risku finanšu vienības uzņēmējdarbības nepārtrauktībai, neskarot finanšu vienības centienus izvairīties no traucējumiem tā pakalpojumu sniegšanā; |
| --- | --- |

e)

vai līgumisku vienošanos apturēšana vai izbeigšana rada risku finanšu vienības uzņēmējdarbības nepārtrauktībai, neskarot finanšu vienības centienus izvairīties no traucējumiem tā pakalpojumu sniegšanā;

| f) | attiecīgā gadījumā – atzinums, ko sniedz kompetentās iestādes, kas izraudzītas vai izveidotas saskaņā ar Direktīvu (ES) 2022/2555 un ir atbildīgas par tādas būtiskas vai svarīgas vienības uzraudzību, kura ir izraudzīta par kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, uz kuru attiecas minētā direktīva un kas ir pieprasīts brīvprātīgi saskaņā ar šā panta 5. punktu. |
| --- | --- |

f)

attiecīgā gadījumā – atzinums, ko sniedz kompetentās iestādes, kas izraudzītas vai izveidotas saskaņā ar Direktīvu (ES) 2022/2555 un ir atbildīgas par tādas būtiskas vai svarīgas vienības uzraudzību, kura ir izraudzīta par kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, uz kuru attiecas minētā direktīva un kas ir pieprasīts brīvprātīgi saskaņā ar šā panta 5. punktu.

Kompetentās iestādes piešķir finanšu vienībām nepieciešamo laiku, lai tās varētu pielāgot līgumiskās vienošanās ar kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, lai izvairītos no negatīvas ietekmes uz to digitālās darbības noturību un ļautu tām izmantot atkāpšanās stratēģijas un pārejas plānus, kā minēts 28. pantā.

9.   Šā panta 6. punktā minēto lēmumu paziņo 32. panta 4. punkta a), b) un c) apakšpunktā minētajiem Pārraudzības foruma dalībniekiem un JON.

Kritiski svarīgās trešās personas, kas sniedz IKT pakalpojumus, kuras skar 6. punktā paredzētie lēmumi, pilnībā sadarbojas ar ietekmētajām finanšu vienībām, jo īpaši saistībā ar to līgumisko vienošanos apturēšanas vai izbeigšanas procesu.

10.   Kompetentās iestādes regulāri informē galveno pārraugu par pieejām un pasākumiem, ko tās veikušas, pildot finanšu vienību uzraudzības uzdevumus, kā arī par līgumiskajām vienošanām, ko noslēgušas finanšu vienības, ja kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus, nav daļēji vai pilnībā apstiprinājušas galvenā pārrauga tām adresētos ieteikumus.

11.   Galvenais pārraugs pēc pieprasījuma var sniegt papildu skaidrojumus par sniegtajiem ieteikumiem, lai palīdzētu kompetentajām iestādēm veikt turpmākus pasākumus.

43. pants

Pārraudzības maksas

1.   Galvenais pārraugs saskaņā ar šā panta 2. punktā minēto deleģēto aktu iekasē no kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, maksas, kas pilnībā sedz galvenā pārrauga nepieciešamos izdevumus saistībā ar pārraudzības uzdevumu veikšanu saskaņā ar šo regulu, tostarp visu to izmaksu atlīdzināšanu, kas var rasties 40. pantā minētās kopīgās pārbaudes grupas veiktā darba rezultātā, kā arī izmaksas par konsultācijām, ko sniedz neatkarīgie eksperti, kā minēts 32. panta 4. punkta otrajā daļā, saistībā ar jautājumiem, kas ir tiešās pārraudzības darbību jomā.

Kritiski svarīgai trešai personai, kas sniedz IKT pakalpojumus, piemērotās maksas sedz visas izmaksas, kas izriet no šajā iedaļā izklāstīto pienākumu izpildes, un ir proporcionālas tā apgrozījumam.

2.   Komisija tiek pilnvarota līdz 2024. gada 17. jūlijam pieņemt deleģēto aktu saskaņā ar 57. pantu, lai papildinātu šo regulu, nosakot maksas apmēru un tās samaksas veidu.

44. pants

Starptautiska sadarbība

1.   Neskarot 36. pantu, EBI, EVTI un EAAPI attiecīgi saskaņā ar 33. pantu Regulās (ES) Nr. 1093/2010, (ES) Nr. 1095/2010 un (ES) Nr. 1094/2010 var noslēgt administratīvas vienošanās ar trešo valstu regulatīvajām un uzraudzības iestādēm, lai veicinātu starptautisku sadarbību ar trešo personu saistītā IKT riska jomā dažādās finanšu nozarēs, jo īpaši izstrādājot IKT riska pārvaldības labākās prakses un kontroles, ietekmes mazināšanas pasākumu un incidentu atbilžu pārskatīšanas labāko praksi.

2.   EUI ar Apvienotās komitejas starpniecību ik pēc pieciem gadiem iesniedz Eiropas Parlamentam, Padomei un Komisijai kopīgu konfidenciālu ziņojumu, kurā apkopoti secinājumi par attiecīgajām diskusijām ar 1. punktā minētajām trešo valstu iestādēm, veltot uzmanību ar trešo personu saistītā IKT riska attīstībai un ietekmei uz finanšu stabilitāti, tirgus integritāti, ieguldītāju aizsardzību un iekšējā tirgus darbību.

VI NODAĻA

Informācijas apmaiņas kārtība

45. pants

Kiberdraudu informācijas un izlūkdatu informācijas apmaiņas kārtība

1.   Finanšu vienības var savstarpēji apmainīties ar informāciju par kiberdraudiem un izlūkdatiem, tostarp pazīmēm, kas liecina par kompromitēšanu, taktiku, paņēmieniem un procedūrām, kiberdraudu trauksmes signāliem un konfigurēšanas rīkiem, ciktāl šāda informācijas un izlūkdatu koplietošana:

| a) | ir ar mērķi uzlabot finanšu vienību digitālās darbības noturību, jo īpaši palielinot informētību attiecībā uz kiberdraudiem, ierobežojot vai traucējot kiberdraudu izplatīšanos, atbalstot aizsardzības spējas, apdraudējuma atklāšanas metodes, seku mazināšanas stratēģijas vai reaģēšanas un seku novēršanas posmus; |
| --- | --- |

a)

ir ar mērķi uzlabot finanšu vienību digitālās darbības noturību, jo īpaši palielinot informētību attiecībā uz kiberdraudiem, ierobežojot vai traucējot kiberdraudu izplatīšanos, atbalstot aizsardzības spējas, apdraudējuma atklāšanas metodes, seku mazināšanas stratēģijas vai reaģēšanas un seku novēršanas posmus;

| b) | notiek uzticamās finanšu vienību kopienās; |
| --- | --- |

b)

notiek uzticamās finanšu vienību kopienās;

| c) | tiek īstenota, izmantojot informācijas apmaiņas pasākumus, kas aizsargā koplietotās informācijas iespējami sensitīvo raksturu, un ko reglamentē rīcības noteikumi, kuros pilnībā ievērota uzņēmējdarbības konfidencialitāte, personas datu aizsardzība saskaņā ar Regulu (ES) 2016/679 un nostādnes par konkurences politiku. |
| --- | --- |

c)

tiek īstenota, izmantojot informācijas apmaiņas pasākumus, kas aizsargā koplietotās informācijas iespējami sensitīvo raksturu, un ko reglamentē rīcības noteikumi, kuros pilnībā ievērota uzņēmējdarbības konfidencialitāte, personas datu aizsardzība saskaņā ar Regulu (ES) 2016/679 un nostādnes par konkurences politiku.

2.   Šā panta 1. punkta c) apakšpunkta vajadzībām informācijas apmaiņas kārtība nosaka dalības nosacījumus un vajadzības gadījumā sīkāk nosaka valsts iestāžu iesaisti un statusu, kādā tās var būt saistītas ar informācijas apmaiņas kārtību, par trešo personu, kas sniedz IKT pakalpojumus, iesaistīšanos un par darbības elementiem, tostarp specializētu IT platformu izmantošanu.

3.   Finanšu vienības paziņo kompetentajām iestādēm par savu dalību 1. punktā minētajos informācijas apmaiņas pasākumos pēc to dalības atzīšanas vai attiecīgā gadījumā – dalības izbeigšanas, kad tā stājusies spēkā.

VII NODAĻA

Kompetentās iestādes

46. pants

Kompetentās iestādes

Neskarot šīs regulas V nodaļas II iedaļā minētos noteikumus par kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, pārraudzības sistēmu, šīs regulas izpildi saskaņā ar pilnvarām, kas piešķirtas ar attiecīgiem tiesību aktiem, nodrošina šādas kompetentās iestādes:

| a) | kredītiestādēm un iestādēm, kam piemēro izņēmumu, ievērojot Direktīvu 2013/36/ES, – kompetentā iestāde, kas norīkota saskaņā ar minētās direktīvas 4. pantu, un kredītiestādēm, kas klasificētas kā nozīmīgas saskaņā ar Regulas (ES) Nr. 1024/2013 6. panta 4. punktu, – ECB saskaņā ar pilnvarām un uzdevumiem, kas piešķirti ar minēto regulu; |
| --- | --- |

a)

kredītiestādēm un iestādēm, kam piemēro izņēmumu, ievērojot Direktīvu 2013/36/ES, – kompetentā iestāde, kas norīkota saskaņā ar minētās direktīvas 4. pantu, un kredītiestādēm, kas klasificētas kā nozīmīgas saskaņā ar Regulas (ES) Nr. 1024/2013 6. panta 4. punktu, – ECB saskaņā ar pilnvarām un uzdevumiem, kas piešķirti ar minēto regulu;

| b) | maksājumu iestādēm, tostarp maksājumu iestādēm, kam piemēro izņēmumu saskaņā ar Direktīvu (ES) 2015/2366, elektroniskās naudas iestādēm, tostarp tām, kam piemēro izņēmumu saskaņā ar Direktīvu 2009/110/EK, un konta informācijas pakalpojumu sniedzējiem, kas minēti 33. panta 1. punktā Direktīvā (ES) 2015/2366 – kompetentā iestāde, kas norīkota saskaņā ar 22. pantu Direktīvā (ES) 2015/2366; |
| --- | --- |

b)

maksājumu iestādēm, tostarp maksājumu iestādēm, kam piemēro izņēmumu saskaņā ar Direktīvu (ES) 2015/2366, elektroniskās naudas iestādēm, tostarp tām, kam piemēro izņēmumu saskaņā ar Direktīvu 2009/110/EK, un konta informācijas pakalpojumu sniedzējiem, kas minēti 33. panta 1. punktā Direktīvā (ES) 2015/2366 – kompetentā iestāde, kas norīkota saskaņā ar 22. pantu Direktīvā (ES) 2015/2366;

| c) | ieguldījumu brokeru sabiedrībām – kompetentā iestāde, kas norīkota saskaņā ar Eiropas Parlamenta un Padomes Direktīvas (ES) 2019/2034 (38) 4. pantu; |
| --- | --- |

c)

ieguldījumu brokeru sabiedrībām – kompetentā iestāde, kas norīkota saskaņā ar Eiropas Parlamenta un Padomes Direktīvas (ES) 2019/2034 (38) 4. pantu;

38

| d) | kriptoaktīvu pakalpojumu sniedzējiem, kas saņēmuši atļauju saskaņā ar Regulu par kriptovalūtu tirgiem, un aktīviem piesaistītu žetonu emitentiem – kompetentā iestāde, kas norīkota saskaņā ar minētās regulas attiecīgo noteikumu; |
| --- | --- |

d)

kriptoaktīvu pakalpojumu sniedzējiem, kas saņēmuši atļauju saskaņā ar Regulu par kriptovalūtu tirgiem, un aktīviem piesaistītu žetonu emitentiem – kompetentā iestāde, kas norīkota saskaņā ar minētās regulas attiecīgo noteikumu;

| e) | centrālajiem vērtspapīru depozitārijiem – kompetentā iestāde, kas norīkota saskaņā ar Regulas (ES) Nr. 909/2014 11. pantu; |
| --- | --- |

e)

centrālajiem vērtspapīru depozitārijiem – kompetentā iestāde, kas norīkota saskaņā ar Regulas (ES) Nr. 909/2014 11. pantu;

| f) | centrālajiem darījumu partneriem – kompetentā iestāde, kas norīkota saskaņā ar Regulas (ES) Nr. 648/2012 22. pantu; |
| --- | --- |

f)

centrālajiem darījumu partneriem – kompetentā iestāde, kas norīkota saskaņā ar Regulas (ES) Nr. 648/2012 22. pantu;

| g) | tirdzniecības vietām un datu ziņošanas pakalpojumu sniedzējiem – kompetentā iestāde, kas norīkota saskaņā ar Direktīvas 2014/65/ES 67. pantu, un kompetentā iestāde, kā definēts Regulas (ES) Nr. 600/2014 2. panta 1. punkta 18) apakšpunktā; |
| --- | --- |

g)

tirdzniecības vietām un datu ziņošanas pakalpojumu sniedzējiem – kompetentā iestāde, kas norīkota saskaņā ar Direktīvas 2014/65/ES 67. pantu, un kompetentā iestāde, kā definēts Regulas (ES) Nr. 600/2014 2. panta 1. punkta 18) apakšpunktā;

| h) | darījumu reģistriem – kompetentā iestāde, kas norīkota saskaņā ar Regulas (ES) Nr. 648/2012 22. pantu; |
| --- | --- |

h)

darījumu reģistriem – kompetentā iestāde, kas norīkota saskaņā ar Regulas (ES) Nr. 648/2012 22. pantu;

| i) | alternatīvo ieguldījumu fondu pārvaldniekiem – kompetentā iestāde, kas norīkota saskaņā ar Direktīvas 2011/61/ES 44. pantu; |
| --- | --- |

i)

alternatīvo ieguldījumu fondu pārvaldniekiem – kompetentā iestāde, kas norīkota saskaņā ar Direktīvas 2011/61/ES 44. pantu;

| j) | pārvaldības sabiedrībām – kompetentā iestāde, kas norīkota saskaņā ar Direktīvas 2009/65/EK 97. pantu; |
| --- | --- |

j)

pārvaldības sabiedrībām – kompetentā iestāde, kas norīkota saskaņā ar Direktīvas 2009/65/EK 97. pantu;

| k) | apdrošināšanas sabiedrībām un pārapdrošināšanas sabiedrībām – kompetentā iestāde, kas norīkota saskaņā ar Direktīvas 2009/138/EK 30. pantu; |
| --- | --- |

k)

apdrošināšanas sabiedrībām un pārapdrošināšanas sabiedrībām – kompetentā iestāde, kas norīkota saskaņā ar Direktīvas 2009/138/EK 30. pantu;

| l) | apdrošināšanas starpniekiem, pārapdrošināšanas starpniekiem un apdrošināšanas papildpakalpojuma starpniekiem – kompetentā iestāde, kas norīkota saskaņā ar Direktīvas (ES) 2016/97 12. pantu; |
| --- | --- |

l)

apdrošināšanas starpniekiem, pārapdrošināšanas starpniekiem un apdrošināšanas papildpakalpojuma starpniekiem – kompetentā iestāde, kas norīkota saskaņā ar Direktīvas (ES) 2016/97 12. pantu;

| m) | arodpensijas kapitāla uzkrāšanas institūcijām – kompetentā iestāde, kas norīkota saskaņā ar Direktīvas (ES) 2016/2341 47. pantu; |
| --- | --- |

m)

arodpensijas kapitāla uzkrāšanas institūcijām – kompetentā iestāde, kas norīkota saskaņā ar Direktīvas (ES) 2016/2341 47. pantu;

| n) | kredītreitingu aģentūrām – kompetentā iestāde, kas norīkota saskaņā ar Direktīvas (EK) Nr. 1060/2009 21. pantu; |
| --- | --- |

n)

kredītreitingu aģentūrām – kompetentā iestāde, kas norīkota saskaņā ar Direktīvas (EK) Nr. 1060/2009 21. pantu;

| o) | kritiski svarīgu etalonu administratoriem – kompetentā iestāde, kas norīkota saskaņā ar Regulas (ES) 2016/1011 40. un 41. pantu; |
| --- | --- |

o)

kritiski svarīgu etalonu administratoriem – kompetentā iestāde, kas norīkota saskaņā ar Regulas (ES) 2016/1011 40. un 41. pantu;

| p) | kolektīvās finansēšanas pakalpojumu sniedzējiem – kompetentā iestāde, kas norīkota saskaņā ar Regulas (ES) 2020/1503 29. pantu; |
| --- | --- |

p)

kolektīvās finansēšanas pakalpojumu sniedzējiem – kompetentā iestāde, kas norīkota saskaņā ar Regulas (ES) 2020/1503 29. pantu;

| q) | vērtspapīrošanas repozitorijiem – kompetentā iestāde, kas norīkota saskaņā ar Regulas (ES) 2017/2402 10. pantu un 14. panta 1. punktu. |
| --- | --- |

q)

vērtspapīrošanas repozitorijiem – kompetentā iestāde, kas norīkota saskaņā ar Regulas (ES) 2017/2402 10. pantu un 14. panta 1. punktu.

47. pants

Sadarbība ar struktūrām un iestādēm, kas izveidotas ar Direktīvu (ES) 2022/2555

1.   Lai veicinātu sadarbību un nodrošinātu pārraudzības apmaiņu starp kompetentajām iestādēm, kas izraudzītas saskaņā ar šo regulu, un sadarbības grupu, kas izveidota ar Direktīvas (ES) 2022/2555 14. pantu, EUI un kompetentās iestādes var piedalīties sadarbības grupas darbībās, kas attiecas uz to pārraudzības darbībām attiecībā uz finanšu vienībām. EUI un kompetentās iestādes var lūgt, lai tās uzaicina piedalīties sadarbības grupas darbībās, kas saistītas ar būtiskām vai svarīgām vienībām, uz kurām attiecas Direktīva (ES) 2022/2555 un kuras arī ir izraudzītas par kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, ievērojot šīs regulas 31. pantu.

2.   Attiecīgā gadījumā kompetentās iestādes var apspriesties un dalīties informācijā ar vienotajiem kontaktpunktiem un CSIRT, kas izraudzītas vai izveidotas saskaņā ar Direktīvu (ES) 2022/2555.

3.   Attiecīgā gadījumā kompetentās iestādes var pieprasīt jebkādas attiecīgas tehniskas konsultācijas un palīdzību no kompetentajām iestādēm, kas izraudzītas vai izveidotas saskaņā ar Direktīvu (ES) 2022/2555, un izveidot sadarbības kārtību, lai varētu izveidot efektīvus un ātrus koordinācijas mehānismus.

4.   Šā panta 3. punktā minētajos pasākumos cita starpā var precizēt procedūras uzraudzības un pārraudzības darbību koordinēšanai attiecībā uz būtiskām vai svarīgām vienībām, kuras, ievērojot šīs regulas 31. pantu, ir izraudzītas par kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus un uz kurām attiecas Direktīva (ES) 2022/2555, tostarp attiecībā uz izmeklēšanas un pārbaužu uz vietas veikšanu saskaņā ar valsts tiesību aktiem, kā arī mehānismiem informācijas apmaiņai starp kompetentajām iestādēm saskaņā ar šo regulu un tām kompetentajām iestādēm, kas izraudzītas vai izveidotas saskaņā ar minēto direktīvu, kas ietver piekļuvi informācijai, ko pieprasa pēdējās minētās iestādes.

48. pants

Iestāžu sadarbība

1.   Kompetentās iestādes cieši sadarbojas savā starpā un attiecīgā gadījumā ar galveno pārraugu.

2.   Kompetentās iestādes un galvenais pārraugs laikus savstarpēji apmainās ar visu attiecīgo informāciju par kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, kura tiem ir vajadzīga, lai veiktu savus attiecīgos pienākumus saskaņā ar šo regulu, jo īpaši attiecībā uz identificētajiem riskiem, pieejām un pasākumiem, kas veikti kā daļa no galvenā pārrauga pārraudzības uzdevumiem.

49. pants

Finanšu starpnozaru mācības, saziņa un sadarbība

1.   EUI ar Apvienotās komitejas starpniecību un sadarbībā ar kompetentajām iestādēm, noregulējuma iestādēm, kā minēts Direktīvas 2014/59/ES 3. pantā, ECB, Vienoto noregulējuma valdi attiecībā uz informāciju par vienībām, uz kurām attiecas Regula (ES) Nr. 806/2014, ESRK un ENISA, attiecīgi, var izveidot mehānismus, kas ļauj apmainīties ar efektīvu praksi starp finanšu nozarēm, lai uzlabotu situācijas apzināšanos un apzinātu kopēju kiberievainojamību un riskus dažādās nozarēs.

Tās var izstrādāt krīzes pārvarēšanas un ārkārtas situāciju pasākumus, kuros ietilpst kiberuzbrukuma scenāriji, lai attīstītu saziņas kanālus un pakāpeniski nodrošinātu efektīvu Savienības līmeņa koordinētu reakciju, ja būtisks pārrobežu IKT incidents vai ar to saistīts apdraudējums radītu sistēmisku ietekmi uz Savienības finanšu nozari kopumā.

Minētajās mācībās vajadzības gadījumā var arī pārbaudīt finanšu nozares atkarību no citām ekonomikas nozarēm.

2.   Kompetentās iestādes, EUI un ECB cieši sadarbojas savā starpā un apmainās ar informāciju, lai veiktu savus pienākumus saskaņā ar 47.–54. pantu. Tās cieši koordinē uzraudzību, lai apzinātu un novērstu šīs regulas pārkāpumus, izstrādātu un sekmētu labāko praksi, veicinātu sadarbību, stiprinātu interpretācijas saskaņotību un nodrošinātu vairākjurisdikciju novērtējumus jebkādu domstarpību gadījumā.

50. pants

Administratīvi sodi un korektīvi pasākumi

1.   Kompetentajām iestādēm ir visas uzraudzības, izmeklēšanas un sankciju pilnvaras, kas vajadzīgas, lai izpildītu pienākumus saskaņā ar šo regulu.

2.   Šā panta 1. punktā minētās pilnvaras ietver vismaz šādas pilnvaras:

| a) | piekļūt jebkuram dokumentam vai datiem jebkādā formātā, kurus kompetentās iestādes uzskata par nozīmīgiem savu pienākumu veikšanā, un saņemt vai noņemt to kopiju; |
| --- | --- |

a)

piekļūt jebkuram dokumentam vai datiem jebkādā formātā, kurus kompetentās iestādes uzskata par nozīmīgiem savu pienākumu veikšanā, un saņemt vai noņemt to kopiju;

| b) | veikt pārbaudes vai izmeklēšanu uz vietas, tostarp, bet ne tikai:






  i) | uzaicināt finanšu vienību pārstāvjus sniegt mutiskus vai rakstiskus paskaidrojumus par faktiem vai dokumentiem, kas attiecas uz izmeklēšanas priekšmetu un mērķi, un fiksēt atbildes; |
| --- | --- | --- |

b)

veikt pārbaudes vai izmeklēšanu uz vietas, tostarp, bet ne tikai:

i)

uzaicināt finanšu vienību pārstāvjus sniegt mutiskus vai rakstiskus paskaidrojumus par faktiem vai dokumentiem, kas attiecas uz izmeklēšanas priekšmetu un mērķi, un fiksēt atbildes;

| ii) | iztaujāt jebkuru citu fizisku vai juridisku personu, kas piekrīt iztaujāšanai, lai iegūtu informāciju, kas saistīta ar izmeklēšanas priekšmetu; |
| --- | --- |

ii)

iztaujāt jebkuru citu fizisku vai juridisku personu, kas piekrīt iztaujāšanai, lai iegūtu informāciju, kas saistīta ar izmeklēšanas priekšmetu;

| c) | pieprasīt koriģējošus un korektīvus pasākumus šīs regulas prasību pārkāpšanas gadījumos. |
| --- | --- |

c)

pieprasīt koriģējošus un korektīvus pasākumus šīs regulas prasību pārkāpšanas gadījumos.

3.   Neskarot dalībvalstu tiesības piemērot kriminālsodus saskaņā ar 52. pantu, dalībvalstis paredz noteikumus, ar ko nosaka attiecīgus administratīvos sodus un korektīvus pasākumus šīs regulas pārkāpumu gadījumos, kā arī nodrošina to efektīvu īstenošanu.

Šiem sodiem un pasākumiem jābūt iedarbīgiem, samērīgiem un atturošiem.

4.   Dalībvalstis piešķir kompetentajām iestādēm pilnvaras par šīs regulas pārkāpumiem piemērot vismaz šādus administratīvos sodus vai korektīvus pasākumus:

| a) | izdot rīkojumu, ar ko pieprasa fiziskai vai juridiskai personai pārtraukt rīcību, kas ir pretrunā šai regulai, un atturēties no šādas rīcības atkārtošanas; |
| --- | --- |

a)

izdot rīkojumu, ar ko pieprasa fiziskai vai juridiskai personai pārtraukt rīcību, kas ir pretrunā šai regulai, un atturēties no šādas rīcības atkārtošanas;

| b) | pieprasīt pagaidu vai pastāvīgu jebkuras prakses vai rīcības pārtraukšanu, ko kompetentā iestāde uzskata par pretēju šīs regulas noteikumiem, un novērst minētās prakses vai rīcības atkārtošanos; |
| --- | --- |

b)

pieprasīt pagaidu vai pastāvīgu jebkuras prakses vai rīcības pārtraukšanu, ko kompetentā iestāde uzskata par pretēju šīs regulas noteikumiem, un novērst minētās prakses vai rīcības atkārtošanos;

| c) | pieņemt jebkāda veida pasākumus, tostarp finansiāla rakstura pasākumus, lai nodrošinātu to, ka finanšu vienības turpina ievērot juridiskās prasības; |
| --- | --- |

c)

pieņemt jebkāda veida pasākumus, tostarp finansiāla rakstura pasākumus, lai nodrošinātu to, ka finanšu vienības turpina ievērot juridiskās prasības;

| d) | ciktāl to atļauj valsts tiesību akti, pieprasīt telesakaru operatora rīcībā esošos datu plūsmas ierakstus, ja ir pamatotas aizdomas par šīs regulas pārkāpumu un ja šādi ieraksti var būt noderīgi, izmeklējot šīs regulas pārkāpumus; un |
| --- | --- |

d)

ciktāl to atļauj valsts tiesību akti, pieprasīt telesakaru operatora rīcībā esošos datu plūsmas ierakstus, ja ir pamatotas aizdomas par šīs regulas pārkāpumu un ja šādi ieraksti var būt noderīgi, izmeklējot šīs regulas pārkāpumus; un

| e) | izdot publiskus paziņojumus, tostarp publiskus paziņojumus, kuros norādīta fiziskās vai juridiskās personas identitāte un pārkāpuma būtība. |
| --- | --- |

e)

izdot publiskus paziņojumus, tostarp publiskus paziņojumus, kuros norādīta fiziskās vai juridiskās personas identitāte un pārkāpuma būtība.

5.   Ja 2. punkta c) apakšpunkts un 4. punkts attiecas uz juridiskām personām, dalībvalstis piešķir kompetentajām iestādēm pilnvaras, ievērojot valsts tiesību aktos paredzētos nosacījumus, piemērot administratīvos sodus un korektīvos pasākumus vadības struktūras locekļiem un citām personām, kas saskaņā ar valsts tiesību aktiem ir saucamas pie atbildības par pārkāpumu.

6.   Dalībvalstis nodrošina, ka jebkurš lēmums, ar ko piemēro 2. punkta c) apakšpunktā minētos administratīvos sodus vai korektīvos pasākumus, ir pienācīgi pamatots un ka to var pārsūdzēt.

51. pants

Administratīvo sodu un korektīvo pasākumu piemērošanas pilnvaru īstenošana

1.   Kompetentās iestādes pēc vajadzības īsteno pilnvaras uzlikt 50. pantā minētos administratīvos sodus un korektīvos pasākumus saskaņā ar attiecīgās valsts tiesisko regulējumu attiecīgā gadījumā šādi:

| a) | tieši; |
| --- | --- |

a)

tieši;

| b) | sadarbojoties ar citām iestādēm; |
| --- | --- |

b)

sadarbojoties ar citām iestādēm;

| c) | uz savu atbildību deleģējot savas pilnvaras citām iestādēm; vai |
| --- | --- |

c)

uz savu atbildību deleģējot savas pilnvaras citām iestādēm; vai

| d) | iesniedzot pieteikumu kompetentajām tiesas iestādēm. |
| --- | --- |

d)

iesniedzot pieteikumu kompetentajām tiesas iestādēm.

2.   Kompetentās iestādes, nosakot saskaņā ar 50. pantu uzlikta administratīvā soda vai korektīva pasākuma veidu un apmēru, ņem vērā visus nozīmīgos apstākļus, tostarp to, cik lielā mērā pārkāpums izdarīts tīši vai izriet no neuzmanības, un visus citus attiecīgos apstākļus, tostarp attiecīgā gadījumā šādus:

| a) | pārkāpuma būtiskumu, smagumu un ilgumu; |
| --- | --- |

a)

pārkāpuma būtiskumu, smagumu un ilgumu;

| b) | par pārkāpumu atbildīgās fiziskās vai juridiskās personas atbildības pakāpi; |
| --- | --- |

b)

par pārkāpumu atbildīgās fiziskās vai juridiskās personas atbildības pakāpi;

| c) | atbildīgās fiziskās vai juridiskās personas finansiālo stāvokli; |
| --- | --- |

c)

atbildīgās fiziskās vai juridiskās personas finansiālo stāvokli;

| d) | atbildīgās fiziskās vai juridiskās personas gūtās peļņas vai novērsto zaudējumu nozīmīgumu, ciktāl to var noteikt; |
| --- | --- |

d)

atbildīgās fiziskās vai juridiskās personas gūtās peļņas vai novērsto zaudējumu nozīmīgumu, ciktāl to var noteikt;

| e) | pārkāpuma radītos zaudējumus trešām personām, ja tos var noteikt; |
| --- | --- |

e)

pārkāpuma radītos zaudējumus trešām personām, ja tos var noteikt;

| f) | atbildīgās fiziskās vai juridiskās personas sadarbības līmeni ar kompetento iestādi, neskarot vajadzību nodrošināt attiecīgās fiziskās vai juridiskās personas gūto ienākumu vai novērsto zaudējumu atdošanu; |
| --- | --- |

f)

atbildīgās fiziskās vai juridiskās personas sadarbības līmeni ar kompetento iestādi, neskarot vajadzību nodrošināt attiecīgās fiziskās vai juridiskās personas gūto ienākumu vai novērsto zaudējumu atdošanu;

| g) | atbildīgās fiziskās vai juridiskās personas iepriekš izdarītos pārkāpumus. |
| --- | --- |

g)

atbildīgās fiziskās vai juridiskās personas iepriekš izdarītos pārkāpumus.

52. pants

Kriminālsodi

1.   Dalībvalstis var nolemt neparedzēt noteikumus par administratīviem sodiem vai korektīviem pasākumiem attiecībā uz pārkāpumiem, par kuriem saskaņā ar attiecīgās valsts tiesību aktiem piemēro kriminālsodus.

2.   Ja dalībvalstis izvēlējušās noteikt kriminālsodus par šīs regulas pārkāpumiem, tās nodrošina, ka ir ieviesti atbilstoši pasākumi, lai kompetentajām iestādēm attiecīgajā tiesību sistēmā būtu visas nepieciešamās pilnvaras koordinēt sadarbību ar tiesu, prokuratūras un tiesībaizsardzības iestādēm, kas vajadzīgas, lai saņemtu konkrētu informāciju, kas saistīta ar kriminālizmeklēšanu vai procedūrām, kas sāktas attiecībā uz šīs regulas pārkāpumiem, un lai to pašu informāciju sniegtu citām kompetentajām iestādēm un EBI, EVTI vai EAAPI, lai izpildītu pienākumu sadarboties šīs regulas vajadzībām.

53. pants

Ziņošanas pienākums

Dalībvalstis līdz 2025. gada 17. janvārim Komisijai, EVTI, EBI un EAAPI dara zināmus tos normatīvos un administratīvos aktus, ar kuriem tiek īstenotas šīs nodaļas prasības, tostarp jebkādas attiecīgās krimināltiesību normas. Dalībvalstis bez liekas kavēšanās informē Komisiju, EVTI, EBI un EAAPI par turpmākiem grozījumiem tajos.

54. pants

Informācijas par administratīvajiem sodiem publicēšana

1.   Kompetentās iestādes savā oficiālajā tīmekļa vietnē bez nepamatotas kavēšanās publicē jebkuru lēmumu, ar kuru piemērots administratīvais sods, kas nav pārsūdzams, pēc tam, kad par minēto lēmumu ir paziņots soda adresātam.

2.   Publikācijā, kas minēta 1. punktā, ietver informāciju par pārkāpuma veidu un būtību, par pārkāpumu atbildīgo personu identitāti un par piemērotajiem sodiem.

3.   Ja kompetentā iestāde, novērtējusi katru gadījumu atsevišķi, uzskata, ka identitātes publicēšana juridisku personu gadījumā vai identitātes un personas datu publicēšana fizisko personu gadījumā būtu nesamērīga, tostarp radītu riskus saistībā ar personas datu aizsardzību, apdraudētu finanšu tirgu stabilitāti vai notiekošu kriminālizmeklēšanu vai, ciktāl to var noteikt, radītu nesamērīgu kaitējumu iesaistītajai personai, tā attiecībā uz lēmumu, ar ko uzliek administratīvo sodu, pieņem vienu no šādiem risinājumiem:

| a) | atlikt tā publicēšanu, kamēr nav beiguši pastāvēt visi nepublicēšanas iemesli; |
| --- | --- |

a)

atlikt tā publicēšanu, kamēr nav beiguši pastāvēt visi nepublicēšanas iemesli;

| b) | publicēt to anonīmi saskaņā ar valsts tiesību aktiem; vai |
| --- | --- |

b)

publicēt to anonīmi saskaņā ar valsts tiesību aktiem; vai

| c) | atturēties no publicēšanas, ja uzskata, ka ar a) un b) apakšpunktā izklāstītajiem risinājumiem nepietiek, lai garantētu, ka finanšu tirgu stabilitātei draudu nav, vai arī šāda publicēšana nebūtu proporcionāla piemērotā soda maigumam. |
| --- | --- |

c)

atturēties no publicēšanas, ja uzskata, ka ar a) un b) apakšpunktā izklāstītajiem risinājumiem nepietiek, lai garantētu, ka finanšu tirgu stabilitātei draudu nav, vai arī šāda publicēšana nebūtu proporcionāla piemērotā soda maigumam.

4.   Gadījumā, ja tiek pieņemts lēmums publicēt administratīvo sodu anonīmi, kā minēts 3. punkta b) apakšpunktā, attiecīgo datu publicēšanu var atlikt.

5.   Ja kompetentā iestāde publicē lēmumu, ar ko uzliek administratīvu sodu, kurš ir pārsūdzēts attiecīgajās tiesu iestādēs, kompetentās iestādes nekavējoties savā oficiālajā tīmekļa vietnē ievieto arī šo informāciju un vēlāk – jebkādu vēlāku ar to saistītu informāciju par šādas pārsūdzības iznākumu. Publicē arī jebkuru tiesas nolēmumu, ar ko atceļ lēmumu par administratīvā soda uzlikšanu.

6.   Kompetentās iestādes nodrošina, lai jebkura publikācija, kas minēta 1.–4. punktā, tās oficiālajā tīmekļa vietnē būtu pieejama tikai tik ilgi, cik tas ir nepieciešams šā panta piemērošanai. Šis laikposms nepārsniedz piecus gadus pēc tās publicēšanas.

55. pants

Dienesta noslēpums

1.   Uz konfidenciālu informāciju, kas saņemta, ar ko veikta apmaiņa vai kas nosūtīta, ievērojot šo regulu, attiecas 2. punktā izklāstītie nosacījumi par dienesta noslēpumu.

2.   Dienesta noslēpuma ievērošanas pienākums attiecas uz visām personām, ko, ievērojot šo regulu, nodarbina vai ir nodarbinājušas kompetentās iestādes vai kāda cita iestāde vai tirgus uzņēmums, vai fiziska vai juridiska persona, kurai kompetentās iestādes ir deleģējušas savas pilnvaras, tostarp arī to nolīgtiem revidentiem un ekspertiem.

3.   Informāciju, uz ko attiecas dienesta noslēpums, tostarp informācijas apmaiņu starp kompetentajām iestādēm saskaņā ar šo regulu un tām kompetentajām iestādēm, kas izraudzītas vai izveidotas saskaņā ar Direktīvu (ES) 2022/2555, neatklāj nevienai citai personai vai iestādei citādi, nekā ir paredzēts Savienības vai valsts tiesību noteikumos;

4.   Visu informāciju, ar ko kompetentās iestādes apmainās, ievērojot šo regulu, un kas attiecas uz darījumu vai darbības apstākļiem un citiem ekonomiskiem vai personiskiem jautājumiem, uzskata par konfidenciālu, un tai piemēro dienesta noslēpuma prasības, ja vien kompetentā iestāde, sniedzot attiecīgo informāciju, nav atļāvusi to izpaust vai ja šāda izpaušana nav nepieciešama tiesvedībai.

56. pants

Datu aizsardzība

1.   EUI un kompetentajām iestādēm ir atļauts apstrādāt personas datus tikai tad, ja tas ir nepieciešams, lai tās, ievērojot šo regulu, pildītu savus attiecīgos pienākumus un uzdevumus, jo īpaši veiktu izmeklēšanu, pārbaudi, informācijas pieprasījumu, paziņošanu, publicēšanu, izvērtēšanu, verifikāciju, novērtēšanu un pārraudzības plānu izstrādi. Personas datus apstrādā saskaņā ar Regulu (ES) 2016/679 vai Regulu (ES) 2018/1725, atkarībā no tā, kura ir piemērojama.

2.   Ja vien citos nozares tiesību aktos nav noteikts citādi, 1. punktā minētos personas datus glabā līdz piemērojamo uzraudzības pienākumu izpildei un jebkurā gadījumā ne ilgāk kā 15 gadus, izņemot gadījumus, kad notiek tiesvedība, kuras vajadzībām šādi dati jāglabā ilgāk.

VIII NODAĻA

Deleģētie akti

57. pants

Deleģēšanas īstenošana

1.   Pilnvaras pieņemt deleģētos aktus Komisijai piešķir, ievērojot šajā pantā izklāstītos nosacījumus.

2.   Pilnvaras pieņemt 31. panta 6. punktā un 43. panta 2. punktā minētos deleģētos aktus Komisijai piešķir uz piecu gadu laikposmu no 2024. gada 17. janvāra. Komisija sagatavo ziņojumu par pilnvaru deleģēšanu vēlākais deviņus mēnešus pirms piecu gadu laikposma beigām. Pilnvaru deleģēšana tiek automātiski pagarināta uz tāda paša ilguma laikposmiem, ja vien Eiropas Parlaments vai Padome neiebilst pret šādu pagarinājumu vēlākais trīs mēnešus pirms katra laikposma beigām.

3.   Eiropas Parlaments vai Padome jebkurā laikā var atsaukt 31. panta 6. punktā un 43. panta 2. punktā minēto pilnvaru deleģēšanu. Ar lēmumu par atsaukšanu izbeidz tajā norādīto pilnvaru deleģēšanu. Lēmums stājas spēkā nākamajā dienā pēc tā publicēšanas Eiropas Savienības Oficiālajā Vēstnesī vai vēlākā dienā, kas tajā norādīta. Tas neskar jau spēkā esošos deleģētos aktus.

4.   Pirms deleģētā akta pieņemšanas Komisija apspriežas ar katras dalībvalsts ieceltajiem ekspertiem saskaņā ar principiem, kas noteikti 2016. gada 13. aprīļa Iestāžu nolīgumā par labāku likumdošanas procesu.

5.   Tiklīdz Komisija pieņem deleģēto aktu, tā par to paziņo vienlaikus Eiropas Parlamentam un Padomei.

6.   Saskaņā ar 31. panta 6. punktu un 43. panta 2. punktu pieņemts deleģētais akts stājas spēkā tikai tad, ja trijos mēnešos no dienas, kad minētais akts paziņots Eiropas Parlamentam un Padomei, ne Eiropas Parlaments, ne Padome nav izteikuši iebildumus vai ja pirms minētā laikposma beigām gan Eiropas Parlaments, gan Padome ir informējuši Komisiju par savu nodomu neizteikt iebildumus. Pēc Eiropas Parlamenta vai Padomes iniciatīvas šo laikposmu pagarina par trim mēnešiem.

IX NODAĻA

Pārejas un nobeiguma noteikumi

I iedaļa

58. pants

Pārskatīšanas klauzula

1.   Komisija līdz 2028. gada 17. janvārim pēc apspriešanās ar, attiecīgi, EUI un ESRK, veic pārskatīšanu un iesniedz ziņojumu Eiropas Parlamentam un Padomei, vajadzības gadījumā pievienojot tiesību akta priekšlikumu. Pārskatīšanā ir iekļauti vismaz šādi elementi:

| a) | kritēriji, kas paredzēti, lai saskaņā ar 31. panta 2. punktu izraudzītos kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus; |
| --- | --- |

a)

kritēriji, kas paredzēti, lai saskaņā ar 31. panta 2. punktu izraudzītos kritiski svarīgas trešās personas, kas sniedz IKT pakalpojumus;

| b) | 19. pantā minēto būtisko kiberdraudu paziņošanas brīvprātīgums; |
| --- | --- |

b)

19. pantā minēto būtisko kiberdraudu paziņošanas brīvprātīgums;

| c) | 31. panta 12. punktā minētā kārtība un galvenā pārrauga pilnvaras, kas paredzētas 35. panta 1. punkta d) apakšpunkta iv) punkta pirmajā ievilkumā, nolūkā novērtēt, cik efektīvi ir minētie noteikumi, lai nodrošinātu efektīvu pārraudzību pār trešā valstī iedibinātām kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, un to, vai ir jāiedibina meitasuzņēmums Savienībā.
  Šā apakšpunkta pirmās daļas vajadzībām pārskatīšanā iekļauj 31. panta 12. punktā minētās kārtības analīzi, tostarp noteikumus par Savienības finanšu vienību piekļuvi no trešām valstīm sniegtiem pakalpojumiem un šādu pakalpojumu pieejamību Savienības tirgū, un tajā ņem vērā turpmākās norises to pakalpojumu tirgos, uz kuriem attiecas šī regula, finanšu vienību un finanšu uzraudzības iestāžu praktisko pieredzi minētās kārtības piemērošanā un attiecīgi minētās kārtības uzraudzībā, kā arī visas attiecīgās regulatīvās un uzraudzības norises starptautiskā līmenī. |
| --- | --- |

c)

31. panta 12. punktā minētā kārtība un galvenā pārrauga pilnvaras, kas paredzētas 35. panta 1. punkta d) apakšpunkta iv) punkta pirmajā ievilkumā, nolūkā novērtēt, cik efektīvi ir minētie noteikumi, lai nodrošinātu efektīvu pārraudzību pār trešā valstī iedibinātām kritiski svarīgām trešām personām, kas sniedz IKT pakalpojumus, un to, vai ir jāiedibina meitasuzņēmums Savienībā.

Šā apakšpunkta pirmās daļas vajadzībām pārskatīšanā iekļauj 31. panta 12. punktā minētās kārtības analīzi, tostarp noteikumus par Savienības finanšu vienību piekļuvi no trešām valstīm sniegtiem pakalpojumiem un šādu pakalpojumu pieejamību Savienības tirgū, un tajā ņem vērā turpmākās norises to pakalpojumu tirgos, uz kuriem attiecas šī regula, finanšu vienību un finanšu uzraudzības iestāžu praktisko pieredzi minētās kārtības piemērošanā un attiecīgi minētās kārtības uzraudzībā, kā arī visas attiecīgās regulatīvās un uzraudzības norises starptautiskā līmenī.

| d) | tas, vai ir lietderīgi šīs regulas darbības jomā iekļaut 2. panta 3. punkta e) apakšpunktā minētās finanšu vienības, kas izmanto automatizētas pārdošanas sistēmas, ņemot vērā turpmākās tirgus norises šādu sistēmu izmantošanā; |
| --- | --- |

d)

tas, vai ir lietderīgi šīs regulas darbības jomā iekļaut 2. panta 3. punkta e) apakšpunktā minētās finanšu vienības, kas izmanto automatizētas pārdošanas sistēmas, ņemot vērā turpmākās tirgus norises šādu sistēmu izmantošanā;

| e) | kopīgā pārraudzības tīkla (JON) darbība un efektivitāte, pārraudzības sistēmā sekmējot pārraudzības konsekvenci un informācijas apmaiņas efektivitāti. |
| --- | --- |

e)

kopīgā pārraudzības tīkla (JON) darbība un efektivitāte, pārraudzības sistēmā sekmējot pārraudzības konsekvenci un informācijas apmaiņas efektivitāti.

2.   Saistībā ar Direktīvas (ES) 2015/2366 pārskatīšanu Komisija novērtē to, vai ir jāpalielina maksājumu sistēmu un maksājumu apstrādes darbību kibernoturība, un to, cik lietderīgi ir paplašināt šīs regulas darbības jomu, iekļaujot tajā maksājumu sistēmu operatorus un maksājumu apstrādes darbībās iesaistītās vienības. Ņemot vērā šo novērtējumu, Komisija Direktīvas (ES) 2015/2366 pārskatīšanas ietvaros iesniedz ziņojumu Eiropas Parlamentam un Padomei ne vēlāk kā 2023. gada 17. jūlijā.

Pamatojoties uz minēto pārskata ziņojumu un apspriedusies ar EUI, ECB un ESRK, Komisija attiecīgā gadījumā un kā daļu no tiesību akta priekšlikuma, ko tā var pieņemt, ievērojot Direktīvas (ES) 2015/2366 108. panta otro daļu, var iesniegt priekšlikumu nodrošināt, lai visiem maksājumu sistēmu operatoriem un maksājumu apstrādes darbībās iesaistītajām vienībām tiktu piemērota pienācīga pārraudzība, vienlaikus ņemot vērā jau pastāvošu centrālās bankas pārraudzību.

3.   Komisija līdz 2026. gada 17. janvārim, apspriedusies ar EUI un Eiropas Revīzijas pārraudzības struktūru komiteju, veic pārskatīšanu un iesniedz ziņojumu Eiropas Parlamentam un Padomei, vajadzības gadījumā tam pievienojot tiesību akta priekšlikumu, par to, cik lietderīgi ir noteikt stingrākas prasības obligātajiem revidentiem un revīzijas uzņēmumiem attiecībā uz digitālās darbības noturību, iekļaujot obligātos revidentus un revīzijas uzņēmumus šīs regulas darbības jomā vai veicot grozījumus Eiropas Parlamenta un Padomes Direktīvā 2006/43/EK (39).

II iedaļa

Grozījumi

59. pants

Grozījumi Regulā (EK) Nr. 1060/2009

Regulu (EK) Nr. 1060/2009 groza šādi:

| 1) | regulas I pielikuma A iedaļas 4. punkta pirmo daļu aizstāj ar šādu:

  “Kredītreitingu aģentūrai ir pareizas administratīvas un grāmatvedības procedūras, iekšējie kontroles mehānismi, efektīvas riska novērtēšanas procedūras, kā arī efektīvi kontroles pasākumi un aizsargpasākumi IKT sistēmu pārvaldībai saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 (*1).

  (*1)  Eiropas Parlamenta un Padomes Regula (ES) 2022/2554 (2022. gada 14. decembris) par finanšu sektora digitālās darbības noturību un ar ko groza Regulas (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 un (ES) 2016/1011 (OV L 333, 27.12.2022, p. 1.. lpp.).”;" |
| --- | --- |

1)

regulas I pielikuma A iedaļas 4. punkta pirmo daļu aizstāj ar šādu:

“Kredītreitingu aģentūrai ir pareizas administratīvas un grāmatvedības procedūras, iekšējie kontroles mehānismi, efektīvas riska novērtēšanas procedūras, kā arī efektīvi kontroles pasākumi un aizsargpasākumi IKT sistēmu pārvaldībai saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 (*1).

*1

(*1)  Eiropas Parlamenta un Padomes Regula (ES) 2022/2554 (2022. gada 14. decembris) par finanšu sektora digitālās darbības noturību un ar ko groza Regulas (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 un (ES) 2016/1011 (OV L 333, 27.12.2022, p. 1.. lpp.).”;"

*1

| 2) | regulas III pielikuma 12. punktu aizstāj ar šādu:






  “12. | Kredītreitingu aģentūra pārkāpj 6. panta 2. punktu, to lasot saistībā ar I pielikuma A iedaļas 4. punktu, jo aģentūrai nav pareizu administratīvo vai grāmatvedības procedūru, iekšējo kontroles mehānismu, efektīvu riska novērtēšanas procedūru vai efektīvu kontroles pasākumu vai aizsargpasākumu IKT sistēmu pārvaldībai saskaņā ar Regulu (ES) 2022/2554; vai ja tā neīsteno vai neuztur lēmumu pieņemšanas procedūras vai organizatoriskās struktūras, kā noteikts minētajā punktā.” |
| --- | --- | --- |

2)

regulas III pielikuma 12. punktu aizstāj ar šādu:

“12.

Kredītreitingu aģentūra pārkāpj 6. panta 2. punktu, to lasot saistībā ar I pielikuma A iedaļas 4. punktu, jo aģentūrai nav pareizu administratīvo vai grāmatvedības procedūru, iekšējo kontroles mehānismu, efektīvu riska novērtēšanas procedūru vai efektīvu kontroles pasākumu vai aizsargpasākumu IKT sistēmu pārvaldībai saskaņā ar Regulu (ES) 2022/2554; vai ja tā neīsteno vai neuztur lēmumu pieņemšanas procedūras vai organizatoriskās struktūras, kā noteikts minētajā punktā.”

60. pants

Grozījumi Regulā (ES) Nr. 648/2012

Regulu (ES) Nr. 648/2012 groza šādi:

| 1) | regulas 26. pantu groza šādi:






  a) | panta 3. punktu aizstāj ar šādu:

  “3.   CCP uztur un izmanto organizatorisko struktūru, kas nodrošina tā pakalpojumu un darbību veikšanas nepārtrauktību un pareizu funkcionēšanu. Tas izmanto piemērotas un samērīgas sistēmas, resursus un procedūras, tostarp IKT sistēmas, ko pārvalda saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 (*2).


  (*2)  Eiropas Parlamenta un Padomes Regula (ES) 2022/2554 (2022. gada 14. decembris) par finanšu sektora digitālās darbības noturību un ar ko groza Regulas (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 un (ES) 2016/1011 (OV L 333, 27.12.2022, 1.. lpp.).”;" |
| --- | --- | --- |

1)

regulas 26. pantu groza šādi:

a)

panta 3. punktu aizstāj ar šādu:

“3.   CCP uztur un izmanto organizatorisko struktūru, kas nodrošina tā pakalpojumu un darbību veikšanas nepārtrauktību un pareizu funkcionēšanu. Tas izmanto piemērotas un samērīgas sistēmas, resursus un procedūras, tostarp IKT sistēmas, ko pārvalda saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 (*2).

(*2)  Eiropas Parlamenta un Padomes Regula (ES) 2022/2554 (2022. gada 14. decembris) par finanšu sektora digitālās darbības noturību un ar ko groza Regulas (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 un (ES) 2016/1011 (OV L 333, 27.12.2022, 1.. lpp.).”;"

*2

| b) | panta 6. punktu svītro; |
| --- | --- |

b)

panta 6. punktu svītro;

| 2) | regulas 34. pantu groza šādi:






  a) | panta 1. punktu aizstāj ar šādu:

  “1.   CCP izveido, īsteno un uztur piemērotu uzņēmējdarbības nepārtrauktības politiku un negadījuma seku novēršanas plānu, kurā iekļauj saskaņā ar Regulu (ES) 2022/2554 ieviestu un īstenotu IKT uzņēmējdarbības nepārtrauktības politiku un IKT reaģēšanas un seku novēršanas plānus, ar mērķi nodrošināt tā funkciju saglabāšanu, savlaicīgu darbību atjaunošanu un CCP pienākumu izpildi.”; |
| --- | --- | --- |

2)

regulas 34. pantu groza šādi:

a)

panta 1. punktu aizstāj ar šādu:

“1.   CCP izveido, īsteno un uztur piemērotu uzņēmējdarbības nepārtrauktības politiku un negadījuma seku novēršanas plānu, kurā iekļauj saskaņā ar Regulu (ES) 2022/2554 ieviestu un īstenotu IKT uzņēmējdarbības nepārtrauktības politiku un IKT reaģēšanas un seku novēršanas plānus, ar mērķi nodrošināt tā funkciju saglabāšanu, savlaicīgu darbību atjaunošanu un CCP pienākumu izpildi.”;

| b) | panta 3. punkta pirmo daļu aizstāj ar šādu:

  “3.   Lai nodrošinātu konsekventu šā panta piemērošanu, EVTI pēc apspriešanās ar ECBS dalībniekiem izstrādā regulatīvo tehnisko standartu projektu, kurā nosaka uzņēmējdarbības nepārtrauktības politikas un negadījuma seku novēršanas plāna minimālo saturu un prasības, izņemot IKT darbības nepārtrauktības politiku un negadījuma seku novēršanas plānus.”; |
| --- | --- |

b)

panta 3. punkta pirmo daļu aizstāj ar šādu:

“3.   Lai nodrošinātu konsekventu šā panta piemērošanu, EVTI pēc apspriešanās ar ECBS dalībniekiem izstrādā regulatīvo tehnisko standartu projektu, kurā nosaka uzņēmējdarbības nepārtrauktības politikas un negadījuma seku novēršanas plāna minimālo saturu un prasības, izņemot IKT darbības nepārtrauktības politiku un negadījuma seku novēršanas plānus.”;

| 3) | regulas 56. panta 3. punkta pirmo daļu aizstāj ar šādu daļu:

  “3.   Lai nodrošinātu konsekventu šā panta piemērošanu, EVTI izstrādā regulatīvo tehnisko standartu projektu, kurā precizē ziņas par 1. punktā minēto reģistrācijas pieteikumu, izņemot prasības saistībā ar IKT riska pārvaldību.”; |
| --- | --- |

3)

regulas 56. panta 3. punkta pirmo daļu aizstāj ar šādu daļu:

“3.   Lai nodrošinātu konsekventu šā panta piemērošanu, EVTI izstrādā regulatīvo tehnisko standartu projektu, kurā precizē ziņas par 1. punktā minēto reģistrācijas pieteikumu, izņemot prasības saistībā ar IKT riska pārvaldību.”;

| 4) | regulas 79. panta 1. un 2. punktu aizstāj ar šādiem:

  “1.   Darījumu reģistrs identificē darbības riska cēloņus un pēc iespējas samazina tos arī, izstrādājot atbilstošas sistēmas, kontroli un procedūras, tostarp IKT sistēmas, ko pārvalda saskaņā ar Regulu (ES) 2022/2554.


  2.   Darījumu reģistrs izveido, īsteno un uztur atbilstošu uzņēmējdarbības nepārtrauktības politiku un negadījuma seku novēršanas plānu, tostarp saskaņā ar Regulu (ES) 2022/2554 izveidotu IKT uzņēmējdarbības nepārtrauktības politiku un IKT reaģēšanas un seku novēršanas plānus, kā mērķis ir nodrošināt savu funkciju uzturēšanu, savlaicīgu darbības atsākšanu un darījumu reģistra pienākumu izpildi.”; |
| --- | --- |

4)

regulas 79. panta 1. un 2. punktu aizstāj ar šādiem:

“1.   Darījumu reģistrs identificē darbības riska cēloņus un pēc iespējas samazina tos arī, izstrādājot atbilstošas sistēmas, kontroli un procedūras, tostarp IKT sistēmas, ko pārvalda saskaņā ar Regulu (ES) 2022/2554.

2.   Darījumu reģistrs izveido, īsteno un uztur atbilstošu uzņēmējdarbības nepārtrauktības politiku un negadījuma seku novēršanas plānu, tostarp saskaņā ar Regulu (ES) 2022/2554 izveidotu IKT uzņēmējdarbības nepārtrauktības politiku un IKT reaģēšanas un seku novēršanas plānus, kā mērķis ir nodrošināt savu funkciju uzturēšanu, savlaicīgu darbības atsākšanu un darījumu reģistra pienākumu izpildi.”;

| 5) | regulas 80. panta 1. punktu svītro; |
| --- | --- |

5)

regulas 80. panta 1. punktu svītro;

| 6) | regulas I pielikuma II iedaļu groza šādi:






  a) | iedaļas a) un b) punktu aizstāj ar šādiem:






  “a) | darījumu reģistrs pārkāpj 79. panta 1. punktu, ja tas neatklāj darbības riska cēloņus vai nemēģina tos pēc iespējas samazināt, izstrādājot atbilstošas sistēmas, kontroli un procedūras, tostarp IKT sistēmas, ko pārvalda saskaņā ar Regulu (ES) 2022/2554; |
| --- | --- | --- | --- |

6)

regulas I pielikuma II iedaļu groza šādi:

a)

iedaļas a) un b) punktu aizstāj ar šādiem:

“a)

darījumu reģistrs pārkāpj 79. panta 1. punktu, ja tas neatklāj darbības riska cēloņus vai nemēģina tos pēc iespējas samazināt, izstrādājot atbilstošas sistēmas, kontroli un procedūras, tostarp IKT sistēmas, ko pārvalda saskaņā ar Regulu (ES) 2022/2554;

| b) | darījumu reģistrs pārkāpj 79. panta 2. punktu, ja tas neizveido, neīsteno vai neuztur atbilstošu uzņēmējdarbības nepārtrauktības politiku un negadījuma seku novēršanas plānu, kurš ir izveidots saskaņā ar Regulu (ES) 2022/2554 ar mērķi nodrošināt tā funkciju uzturēšanu, savlaicīgu darbības atsākšanu un darījumu reģistra pienākumu izpildi;”; |
| --- | --- |

b)

darījumu reģistrs pārkāpj 79. panta 2. punktu, ja tas neizveido, neīsteno vai neuztur atbilstošu uzņēmējdarbības nepārtrauktības politiku un negadījuma seku novēršanas plānu, kurš ir izveidots saskaņā ar Regulu (ES) 2022/2554 ar mērķi nodrošināt tā funkciju uzturēšanu, savlaicīgu darbības atsākšanu un darījumu reģistra pienākumu izpildi;”;

| b) | iedaļas c) punktu svītro; |
| --- | --- |

b)

iedaļas c) punktu svītro;

| 7) | regulas III pielikumu groza šādi:






  a) | pielikuma II iedaļu groza šādi:






  i) | iedaļas c) punktu aizstāj ar šādu:






  “c) | 2. līmeņa CCP pārkāpj 26. panta 3. punktu, ja tas neuztur vai neizmanto organizatorisko struktūru, kas nodrošina tā pakalpojumu un darbību veikšanas nepārtrauktību un pareizu funkcionēšanu, vai neizmanto piemērotas un samērīgas sistēmas, resursus vai procedūras, tostarp IKT sistēmas, ko pārvalda saskaņā ar Regulu (ES) 2022/2554;”; |
| --- | --- | --- | --- | --- |

7)

regulas III pielikumu groza šādi:

a)

pielikuma II iedaļu groza šādi:

i)

iedaļas c) punktu aizstāj ar šādu:

“c)

2. līmeņa CCP pārkāpj 26. panta 3. punktu, ja tas neuztur vai neizmanto organizatorisko struktūru, kas nodrošina tā pakalpojumu un darbību veikšanas nepārtrauktību un pareizu funkcionēšanu, vai neizmanto piemērotas un samērīgas sistēmas, resursus vai procedūras, tostarp IKT sistēmas, ko pārvalda saskaņā ar Regulu (ES) 2022/2554;”;

CCP

| ii) | iedaļas f) punktu svītro; |
| --- | --- |

ii)

iedaļas f) punktu svītro;

| b) | pielikuma III iedaļas a) punktu aizstāj ar šādu:






  “a) | 2. līmeņa CCP pārkāpj 34. panta 1. punktu, ja tas neizveido, neīsteno vai neuztur piemērotu uzņēmējdarbības nepārtrauktības politiku un negadījuma seku novēršanas plānu, kurš ir izveidots saskaņā ar Regulu (ES) 2022/2554 ar mērķi nodrošināt tā funkciju saglabāšanu, savlaicīgu darbību atjaunošanu un CCP pienākumu izpildi, kas vismaz ļauj atjaunot visus darījumus kopš pārtraukšanas brīža, lai CCP varētu turpināt droši darboties un pabeigt norēķinus paredzētajā dienā;”. |
| --- | --- | --- |

b)

pielikuma III iedaļas a) punktu aizstāj ar šādu:

“a)

2. līmeņa CCP pārkāpj 34. panta 1. punktu, ja tas neizveido, neīsteno vai neuztur piemērotu uzņēmējdarbības nepārtrauktības politiku un negadījuma seku novēršanas plānu, kurš ir izveidots saskaņā ar Regulu (ES) 2022/2554 ar mērķi nodrošināt tā funkciju saglabāšanu, savlaicīgu darbību atjaunošanu un CCP pienākumu izpildi, kas vismaz ļauj atjaunot visus darījumus kopš pārtraukšanas brīža, lai CCP varētu turpināt droši darboties un pabeigt norēķinus paredzētajā dienā;”.

CCP

CCP

CCP

61. pants

Grozījumi Regulā (ES) Nr. 909/2014

Regulas (ES) Nr. 909/2014 45. pantu groza šādi:

| 1) | panta 1. punktu aizstāj ar šādu:

  “1.   CVD identificē iekšējos un ārējos operacionālā riska avotus un pēc iespējas samazina to ietekmi, izmantojot atbilstīgus IKT instrumentus, kontroli un politiku, ko izveido un pārvalda saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 (*3), kā arī izmantojot jebkādus citus atbilstīgus rīkus, kontroli un procedūras attiecībā uz cita veida operacionālo risku, tostarp visām tā uzturētajām vērtspapīru norēķinu sistēmām.


  (*3)  Eiropas Parlamenta un Padomes Regula (ES) 2022/2554 (2022. gada 14. decembris) par finanšu sektora digitālās darbības noturību un ar ko groza Regulas (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 un (ES) 2016/1011 (OV L 333, 27.12.2022, 1.. lpp.).”;" |
| --- | --- |

1)

panta 1. punktu aizstāj ar šādu:

“1.   CVD identificē iekšējos un ārējos operacionālā riska avotus un pēc iespējas samazina to ietekmi, izmantojot atbilstīgus IKT instrumentus, kontroli un politiku, ko izveido un pārvalda saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 (*3), kā arī izmantojot jebkādus citus atbilstīgus rīkus, kontroli un procedūras attiecībā uz cita veida operacionālo risku, tostarp visām tā uzturētajām vērtspapīru norēķinu sistēmām.

(*3)  Eiropas Parlamenta un Padomes Regula (ES) 2022/2554 (2022. gada 14. decembris) par finanšu sektora digitālās darbības noturību un ar ko groza Regulas (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 un (ES) 2016/1011 (OV L 333, 27.12.2022, 1.. lpp.).”;"

*3

| 2) | panta 2. punktu svītro; |
| --- | --- |

2)

panta 2. punktu svītro;

| 3) | panta 3. un 4. punktu aizstāj ar šādu:

  “3.   CVD attiecībā uz tā sniegtajiem pakalpojumiem, kā arī attiecībā uz katru tā uzturēto vērtspapīru norēķinu sistēmu izveido, ievieš un uztur pienācīgu darbības nepārtrauktības nodrošināšanas politiku un negadījumu seku novēršanas plānu, tostarp saskaņā ar Regulu (ES) 2022/2554 izveidotu IKT uzņēmējdarbības nepārtrauktības nodrošināšanas politiku un IKT reaģēšanas un seku novēršanas plānu, lai nodrošinātu, ka tā pakalpojumi tiek saglabāti un CVD darbība un pienākumu pildīšana tiek savlaicīgi atjaunota gadījumos, kad rodas nozīmīgs darbības traucējumu risks.


  4.   Šā panta 3. punktā minētais plāns paredz atjaunot visus darījumus un dalībnieku pozīcijas darbības pārtraukšanas brīdī, lai CVD dalībnieki varētu turpināt droši darboties un pabeigt norēķinus plānotajā datumā, tostarp nodrošinot, ka kritiskās IT sistēmas var atjaunot darbības no to pārtraukšanas brīža, kā paredzēts Regulas (ES) 2022/2554 12. panta 5. un 7. punktā.”; |
| --- | --- |

3)

panta 3. un 4. punktu aizstāj ar šādu:

“3.   CVD attiecībā uz tā sniegtajiem pakalpojumiem, kā arī attiecībā uz katru tā uzturēto vērtspapīru norēķinu sistēmu izveido, ievieš un uztur pienācīgu darbības nepārtrauktības nodrošināšanas politiku un negadījumu seku novēršanas plānu, tostarp saskaņā ar Regulu (ES) 2022/2554 izveidotu IKT uzņēmējdarbības nepārtrauktības nodrošināšanas politiku un IKT reaģēšanas un seku novēršanas plānu, lai nodrošinātu, ka tā pakalpojumi tiek saglabāti un CVD darbība un pienākumu pildīšana tiek savlaicīgi atjaunota gadījumos, kad rodas nozīmīgs darbības traucējumu risks.

4.   Šā panta 3. punktā minētais plāns paredz atjaunot visus darījumus un dalībnieku pozīcijas darbības pārtraukšanas brīdī, lai CVD dalībnieki varētu turpināt droši darboties un pabeigt norēķinus plānotajā datumā, tostarp nodrošinot, ka kritiskās IT sistēmas var atjaunot darbības no to pārtraukšanas brīža, kā paredzēts Regulas (ES) 2022/2554 12. panta 5. un 7. punktā.”;

| 4) | panta 6. punktu aizstāj ar šādu:

  “6.   CVD identificē, uzrauga un pārvalda riskus, kādus tā darbībai var radīt CVD pārvaldīto vērtspapīru norēķinu sistēmu galvenie dalībnieki, kā arī pakalpojumu un komunālo pakalpojumu sniedzēji un citi CVD vai citas tirgus infrastruktūras. Tas pēc pieprasījuma sniedz kompetentajām un attiecīgajām iestādēm informāciju par visiem šādiem identificētiem riskiem. Tas arī nekavējoties informē kompetento iestādi un attiecīgās iestādes par visiem darbības incidentiem, ko izraisa šādi riski, ja tie nav saistīti ar IKT risku.”; |
| --- | --- |

4)

panta 6. punktu aizstāj ar šādu:

“6.   CVD identificē, uzrauga un pārvalda riskus, kādus tā darbībai var radīt CVD pārvaldīto vērtspapīru norēķinu sistēmu galvenie dalībnieki, kā arī pakalpojumu un komunālo pakalpojumu sniedzēji un citi CVD vai citas tirgus infrastruktūras. Tas pēc pieprasījuma sniedz kompetentajām un attiecīgajām iestādēm informāciju par visiem šādiem identificētiem riskiem. Tas arī nekavējoties informē kompetento iestādi un attiecīgās iestādes par visiem darbības incidentiem, ko izraisa šādi riski, ja tie nav saistīti ar IKT risku.”;

| 5) | panta 7. punkta pirmo daļu aizstāj ar šādu:

  “7.   EVTI ciešā sadarbībā ar ECBS dalībniecēm izstrādā regulatīvu tehnisko standartu projektu, lai noteiktu 1. un 6. punktā minētos operacionālos riskus, izņemot IKT risku, un metodes šādu risku testēšanai, risināšanai un iespējamai mazināšanai, tostarp 3. un 4. punktā minētās darbības nepārtrauktības nodrošināšanas politiku un negadījumu seku novēršanas plānu, kā arī to novērtēšanas metodes.” |
| --- | --- |

5)

panta 7. punkta pirmo daļu aizstāj ar šādu:

“7.   EVTI ciešā sadarbībā ar ECBS dalībniecēm izstrādā regulatīvu tehnisko standartu projektu, lai noteiktu 1. un 6. punktā minētos operacionālos riskus, izņemot IKT risku, un metodes šādu risku testēšanai, risināšanai un iespējamai mazināšanai, tostarp 3. un 4. punktā minētās darbības nepārtrauktības nodrošināšanas politiku un negadījumu seku novēršanas plānu, kā arī to novērtēšanas metodes.”

62. pants

Grozījumi Regulā (ES) Nr. 600/2014

Regulu (ES) Nr. 600/2014 groza šādi:

| 1) | regulas 27.g pantu groza šādi:






  a) | panta 4. punktu aizstāj ar šādu:






  “4. | APS ievēro tīklu un informācijas sistēmu drošības prasības, kas noteiktas Eiropas Parlamenta un Padomes Regulā (ES) 2022/2554 (*4). |
| --- | --- | --- | --- |

1)

regulas 27.g pantu groza šādi:

a)

panta 4. punktu aizstāj ar šādu:

“4.

APS ievēro tīklu un informācijas sistēmu drošības prasības, kas noteiktas Eiropas Parlamenta un Padomes Regulā (ES) 2022/2554 (*4).

*4

(*4)  Eiropas Parlamenta un Padomes Regula (ES) 2022/2554 (2022. gada 14. decembris) par finanšu sektora digitālās darbības noturību un ar ko groza Regulas (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 un (ES) 2016/1011 (OV L 333, , 27.12.2022., 1.. lpp.).”;"

*4

| b) | panta 8. punkta c) apakšpunktu aizstāj ar šādu:






  “c) | konkrētas organizatoriskas prasības, kas izklāstītas 3. un 5. punktā.”; |
| --- | --- | --- |

b)

panta 8. punkta c) apakšpunktu aizstāj ar šādu:

“c)

konkrētas organizatoriskas prasības, kas izklāstītas 3. un 5. punktā.”;

| 2) | regulas 27.h pantu groza šādi:






  a) | panta 5. punktu aizstāj ar šādu:

  “5.   KDLN ievēro tīklu un informācijas sistēmu drošības prasības, kas noteiktas Regulā (ES) 2022/2554.”; |
| --- | --- | --- |

2)

regulas 27.h pantu groza šādi:

a)

panta 5. punktu aizstāj ar šādu:

“5.   KDLN ievēro tīklu un informācijas sistēmu drošības prasības, kas noteiktas Regulā (ES) 2022/2554.”;

| b) | panta 8. punkta e) apakšpunktu aizstāj ar šādu:






  “e) | konkrētas organizatoriskas prasības, kas noteiktas 4. punktā.”; |
| --- | --- | --- |

b)

panta 8. punkta e) apakšpunktu aizstāj ar šādu:

“e)

konkrētas organizatoriskas prasības, kas noteiktas 4. punktā.”;

| 3) | regulas 27.i pantu groza šādi:






  a) | panta 3. punktu aizstāj ar šādu:

  “3.   AZS ievēro tīklu un informācijas sistēmu drošības prasības, kas noteiktas Regulā (ES) 2022/2554.”; |
| --- | --- | --- |

3)

regulas 27.i pantu groza šādi:

a)

panta 3. punktu aizstāj ar šādu:

“3.   AZS ievēro tīklu un informācijas sistēmu drošības prasības, kas noteiktas Regulā (ES) 2022/2554.”;

| b) | panta 5. punkta b) apakšpunktu aizstāj ar šādu:






  “b) | konkrētas organizatoriskas prasības, kas noteiktas 2. un 4. punktā.” |
| --- | --- | --- |

b)

panta 5. punkta b) apakšpunktu aizstāj ar šādu:

“b)

konkrētas organizatoriskas prasības, kas noteiktas 2. un 4. punktā.”

63. pants

Grozījumi Regulā (ES) 2016/1011

Regulas (ES) 2016/1011 6. pantam pievieno šādu punktu:

| “6. | Attiecībā uz kritiski svarīgiem etaloniem administratoram ir pareizas administratīvas un grāmatvedības procedūras, iekšējie kontroles mehānismi, efektīvas riska novērtēšanas procedūras, kā arī efektīvi kontroles pasākumi un aizsargpasākumi IKT sistēmu pārvaldībai saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 (*5). |
| --- | --- |

“6.

Attiecībā uz kritiski svarīgiem etaloniem administratoram ir pareizas administratīvas un grāmatvedības procedūras, iekšējie kontroles mehānismi, efektīvas riska novērtēšanas procedūras, kā arī efektīvi kontroles pasākumi un aizsargpasākumi IKT sistēmu pārvaldībai saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 (*5).

*5

64. pants

Stāšanās spēkā un piemērošana

Šī regula stājas spēkā divdesmitajā dienā pēc tās publicēšanas Eiropas Savienības Oficiālajā Vēstnesī.

Eiropas Savienības Oficiālajā Vēstnesī

To piemēro no 2025. gada 17. janvāra.

Šī regula uzliek saistības kopumā un ir tieši piemērojama visās dalībvalstīs.

Strasbūrā, 2022. gada 14. decembrī

Eiropas Parlamenta vārdā –

priekšsēdētāja

R. METSOLA

Padomes vārdā –

priekšsēdētājs

M. BEK

---

(1)  
  OV C 343, 26.8.2021., 1. lpp.

1

(2)  
  OV C 155, 30.4.2021., 38. lpp.

2

(3)  Eiropas Parlamenta 2022. gada 10. novembra nostāja (Oficiālajā Vēstnesī vēl nav publicēta) un Padomes 2022. gada 28. novembra lēmums.

3

Oficiālajā Vēstnesī

(4)  Eiropas Parlamenta un Padomes Regula (ES) Nr. 1093/2010 (2010. gada 24. novembris), ar ko izveido Eiropas Uzraudzības iestādi (Eiropas Banku iestādi), groza Lēmumu Nr. 716/2009/EK un atceļ Komisijas Lēmumu 2009/78/EK (OV L 331, 15.12.2010., 12. lpp.).

4

(5)  Eiropas Parlamenta un Padomes Regula (ES) Nr. 1094/2010 (2010. gada 24. novembris), ar ko izveido Eiropas Uzraudzības iestādi (Eiropas Apdrošināšanas un aroda pensiju iestādi), groza Lēmumu Nr. 716/2009/EK un atceļ Komisijas Lēmumu 2009/79/EK (OV L 331, 15.12.2010., 48. lpp.).

5

(6)  Eiropas Parlamenta un Padomes Regula (ES) Nr. 1095/2010 (2010. gada 24. novembris), ar ko izveido Eiropas Uzraudzības iestādi (Eiropas Vērtspapīru un tirgu iestādi), groza Lēmumu Nr. 716/2009/EK un atceļ Komisijas Lēmumu 2009/77/EK (OV L 331, 15.12.2010., 84. lpp.).

6

(7)  Eiropas Parlamenta un Padomes Direktīva (ES) 2016/1148 (2016. gada 6. jūlijs) par pasākumiem nolūkā panākt vienādi augsta līmeņa tīklu un informācijas sistēmu drošību visā Savienībā (OV L 194, 19.7.2016., 1. lpp.).

7

(8)  Eiropas Parlamenta un Padomes Direktīva (ES) 2022/2555 (2022. gada 14. decembris) par pasākumiem nolūkā panākt vienādi augsta līmeņa kiberdrošību visā Savienībā un ar ko groza Regulu (ES) Nr. 910/2014 un Direktīvu (ES) 2018/1972 un atceļ Direktīvu (ES) 2016/1148 (TID 2 direktīva) (skatīt šā Oficiālā Vēstneša 80.. lpp.).

8

Oficiālā Vēstneša

(9)  Eiropas Parlamenta un Padomes Direktīva (ES) 2022/2557 (2022. gada 14. decembris) par kritisko vienību noturību un ar ko atceļ Padomes Direktīvu 2008/114/EK (skatīt šā Oficiālā Vēstneša 164. lpp.).

9

Oficiālā Vēstneša

(10)  Eiropas Parlamenta un Padomes Direktīva (ES) 2016/2341 (2016. gada 14. decembris) par arodpensijas kapitāla uzkrāšanas institūciju (AKUI) darbību un uzraudzību (OV L 354, 23.12.2016., 37. lpp.).

10

(11)  Eiropas Parlamenta un Padomes Regula (ES) 2019/881 (2019. gada 17. aprīlis) par ENISA (Eiropas Savienības Kiberdrošības aģentūra) un par informācijas un komunikācijas tehnoloģiju kiberdrošības sertifikāciju, un ar ko atceļ Regulu (ES) Nr. 526/2013 (Kiberdrošības akts) (OV L 151, 7.6.2019., 15. lpp.).

11

ENISA

(12)  Eiropas Parlamenta un Padomes Direktīva (ES) 2015/2366 (2015. gada 25. novembris) par maksājumu pakalpojumiem iekšējā tirgū, ar ko groza Direktīvas 2002/65/EK, 2009/110/EK un 2013/36/ES un Regulu (ES) Nr. 1093/2010 un atceļ Direktīvu 2007/64/EK (OV L 337, 23.12.2015., 35. lpp.).

12

(13)  Eiropas Parlamenta un Padomes Regula (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (OV L 119, 4.5.2016., 1. lpp.).

13

(14)  Eiropas Parlamenta un Padomes Direktīva 2009/110/EK (2009. gada 16. septembris) par elektroniskās naudas iestāžu darbības sākšanu, veikšanu un konsultatīvu uzraudzību, par grozījumiem Direktīvā 2005/60/EK un Direktīvā 2006/48/EK un par Direktīvas 2000/46/EK atcelšanu (OV L 267, 10.10.2009., 7. lpp.).

14

(15)  Eiropas Parlamenta un Padomes Direktīva 2013/36/ES (2013. gada 26. jūnijs) par piekļuvi kredītiestāžu darbībai un kredītiestāžu un ieguldījumu brokeru sabiedrību prudenciālo uzraudzību, ar ko groza Direktīvu 2002/87/EK un atceļ Direktīvas 2006/48/EK un 2006/49/EK (OV L 176, 27.6.2013., 338. lpp.).

15

(16)  Eiropas Parlamenta un Padomes Direktīva 2011/61/ES (2011. gada 8. jūnijs) par alternatīvo ieguldījumu fondu pārvaldniekiem un par grozījumiem Direktīvā 2003/41/EK, Direktīvā 2009/65/EK, Regulā (EK) Nr. 1060/2009 un Regulā (ES) Nr. 1095/2010 (OV L 174, 1.7.2011., 1. lpp.).

16

(17)  Eiropas Parlamenta un Padomes Direktīva 2009/138/EK (2009. gada 25. novembris) par uzņēmējdarbības uzsākšanu un veikšanu apdrošināšanas un pārapdrošināšanas jomā (Maksātspēja II) (OV L 335, 17.12.2009., 1. lpp.).

17

(18)  Eiropas Parlamenta un Padomes Direktīva 2014/65/ES (2014. gada 15. maijs) par finanšu instrumentu tirgiem un ar ko groza Direktīvu 2002/92/EK un Direktīvu 2011/61/ES (OV L 173, 12.6.2014., 349. lpp.).

18

(19)  Padomes Regula (ES) Nr. 1024/2013 (2013. gada 15. oktobris), ar ko Eiropas Centrālajai bankai uztic īpašus uzdevumus saistībā ar politikas nostādnēm, kas attiecas uz kredītiestāžu prudenciālo uzraudzību (OV L 287, 29.10.2013., 63. lpp.).

19

(20)  Eiropas Parlamenta un Padomes Direktīva 2014/59/ES (2014. gada 15. maijs), ar ko izveido kredītiestāžu un ieguldījumu brokeru sabiedrību atveseļošanas un noregulējuma režīmu un groza Padomes Direktīvu 82/891/EEK un Eiropas Parlamenta un Padomes Direktīvas 2001/24/EK, 2002/47/EK, 2004/25/EK, 2005/56/EK, 2007/36/EK, 2011/35/ES, 2012/30/ES un 2013/36/ES, un Eiropas Parlamenta un Padomes Regulas (ES) Nr. 1093/2010 un (ES) Nr. 648/2012 (OV L 173, 12.6.2014., 190. lpp.).

20

(21)  Eiropas Parlamenta un Padomes Direktīva 2013/34/ES (2013. gada 26. jūnijs) par noteiktu veidu uzņēmumu gada finanšu pārskatiem, konsolidētajiem finanšu pārskatiem un saistītiem ziņojumiem, ar ko groza Eiropas Parlamenta un Padomes Direktīvu 2006/43/EK un atceļ Padomes Direktīvas 78/660/EEK un 83/349/EEK (OV L 182, 29.6.2013., 19. lpp.).

21

(22)  
  OV L 123, 12.5.2016., 1. lpp.

22

(23)  Eiropas Parlamenta un Padomes Regula (EK) Nr. 1060/2009 (2009. gada 16. septembris) par kredītreitingu aģentūrām (OV L 302, 17.11.2009., 1. lpp.).

23

(24)  Eiropas Parlamenta un Padomes Regula (ES) Nr. 648/2012 (2012. gada 4. jūlijs) par ārpusbiržas atvasinātajiem instrumentiem, centrālajiem darījumu partneriem un darījumu reģistriem (OV L 201, 27.7.2012., 1. lpp.).

24

(25)  Eiropas Parlamenta un Padomes Regula (ES) Nr. 600/2014 (2014. gada 15. maijs) par finanšu instrumentu tirgiem un ar ko groza Regulu (ES) Nr. 648/2012 (OV L 173, 12.6.2014., 84. lpp.).

25

(26)  Eiropas Parlamenta un Padomes Regula (ES) Nr. 909/2014 (2014. gada 23. jūlijs) par vērtspapīru norēķinu uzlabošanu Eiropas Savienībā, centrālajiem vērtspapīru depozitārijiem un grozījumiem Direktīvās 98/26/EK un 2014/65/ES un Regulā (ES) Nr. 236/2012 (OV L 257, 28.8.2014., 1. lpp.).

26

(27)  Eiropas Parlamenta un Padomes Direktīva (ES) 2022/2556 (2022. gada 14. decembris), ar ko Direktīvas 2009/65/EK, 2009/138/EK, 2011/61/ES, 2013/36/ES, 2014/59/ES, 2014/65/ES, (ES) 2015/2366 un (ES) 2016/2341 groza attiecībā uz finanšu nozares digitālās darbības noturību (skatīt šā Oficiālā Vēstneša 153.. lpp.)

27

Oficiālā Vēstneša

(28)  Eiropas Parlamenta un Padomes Regula (ES) 2016/1011 (2016. gada 8. jūnijs) par indeksiem, ko izmanto kā etalonus finanšu instrumentos un finanšu līgumos vai ieguldījumu fondu darbības rezultātu mērīšanai, un ar kuru groza Direktīvu 2008/48/EK, Direktīvu 2014/17/ES un Regulu (ES) Nr. 596/2014 (OV L 171, 29.6.2016., 1. lpp.).

28

(29)  Eiropas Parlamenta un Padomes Regula (ES) 2018/1725 (2018. gada 23. oktobris) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi Savienības iestādēs, struktūrās, birojos un aģentūrās un par šādu datu brīvu apriti un ar ko atceļ Regulu (EK) Nr. 45/2001 un Lēmumu Nr. 1247/2002/EK (OV L 295, 21.11.2018., 39. lpp.).

29

(30)  
  OV C 229, 15.6.2021., 16. lpp.

30

(31)  Eiropas Parlamenta un Padomes Direktīva 2009/65/EK (2009. gada 13. jūlijs) par normatīvo un administratīvo aktu koordināciju attiecībā uz pārvedamu vērtspapīru kolektīvo ieguldījumu uzņēmumiem (PVKIU) (OV L 302, 17.11.2009., 32. lpp.).

31

(32)  Eiropas Parlamenta un Padomes Regula (ES) Nr. 575/2013 (2013. gada 26. jūnijs) par prudenciālajām prasībām attiecībā uz kredītiestādēm un ar ko groza Regulu (ES) Nr. 648/2012 (OV L 176, 27.6.2013., 1. lpp.).

32

(33)  Eiropas Parlamenta un Padomes Regula (ES) 2019/2033 (2019. gada 27. novembris) par prudenciālajām prasībām ieguldījumu brokeru sabiedrībām un ar ko groza Regulas (ES) Nr. 1093/2010, (ES) Nr. 575/2013, (ES) Nr. 600/2014 un (ES) Nr. 806/2014 (OV L 314, 5.12.2019., 1. lpp.).

33

(34)  Eiropas Parlamenta un Padomes Direktīva (ES) 2016/97 (2016. gada 20. janvāris) par apdrošināšanas izplatīšanu (OV L 26, 2.2.2016., 19. lpp.).

34

(35)  Eiropas Parlamenta un Padomes Regula (ES) 2020/1503 (2020. gada 7. oktobris) par Eiropas kolektīvās finansēšanas pakalpojumu sniedzējiem uzņēmējdarbībai un ar ko groza Regulu (ES) 2017/1129 un Direktīvu (ES) 2019/1937 (OV L 347, 20.10.2020., 1. lpp.).

35

(36)  Eiropas Parlamenta un Padomes Regula (ES) 2017/2402 (2017. gada 12. decembris), ar ko nosaka vispārēju regulējumu vērtspapīrošanai un izveido īpašu satvaru attiecībā uz vienkāršu, pārredzamu un standartizētu vērtspapīrošanu, un groza Direktīvas 2009/65/EK, 2009/138/EK un 2011/61/ES un Regulas (EK) Nr. 1060/2009 un (ES) Nr. 648/2012 (OV L 347, 28.12.2017., 35. lpp.).

36

(37)  Eiropas Parlamenta un Padomes Regula (ES) Nr. 806/2014 (2014. gada 15. jūlijs), ar ko izveido vienādus noteikumus un vienotu procedūru kredītiestāžu un noteiktu ieguldījumu brokeru sabiedrību noregulējumam, izmantojot vienotu noregulējuma mehānismu un vienotu noregulējuma fondu, un groza Regulu (ES) Nr. 1093/2010 (OV L 225, 30.7.2014., 1. lpp.).

37

(38)  Eiropas Parlamenta un Padomes Direktīva (ES) 2019/2034 (2019. gada 27. novembris) par ieguldījumu brokeru sabiedrību prudenciālo uzraudzību un ar ko groza Direktīvas 2002/87/EK, 2009/65/EK, 2011/61/ES, 2013/36/ES, 2014/59/ES un 2014/65/ES (OV L 314, 5.12.2019., 64. lpp.).

38

(39)  Eiropas Parlamenta un Padomes Direktīva 2006/43/EK (2006. gada 17. maijs), ar ko paredz gada pārskatu un konsolidēto pārskatu obligātās revīzijas, groza Padomes Direktīvu 78/660/EEK un Padomes Direktīvu 83/349/EEK un atceļ Padomes Direktīvu 84/253/EEK (OV L 157, 9.6.2006., 87. lpp.).

39

---

DIREKTĪVAS

| 27.12.2022 | LV | Eiropas Savienības Oficiālais Vēstnesis | L 333/80 |
| --- | --- | --- | --- |

27.12.2022

LV

Eiropas Savienības Oficiālais Vēstnesis

L 333/80

---

EIROPAS PARLAMENTA UN PADOMES DIREKTĪVA (ES) 2022/2555

(2022. gada 14. decembris),

ar ko paredz pasākumus nolūkā panākt vienādi augstu kiberdrošības līmeni visā Savienībā un ar ko groza Regulu (ES) Nr. 910/2014 un Direktīvu (ES) 2018/1972 un atceļ Direktīvu (ES) 2016/1148 (TID 2 direktīva)

(Dokuments attiecas uz EEZ)

EIROPAS PARLAMENTS UN EIROPAS SAVIENĪBAS PADOME,

ņemot vērā Līgumu par Eiropas Savienības darbību un jo īpaši tā 114. pantu,

ņemot vērā Eiropas Komisijas priekšlikumu,

pēc leģislatīvā akta projekta nosūtīšanas valstu parlamentiem,

ņemot vērā Eiropas Centrālās bankas atzinumu (1)

ņemot vērā Eiropas Ekonomikas un sociālo lietu komitejas atzinumu (2),

pēc apspriešanās ar Reģionu komiteju,

saskaņā ar parasto likumdošanas procedūru (3),

tā kā:

| (1) | Eiropas Parlamenta un Padomes Direktīvas (ES) 2016/1148 (4) mērķis bija veidot kiberdrošības spējas Savienībā, mazināt draudus tīklu un informācijas sistēmām, ko izmanto pamatpakalpojumu sniegšanai svarīgās nozarēs, un nodrošināt šādu pakalpojumu nepārtrauktību, saskaroties ar incidentiem, un tādējādi sniedzot ieguldījumu Savienības drošībā un tās ekonomikas un sabiedrības efektīvā darbībā. |
| --- | --- |

(1)

Eiropas Parlamenta un Padomes Direktīvas (ES) 2016/1148 (4) mērķis bija veidot kiberdrošības spējas Savienībā, mazināt draudus tīklu un informācijas sistēmām, ko izmanto pamatpakalpojumu sniegšanai svarīgās nozarēs, un nodrošināt šādu pakalpojumu nepārtrauktību, saskaroties ar incidentiem, un tādējādi sniedzot ieguldījumu Savienības drošībā un tās ekonomikas un sabiedrības efektīvā darbībā.

| (2) | Kopš Direktīvas (ES) 2016/1148 stāšanās spēkā Savienības kibernoturības līmeņa paaugstināšanā ir panākts ievērojams progress. Minētās direktīvas pārskatīšana apliecināja, ka tā ir kalpojusi par katalizatoru institucionālajai un regulatīvajai pieejai attiecībā uz kiberdrošību Savienībā, bruģējot ceļu būtiskām domāšanas veida pārmaiņām. Direktīva ir nodrošinājusi, ka tiek pabeigti tīklu un informācijas sistēmu drošības valstu satvari, nosakot valstu tīklu un informācijas sistēmu drošības stratēģijas, veidojot valstu spējas un īstenojot regulatīvus pasākumus, kas aptver būtiskas infrastruktūras un vienības, kuras identificējusi katra dalībvalsts. Direktīva (ES) 2016/1148 ir arī veicinājusi sadarbību Savienības līmenī, izveidojot sadarbības grupu un valstu datordrošības incidentu reaģēšanas vienību tīklu. Neraugoties uz šiem sasniegumiem, Direktīvas (ES) 2016/1148 pārskatīšanas gaitā ir konstatētas tai piemītošas nepilnības, kas liedz tai rezultatīvi risināt pašreizējās un jaunās kiberdrošības problēmas. |
| --- | --- |

(2)

Kopš Direktīvas (ES) 2016/1148 stāšanās spēkā Savienības kibernoturības līmeņa paaugstināšanā ir panākts ievērojams progress. Minētās direktīvas pārskatīšana apliecināja, ka tā ir kalpojusi par katalizatoru institucionālajai un regulatīvajai pieejai attiecībā uz kiberdrošību Savienībā, bruģējot ceļu būtiskām domāšanas veida pārmaiņām. Direktīva ir nodrošinājusi, ka tiek pabeigti tīklu un informācijas sistēmu drošības valstu satvari, nosakot valstu tīklu un informācijas sistēmu drošības stratēģijas, veidojot valstu spējas un īstenojot regulatīvus pasākumus, kas aptver būtiskas infrastruktūras un vienības, kuras identificējusi katra dalībvalsts. Direktīva (ES) 2016/1148 ir arī veicinājusi sadarbību Savienības līmenī, izveidojot sadarbības grupu un valstu datordrošības incidentu reaģēšanas vienību tīklu. Neraugoties uz šiem sasniegumiem, Direktīvas (ES) 2016/1148 pārskatīšanas gaitā ir konstatētas tai piemītošas nepilnības, kas liedz tai rezultatīvi risināt pašreizējās un jaunās kiberdrošības problēmas.

| (3) | Tīklu un informācijas sistēmas ir kļuvušas par būtisku iezīmi ikdienas dzīvē, ko raksturo ātra digitālā pārkārtošanās un sabiedrības savstarpējā savienotība, tai skaitā pārrobežu sakaros. Šīs attīstības rezultātā ir paplašinājusies kiberdraudu aina, rodoties jaunām problēmām, kurām ir vajadzīgi pielāgoti, koordinēti un inovatīvi reaģēšanas pasākumi visās dalībvalstīs. Incidentu skaits, apmērs, sarežģītība, biežums un ietekme pieaug un būtiski apdraud tīklu un informācijas sistēmu darbību. Līdz ar to incidenti var kavēt saimniecisko darbību īstenošanu iekšējā tirgū, radīt finansiālus zaudējumus, apdraudēt lietotāju uzticēšanos un radīt lielu kaitējumu Savienības ekonomikai un sabiedrībai. Tāpēc sagatavotība un rezultativitāte kiberdrošības jomā tagad iekšējā tirgus pienācīgai darbībai ir vēl svarīgāka nekā jebkad iepriekš. Turklāt kiberdrošība daudzās kritiskās nozarēs ir būtisks faktors, kas dod iespēju sekmīgi īstenot digitālo pārkārtošanos un pilnībā izmantot digitalizācijas dotos saimnieciskos, sociālos un ilgtspējīgos ieguvumus. |
| --- | --- |

(3)

Tīklu un informācijas sistēmas ir kļuvušas par būtisku iezīmi ikdienas dzīvē, ko raksturo ātra digitālā pārkārtošanās un sabiedrības savstarpējā savienotība, tai skaitā pārrobežu sakaros. Šīs attīstības rezultātā ir paplašinājusies kiberdraudu aina, rodoties jaunām problēmām, kurām ir vajadzīgi pielāgoti, koordinēti un inovatīvi reaģēšanas pasākumi visās dalībvalstīs. Incidentu skaits, apmērs, sarežģītība, biežums un ietekme pieaug un būtiski apdraud tīklu un informācijas sistēmu darbību. Līdz ar to incidenti var kavēt saimniecisko darbību īstenošanu iekšējā tirgū, radīt finansiālus zaudējumus, apdraudēt lietotāju uzticēšanos un radīt lielu kaitējumu Savienības ekonomikai un sabiedrībai. Tāpēc sagatavotība un rezultativitāte kiberdrošības jomā tagad iekšējā tirgus pienācīgai darbībai ir vēl svarīgāka nekā jebkad iepriekš. Turklāt kiberdrošība daudzās kritiskās nozarēs ir būtisks faktors, kas dod iespēju sekmīgi īstenot digitālo pārkārtošanos un pilnībā izmantot digitalizācijas dotos saimnieciskos, sociālos un ilgtspējīgos ieguvumus.

| (4) | Direktīvas (ES) 2016/1148 juridiskais pamats bija Līguma par Eiropas Savienības darbību (LESD) 114. pants, kura mērķis ir nodrošināt iekšējā tirgus izveidi un darbību, uzlabojot valstu regulējumu tuvināšanas pasākumus. Kiberdrošības prasības, kas noteiktas vienībām, kuras sniedz pakalpojumus vai veic darbības, kuras ir ekonomiski nozīmīgas, ievērojami atšķiras starp dalībvalstīm prasību veida, detalizācijas līmeņa un uzraudzības metodes ziņā. Minētās atšķirības rada papildu izmaksas un grūtības vienībām, kas piedāvā preces vai pakalpojumus pāri robežām. Prasības, ko nosaka viena dalībvalsts un kas atšķiras no citas dalībvalsts noteiktajām prasībām vai pat ir pretrunā tām, var šādas pārrobežu darbības būtiski ietekmēt. Turklāt iespējai, ka kiberdrošības prasības vienā dalībvalstī nav adekvāti izstrādātas vai netiek adekvāti īstenotas, ļoti iespējams, var būt ietekme uz pārējo dalībvalstu kiberdrošības līmeni, jo īpaši ņemot vērā intensīvos pārrobežu sakarus. Direktīvas (ES) 2016/1148 pārskatīšanā ir atklājies, ka tās īstenošana dalībvalstīs ievērojami atšķiras, arī attiecībā uz tās darbības jomu, kuras precīza noteikšana lielā mērā tika atstāta dalībvalstu ziņā. Direktīva (ES) 2016/1148 arī deva dalībvalstīm ļoti plašu rīcības brīvību attiecībā uz tajā noteikto drošības un incidentu paziņošanas pienākumu ieviešanu. Tāpēc minētie pienākumi dalībvalstu līmenī tika ieviesti ļoti atšķirīgi. Līdzīgas atšķirības pastāv Direktīvas (ES) 2016/1148 noteikumu par uzraudzību un izpildes panākšanu ieviešanā. |
| --- | --- |

(4)

Direktīvas (ES) 2016/1148 juridiskais pamats bija Līguma par Eiropas Savienības darbību (LESD) 114. pants, kura mērķis ir nodrošināt iekšējā tirgus izveidi un darbību, uzlabojot valstu regulējumu tuvināšanas pasākumus. Kiberdrošības prasības, kas noteiktas vienībām, kuras sniedz pakalpojumus vai veic darbības, kuras ir ekonomiski nozīmīgas, ievērojami atšķiras starp dalībvalstīm prasību veida, detalizācijas līmeņa un uzraudzības metodes ziņā. Minētās atšķirības rada papildu izmaksas un grūtības vienībām, kas piedāvā preces vai pakalpojumus pāri robežām. Prasības, ko nosaka viena dalībvalsts un kas atšķiras no citas dalībvalsts noteiktajām prasībām vai pat ir pretrunā tām, var šādas pārrobežu darbības būtiski ietekmēt. Turklāt iespējai, ka kiberdrošības prasības vienā dalībvalstī nav adekvāti izstrādātas vai netiek adekvāti īstenotas, ļoti iespējams, var būt ietekme uz pārējo dalībvalstu kiberdrošības līmeni, jo īpaši ņemot vērā intensīvos pārrobežu sakarus. Direktīvas (ES) 2016/1148 pārskatīšanā ir atklājies, ka tās īstenošana dalībvalstīs ievērojami atšķiras, arī attiecībā uz tās darbības jomu, kuras precīza noteikšana lielā mērā tika atstāta dalībvalstu ziņā. Direktīva (ES) 2016/1148 arī deva dalībvalstīm ļoti plašu rīcības brīvību attiecībā uz tajā noteikto drošības un incidentu paziņošanas pienākumu ieviešanu. Tāpēc minētie pienākumi dalībvalstu līmenī tika ieviesti ļoti atšķirīgi. Līdzīgas atšķirības pastāv Direktīvas (ES) 2016/1148 noteikumu par uzraudzību un izpildes panākšanu ieviešanā.

| (5) | Visas šīs atšķirības sadrumstalo iekšējo tirgu un var prejudiciāli ietekmēt tā darbību, jo īpaši skarot pakalpojumu pārrobežu sniegšanu un kibernoturības līmeni dažādu pasākumu piemērošanas dēļ. Galu galā minētās atšķirības varētu novest pie lielākas dažu dalībvalstu ievainojamības pret kiberdraudiem un potenciālas plašākas ietekmes Savienībā. Šīs direktīvas mērķis ir izbeigt šādas plašas atšķirības starp dalībvalstīm, jo īpaši paredzot minimālos noteikumus par koordinēta tiesiskā regulējuma darbību, nosakot mehānismus rezultatīvai atbildīgo iestāžu sadarbībai katrā dalībvalstī, atjauninot to nozaru un darbību sarakstu, uz kurām attiecas kiberdrošības pienākumi, un paredzot iedarbīgus tiesiskās aizsardzības līdzekļus un izpildes panākšanas pasākumus, kas ir svarīgi rezultatīvai šo pienākumu izpildes panākšanai. Tāpēc Direktīva (ES) 2016/1148 būtu jāatceļ un jāaizstāj ar šo direktīvu. |
| --- | --- |

(5)

Visas šīs atšķirības sadrumstalo iekšējo tirgu un var prejudiciāli ietekmēt tā darbību, jo īpaši skarot pakalpojumu pārrobežu sniegšanu un kibernoturības līmeni dažādu pasākumu piemērošanas dēļ. Galu galā minētās atšķirības varētu novest pie lielākas dažu dalībvalstu ievainojamības pret kiberdraudiem un potenciālas plašākas ietekmes Savienībā. Šīs direktīvas mērķis ir izbeigt šādas plašas atšķirības starp dalībvalstīm, jo īpaši paredzot minimālos noteikumus par koordinēta tiesiskā regulējuma darbību, nosakot mehānismus rezultatīvai atbildīgo iestāžu sadarbībai katrā dalībvalstī, atjauninot to nozaru un darbību sarakstu, uz kurām attiecas kiberdrošības pienākumi, un paredzot iedarbīgus tiesiskās aizsardzības līdzekļus un izpildes panākšanas pasākumus, kas ir svarīgi rezultatīvai šo pienākumu izpildes panākšanai. Tāpēc Direktīva (ES) 2016/1148 būtu jāatceļ un jāaizstāj ar šo direktīvu.

| (6) | Līdz ar Direktīvas (ES) 2016/1148 atcelšanu būtu jāpaplašina piemērošanas joma pa nozarēm, aptverot lielāku ekonomikas daļu, lai nodrošinātu tādu nozaru un pakalpojumu pilnīgu aptvērumu, kas ir izšķirīgi svarīgas būtiskām sabiedriskajām un saimnieciskajām darbībām iekšējā tirgū. Šī direktīva jo īpaši tiecas novērst trūkumus, kas saistīti ar pamatpakalpojumu sniedzēju un digitālo pakalpojumu sniedzēju diferenciāciju, kura ir izrādījusies novecojusi, jo neatspoguļo nozaru vai pakalpojumu nozīmīgumu sabiedriskajām un saimnieciskajām darbībām iekšējā tirgū. |
| --- | --- |

(6)

Līdz ar Direktīvas (ES) 2016/1148 atcelšanu būtu jāpaplašina piemērošanas joma pa nozarēm, aptverot lielāku ekonomikas daļu, lai nodrošinātu tādu nozaru un pakalpojumu pilnīgu aptvērumu, kas ir izšķirīgi svarīgas būtiskām sabiedriskajām un saimnieciskajām darbībām iekšējā tirgū. Šī direktīva jo īpaši tiecas novērst trūkumus, kas saistīti ar pamatpakalpojumu sniedzēju un digitālo pakalpojumu sniedzēju diferenciāciju, kura ir izrādījusies novecojusi, jo neatspoguļo nozaru vai pakalpojumu nozīmīgumu sabiedriskajām un saimnieciskajām darbībām iekšējā tirgū.

| (7) | Saskaņā ar Direktīvu (ES) 2016/1148 dalībvalstīm bija pienākums identificēt vienības, kuras atbilst kritērijiem, lai tās varētu uzskatīt par pamatpakalpojumu sniedzējiem. Lai šajā ziņā mazinātu lielās atšķirības starp dalībvalstīm un nodrošinātu juridisko noteiktību attiecībā uz kiberdrošība risku pārvaldības pasākumiem un ziņošanas pienākumiem visām attiecīgajām vienībām, būtu jāievieš vienots kritērijs tādu vienību noteikšanai, kuras ietilpst šīs direktīvas darbības jomā. Minētajam kritērijam vajadzētu būt maksimālā lieluma noteikumam, saskaņā ar kuru visas vienības, kas kvalificējas kā vidējie uzņēmumi saskaņā ar Komisijas Ieteikuma 2003/361/EK (5) pielikuma 2. pantu vai pārsniedz vidējiem uzņēmumiem noteiktos maksimālos lielumus, kuri paredzēti minētā panta 1. punktā, un kas darbojas šīs direktīvas aptvertajās nozarēs un sniedz tās aptvertos pakalpojumus, vai veic tās aptvertās darbības, ietilpst tās darbības jomā. Dalībvalstīm būtu arī jāparedz, ka šīs direktīvas darbības jomā ietilpst konkrēti mazie uzņēmumi un mikrouzņēmumi, kā definēts minētā pielikuma 2. panta 2. un 3. punktā, kas atbilst konkrētiem kritērijiem, kuri liecina par svarīgu lomu sabiedrībā, ekonomikā vai konkrētās nozarēs vai pakalpojumu veidos. |
| --- | --- |

(7)

Saskaņā ar Direktīvu (ES) 2016/1148 dalībvalstīm bija pienākums identificēt vienības, kuras atbilst kritērijiem, lai tās varētu uzskatīt par pamatpakalpojumu sniedzējiem. Lai šajā ziņā mazinātu lielās atšķirības starp dalībvalstīm un nodrošinātu juridisko noteiktību attiecībā uz kiberdrošība risku pārvaldības pasākumiem un ziņošanas pienākumiem visām attiecīgajām vienībām, būtu jāievieš vienots kritērijs tādu vienību noteikšanai, kuras ietilpst šīs direktīvas darbības jomā. Minētajam kritērijam vajadzētu būt maksimālā lieluma noteikumam, saskaņā ar kuru visas vienības, kas kvalificējas kā vidējie uzņēmumi saskaņā ar Komisijas Ieteikuma 2003/361/EK (5) pielikuma 2. pantu vai pārsniedz vidējiem uzņēmumiem noteiktos maksimālos lielumus, kuri paredzēti minētā panta 1. punktā, un kas darbojas šīs direktīvas aptvertajās nozarēs un sniedz tās aptvertos pakalpojumus, vai veic tās aptvertās darbības, ietilpst tās darbības jomā. Dalībvalstīm būtu arī jāparedz, ka šīs direktīvas darbības jomā ietilpst konkrēti mazie uzņēmumi un mikrouzņēmumi, kā definēts minētā pielikuma 2. panta 2. un 3. punktā, kas atbilst konkrētiem kritērijiem, kuri liecina par svarīgu lomu sabiedrībā, ekonomikā vai konkrētās nozarēs vai pakalpojumu veidos.

| (8) | Valsts pārvaldes vienību izslēgšana no šīs direktīvas darbības jomas būtu jāpiemēro vienībām, kuru darbības galvenokārt tiek veiktas valsts drošības, sabiedriskās drošības, aizsardzības vai tiesībaizsardzības jomā, tostarp noziedzīgu nodarījumu novēršanā, izmeklēšanā, atklāšanā un kriminālvajāšanā par tiem. Tomēr no šīs direktīvas darbības jomas nebūtu jāizslēdz valsts pārvaldes vienības, kuru darbības ir tikai maznozīmīgi saistītas ar minētajām jomām. Šajā direktīvā vienības, kam ir regulatīva kompetence, neuzskata par tādām, kas veic darbības tiesībaizsardzības jomā, un tāpēc tās nav izslēgtas no šīs direktīvas darbības jomas. No šīs direktīvas darbības jomas ir izslēgtas valsts pārvaldes vienības, kas ir izveidotas kopīgi ar trešo valsti saskaņā ar starptautisku nolīgumu. Šo direktīvu nepiemēro dalībvalstu diplomātiskajām un konsulārajām pārstāvniecībām trešās valstīs vai to tīklu un informācijas sistēmām, ciktāl šādas sistēmas atrodas pārstāvniecības telpās vai ir paredzētas lietotājiem trešā valstī. |
| --- | --- |

(8)

Valsts pārvaldes vienību izslēgšana no šīs direktīvas darbības jomas būtu jāpiemēro vienībām, kuru darbības galvenokārt tiek veiktas valsts drošības, sabiedriskās drošības, aizsardzības vai tiesībaizsardzības jomā, tostarp noziedzīgu nodarījumu novēršanā, izmeklēšanā, atklāšanā un kriminālvajāšanā par tiem. Tomēr no šīs direktīvas darbības jomas nebūtu jāizslēdz valsts pārvaldes vienības, kuru darbības ir tikai maznozīmīgi saistītas ar minētajām jomām. Šajā direktīvā vienības, kam ir regulatīva kompetence, neuzskata par tādām, kas veic darbības tiesībaizsardzības jomā, un tāpēc tās nav izslēgtas no šīs direktīvas darbības jomas. No šīs direktīvas darbības jomas ir izslēgtas valsts pārvaldes vienības, kas ir izveidotas kopīgi ar trešo valsti saskaņā ar starptautisku nolīgumu. Šo direktīvu nepiemēro dalībvalstu diplomātiskajām un konsulārajām pārstāvniecībām trešās valstīs vai to tīklu un informācijas sistēmām, ciktāl šādas sistēmas atrodas pārstāvniecības telpās vai ir paredzētas lietotājiem trešā valstī.

| (9) | Dalībvalstīm būtu jāspēj veikt nepieciešamos pasākumus, lai nodrošinātu būtisko valsts drošības interešu aizsardzību, sabiedrisko kārtību un sabiedrisko drošību un lai varētu novērst, izmeklēt un atklāt noziedzīgus nodarījumus un veikt kriminālvajāšanu par tiem. Šajā nolūkā dalībvalstīm būtu jāspēj paredzēt, ka konkrētas vienības, kas veic darbības valsts drošības, sabiedriskās drošības, aizsardzības vai tiesībaizsardzības jomā, tostarp noziedzīgu nodarījumu novēršanā, izmeklēšanā, atklāšanā un kriminālvajāšanā par tiem, ir atbrīvotas no dažiem šajā direktīvā noteiktajiem pienākumiem attiecībā uz minētajām darbībām. Ja vienība sniedz pakalpojumus tikai valsts pārvaldes vienībai, kas ir izslēgta no šīs direktīvas darbības jomas, dalībvalstīm būtu jāspēj atbrīvot minēto vienību no dažiem šajā direktīvā noteiktajiem pienākumiem attiecībā uz minētajiem pakalpojumiem. Turklāt nevajadzētu būt prasībai dalībvalstīm sniegt informāciju, kuras izpaušana būtu pretrunā to būtiskajām valsts drošības, sabiedriskās drošības vai aizsardzības interesēm. Šajā ziņā būtu jāņem vērā Savienības vai valstu noteikumi par klasificētas informācijas aizsardzību, vienošanās par neizpaušanu un neformālas vienošanās par informācijas neizpaušanu, piemēram, gaismas signālu protokols. Gaismas signālu protokols ir jāsaprot kā līdzeklis, ar ko sniegt informāciju par jebkādiem ierobežojumiem attiecībā uz tālāku informācijas izplatīšanu. To izmanto gandrīz visās datordrošības incidentu reaģēšanas vienībās (CSIRT) un dažos informācijas analīzes un kopīgošanas centros. |
| --- | --- |

(9)

Dalībvalstīm būtu jāspēj veikt nepieciešamos pasākumus, lai nodrošinātu būtisko valsts drošības interešu aizsardzību, sabiedrisko kārtību un sabiedrisko drošību un lai varētu novērst, izmeklēt un atklāt noziedzīgus nodarījumus un veikt kriminālvajāšanu par tiem. Šajā nolūkā dalībvalstīm būtu jāspēj paredzēt, ka konkrētas vienības, kas veic darbības valsts drošības, sabiedriskās drošības, aizsardzības vai tiesībaizsardzības jomā, tostarp noziedzīgu nodarījumu novēršanā, izmeklēšanā, atklāšanā un kriminālvajāšanā par tiem, ir atbrīvotas no dažiem šajā direktīvā noteiktajiem pienākumiem attiecībā uz minētajām darbībām. Ja vienība sniedz pakalpojumus tikai valsts pārvaldes vienībai, kas ir izslēgta no šīs direktīvas darbības jomas, dalībvalstīm būtu jāspēj atbrīvot minēto vienību no dažiem šajā direktīvā noteiktajiem pienākumiem attiecībā uz minētajiem pakalpojumiem. Turklāt nevajadzētu būt prasībai dalībvalstīm sniegt informāciju, kuras izpaušana būtu pretrunā to būtiskajām valsts drošības, sabiedriskās drošības vai aizsardzības interesēm. Šajā ziņā būtu jāņem vērā Savienības vai valstu noteikumi par klasificētas informācijas aizsardzību, vienošanās par neizpaušanu un neformālas vienošanās par informācijas neizpaušanu, piemēram, gaismas signālu protokols. Gaismas signālu protokols ir jāsaprot kā līdzeklis, ar ko sniegt informāciju par jebkādiem ierobežojumiem attiecībā uz tālāku informācijas izplatīšanu. To izmanto gandrīz visās datordrošības incidentu reaģēšanas vienībās (CSIRT) un dažos informācijas analīzes un kopīgošanas centros.

| (10) | Lai gan šī direktīva attiecas uz vienībām, kas veic darbības elektroenerģijas ražošanā kodolelektrostacijās, dažas no minētajām darbībām var būt saistītas ar valsts drošību. Ja tā ir, dalībvalstij būtu jāspēj pildīt savu pienākumu sargāt valsts drošību attiecībā uz minētajām darbībām, tostarp darbībām kodolenerģijas vērtības ķēdē, saskaņā ar Līgumiem. |
| --- | --- |

(10)

Lai gan šī direktīva attiecas uz vienībām, kas veic darbības elektroenerģijas ražošanā kodolelektrostacijās, dažas no minētajām darbībām var būt saistītas ar valsts drošību. Ja tā ir, dalībvalstij būtu jāspēj pildīt savu pienākumu sargāt valsts drošību attiecībā uz minētajām darbībām, tostarp darbībām kodolenerģijas vērtības ķēdē, saskaņā ar Līgumiem.

| (11) | Dažas vienības veic darbības valsts drošības, sabiedriskās drošības, aizsardzības vai tiesībaizsardzības jomā, tostarp noziedzīgu nodarījumu novēršanā, izmeklēšanā, atklāšanā un kriminālvajāšanā par tiem, bet vienlaikus sniedz arī uzticamības pakalpojumus. Uzticamības pakalpojumu sniedzējiem, kas ietilpst Eiropas Parlamenta un Padomes Regula (ES) Nr. 910/2014 (6) darbības jomā, būtu jāietilpst šīs direktīvas darbības jomā, lai nodrošinātu tādu pašu drošības prasību un uzraudzības līmeni, kāds iepriekš bija noteikts minētajā regulā attiecībā uz uzticamības pakalpojumu sniedzējiem. Atbilstoši dažu konkrētu pakalpojumu izslēgšanai no Regulas (ES) Nr. 910/2014 darbības jomas šo direktīvu nevajadzētu piemērot tādu uzticamības pakalpojumu sniegšanai, kurus izmanto vienīgi slēgtās sistēmās, kas izriet no valsts tiesību aktiem vai nolīgumiem starp noteiktu dalībnieku kopu. |
| --- | --- |

(11)

Dažas vienības veic darbības valsts drošības, sabiedriskās drošības, aizsardzības vai tiesībaizsardzības jomā, tostarp noziedzīgu nodarījumu novēršanā, izmeklēšanā, atklāšanā un kriminālvajāšanā par tiem, bet vienlaikus sniedz arī uzticamības pakalpojumus. Uzticamības pakalpojumu sniedzējiem, kas ietilpst Eiropas Parlamenta un Padomes Regula (ES) Nr. 910/2014 (6) darbības jomā, būtu jāietilpst šīs direktīvas darbības jomā, lai nodrošinātu tādu pašu drošības prasību un uzraudzības līmeni, kāds iepriekš bija noteikts minētajā regulā attiecībā uz uzticamības pakalpojumu sniedzējiem. Atbilstoši dažu konkrētu pakalpojumu izslēgšanai no Regulas (ES) Nr. 910/2014 darbības jomas šo direktīvu nevajadzētu piemērot tādu uzticamības pakalpojumu sniegšanai, kurus izmanto vienīgi slēgtās sistēmās, kas izriet no valsts tiesību aktiem vai nolīgumiem starp noteiktu dalībnieku kopu.

| (12) | Pasta pakalpojumu sniedzēji, kā tie definēti Eiropas Parlamenta un Padomes Direktīvā 97/67/EK (7), tostarp kurjerpiegādes pakalpojumu sniedzēji, šīs direktīvas darbības jomā būtu jāiekļauj tad, ja tie nodrošina vismaz vienu no posmiem pasta piegādes ķēdē, jo īpaši, ja tie sniedz pasta sūtījumu atmuitošanas, šķirošanas, transporta vai sadales pakalpojumus, tostarp savākšanas pakalpojumus, bet vienlaikus būtu jāņem vērā tas, kādā mērā tie ir atkarīgi no tīklu un informācijas sistēmām. Transporta pakalpojumi, kurus neveic saistībā ar kādu no minētajiem posmiem, no pasta pakalpojumu jomas būtu jāizslēdz. |
| --- | --- |

(12)

Pasta pakalpojumu sniedzēji, kā tie definēti Eiropas Parlamenta un Padomes Direktīvā 97/67/EK (7), tostarp kurjerpiegādes pakalpojumu sniedzēji, šīs direktīvas darbības jomā būtu jāiekļauj tad, ja tie nodrošina vismaz vienu no posmiem pasta piegādes ķēdē, jo īpaši, ja tie sniedz pasta sūtījumu atmuitošanas, šķirošanas, transporta vai sadales pakalpojumus, tostarp savākšanas pakalpojumus, bet vienlaikus būtu jāņem vērā tas, kādā mērā tie ir atkarīgi no tīklu un informācijas sistēmām. Transporta pakalpojumi, kurus neveic saistībā ar kādu no minētajiem posmiem, no pasta pakalpojumu jomas būtu jāizslēdz.

| (13) | Ņemot vērā kiberdraudu pastiprināšanos un pieaugošo sarežģītību, dalībvalstīm būtu jācenšas nodrošināt, ka vienības, kas ir izslēgtas no šīs direktīvas darbības jomas, sasniedz augstu kiberdrošības līmeni, un atbalstīt tādu līdzvērtīgu kiberdrošības riska pārvaldības pasākumu īstenošanu, kas atbilst minēto vienību sensitīvajam raksturam. |
| --- | --- |

(13)

Ņemot vērā kiberdraudu pastiprināšanos un pieaugošo sarežģītību, dalībvalstīm būtu jācenšas nodrošināt, ka vienības, kas ir izslēgtas no šīs direktīvas darbības jomas, sasniedz augstu kiberdrošības līmeni, un atbalstīt tādu līdzvērtīgu kiberdrošības riska pārvaldības pasākumu īstenošanu, kas atbilst minēto vienību sensitīvajam raksturam.

| (14) | Jebkādai persondatu apstrādei saskaņā ar šo direktīvu piemēro Savienības datu aizsardzības tiesību aktus un Savienības privātuma tiesību aktus. Konkrētāk, šī direktīva neskar Eiropas Parlamenta un Padomes Regulu (ES) 2016/679 (8) un Eiropas Parlamenta un Padomes Direktīvu 2002/58/EK (9). Tādēļ šai direktīvai cita starpā nebūtu jāskar tādu iestāžu uzdevumi un pilnvaras, kuras ir kompetentas uzraudzīt atbilstību piemērojamajiem Savienības datu aizsardzības tiesību aktiem un Savienības privātuma tiesību aktiem. |
| --- | --- |

(14)

Jebkādai persondatu apstrādei saskaņā ar šo direktīvu piemēro Savienības datu aizsardzības tiesību aktus un Savienības privātuma tiesību aktus. Konkrētāk, šī direktīva neskar Eiropas Parlamenta un Padomes Regulu (ES) 2016/679 (8) un Eiropas Parlamenta un Padomes Direktīvu 2002/58/EK (9). Tādēļ šai direktīvai cita starpā nebūtu jāskar tādu iestāžu uzdevumi un pilnvaras, kuras ir kompetentas uzraudzīt atbilstību piemērojamajiem Savienības datu aizsardzības tiesību aktiem un Savienības privātuma tiesību aktiem.

| (15) | Vienības, kuras ietilpst šīs direktīvas darbības jomā, attiecībā uz atbilstību kiberdrošības risku pārvaldības pasākumiem un ziņošanas pienākumiem būtu jāiedala divās kategorijās, proti, būtiskajās vienībās un svarīgajās vienībās, atspoguļojot to, kādā mērā tās ir kritiski svarīgas to nozares vai sniegto pakalpojumu veida aspektā, kā arī to lielumu. Minētajā sakarā attiecīgā gadījumā būtu pienācīgi jāņem vērā visi attiecīgie nozaru riska novērtējumi vai norādījumi, ko sniegušas kompetentās iestādes. Uzraudzības un izpildes režīmi minētajām divām vienību kategorijām būtu jādiferencē, lai nodrošinātu taisnīgu līdzsvaru starp prasībām un pienākumiem, kas balstīti uz risku, no vienas puses, un administratīvo slogu, kas izriet no atbilstības uzraudzības, no otras puses. |
| --- | --- |

(15)

Vienības, kuras ietilpst šīs direktīvas darbības jomā, attiecībā uz atbilstību kiberdrošības risku pārvaldības pasākumiem un ziņošanas pienākumiem būtu jāiedala divās kategorijās, proti, būtiskajās vienībās un svarīgajās vienībās, atspoguļojot to, kādā mērā tās ir kritiski svarīgas to nozares vai sniegto pakalpojumu veida aspektā, kā arī to lielumu. Minētajā sakarā attiecīgā gadījumā būtu pienācīgi jāņem vērā visi attiecīgie nozaru riska novērtējumi vai norādījumi, ko sniegušas kompetentās iestādes. Uzraudzības un izpildes režīmi minētajām divām vienību kategorijām būtu jādiferencē, lai nodrošinātu taisnīgu līdzsvaru starp prasībām un pienākumiem, kas balstīti uz risku, no vienas puses, un administratīvo slogu, kas izriet no atbilstības uzraudzības, no otras puses.

| (16) | Lai izvairītos no tā, ka vienības, kurām ir partneruzņēmumi vai kuras ir saistīti uzņēmumi, tiek uzskatītas par būtiskām vai svarīgām vienībām, ja tas būtu nesamērīgi, dalībvalstis, piemērojot Ieteikuma 2003/361/EK pielikuma 6. panta 2. punktu, var ņemt vērā vienības neatkarības pakāpi attiecībā pret tās partneri vai saistītajiem uzņēmumiem. Konkrētāk, dalībvalstis var ņemt vērā to, ka vienība ir neatkarīga no sava partnera vai saistītajiem uzņēmumiem to tīklu un informācijas sistēmu ziņā, ko šī vienība izmanto savu pakalpojumu sniegšanā, un tās sniegto pakalpojumu ziņā. Uz šā pamata attiecīgā gadījumā dalībvalstis var uzskatīt, ka šāda vienība nekvalificējas kā vidējs uzņēmums saskaņā ar Ieteikuma 2003/361/EK 2. pantu vai nepārsniedz minētā panta 1. punktā paredzētos maksimālos lielumus vidējiem uzņēmumiem, ja pēc tam, kad ir ņemta vērā šīs vienības neatkarības pakāpe, tiktu uzskatīts, ka šī vienība nekvalificētos kā vidējs uzņēmums vai nepārsniegtu minētos maksimālos lielumus, ja tiktu ņemti vērā tikai tās pašas dati vien. Tas neskar šajā direktīvā noteiktos to partneru un saistīto uzņēmumu pienākumus, kuri ietilpst šīs direktīvas darbības jomā. |
| --- | --- |

(16)

Lai izvairītos no tā, ka vienības, kurām ir partneruzņēmumi vai kuras ir saistīti uzņēmumi, tiek uzskatītas par būtiskām vai svarīgām vienībām, ja tas būtu nesamērīgi, dalībvalstis, piemērojot Ieteikuma 2003/361/EK pielikuma 6. panta 2. punktu, var ņemt vērā vienības neatkarības pakāpi attiecībā pret tās partneri vai saistītajiem uzņēmumiem. Konkrētāk, dalībvalstis var ņemt vērā to, ka vienība ir neatkarīga no sava partnera vai saistītajiem uzņēmumiem to tīklu un informācijas sistēmu ziņā, ko šī vienība izmanto savu pakalpojumu sniegšanā, un tās sniegto pakalpojumu ziņā. Uz šā pamata attiecīgā gadījumā dalībvalstis var uzskatīt, ka šāda vienība nekvalificējas kā vidējs uzņēmums saskaņā ar Ieteikuma 2003/361/EK 2. pantu vai nepārsniedz minētā panta 1. punktā paredzētos maksimālos lielumus vidējiem uzņēmumiem, ja pēc tam, kad ir ņemta vērā šīs vienības neatkarības pakāpe, tiktu uzskatīts, ka šī vienība nekvalificētos kā vidējs uzņēmums vai nepārsniegtu minētos maksimālos lielumus, ja tiktu ņemti vērā tikai tās pašas dati vien. Tas neskar šajā direktīvā noteiktos to partneru un saistīto uzņēmumu pienākumus, kuri ietilpst šīs direktīvas darbības jomā.

| (17) | Dalībvalstīm būtu jāspēj nolemt, ka vienības, kas pirms šīs direktīvas stāšanās spēkā identificētas kā pamatpakalpojumu sniedzēji saskaņā ar Direktīvu (ES) 2016/1148, ir uzskatāmas par būtiskām vienībām. |
| --- | --- |

(17)

Dalībvalstīm būtu jāspēj nolemt, ka vienības, kas pirms šīs direktīvas stāšanās spēkā identificētas kā pamatpakalpojumu sniedzēji saskaņā ar Direktīvu (ES) 2016/1148, ir uzskatāmas par būtiskām vienībām.

| (18) | Lai nodrošinātu skaidru pārskatu par vienībām, kas ir šīs direktīvas darbības jomā, dalībvalstīm būtu jāizveido saraksts ar būtiskajām un svarīgajām vienībām, kā arī vienībām, kuras sniedz domēnu nosaukumu reģistrācijas pakalpojumus. Minētajā nolūkā dalībvalstīm būtu jāprasa, lai vienības kompetentajām iestādēm iesniedz vismaz šādu informāciju: nosaukumu, adresi un atjauninātu kontaktinformāciju, tostarp vienības e-pasta adreses, IP adrešu diapazonus un tālruņa numurus, un attiecīgā gadījumā pielikumos minētās attiecīgās nozares un apakšnozares, kā arī attiecīgā gadījumā to dalībvalstu sarakstu, kurās tās sniedz pakalpojumus, kas ietilpst šīs direktīvas darbības jomā. Šajā nolūkā Komisijai ar Eiropas Savienības Kiberdrošības aģentūras (ENISA) palīdzību bez nepamatotas kavēšanās būtu jāsniedz pamatnostādnes un veidnes attiecībā uz pienākumu iesniegt informāciju. Lai atvieglotu būtisko un svarīgo vienību, kā arī vienību, kuras sniedz domēnu nosaukumu reģistrācijas pakalpojumus, saraksta izveidi un atjaunināšanu, dalībvalstīm būtu jāspēj izveidot valsts mehānismus, ko vienības varētu izmantot, lai reģistrētos pašas. Ja pastāv valsts līmeņa reģistri, dalībvalstis var lemt par piemērotiem mehānismiem, kas ļauj identificēt vienības, kuras ietilpst šīs direktīvas darbības jomā. |
| --- | --- |

(18)

Lai nodrošinātu skaidru pārskatu par vienībām, kas ir šīs direktīvas darbības jomā, dalībvalstīm būtu jāizveido saraksts ar būtiskajām un svarīgajām vienībām, kā arī vienībām, kuras sniedz domēnu nosaukumu reģistrācijas pakalpojumus. Minētajā nolūkā dalībvalstīm būtu jāprasa, lai vienības kompetentajām iestādēm iesniedz vismaz šādu informāciju: nosaukumu, adresi un atjauninātu kontaktinformāciju, tostarp vienības e-pasta adreses, IP adrešu diapazonus un tālruņa numurus, un attiecīgā gadījumā pielikumos minētās attiecīgās nozares un apakšnozares, kā arī attiecīgā gadījumā to dalībvalstu sarakstu, kurās tās sniedz pakalpojumus, kas ietilpst šīs direktīvas darbības jomā. Šajā nolūkā Komisijai ar Eiropas Savienības Kiberdrošības aģentūras (ENISA) palīdzību bez nepamatotas kavēšanās būtu jāsniedz pamatnostādnes un veidnes attiecībā uz pienākumu iesniegt informāciju. Lai atvieglotu būtisko un svarīgo vienību, kā arī vienību, kuras sniedz domēnu nosaukumu reģistrācijas pakalpojumus, saraksta izveidi un atjaunināšanu, dalībvalstīm būtu jāspēj izveidot valsts mehānismus, ko vienības varētu izmantot, lai reģistrētos pašas. Ja pastāv valsts līmeņa reģistri, dalībvalstis var lemt par piemērotiem mehānismiem, kas ļauj identificēt vienības, kuras ietilpst šīs direktīvas darbības jomā.

| (19) | Dalībvalstīm vajadzētu būt atbildīgām par to, lai Komisijai tiktu iesniegts vismaz to būtisko un svarīgo vienību skaits katrā nozarē un apakšnozarē, kas minētas pielikumos, kā arī relevanta informācija par identificēto vienību skaitu un to no šajā direktīvā paredzētajiem noteikumiem, uz kura pamata tās identificētas, un pakalpojumu veidu, ko tās sniedz. Dalībvalstis tiek mudinātas ar Komisiju apmainīties ar informāciju par būtiskajām un svarīgajām vienībām un – liela mēroga kiberdrošības incidenta gadījumā – ar relevantu informāciju, piemēram, attiecīgās vienības nosaukumu. |
| --- | --- |

(19)

Dalībvalstīm vajadzētu būt atbildīgām par to, lai Komisijai tiktu iesniegts vismaz to būtisko un svarīgo vienību skaits katrā nozarē un apakšnozarē, kas minētas pielikumos, kā arī relevanta informācija par identificēto vienību skaitu un to no šajā direktīvā paredzētajiem noteikumiem, uz kura pamata tās identificētas, un pakalpojumu veidu, ko tās sniedz. Dalībvalstis tiek mudinātas ar Komisiju apmainīties ar informāciju par būtiskajām un svarīgajām vienībām un – liela mēroga kiberdrošības incidenta gadījumā – ar relevantu informāciju, piemēram, attiecīgās vienības nosaukumu.

| (20) | Komisijai sadarbībā ar sadarbības grupu un pēc apspriešanās ar attiecīgajām ieinteresētajām personām būtu jāsniedz pamatnostādnes par to, kā īstenot mikrouzņēmumiem un mazajiem uzņēmumiem piemērojamos kritērijus, pēc kuriem novērtēt, vai tie ietilpst šīs direktīvas darbības jomā. Komisijai būtu arī jānodrošina, ka piemēroti norādījumi tiek sniegti mikrouzņēmumiem un mazajiem uzņēmumiem, kuri ietilpst šīs direktīvas darbības jomā. Komisijai ar dalībvalstu palīdzību būtu minētajā nolūkā jādara pieejama informācija mikrouzņēmumiem un mazajiem uzņēmumiem. |
| --- | --- |

(20)

Komisijai sadarbībā ar sadarbības grupu un pēc apspriešanās ar attiecīgajām ieinteresētajām personām būtu jāsniedz pamatnostādnes par to, kā īstenot mikrouzņēmumiem un mazajiem uzņēmumiem piemērojamos kritērijus, pēc kuriem novērtēt, vai tie ietilpst šīs direktīvas darbības jomā. Komisijai būtu arī jānodrošina, ka piemēroti norādījumi tiek sniegti mikrouzņēmumiem un mazajiem uzņēmumiem, kuri ietilpst šīs direktīvas darbības jomā. Komisijai ar dalībvalstu palīdzību būtu minētajā nolūkā jādara pieejama informācija mikrouzņēmumiem un mazajiem uzņēmumiem.

| (21) | Komisija varētu sniegt norādījumus, lai palīdzētu dalībvalstīm īstenot šīs direktīvas noteikumus par darbības jomu un izvērtēt saskaņā ar šo direktīvu veicamo pienākumu proporcionalitāti, jo īpaši attiecībā uz vienībām ar sarežģītiem uzņēmējdarbības modeļiem vai darbības vidēm, kur vienība vienlaikus var atbilst kritērijiem, kas noteikti gan būtiskām, gan svarīgām vienībām, vai vienlaikus veikt darbības, no kurām daļa ietilpst šīs direktīvas darbības jomā, bet citas no tās ir izslēgtas. |
| --- | --- |

(21)

Komisija varētu sniegt norādījumus, lai palīdzētu dalībvalstīm īstenot šīs direktīvas noteikumus par darbības jomu un izvērtēt saskaņā ar šo direktīvu veicamo pienākumu proporcionalitāti, jo īpaši attiecībā uz vienībām ar sarežģītiem uzņēmējdarbības modeļiem vai darbības vidēm, kur vienība vienlaikus var atbilst kritērijiem, kas noteikti gan būtiskām, gan svarīgām vienībām, vai vienlaikus veikt darbības, no kurām daļa ietilpst šīs direktīvas darbības jomā, bet citas no tās ir izslēgtas.

| (22) | Šajā direktīvā ir noteikts pamats kiberdrošības risku pārvaldības pasākumiem un ziņošanas pienākumiem nozarēs, kas ietilpst tās darbības jomā. Lai izvairītos no Savienības tiesību aktos paredzēto kiberdrošības noteikumu sadrumstalotības, ja tiek uzskatīts, ka augsta kiberdrošības līmeņa nodrošināšanai Savienībā ir nepieciešami papildu nozarspecifiski Savienības tiesību akti, kas attiecas uz kiberdrošības risku pārvaldības pasākumiem un ziņošanas pienākumiem, Komisijai būtu jānovērtē, vai šādus papildu noteikumus varētu paredzēt īstenošanas aktā saskaņā ar šo direktīvu. Ja šāds īstenošanas akts minētajam nolūkam nav piemērots, nozarspecifiski Savienības tiesību akti varētu palīdzēt nodrošināt Savienībā augstu kiberdrošības līmeni, vienlaikus pilnībā ņemot vērā attiecīgo nozaru specifiku un sarežģītību. Šajā nolūkā šī direktīva neliedz pieņemt papildu nozarspecifiskus Savienības tiesību aktus, kas pievēršas kiberdrošības risku pārvaldības pasākumiem un ziņošanas pienākumiem un kas pienācīgi ņem vērā nepieciešamību pēc vispusīgas un konsekventas kiberdrošības sistēmas. Šī direktīva neskar pastāvošās īstenošanas pilnvaras, kas Komisijai piešķirtas vairākās nozarēs, tai skaitā transporta un enerģētikas nozarē. |
| --- | --- |

(22)

Šajā direktīvā ir noteikts pamats kiberdrošības risku pārvaldības pasākumiem un ziņošanas pienākumiem nozarēs, kas ietilpst tās darbības jomā. Lai izvairītos no Savienības tiesību aktos paredzēto kiberdrošības noteikumu sadrumstalotības, ja tiek uzskatīts, ka augsta kiberdrošības līmeņa nodrošināšanai Savienībā ir nepieciešami papildu nozarspecifiski Savienības tiesību akti, kas attiecas uz kiberdrošības risku pārvaldības pasākumiem un ziņošanas pienākumiem, Komisijai būtu jānovērtē, vai šādus papildu noteikumus varētu paredzēt īstenošanas aktā saskaņā ar šo direktīvu. Ja šāds īstenošanas akts minētajam nolūkam nav piemērots, nozarspecifiski Savienības tiesību akti varētu palīdzēt nodrošināt Savienībā augstu kiberdrošības līmeni, vienlaikus pilnībā ņemot vērā attiecīgo nozaru specifiku un sarežģītību. Šajā nolūkā šī direktīva neliedz pieņemt papildu nozarspecifiskus Savienības tiesību aktus, kas pievēršas kiberdrošības risku pārvaldības pasākumiem un ziņošanas pienākumiem un kas pienācīgi ņem vērā nepieciešamību pēc vispusīgas un konsekventas kiberdrošības sistēmas. Šī direktīva neskar pastāvošās īstenošanas pilnvaras, kas Komisijai piešķirtas vairākās nozarēs, tai skaitā transporta un enerģētikas nozarē.

| (23) | Ja nozarspecifiska Savienības tiesību akta noteikumi prasa būtiskajām vai svarīgajām vienībām pieņemt kiberdrošības risku pārvaldības pasākumus vai ziņot par būtiskiem incidentiem un ja šādas prasības to ietekmes ziņā ir vismaz līdzvērtīgas šajā direktīvā noteiktajiem pienākumiem, minētos noteikumus, tostarp noteikumus par uzraudzību un izpildes panākšanu, būtu jāpiemēro šādām vienībām. Ja nozarspecifisks Savienības tiesību akts neaptver visas vienības konkrētā nozarē, kas ietilpst šīs direktīvas darbības jomā, attiecīgos šīs direktīvas būtu jāturpina piemērot vienībām, uz kurām minētais akts neattiecas. |
| --- | --- |

(23)

Ja nozarspecifiska Savienības tiesību akta noteikumi prasa būtiskajām vai svarīgajām vienībām pieņemt kiberdrošības risku pārvaldības pasākumus vai ziņot par būtiskiem incidentiem un ja šādas prasības to ietekmes ziņā ir vismaz līdzvērtīgas šajā direktīvā noteiktajiem pienākumiem, minētos noteikumus, tostarp noteikumus par uzraudzību un izpildes panākšanu, būtu jāpiemēro šādām vienībām. Ja nozarspecifisks Savienības tiesību akts neaptver visas vienības konkrētā nozarē, kas ietilpst šīs direktīvas darbības jomā, attiecīgos šīs direktīvas būtu jāturpina piemērot vienībām, uz kurām minētais akts neattiecas.

| (24) | Ja nozarspecifiska Savienības tiesību akta noteikumi prasa, lai būtiskās vai svarīgās vienības izpilda ziņošanas prasības, kuras iedarbības ziņā ir vismaz līdzvērtīgas šajā direktīvā noteiktajiem ziņošanas pienākumiem, būtu jānodrošina incidentu paziņojumu apstrādes saskaņotība un rezultativitāte. Minētajā nolūkā nozarspecifiska Savienības tiesību akta noteikumiem saistībā ar incidentu paziņošanu būtu jānodrošina CSIRT, kompetentajām iestādēm vai vienotajiem kiberdrošības kontaktpunktiem (vienotie kontaktpunkti), ko paredz šī direktīva, tūlītēja piekļuve paziņojumiem par incidentiem, kas iesniegti saskaņā ar nozarspecifisko Savienības tiesību aktu. Konkrētāk, šādu tūlītēju piekļuvi var nodrošināt, ja incidentu paziņojumi bez nepamatotas kavēšanās tiek nosūtīti CSIRT, kompetentajai iestādei vai vienotajam kontaktpunktam, ko paredz šī direktīva. Attiecīgā gadījumā dalībvalstīm būtu jāievieš automātisks un tiešs ziņošanas mehānisms, kas nodrošina sistemātisku un tūlītēju informācijas kopīgošanu ar CSIRT, kompetentajām iestādēm vai vienotajiem kontaktpunktiem attiecībā uz šādu incidentu paziņojumu apstrādi. Lai vienkāršotu ziņošanu un ieviestu automātiskās un tiešās ziņošanas mehānismu, dalībvalstis saskaņā ar nozarspecifisko Savienības tiesību aktu varētu izmantot vienotu iesniegšanas punktu. |
| --- | --- |

(24)

Ja nozarspecifiska Savienības tiesību akta noteikumi prasa, lai būtiskās vai svarīgās vienības izpilda ziņošanas prasības, kuras iedarbības ziņā ir vismaz līdzvērtīgas šajā direktīvā noteiktajiem ziņošanas pienākumiem, būtu jānodrošina incidentu paziņojumu apstrādes saskaņotība un rezultativitāte. Minētajā nolūkā nozarspecifiska Savienības tiesību akta noteikumiem saistībā ar incidentu paziņošanu būtu jānodrošina CSIRT, kompetentajām iestādēm vai vienotajiem kiberdrošības kontaktpunktiem (vienotie kontaktpunkti), ko paredz šī direktīva, tūlītēja piekļuve paziņojumiem par incidentiem, kas iesniegti saskaņā ar nozarspecifisko Savienības tiesību aktu. Konkrētāk, šādu tūlītēju piekļuvi var nodrošināt, ja incidentu paziņojumi bez nepamatotas kavēšanās tiek nosūtīti CSIRT, kompetentajai iestādei vai vienotajam kontaktpunktam, ko paredz šī direktīva. Attiecīgā gadījumā dalībvalstīm būtu jāievieš automātisks un tiešs ziņošanas mehānisms, kas nodrošina sistemātisku un tūlītēju informācijas kopīgošanu ar CSIRT, kompetentajām iestādēm vai vienotajiem kontaktpunktiem attiecībā uz šādu incidentu paziņojumu apstrādi. Lai vienkāršotu ziņošanu un ieviestu automātiskās un tiešās ziņošanas mehānismu, dalībvalstis saskaņā ar nozarspecifisko Savienības tiesību aktu varētu izmantot vienotu iesniegšanas punktu.

| (25) | Nozarspecifiskos Savienības tiesību aktos, kas paredz kiberdrošības risku pārvaldības pasākumus vai ziņošanas pienākumus, kuri iedarbības ziņā ir vismaz līdzvērtīgi tiem, kas noteikti šajā direktīvā, varētu paredzēt, ka kompetentās iestādes, ko paredz šādi akti, savas uzraudzības un izpildes panākšanas pilnvaras attiecībā uz šādiem pasākumiem vai pienākumiem īsteno ar šajā direktīvā minēto kompetento iestāžu palīdzību. Attiecīgās kompetentās iestādes šajā nolūkā varētu izveidot sadarbības mehānismus. Šādos sadarbības mehānismos cita starpā varētu precizēt uzraudzības darbību koordinēšanas procedūras, tostarp izmeklēšanas un uz vietas veicamu inspekciju procedūras saskaņā ar valsts tiesību aktiem, un mehānismu relevantas informācijas apmaiņai starp kompetentajām iestādēm par uzraudzību un izpildes panākšanu, tostarp piekļuvi ar kiberjautājumiem saistītai informācijai, ko pieprasa šajā direktīvā minētās kompetentās iestādes. |
| --- | --- |

(25)

Nozarspecifiskos Savienības tiesību aktos, kas paredz kiberdrošības risku pārvaldības pasākumus vai ziņošanas pienākumus, kuri iedarbības ziņā ir vismaz līdzvērtīgi tiem, kas noteikti šajā direktīvā, varētu paredzēt, ka kompetentās iestādes, ko paredz šādi akti, savas uzraudzības un izpildes panākšanas pilnvaras attiecībā uz šādiem pasākumiem vai pienākumiem īsteno ar šajā direktīvā minēto kompetento iestāžu palīdzību. Attiecīgās kompetentās iestādes šajā nolūkā varētu izveidot sadarbības mehānismus. Šādos sadarbības mehānismos cita starpā varētu precizēt uzraudzības darbību koordinēšanas procedūras, tostarp izmeklēšanas un uz vietas veicamu inspekciju procedūras saskaņā ar valsts tiesību aktiem, un mehānismu relevantas informācijas apmaiņai starp kompetentajām iestādēm par uzraudzību un izpildes panākšanu, tostarp piekļuvi ar kiberjautājumiem saistītai informācijai, ko pieprasa šajā direktīvā minētās kompetentās iestādes.

| (26) | Ja nozarspecifiski Savienības tiesību akti prasa vai rada stimulus vienībām paziņot par būtiskiem kiberdraudiem, dalībvalstīm būtu jāmudina informācijā par būtiskiem kiberdraudiem dalīties arī ar šajā direktīvā paredzētajām CSIRT, kompetentajām iestādēm vai vienotajiem kontaktpunktiem, lai nodrošinātu minēto struktūru labāku informētību par kiberdraudu ainu un lai tās varētu rezultatīvi un savlaicīgi reaģēt, ja būtiskie kiberdraudi īstenotos. |
| --- | --- |

(26)

Ja nozarspecifiski Savienības tiesību akti prasa vai rada stimulus vienībām paziņot par būtiskiem kiberdraudiem, dalībvalstīm būtu jāmudina informācijā par būtiskiem kiberdraudiem dalīties arī ar šajā direktīvā paredzētajām CSIRT, kompetentajām iestādēm vai vienotajiem kontaktpunktiem, lai nodrošinātu minēto struktūru labāku informētību par kiberdraudu ainu un lai tās varētu rezultatīvi un savlaicīgi reaģēt, ja būtiskie kiberdraudi īstenotos.

| (27) | Turpmākos nozarspecifiskos Savienības tiesību aktos būtu pienācīgi jāņem vērā šajā direktīvā noteiktās definīcijas un uzraudzības un izpildes panākšanas sistēma. |
| --- | --- |

(27)

Turpmākos nozarspecifiskos Savienības tiesību aktos būtu pienācīgi jāņem vērā šajā direktīvā noteiktās definīcijas un uzraudzības un izpildes panākšanas sistēma.

| (28) | Eiropas Parlamenta un Padomes Regula (ES) 2022/2554 (10) būtu jāuzskata par nozarspecifisku Savienības tiesību aktu saistībā ar šo direktīvu attiecībā uz finanšu vienībām. Šajā direktīvā izklāstīto noteikumu vietā būtu jāpiemēro Regulas (ES) 2022/2554 noteikumi par informācijas un komunikācijas tehnoloģiju (IKT) risku pārvaldību, ar IKT saistītu incidentu pārvaldību un jo īpaši lielu ar IKT saistītu incidentu paziņošanu, kā arī par digitālās darbības noturības testēšanu, informācijas kopīgošanas mehānismiem un ar trešo personu saistītu IKT risku. Tāpēc dalībvalstīm šīs direktīvas noteikumi par kiberdrošības risku pārvaldību un ziņošanas pienākumiem, kā arī uzraudzību un izpildes panākšanu nebūtu jāpiemēro finanšu vienībām, uz kurām attiecas Regula (ES) 2022/2554. Vienlaikus ir svarīgi uzturēt ciešas attiecības un informācijas apmaiņu ar finanšu sektoru saskaņā ar šo direktīvu. Šajā nolūkā Regula (ES) 2022/2554 Eiropas uzraudzības iestādēm (EUI) un kompetentajām iestādēm saskaņā ar minēto regulu dod iespēju piedalīties sadarbības grupas darbībās un apmainīties ar informāciju un sadarboties ar vienotajiem kontaktpunktiem, kā arī ar CSIRT un kompetentajām iestādēm saskaņā ar šo direktīvu. Kompetentajām iestādēm atbilstoši Regulai (ES) 2022/2554 arī būtu jānosūta ziņas par būtiskiem ar IKT saistītiem incidentiem un, attiecīgā gadījumā, par būtiskiem kiberdraudiem CSIRT, kompetentajām iestādēm vai vienotajiem kontaktpunktiem, kas minēti šajā direktīvā. To var panākt, nodrošinot tūlītēju piekļuvi paziņojumiem par incidentiem un tos pārsūtot vai nu tieši, vai izmantojot vienotu iesniegšanas punktu. Turklāt dalībvalstīm arī turpmāk būtu jāiekļauj finanšu sektors savās kiberdrošības stratēģijās, un CSIRT savās darbībās var aptvert finanšu sektoru. |
| --- | --- |

(28)

Eiropas Parlamenta un Padomes Regula (ES) 2022/2554 (10) būtu jāuzskata par nozarspecifisku Savienības tiesību aktu saistībā ar šo direktīvu attiecībā uz finanšu vienībām. Šajā direktīvā izklāstīto noteikumu vietā būtu jāpiemēro Regulas (ES) 2022/2554 noteikumi par informācijas un komunikācijas tehnoloģiju (IKT) risku pārvaldību, ar IKT saistītu incidentu pārvaldību un jo īpaši lielu ar IKT saistītu incidentu paziņošanu, kā arī par digitālās darbības noturības testēšanu, informācijas kopīgošanas mehānismiem un ar trešo personu saistītu IKT risku. Tāpēc dalībvalstīm šīs direktīvas noteikumi par kiberdrošības risku pārvaldību un ziņošanas pienākumiem, kā arī uzraudzību un izpildes panākšanu nebūtu jāpiemēro finanšu vienībām, uz kurām attiecas Regula (ES) 2022/2554. Vienlaikus ir svarīgi uzturēt ciešas attiecības un informācijas apmaiņu ar finanšu sektoru saskaņā ar šo direktīvu. Šajā nolūkā Regula (ES) 2022/2554 Eiropas uzraudzības iestādēm (EUI) un kompetentajām iestādēm saskaņā ar minēto regulu dod iespēju piedalīties sadarbības grupas darbībās un apmainīties ar informāciju un sadarboties ar vienotajiem kontaktpunktiem, kā arī ar CSIRT un kompetentajām iestādēm saskaņā ar šo direktīvu. Kompetentajām iestādēm atbilstoši Regulai (ES) 2022/2554 arī būtu jānosūta ziņas par būtiskiem ar IKT saistītiem incidentiem un, attiecīgā gadījumā, par būtiskiem kiberdraudiem CSIRT, kompetentajām iestādēm vai vienotajiem kontaktpunktiem, kas minēti šajā direktīvā. To var panākt, nodrošinot tūlītēju piekļuvi paziņojumiem par incidentiem un tos pārsūtot vai nu tieši, vai izmantojot vienotu iesniegšanas punktu. Turklāt dalībvalstīm arī turpmāk būtu jāiekļauj finanšu sektors savās kiberdrošības stratēģijās, un CSIRT savās darbībās var aptvert finanšu sektoru.

| (29) | Lai izvairītos no aviācijas nozares vienībām piemēroto kiberdrošības pienākumu nepilnībām vai dublēšanās, Eiropas Parlamenta un Padomes Regulā (EK) Nr. 300/2008 (11) un Regulā (ES) 2018/1139 paredzētajām (12) valsts iestādēm un šajā direktīvā paredzētajām kompetentajām iestādēm būtu jāsadarbojas saistībā ar kiberdrošības risku pārvaldības pasākumu īstenošanu un atbilstības minētajiem pasākumiem uzraudzību valsts līmenī. Šajā direktīvā paredzētās kompetentās iestādes varētu uzskatīt, ka vienības atbilstība drošības prasībām, kuras noteiktas Regulās (EK) Nr. 300/2008 un (ES) 2018/1139 un attiecīgajos deleģētajos un īstenošanas aktos, kas pieņemti, ievērojot minētās regulas, nozīmē atbilstību attiecīgajām šajā direktīvā noteiktajām prasībām. |
| --- | --- |

(29)

Lai izvairītos no aviācijas nozares vienībām piemēroto kiberdrošības pienākumu nepilnībām vai dublēšanās, Eiropas Parlamenta un Padomes Regulā (EK) Nr. 300/2008 (11) un Regulā (ES) 2018/1139 paredzētajām (12) valsts iestādēm un šajā direktīvā paredzētajām kompetentajām iestādēm būtu jāsadarbojas saistībā ar kiberdrošības risku pārvaldības pasākumu īstenošanu un atbilstības minētajiem pasākumiem uzraudzību valsts līmenī. Šajā direktīvā paredzētās kompetentās iestādes varētu uzskatīt, ka vienības atbilstība drošības prasībām, kuras noteiktas Regulās (EK) Nr. 300/2008 un (ES) 2018/1139 un attiecīgajos deleģētajos un īstenošanas aktos, kas pieņemti, ievērojot minētās regulas, nozīmē atbilstību attiecīgajām šajā direktīvā noteiktajām prasībām.

| (30) | Ņemot vērā saiknes starp vienību kiberdrošību un fizisko drošību, būtu jānodrošina, ka Eiropas Parlamenta un Padomes Direktīvas (ES) 2022/2557 (13) un šīs direktīvas pieejas ir saskanīgas. Lai to panāktu, vienības, kas identificētas kā kritiskās vienības saskaņā ar Direktīvu (ES) 2022/2557, būtu jāuzskata par būtiskām vienībām saskaņā ar šo direktīvu. Turklāt katrai dalībvalstij būtu jānodrošina, ka tās valsts kiberdrošības stratēģijā ir paredzēts rīcībpolitikas satvars pastiprinātai koordinācijai minētajā dalībvalstī starp tās kompetentajām iestādēm saskaņā ar šo direktīvu un kompetentajām iestādēm saskaņā ar Direktīvu (ES) 2022/2557 tādas informācijas kopīgošanas kontekstā, kas attiecas uz riskiem, kiberdraudiem un incidentiem, kā arī ar kiberdrošību nesaistītiem riskiem, draudiem un incidentiem un uzraudzības uzdevumu veikšanu. Šajā direktīvā paredzētajām kompetentajām iestādēm un Direktīvā (ES) 2022/2557 paredzētajām kompetentajām iestādēm būtu jāsadarbojas un jāapmainās ar informāciju bez nepamatotas kavēšanās, jo īpaši attiecībā uz kritisko vienību noteikšanu, riskiem, kiberdraudiem un incidentiem, kā arī attiecibā uz ar kiberdrošību nesaistītiem riskiem, draudiem un incidentiem, kas ietekmē kritiskās vienības, tostarp kiberdrošības un fiziskiem pasākumiem, ko veikušas kritiskās vienības, kā arī attiecībā uz šādām vienībām veikto uzraudzības darbību rezultātiem.
  Turklāt, lai racionalizētu uzraudzības darbības starp šajā direktīvā paredzētajām kompetentajām iestādēm un Direktīvā (ES) 2022/2557 paredzētajām kompetentajām iestādēm, un lai attiecīgajām vienībām mazinātu administratīvo slogu, minētajām kompetentajām iestādēm būtu jācenšas saskaņot incidentu paziņošanas veidnes un uzraudzības procesus. Attiecīgā gadījumā Direktīvā (ES) 2022/2557 paredzētajām kompetentajām iestādēm būtu jāspēj pieprasīt šajā direktīvā paredzētajām kompetentajām iestādēm īstenot savas uzraudzības un izpildes panākšanas pilnvaras attiecībā uz vienību, kas ir identificēta kā kritiska vienība saskaņā ar Direktīvu (ES) 2022/2557 Šajā nolūkā šajā direktīvā paredzētajām kompetentajām iestādēm un Direktīvā (ES) 2022/2557 paredzētajām kompetentajām iestādēm būtu jāsadarbojas un jāapmainās ar informāciju, ja iespējams – reāllaikā. |
| --- | --- |

(30)

Ņemot vērā saiknes starp vienību kiberdrošību un fizisko drošību, būtu jānodrošina, ka Eiropas Parlamenta un Padomes Direktīvas (ES) 2022/2557 (13) un šīs direktīvas pieejas ir saskanīgas. Lai to panāktu, vienības, kas identificētas kā kritiskās vienības saskaņā ar Direktīvu (ES) 2022/2557, būtu jāuzskata par būtiskām vienībām saskaņā ar šo direktīvu. Turklāt katrai dalībvalstij būtu jānodrošina, ka tās valsts kiberdrošības stratēģijā ir paredzēts rīcībpolitikas satvars pastiprinātai koordinācijai minētajā dalībvalstī starp tās kompetentajām iestādēm saskaņā ar šo direktīvu un kompetentajām iestādēm saskaņā ar Direktīvu (ES) 2022/2557 tādas informācijas kopīgošanas kontekstā, kas attiecas uz riskiem, kiberdraudiem un incidentiem, kā arī ar kiberdrošību nesaistītiem riskiem, draudiem un incidentiem un uzraudzības uzdevumu veikšanu. Šajā direktīvā paredzētajām kompetentajām iestādēm un Direktīvā (ES) 2022/2557 paredzētajām kompetentajām iestādēm būtu jāsadarbojas un jāapmainās ar informāciju bez nepamatotas kavēšanās, jo īpaši attiecībā uz kritisko vienību noteikšanu, riskiem, kiberdraudiem un incidentiem, kā arī attiecibā uz ar kiberdrošību nesaistītiem riskiem, draudiem un incidentiem, kas ietekmē kritiskās vienības, tostarp kiberdrošības un fiziskiem pasākumiem, ko veikušas kritiskās vienības, kā arī attiecībā uz šādām vienībām veikto uzraudzības darbību rezultātiem.

Turklāt, lai racionalizētu uzraudzības darbības starp šajā direktīvā paredzētajām kompetentajām iestādēm un Direktīvā (ES) 2022/2557 paredzētajām kompetentajām iestādēm, un lai attiecīgajām vienībām mazinātu administratīvo slogu, minētajām kompetentajām iestādēm būtu jācenšas saskaņot incidentu paziņošanas veidnes un uzraudzības procesus. Attiecīgā gadījumā Direktīvā (ES) 2022/2557 paredzētajām kompetentajām iestādēm būtu jāspēj pieprasīt šajā direktīvā paredzētajām kompetentajām iestādēm īstenot savas uzraudzības un izpildes panākšanas pilnvaras attiecībā uz vienību, kas ir identificēta kā kritiska vienība saskaņā ar Direktīvu (ES) 2022/2557 Šajā nolūkā šajā direktīvā paredzētajām kompetentajām iestādēm un Direktīvā (ES) 2022/2557 paredzētajām kompetentajām iestādēm būtu jāsadarbojas un jāapmainās ar informāciju, ja iespējams – reāllaikā.

| (31) | Vienības, kas pieder pie digitālās infrastruktūras nozares, būtībā balstās uz tīklu un informācijas sistēmām, un tāpēc ar pienākumiem, kas minētajām vienībām paredzēti šajā direktīvā, būtu visaptveroši jāpievēršas šādu sistēmu fiziskajai drošībai kā daļai no to kiberdrošības risku pārvaldības pasākumiem un ziņošanas pienākumiem. Tā kā šī direktīva aptver minētos jautājumus, Direktīvas (ES) 2022/2557 II, IV un VI nodaļā noteiktos pienākumus šādām vienībām nepiemēro. |
| --- | --- |

(31)

Vienības, kas pieder pie digitālās infrastruktūras nozares, būtībā balstās uz tīklu un informācijas sistēmām, un tāpēc ar pienākumiem, kas minētajām vienībām paredzēti šajā direktīvā, būtu visaptveroši jāpievēršas šādu sistēmu fiziskajai drošībai kā daļai no to kiberdrošības risku pārvaldības pasākumiem un ziņošanas pienākumiem. Tā kā šī direktīva aptver minētos jautājumus, Direktīvas (ES) 2022/2557 II, IV un VI nodaļā noteiktos pienākumus šādām vienībām nepiemēro.

| (32) | Uzticamas, noturīgas un drošas domēnu nosaukumu sistēmas (DNS) veicināšana un saglabāšana ir svarīgs faktors interneta integritātes uzturēšanā un ir svarīga tā nepārtrauktai un stabilai darbībai, no kuras ir atkarīga digitālā ekonomika un sabiedrība. Tāpēc šī direktīva būtu jāpiemēro augstākā līmeņa domēnu (ALD) nosaukumu reģistriem un DNS pakalpojumu sniedzējiem, kas jāsaprot kā vienības, kas sniedz publiski pieejamus interneta galalietotājiem domātus rekursīvu domēnu nosaukumu atrises pakalpojumus vai autoritatīvu domēnu nosaukumu atrises pakalpojumus trešām personām. Šī direktīva nebūtu jāpiemēro saknes nosaukumu serveriem. |
| --- | --- |

(32)

Uzticamas, noturīgas un drošas domēnu nosaukumu sistēmas (DNS) veicināšana un saglabāšana ir svarīgs faktors interneta integritātes uzturēšanā un ir svarīga tā nepārtrauktai un stabilai darbībai, no kuras ir atkarīga digitālā ekonomika un sabiedrība. Tāpēc šī direktīva būtu jāpiemēro augstākā līmeņa domēnu (ALD) nosaukumu reģistriem un DNS pakalpojumu sniedzējiem, kas jāsaprot kā vienības, kas sniedz publiski pieejamus interneta galalietotājiem domātus rekursīvu domēnu nosaukumu atrises pakalpojumus vai autoritatīvu domēnu nosaukumu atrises pakalpojumus trešām personām. Šī direktīva nebūtu jāpiemēro saknes nosaukumu serveriem.

| (33) | Mākoņdatošanas pakalpojumiem būtu jāaptver digitāli pakalpojumi, kas dod iespēju plaši un attālināti piekļūt kopīgojamu datošanas resursu mērogojamam un elastīgam pūlam un pēc pieprasījuma to pārvaldīt, arī tad, ja šādi resursi ir izvietoti vairākās vietās. Datošanas resursi ietver tādus resursus kā tīkli, serveri vai cita infrastruktūra, operētājsistēmas, programmatūra, glabāšana, lietotnes un pakalpojumi. Mākoņdatošanas pakalpojumu modeļi cita starpā ietver infrastruktūru kā pakalpojumu (IaaS), platformu kā pakalpojumu (PaaS), programmatūru kā pakalpojumu (SaaS) un tīklu kā pakalpojumu (NaaS). Mākoņdatošanas izvietošanas modeļos būtu jāiekļauj privāts, kopienas, publisks un hibrīds mākonis. Mākoņdatošanas pakalpojumu un izvietošanas modeļu nozīme ir tāda pati kā terminiem “pakalpojums” un “izvietošanas modeļi” standartā ISO/IEC 17788:2014. Mākoņdatošanas lietotāja spēju vienpusēji sev nodrošināt datošanas spējas, piemēram, servera laiku vai glabāšanu tīklā, bez cilvēka mijiedarbības ar mākoņpakalpojumu sniedzēju varētu raksturot kā pārvaldību pēc pieprasījuma.
  Termins “plaša un attālināta piekļuve” ir izmantots, lai raksturotu to, ka mākoņdatošanas spējas tiek nodrošinātas visā tīklā un tām piekļūst, izmantojot mehānismus, kas veicina neviendabīgu plāno vai biezo klientiem paredzēto platformu, tai skaitā mobilo tālruņu, planšetdatoru, klēpjdatoru un darbstaciju, izmantošanu. Termins “mērogojams” attiecas uz datošanas resursiem, kurus mākoņpakalpojuma sniedzējs elastīgi piešķir neatkarīgi no resursu ģeogrāfiskās atrašanās vietas, lai risinātu pieprasījuma svārstības. Termins “elastīgs pūls” ir izmantots, lai aprakstītu tos datošanas resursus, kuri tiek nodrošināti un atbrīvoti atbilstoši pieprasījumam, lai pieejamos resursus atkarībā no noslodzes ātri palielinātu vai samazinātu. Termins “kopīgojams” ir izmantots, lai aprakstītu datošanas resursus, kas tiek sniegti daudziem lietotājiem, kuriem ir kopīga piekļuve pakalpojumam, bet apstrāde notiek katram lietotājam atsevišķi, kaut arī pakalpojums tiek sniegts no vienas un tās pašas elektroniskās iekārtas. Termins “sadalīts” ir izmantots, lai aprakstītu datošanas resursus, kas atrodas dažādos tīklotos datoros vai ierīcēs un kas īsteno savstarpēju saziņu un koordināciju, izmantojot ziņojumu sūtīšanu. |
| --- | --- |

(33)

Mākoņdatošanas pakalpojumiem būtu jāaptver digitāli pakalpojumi, kas dod iespēju plaši un attālināti piekļūt kopīgojamu datošanas resursu mērogojamam un elastīgam pūlam un pēc pieprasījuma to pārvaldīt, arī tad, ja šādi resursi ir izvietoti vairākās vietās. Datošanas resursi ietver tādus resursus kā tīkli, serveri vai cita infrastruktūra, operētājsistēmas, programmatūra, glabāšana, lietotnes un pakalpojumi. Mākoņdatošanas pakalpojumu modeļi cita starpā ietver infrastruktūru kā pakalpojumu (IaaS), platformu kā pakalpojumu (PaaS), programmatūru kā pakalpojumu (SaaS) un tīklu kā pakalpojumu (NaaS). Mākoņdatošanas izvietošanas modeļos būtu jāiekļauj privāts, kopienas, publisks un hibrīds mākonis. Mākoņdatošanas pakalpojumu un izvietošanas modeļu nozīme ir tāda pati kā terminiem “pakalpojums” un “izvietošanas modeļi” standartā ISO/IEC 17788:2014. Mākoņdatošanas lietotāja spēju vienpusēji sev nodrošināt datošanas spējas, piemēram, servera laiku vai glabāšanu tīklā, bez cilvēka mijiedarbības ar mākoņpakalpojumu sniedzēju varētu raksturot kā pārvaldību pēc pieprasījuma.

Termins “plaša un attālināta piekļuve” ir izmantots, lai raksturotu to, ka mākoņdatošanas spējas tiek nodrošinātas visā tīklā un tām piekļūst, izmantojot mehānismus, kas veicina neviendabīgu plāno vai biezo klientiem paredzēto platformu, tai skaitā mobilo tālruņu, planšetdatoru, klēpjdatoru un darbstaciju, izmantošanu. Termins “mērogojams” attiecas uz datošanas resursiem, kurus mākoņpakalpojuma sniedzējs elastīgi piešķir neatkarīgi no resursu ģeogrāfiskās atrašanās vietas, lai risinātu pieprasījuma svārstības. Termins “elastīgs pūls” ir izmantots, lai aprakstītu tos datošanas resursus, kuri tiek nodrošināti un atbrīvoti atbilstoši pieprasījumam, lai pieejamos resursus atkarībā no noslodzes ātri palielinātu vai samazinātu. Termins “kopīgojams” ir izmantots, lai aprakstītu datošanas resursus, kas tiek sniegti daudziem lietotājiem, kuriem ir kopīga piekļuve pakalpojumam, bet apstrāde notiek katram lietotājam atsevišķi, kaut arī pakalpojums tiek sniegts no vienas un tās pašas elektroniskās iekārtas. Termins “sadalīts” ir izmantots, lai aprakstītu datošanas resursus, kas atrodas dažādos tīklotos datoros vai ierīcēs un kas īsteno savstarpēju saziņu un koordināciju, izmantojot ziņojumu sūtīšanu.

| (34) | Ņemot vērā inovatīvu tehnoloģiju un jaunu darbības modeļu parādīšanos, paredzams, ka, reaģējot uz jaunām klientu vajadzībām, iekšējā tirgū parādīsies jauni mākoņdatošanas pakalpojumu un izvietošanas modeļi. Šajā kontekstā mākoņpakalpojumi var būt sniegti īpaši sadalītā formā, pat tuvāk vietai, kur dati tiek ģenerēti vai savākti, tādējādi pārejot no tradicionālā modeļa uz īpaši sadalītu modeli (“perifērdatošana”). |
| --- | --- |

(34)

Ņemot vērā inovatīvu tehnoloģiju un jaunu darbības modeļu parādīšanos, paredzams, ka, reaģējot uz jaunām klientu vajadzībām, iekšējā tirgū parādīsies jauni mākoņdatošanas pakalpojumu un izvietošanas modeļi. Šajā kontekstā mākoņpakalpojumi var būt sniegti īpaši sadalītā formā, pat tuvāk vietai, kur dati tiek ģenerēti vai savākti, tādējādi pārejot no tradicionālā modeļa uz īpaši sadalītu modeli (“perifērdatošana”).

| (35) | Pakalpojumi, ko piedāvā datu centru pakalpojumu sniedzēji, ne vienmēr tiek sniegti mākoņpakalpojuma veidā. Tas nozīmē, ka datu centri var nebūt daļa no mākoņdatošanas infrastruktūras. Tāpēc, lai pārvaldītu visus riskus tīklu un informācijas sistēmu drošībai, šī direktīva būtu jāattiecina arī uz tādu datu centru pakalpojumu sniedzējiem, kuri nav mākoņpakalpojumi. Šajā direktīvā termins “datu centra pakalpojums” būtu jāattiecina uz tāda pakalpojuma sniegšanu, kas ietver struktūras vai struktūru grupas, kuras paredzētas tāda informācijas tehnoloģiju (IT) un tīkla aprīkojuma centralizētai izmitināšanai, savstarpējai savienošanai un darbībai, kas sniedz datu uzglabāšanas, apstrādes un transportēšanas pakalpojumus kopā ar visām ierīcēm un infrastruktūrām jaudas sadalei un vides kontrolei. Terminam “datu centra pakalpojums” nebūtu jāattiecas uz iekšējiem korporatīviem datu centriem, ko attiecīgā vienība tur īpašumā un ekspluatē savām vajadzībām. |
| --- | --- |

(35)

Pakalpojumi, ko piedāvā datu centru pakalpojumu sniedzēji, ne vienmēr tiek sniegti mākoņpakalpojuma veidā. Tas nozīmē, ka datu centri var nebūt daļa no mākoņdatošanas infrastruktūras. Tāpēc, lai pārvaldītu visus riskus tīklu un informācijas sistēmu drošībai, šī direktīva būtu jāattiecina arī uz tādu datu centru pakalpojumu sniedzējiem, kuri nav mākoņpakalpojumi. Šajā direktīvā termins “datu centra pakalpojums” būtu jāattiecina uz tāda pakalpojuma sniegšanu, kas ietver struktūras vai struktūru grupas, kuras paredzētas tāda informācijas tehnoloģiju (IT) un tīkla aprīkojuma centralizētai izmitināšanai, savstarpējai savienošanai un darbībai, kas sniedz datu uzglabāšanas, apstrādes un transportēšanas pakalpojumus kopā ar visām ierīcēm un infrastruktūrām jaudas sadalei un vides kontrolei. Terminam “datu centra pakalpojums” nebūtu jāattiecas uz iekšējiem korporatīviem datu centriem, ko attiecīgā vienība tur īpašumā un ekspluatē savām vajadzībām.

| (36) | Pētniecības darbībām ir būtiska loma jaunu produktu un procesu izstrādē. Daudzas no minētajām darbībām veic vienības, kas savu pētījumu rezultātus kopīgo, izplata vai izmanto komerciāliem mērķiem. Tāpēc minētās vienības var būt svarīgi vērtības ķēžu dalībnieki, un tas nozīmē, ka to tīklu un informācijas sistēmu drošība ir iekšējā tirgus vispārējās kiberdrošības neatņemama daļa. Pētniecības organizācijas būtu jāsaprot kā citu starpā tādas vienības, kuru darbību būtiskā daļa ir vērsta uz lietišķo pētniecību vai eksperimentālo izstrādi – kā tā saprasta Ekonomiskās sadarbības un attīstības organizācijas 2015. gada Frascati rokasgrāmatā par pētniecības un eksperimentālās izstrādes datu vākšanas un ziņošanas pamatnostādnēm –, lai to rezultātus izmantotu komerciāliem mērķiem, piemēram, produkta ražošanai vai produkta vai procesa izstrādei, vai pakalpojuma sniegšanai, vai to tirdzniecībai. |
| --- | --- |

(36)

Pētniecības darbībām ir būtiska loma jaunu produktu un procesu izstrādē. Daudzas no minētajām darbībām veic vienības, kas savu pētījumu rezultātus kopīgo, izplata vai izmanto komerciāliem mērķiem. Tāpēc minētās vienības var būt svarīgi vērtības ķēžu dalībnieki, un tas nozīmē, ka to tīklu un informācijas sistēmu drošība ir iekšējā tirgus vispārējās kiberdrošības neatņemama daļa. Pētniecības organizācijas būtu jāsaprot kā citu starpā tādas vienības, kuru darbību būtiskā daļa ir vērsta uz lietišķo pētniecību vai eksperimentālo izstrādi – kā tā saprasta Ekonomiskās sadarbības un attīstības organizācijas 2015. gada Frascati rokasgrāmatā par pētniecības un eksperimentālās izstrādes datu vākšanas un ziņošanas pamatnostādnēm –, lai to rezultātus izmantotu komerciāliem mērķiem, piemēram, produkta ražošanai vai produkta vai procesa izstrādei, vai pakalpojuma sniegšanai, vai to tirdzniecībai.

| (37) | Pieaugošā savstarpējā atkarība izriet no tā, ka pakalpojumu sniegšanas tīklam aizvien lielākā mērā ir pārrobežu raksturs un piemīt savstarpējā atkarība, proti, tas izmanto pamata infrastruktūras visā Savienībā tādās nozarēs kā enerģētika, transports, digitālā infrastruktūra, dzeramais ūdens un notekūdeņi, veselība, konkrēti valsts pārvaldes aspekti, kā arī kosmoss, ciktāl runa ir par tādu konkrētu pakalpojumu sniegšanu, kuri ir atkarīgi no virszemes infrastruktūrām, ko tur īpašumā, pārvalda vai ekspluatē dalībvalstis vai privātas puses, tādējādi neaptverot infrastruktūras, ko tur īpašumā, pārvalda vai ekspluatē Savienība vai tās vārdā kā daļu no tās kosmosa programmas. Šī savstarpējā atkarība nozīmē, ka jebkuram traucējumam, pat tādam, kas sākotnēji skar tikai vienu vienību vai vienu nozari, var būt plašāka lavīnveida ietekme, kura potenciāli var izraisīt tālejošas un ilgstošas negatīvas sekas pakalpojumu sniegšanā iekšējā tirgū. Kiberuzbrukumu pastiprināšanās Covid-19 pandēmijas laikā ir parādījusi arvien vairāk savstarpēji atkarīgo sabiedrību neaizsargātību pret zemas varbūtības riskiem. |
| --- | --- |

(37)

Pieaugošā savstarpējā atkarība izriet no tā, ka pakalpojumu sniegšanas tīklam aizvien lielākā mērā ir pārrobežu raksturs un piemīt savstarpējā atkarība, proti, tas izmanto pamata infrastruktūras visā Savienībā tādās nozarēs kā enerģētika, transports, digitālā infrastruktūra, dzeramais ūdens un notekūdeņi, veselība, konkrēti valsts pārvaldes aspekti, kā arī kosmoss, ciktāl runa ir par tādu konkrētu pakalpojumu sniegšanu, kuri ir atkarīgi no virszemes infrastruktūrām, ko tur īpašumā, pārvalda vai ekspluatē dalībvalstis vai privātas puses, tādējādi neaptverot infrastruktūras, ko tur īpašumā, pārvalda vai ekspluatē Savienība vai tās vārdā kā daļu no tās kosmosa programmas. Šī savstarpējā atkarība nozīmē, ka jebkuram traucējumam, pat tādam, kas sākotnēji skar tikai vienu vienību vai vienu nozari, var būt plašāka lavīnveida ietekme, kura potenciāli var izraisīt tālejošas un ilgstošas negatīvas sekas pakalpojumu sniegšanā iekšējā tirgū. Kiberuzbrukumu pastiprināšanās Covid-19 pandēmijas laikā ir parādījusi arvien vairāk savstarpēji atkarīgo sabiedrību neaizsargātību pret zemas varbūtības riskiem.

| (38) | Ņemot vērā atšķirības valstu pārvaldes struktūrās un lai neskartu jau pastāvošos nozaru pasākumus vai Savienības uzraudzības un regulatīvās struktūras, dalībvalstīm būtu jāspēj izraudzīties vai izveidot vienu vai vairākas kompetentās iestādes, kas atbild par kiberdrošību un šajā direktīvā paredzētajiem uzraudzības uzdevumiem. |
| --- | --- |

(38)

Ņemot vērā atšķirības valstu pārvaldes struktūrās un lai neskartu jau pastāvošos nozaru pasākumus vai Savienības uzraudzības un regulatīvās struktūras, dalībvalstīm būtu jāspēj izraudzīties vai izveidot vienu vai vairākas kompetentās iestādes, kas atbild par kiberdrošību un šajā direktīvā paredzētajiem uzraudzības uzdevumiem.

| (39) | Lai veicinātu pārrobežu sadarbību un saziņu starp iestādēm un lai varētu efektīvi īstenot šo direktīvu, katrai dalībvalstij jāizraugās vienots kontaktpunkts, kas atbild par to jautājumu koordināciju, kuri saistīti ar tīklu un informācijas sistēmu drošību un pārrobežu sadarbību Savienības līmenī. |
| --- | --- |

(39)

Lai veicinātu pārrobežu sadarbību un saziņu starp iestādēm un lai varētu efektīvi īstenot šo direktīvu, katrai dalībvalstij jāizraugās vienots kontaktpunkts, kas atbild par to jautājumu koordināciju, kuri saistīti ar tīklu un informācijas sistēmu drošību un pārrobežu sadarbību Savienības līmenī.

| (40) | Vienotajiem kontaktpunktiem būtu jānodrošina efektīva pārrobežu sadarbība ar citu dalībvalstu attiecīgajām iestādēm un attiecīgā gadījumā ar Komisiju un ENISA. Tāpēc vienotajiem kontaktpunktiem būtu jāuzdod nosūtīt paziņojumus par būtiskiem incidentiem ar pārrobežu ietekmi citu skarto dalībvalstu vienotajiem kontaktpunktiem pēc CSIRT vai kompetentās iestādes pieprasījuma. Valstu līmenī vienotajiem kontaktpunktiem būtu jādara iespējama raita starpnozaru sadarbība ar citām kompetentajām iestādēm. Vienotie kontaktpunkti varētu arī saņemt relevantu informāciju par incidentiem, kas saistīti ar finanšu vienībām, no kompetentajām iestādēm, kas minētas Regulā (ES) 2022/2554, un tiem būtu jāspēj šo informāciju attiecīgā gadījumā pārsūtīt šajā direktīvā paredzētajām CSIRT vai kompetentajām iestādēm. |
| --- | --- |

(40)

Vienotajiem kontaktpunktiem būtu jānodrošina efektīva pārrobežu sadarbība ar citu dalībvalstu attiecīgajām iestādēm un attiecīgā gadījumā ar Komisiju un ENISA. Tāpēc vienotajiem kontaktpunktiem būtu jāuzdod nosūtīt paziņojumus par būtiskiem incidentiem ar pārrobežu ietekmi citu skarto dalībvalstu vienotajiem kontaktpunktiem pēc CSIRT vai kompetentās iestādes pieprasījuma. Valstu līmenī vienotajiem kontaktpunktiem būtu jādara iespējama raita starpnozaru sadarbība ar citām kompetentajām iestādēm. Vienotie kontaktpunkti varētu arī saņemt relevantu informāciju par incidentiem, kas saistīti ar finanšu vienībām, no kompetentajām iestādēm, kas minētas Regulā (ES) 2022/2554, un tiem būtu jāspēj šo informāciju attiecīgā gadījumā pārsūtīt šajā direktīvā paredzētajām CSIRT vai kompetentajām iestādēm.

| (41) | Dalībvalstīm vajadzētu būt gan tehnisko, gan organizatorisko spēju ziņā adekvāti aprīkotām, lai novērstu un atklātu incidentus un riskus, reaģētu uz tiem un mazinātu to ietekmi. Tāpēc dalībvalstīm būtu jāizveido vai jāizraugās viena vai vairākas CSIRT saskaņā ar šo direktīvu un jānodrošina, ka tām ir adekvāti resursi un tehniskās spējas. CSIRT būtu jāatbilst šajā direktīvā noteiktajām prasībām, lai garantētu reālas un saderīgas spējas incidentu risināšanai un risku novēršanai un efektīvas sadarbības nodrošināšanai Savienības līmenī. Dalībvalstīm būtu jāspēj par CSIRT izraudzīties jau esošas datorapdraudējumu reaģēšanas vienības (CERT). Lai uzlabotu uzticības pilnas attiecības starp vienībām un CSIRT, gadījumos, kad CSIRT ir kompetentās iestādes daļa, dalībvalstīm būtu jāspēj apsvērt funkcionālu nošķīrumu starp CSIRT veiktajiem operatīvajiem uzdevumiem, jo īpaši attiecībā uz informācijas kopīgošanu un vienībām sniegto palīdzību, un kompetento iestāžu uzraudzības darbībām. |
| --- | --- |

(41)

Dalībvalstīm vajadzētu būt gan tehnisko, gan organizatorisko spēju ziņā adekvāti aprīkotām, lai novērstu un atklātu incidentus un riskus, reaģētu uz tiem un mazinātu to ietekmi. Tāpēc dalībvalstīm būtu jāizveido vai jāizraugās viena vai vairākas CSIRT saskaņā ar šo direktīvu un jānodrošina, ka tām ir adekvāti resursi un tehniskās spējas. CSIRT būtu jāatbilst šajā direktīvā noteiktajām prasībām, lai garantētu reālas un saderīgas spējas incidentu risināšanai un risku novēršanai un efektīvas sadarbības nodrošināšanai Savienības līmenī. Dalībvalstīm būtu jāspēj par CSIRT izraudzīties jau esošas datorapdraudējumu reaģēšanas vienības (CERT). Lai uzlabotu uzticības pilnas attiecības starp vienībām un CSIRT, gadījumos, kad CSIRT ir kompetentās iestādes daļa, dalībvalstīm būtu jāspēj apsvērt funkcionālu nošķīrumu starp CSIRT veiktajiem operatīvajiem uzdevumiem, jo īpaši attiecībā uz informācijas kopīgošanu un vienībām sniegto palīdzību, un kompetento iestāžu uzraudzības darbībām.

| (42) | CSIRT uzdevums ir risināt incidentus. Tas ietver dažkārt sensitīvu datu apstrādi lielā apjomā. Dalībvalstīm būtu jānodrošina, ka CSIRT ir infrastruktūra informācijas kopīgošanai un apstrādei, kā arī labi aprīkots personāls, kas nodrošina to darbību konfidencialitāti un uzticamību. Šajā sakarā CSIRT varētu arī pieņemt rīcības kodeksus. |
| --- | --- |

(42)

CSIRT uzdevums ir risināt incidentus. Tas ietver dažkārt sensitīvu datu apstrādi lielā apjomā. Dalībvalstīm būtu jānodrošina, ka CSIRT ir infrastruktūra informācijas kopīgošanai un apstrādei, kā arī labi aprīkots personāls, kas nodrošina to darbību konfidencialitāti un uzticamību. Šajā sakarā CSIRT varētu arī pieņemt rīcības kodeksus.

| (43) | Attiecībā uz persondatiem – CSIRT, ja to pieprasa būtiska vai svarīga vienība, būtu jāspēj nodrošināt to pakalpojumu sniegšanai izmantoto tīklu un informācijas sistēmu proaktīvu skenēšanu, ievērojot Regulu (ES) 2016/679. Attiecīgā gadījumā dalībvalstīm būtu jācenšas nodrošināt vienlīdzīgu tehnisko spēju līmeni visām nozaru CSIRT. Dalībvalstīm būtu jāspēj lūgt ENISA palīdzību savu CSIRT izveidē. |
| --- | --- |

(43)

Attiecībā uz persondatiem – CSIRT, ja to pieprasa būtiska vai svarīga vienība, būtu jāspēj nodrošināt to pakalpojumu sniegšanai izmantoto tīklu un informācijas sistēmu proaktīvu skenēšanu, ievērojot Regulu (ES) 2016/679. Attiecīgā gadījumā dalībvalstīm būtu jācenšas nodrošināt vienlīdzīgu tehnisko spēju līmeni visām nozaru CSIRT. Dalībvalstīm būtu jāspēj lūgt ENISA palīdzību savu CSIRT izveidē.

| (44) | CSIRT būtu jāspēj pēc būtiskas vai svarīgas vienības pieprasījuma uzraudzīt ar internetu saskarsmē esošos vienības aktīvus gan telpās, gan ārpus tām, nolūkā identificēt, izprast un pārvaldīt vienības vispārējos organizatoriskos riskus attiecībā uz jaunidentificētiem piegādes ķēdes apdraudējumiem vai kritiskām ievainojamībām. Vienība būtu jāpamudina paziņot CSIRT, vai tā izmanto priviliģētu pārvaldības saskarni, jo tas varētu ietekmēt mitigācijas darbību veikšanas ātrumu. |
| --- | --- |

(44)

CSIRT būtu jāspēj pēc būtiskas vai svarīgas vienības pieprasījuma uzraudzīt ar internetu saskarsmē esošos vienības aktīvus gan telpās, gan ārpus tām, nolūkā identificēt, izprast un pārvaldīt vienības vispārējos organizatoriskos riskus attiecībā uz jaunidentificētiem piegādes ķēdes apdraudējumiem vai kritiskām ievainojamībām. Vienība būtu jāpamudina paziņot CSIRT, vai tā izmanto priviliģētu pārvaldības saskarni, jo tas varētu ietekmēt mitigācijas darbību veikšanas ātrumu.

| (45) | Ņemot vērā to, cik svarīga ir starptautiskā sadarbība kiberdrošības jomā, CSIRT būtu jāspēj piedalīties starptautiskos sadarbības tīklos papildus CSIRT tīklam, ko izveido ar šo direktīvu. Tāpēc, lai veiktu savus uzdevumus, CSIRT un kompetentajām iestādēm būtu jāspēj apmainīties ar informāciju, tostarp persondatiem, ar trešo valstu valsts datordrošības incidentu reaģēšanas vienībām vai kompetentajām iestādēm, ar noteikumu, ka ir izpildīti Savienības datu aizsardzības tiesību aktos paredzētie nosacījumi persondatu nosūtīšanai uz trešām valstīm, cita starpā Regulas (ES) 2016/679 49. panta nosacījumi. |
| --- | --- |

(45)

Ņemot vērā to, cik svarīga ir starptautiskā sadarbība kiberdrošības jomā, CSIRT būtu jāspēj piedalīties starptautiskos sadarbības tīklos papildus CSIRT tīklam, ko izveido ar šo direktīvu. Tāpēc, lai veiktu savus uzdevumus, CSIRT un kompetentajām iestādēm būtu jāspēj apmainīties ar informāciju, tostarp persondatiem, ar trešo valstu valsts datordrošības incidentu reaģēšanas vienībām vai kompetentajām iestādēm, ar noteikumu, ka ir izpildīti Savienības datu aizsardzības tiesību aktos paredzētie nosacījumi persondatu nosūtīšanai uz trešām valstīm, cita starpā Regulas (ES) 2016/679 49. panta nosacījumi.

| (46) | Ir būtiski nodrošināt adekvātus resursus, lai sasniegtu šīs direktīvas mērķus un dotu iespēju kompetentajām iestādēm un CSIRT veikt tajā noteiktos uzdevumus. Dalībvalstis var valsts līmenī ieviest finansēšanas mehānismu, lai segtu nepieciešamos izdevumus, kas saistīti ar to publisko vienību uzdevumu veikšanu, kuras dalībvalstī saskaņā ar šo direktīvu ir atbildīgas par kiberdrošību. Šādam mehānismam būtu jāatbilst Savienības tiesību aktiem, tam vajadzētu būt samērīgam un nediskriminējošam, un tajā būtu jāņem vērā dažādas pieejas drošu pakalpojumu sniegšanai. |
| --- | --- |

(46)

Ir būtiski nodrošināt adekvātus resursus, lai sasniegtu šīs direktīvas mērķus un dotu iespēju kompetentajām iestādēm un CSIRT veikt tajā noteiktos uzdevumus. Dalībvalstis var valsts līmenī ieviest finansēšanas mehānismu, lai segtu nepieciešamos izdevumus, kas saistīti ar to publisko vienību uzdevumu veikšanu, kuras dalībvalstī saskaņā ar šo direktīvu ir atbildīgas par kiberdrošību. Šādam mehānismam būtu jāatbilst Savienības tiesību aktiem, tam vajadzētu būt samērīgam un nediskriminējošam, un tajā būtu jāņem vērā dažādas pieejas drošu pakalpojumu sniegšanai.

| (47) | CSIRT tīklam būtu jāturpina palīdzēt stiprināt paļāvību un uzticēšanos un veicināt ātru un rezultatīvu operatīvo sadarbību starp dalībvalstīm. Lai uzlabotu operatīvo sadarbību Savienības līmenī, CSIRT tīklam būtu jāapsver iespēja aicināt Savienības struktūras un aģentūras, kas iesaistītas kiberdrošības rīcībpolitikā, piemēram, Eiropolu, piedalīties tā darbā. |
| --- | --- |

(47)

CSIRT tīklam būtu jāturpina palīdzēt stiprināt paļāvību un uzticēšanos un veicināt ātru un rezultatīvu operatīvo sadarbību starp dalībvalstīm. Lai uzlabotu operatīvo sadarbību Savienības līmenī, CSIRT tīklam būtu jāapsver iespēja aicināt Savienības struktūras un aģentūras, kas iesaistītas kiberdrošības rīcībpolitikā, piemēram, Eiropolu, piedalīties tā darbā.

| (48) | Lai sasniegtu un uzturētu augstu kiberdrošības līmeni, šajā direktīvā prasītajām valstu kiberdrošības stratēģijām būtu jāsastāv no saskanīgiem satvariem, kas paredz stratēģiskus mērķus un prioritātes kiberdrošības jomā un pārvaldību to sasniegšanai. Minētās stratēģijas var sastāvēt no viena vai vairākiem leģislatīviem vai neleģislatīviem instrumentiem. |
| --- | --- |

(48)

Lai sasniegtu un uzturētu augstu kiberdrošības līmeni, šajā direktīvā prasītajām valstu kiberdrošības stratēģijām būtu jāsastāv no saskanīgiem satvariem, kas paredz stratēģiskus mērķus un prioritātes kiberdrošības jomā un pārvaldību to sasniegšanai. Minētās stratēģijas var sastāvēt no viena vai vairākiem leģislatīviem vai neleģislatīviem instrumentiem.

| (49) | Kiberhigiēnas rīcībpolitikas nodrošina pamatu tīklu un informācijas sistēmu infrastruktūru, aparatūras, programmatūras un tiešsaistes lietotņu drošības aizsardzībai, kā arī vienību izmantoto uzņēmumu vai galalietotāju datu aizsardzībai. Kiberhigiēnas rīcībpolitikas, kas veido kopīgu prakšu pamatkopu, tostarp programmatūras un aparatūras atjaunināšanu, paroļu maiņu, jaunu uzstādīto produktu pārvaldību, administratora līmeņa piekļuves kontu ierobežošanu un datu dublējumkopiju izveidi, dara iespējamu proaktīvu gatavības un vispārēja drošumu un drošības sistēmu incidentu vai kiberdraudu gadījumā. ENISA būtu jāuzrauga un jāanalizē dalībvalstu kiberhigiēnas rīcībpolitikas. |
| --- | --- |

(49)

Kiberhigiēnas rīcībpolitikas nodrošina pamatu tīklu un informācijas sistēmu infrastruktūru, aparatūras, programmatūras un tiešsaistes lietotņu drošības aizsardzībai, kā arī vienību izmantoto uzņēmumu vai galalietotāju datu aizsardzībai. Kiberhigiēnas rīcībpolitikas, kas veido kopīgu prakšu pamatkopu, tostarp programmatūras un aparatūras atjaunināšanu, paroļu maiņu, jaunu uzstādīto produktu pārvaldību, administratora līmeņa piekļuves kontu ierobežošanu un datu dublējumkopiju izveidi, dara iespējamu proaktīvu gatavības un vispārēja drošumu un drošības sistēmu incidentu vai kiberdraudu gadījumā. ENISA būtu jāuzrauga un jāanalizē dalībvalstu kiberhigiēnas rīcībpolitikas.

| (50) | Izpratne par kiberdrošību un kiberhigiēnu ir būtiska, lai uzlabotu kiberdrošības līmeni Savienībā, jo īpaši ņemot vērā to, ka pieaug tādu savienoto ierīču skaits, kuras arvien vairāk izmanto kiberuzbrukumos. Būtu jācenšas uzlabot vispārējo izpratni par riskiem, kas saistīti ar šādām ierīcēm, savukārt Savienības līmeņa novērtējumi varētu palīdzēt nodrošināt vienotu izpratni par šādiem riskiem iekšējā tirgū. |
| --- | --- |

(50)

Izpratne par kiberdrošību un kiberhigiēnu ir būtiska, lai uzlabotu kiberdrošības līmeni Savienībā, jo īpaši ņemot vērā to, ka pieaug tādu savienoto ierīču skaits, kuras arvien vairāk izmanto kiberuzbrukumos. Būtu jācenšas uzlabot vispārējo izpratni par riskiem, kas saistīti ar šādām ierīcēm, savukārt Savienības līmeņa novērtējumi varētu palīdzēt nodrošināt vienotu izpratni par šādiem riskiem iekšējā tirgū.

| (51) | Dalībvalstīm būtu jāveicina jebkādas tādas inovatīvas tehnoloģijas, tostarp mākslīgā intelekta, izmantošana, kas varētu uzlabot kiberuzbrukumu atklāšanu un novēršanu, dodot iespēju resursus cīņai pret kiberuzbrukumiem novirzīt rezultatīvāk. Tāpēc dalībvalstīm savās valsts kiberdrošības stratēģijās būtu jāveicina pētniecības un izstrādes darbības, lai atvieglotu šādu tehnoloģiju izmantošanu, jo īpaši tādu tehnoloģiju izmantošanu, kas saistītas ar automatizētiem vai pusautomatizētiem kiberdrošības rīkiem, un attiecīgā gadījumā tādu datu kopīgošana, kas vajadzīgi, lai apmācītu šādu tehnoloģiju lietotājus un tās uzlabotu. Jebkuras inovatīvas tehnoloģijas, tostarp mākslīgā intelekta, izmantošanai būtu jāatbilst Savienības datu aizsardzības tiesību aktiem, tostarp datu aizsardzības principiem – datu precizitātei, datu minimizēšanai, taisnīgumam un pārredzamībai un datu drošībai, piemēram, mūsdienīgai šifrēšanai. Būtu pilnībā jāizmanto integrētās datu aizsardzības un datu aizsardzības pēc noklusējuma prasības, ko paredz Regula (ES) 2016/679. |
| --- | --- |

(51)

Dalībvalstīm būtu jāveicina jebkādas tādas inovatīvas tehnoloģijas, tostarp mākslīgā intelekta, izmantošana, kas varētu uzlabot kiberuzbrukumu atklāšanu un novēršanu, dodot iespēju resursus cīņai pret kiberuzbrukumiem novirzīt rezultatīvāk. Tāpēc dalībvalstīm savās valsts kiberdrošības stratēģijās būtu jāveicina pētniecības un izstrādes darbības, lai atvieglotu šādu tehnoloģiju izmantošanu, jo īpaši tādu tehnoloģiju izmantošanu, kas saistītas ar automatizētiem vai pusautomatizētiem kiberdrošības rīkiem, un attiecīgā gadījumā tādu datu kopīgošana, kas vajadzīgi, lai apmācītu šādu tehnoloģiju lietotājus un tās uzlabotu. Jebkuras inovatīvas tehnoloģijas, tostarp mākslīgā intelekta, izmantošanai būtu jāatbilst Savienības datu aizsardzības tiesību aktiem, tostarp datu aizsardzības principiem – datu precizitātei, datu minimizēšanai, taisnīgumam un pārredzamībai un datu drošībai, piemēram, mūsdienīgai šifrēšanai. Būtu pilnībā jāizmanto integrētās datu aizsardzības un datu aizsardzības pēc noklusējuma prasības, ko paredz Regula (ES) 2016/679.

| (52) | Atvērtā pirmkoda kiberdrošības rīki un lietotnes var paaugstināt atvērtības līmeni un pozitīvi ietekmēt rūpnieciskās inovācijas efektivitāti. Atvērtie standarti veicina drošības rīku sadarbspēju, tādējādi labvēlīgi ietekmējot rūpniecības nozares ieinteresēto personu drošību. Atvērtā pirmkoda kiberdrošības rīki un lietotnes var mobilizēt izstrādātāju kopienu kopumā, darot iespējamu piegādātāju dažādošanu. Atvērtā pirmkoda izmantošana var radīt pārredzamāku ar kiberdrošību saistītu rīku verifikāciju un kopienas virzītu ievainojamības atklāšanu. Tādēļ dalībvalstīm būtu jāspēj veicināt atvērtā pirmkoda programmatūras un atvērto standartu izmantošanu, īstenojot rīcībpolitikas attiecībā uz atvērto datu un atvērtā pirmkoda izmantošanu kā daļu no drošības, ko panāk ar pārredzamību. Rīcībpolitikas, kas veicina atvērtā pirmkoda kiberdrošības rīku ieviešanu un ilgtspējīgu izmantošanu, ir īpaši svarīgas maziem un vidējiem uzņēmumiem, kuri saskaras ar lielām ieviešanas izmaksām, ko varētu minimizēt, samazinot nepieciešamību pēc konkrētām lietotnēm vai rīkiem. |
| --- | --- |

(52)

Atvērtā pirmkoda kiberdrošības rīki un lietotnes var paaugstināt atvērtības līmeni un pozitīvi ietekmēt rūpnieciskās inovācijas efektivitāti. Atvērtie standarti veicina drošības rīku sadarbspēju, tādējādi labvēlīgi ietekmējot rūpniecības nozares ieinteresēto personu drošību. Atvērtā pirmkoda kiberdrošības rīki un lietotnes var mobilizēt izstrādātāju kopienu kopumā, darot iespējamu piegādātāju dažādošanu. Atvērtā pirmkoda izmantošana var radīt pārredzamāku ar kiberdrošību saistītu rīku verifikāciju un kopienas virzītu ievainojamības atklāšanu. Tādēļ dalībvalstīm būtu jāspēj veicināt atvērtā pirmkoda programmatūras un atvērto standartu izmantošanu, īstenojot rīcībpolitikas attiecībā uz atvērto datu un atvērtā pirmkoda izmantošanu kā daļu no drošības, ko panāk ar pārredzamību. Rīcībpolitikas, kas veicina atvērtā pirmkoda kiberdrošības rīku ieviešanu un ilgtspējīgu izmantošanu, ir īpaši svarīgas maziem un vidējiem uzņēmumiem, kuri saskaras ar lielām ieviešanas izmaksām, ko varētu minimizēt, samazinot nepieciešamību pēc konkrētām lietotnēm vai rīkiem.

| (53) | Sabiedriskie pakalpojumi arvien vairāk tiek savienoti ar pilsētu digitālajiem tīkliem, lai uzlabotu pilsētu transporta tīklus, uzlabotu modernizētu ūdensapgādi un atkritumu apglabāšanas kompleksus un palielinātu apgaismojuma un ēku apkures efektivitāti. Minētie digitalizētie sabiedriskie pakalpojumi var tikt pakļauti kiberuzbrukumiem, un veiksmīga kiberuzbrukuma gadījumā savstarpējās savienotības dēļ tie var kaitēt iedzīvotājiem plašā mērogā. Dalībvalstīm savas kiberdrošības stratēģijas ietvaros būtu jāizstrādā rīcībpolitika, kas pievēršas šādu savienotu vai viedu pilsētu izveidei un to iespējamajai ietekmei uz sabiedrību. |
| --- | --- |

(53)

Sabiedriskie pakalpojumi arvien vairāk tiek savienoti ar pilsētu digitālajiem tīkliem, lai uzlabotu pilsētu transporta tīklus, uzlabotu modernizētu ūdensapgādi un atkritumu apglabāšanas kompleksus un palielinātu apgaismojuma un ēku apkures efektivitāti. Minētie digitalizētie sabiedriskie pakalpojumi var tikt pakļauti kiberuzbrukumiem, un veiksmīga kiberuzbrukuma gadījumā savstarpējās savienotības dēļ tie var kaitēt iedzīvotājiem plašā mērogā. Dalībvalstīm savas kiberdrošības stratēģijas ietvaros būtu jāizstrādā rīcībpolitika, kas pievēršas šādu savienotu vai viedu pilsētu izveidei un to iespējamajai ietekmei uz sabiedrību.

| (54) | Pēdējos gados Savienībā ir strauji palielinājies izspiedējprogrammatūras uzbrukumu skaits, kuros ļaunprogrammatūra šifrē datus un sistēmas un pieprasa izpirkuma maksu par atšifrēšanu. Izspiedējprogrammatūras uzbrukumu pieaugošo biežumu un smagumu var noteikt vairāki faktori, piemēram, dažādi uzbrukuma modeļi, noziedzīgas darbības modeļi, kas saistīti ar “izspiedējprogrammatūru kā pakalpojumu” un kriptovalūtām, izpirkuma maksas pieprasīšana un pieaugoši uzbrukumi piegādes ķēdē. Dalībvalstīm to valsts kiberdrošības stratēģijas ietvaros būtu jāizstrādā rīcībpolitika izspiedējprogrammatūras uzbrukumu pieauguma problēmas risināšanai. |
| --- | --- |

(54)

Pēdējos gados Savienībā ir strauji palielinājies izspiedējprogrammatūras uzbrukumu skaits, kuros ļaunprogrammatūra šifrē datus un sistēmas un pieprasa izpirkuma maksu par atšifrēšanu. Izspiedējprogrammatūras uzbrukumu pieaugošo biežumu un smagumu var noteikt vairāki faktori, piemēram, dažādi uzbrukuma modeļi, noziedzīgas darbības modeļi, kas saistīti ar “izspiedējprogrammatūru kā pakalpojumu” un kriptovalūtām, izpirkuma maksas pieprasīšana un pieaugoši uzbrukumi piegādes ķēdē. Dalībvalstīm to valsts kiberdrošības stratēģijas ietvaros būtu jāizstrādā rīcībpolitika izspiedējprogrammatūras uzbrukumu pieauguma problēmas risināšanai.

| (55) | Publiskā un privātā sektora partnerības (PPP) kiberdrošības jomā var nodrošināt pienācīgu sistēmu zināšanu apmaiņai, paraugprakšu kopīgošanai un kopīgas izpratnes gūšanai ieinteresēto personu vidū. Dalībvalstīm būtu jāveicina rīcībpolitikas, kas ir pamatā kiberdrošības PPP izveidei. Minētajās rīcībpolitikās cita starpā būtu jāprecizē tvērums un iesaistītās ieinteresētās personas, pārvaldības modelis, pieejamās finansējuma iespējas un iesaistīto ieinteresēto personu mijiedarbība attiecībā uz PPP. PPP var izmantot privātā sektora vienību specializētās zināšanas, lai palīdzētu kompetentajām iestādēm izstrādāt modernus pakalpojumus un procesus, tostarp informācijas apmaiņu, agrīnus brīdinājumus, kiberdraudu un incidentu jomas mācības, krīzes pārvaldību un noturības plānošanu. |
| --- | --- |

(55)

Publiskā un privātā sektora partnerības (PPP) kiberdrošības jomā var nodrošināt pienācīgu sistēmu zināšanu apmaiņai, paraugprakšu kopīgošanai un kopīgas izpratnes gūšanai ieinteresēto personu vidū. Dalībvalstīm būtu jāveicina rīcībpolitikas, kas ir pamatā kiberdrošības PPP izveidei. Minētajās rīcībpolitikās cita starpā būtu jāprecizē tvērums un iesaistītās ieinteresētās personas, pārvaldības modelis, pieejamās finansējuma iespējas un iesaistīto ieinteresēto personu mijiedarbība attiecībā uz PPP. PPP var izmantot privātā sektora vienību specializētās zināšanas, lai palīdzētu kompetentajām iestādēm izstrādāt modernus pakalpojumus un procesus, tostarp informācijas apmaiņu, agrīnus brīdinājumus, kiberdraudu un incidentu jomas mācības, krīzes pārvaldību un noturības plānošanu.

| (56) | Dalībvalstīm to valsts kiberdrošības stratēģijās būtu jārisina konkrētas mazo un vidējo uzņēmumu kiberdrošības vajadzības. Savienībā mazo un vidējo uzņēmumu īpatsvars rūpniecības un uzņēmējdarbības tirgū ir liels, un bieži vien tiem ir grūtības pielāgoties jaunai uzņēmējdarbības praksei lielākā mērā savienotā pasaulē un digitālā vidē laikā, kad darbinieki strādā no mājām un uzņēmējdarbība arvien biežāk notiek tiešsaistē. Daļai mazo un vidējo uzņēmumu kiberdrošības ziņā ir īpašas grūtības, piemēram, vāja izpratne par kiberdrošību, attālās IT drošības trūkums, augstās kiberdrošības risinājumu izmaksas un augstāks apdraudējuma, piemēram, izspiedējprogrammatūras draudu, līmenis, un šādu problēmu risināšanai tiem būtu jāsaņem padomi un atbalsts. Mazie un vidējie uzņēmumi arvien vairāk kļūst par mērķi uzbrukumos piegādes ķēdēm, jo tiem ir mazāk stingri kiberdrošības risku pārvaldības pasākumi un uzbrukumu pārvaldība, un ierobežoti drošības resursi. Šādi uzbrukumi piegādes ķēdēm neietekmē mazos un vidējos uzņēmumus un to darbību vien: tiem var būt arī lavīnveida ietekme uz lielākiem uzbrukumiem vienībām, kurām mazie un vidējie uzņēmumi nodrošina piegādes. Dalībvalstīm ar valsts kiberdrošības stratēģijām būtu jāpalīdz mazajiem un vidējiem uzņēmumiem risināt problēmas to piegādes ķēdēs. Dalībvalstīm vajadzētu būt valsts vai reģionāla līmeņa kontaktpunktam maziem un vidējiem uzņēmumiem, kurš sniedz norādījumus un palīdzību maziem un vidējiem uzņēmumiem vai nosūta tos pie attiecīgajām struktūrām, lai tie saņemtu norādījumus un palīdzību ar kiberdrošību saistītos jautājumos. Dalībvalstis tiek arī mudinātas piedāvāt tādus pakalpojumus kā tīmekļa vietņu konfigurācija un datu reģistrēšana, kas to darītu iespējamu mikrouzņēmumiem un mazajiem uzņēmumiem, kuriem šādu spēju nav. |
| --- | --- |

(56)

Dalībvalstīm to valsts kiberdrošības stratēģijās būtu jārisina konkrētas mazo un vidējo uzņēmumu kiberdrošības vajadzības. Savienībā mazo un vidējo uzņēmumu īpatsvars rūpniecības un uzņēmējdarbības tirgū ir liels, un bieži vien tiem ir grūtības pielāgoties jaunai uzņēmējdarbības praksei lielākā mērā savienotā pasaulē un digitālā vidē laikā, kad darbinieki strādā no mājām un uzņēmējdarbība arvien biežāk notiek tiešsaistē. Daļai mazo un vidējo uzņēmumu kiberdrošības ziņā ir īpašas grūtības, piemēram, vāja izpratne par kiberdrošību, attālās IT drošības trūkums, augstās kiberdrošības risinājumu izmaksas un augstāks apdraudējuma, piemēram, izspiedējprogrammatūras draudu, līmenis, un šādu problēmu risināšanai tiem būtu jāsaņem padomi un atbalsts. Mazie un vidējie uzņēmumi arvien vairāk kļūst par mērķi uzbrukumos piegādes ķēdēm, jo tiem ir mazāk stingri kiberdrošības risku pārvaldības pasākumi un uzbrukumu pārvaldība, un ierobežoti drošības resursi. Šādi uzbrukumi piegādes ķēdēm neietekmē mazos un vidējos uzņēmumus un to darbību vien: tiem var būt arī lavīnveida ietekme uz lielākiem uzbrukumiem vienībām, kurām mazie un vidējie uzņēmumi nodrošina piegādes. Dalībvalstīm ar valsts kiberdrošības stratēģijām būtu jāpalīdz mazajiem un vidējiem uzņēmumiem risināt problēmas to piegādes ķēdēs. Dalībvalstīm vajadzētu būt valsts vai reģionāla līmeņa kontaktpunktam maziem un vidējiem uzņēmumiem, kurš sniedz norādījumus un palīdzību maziem un vidējiem uzņēmumiem vai nosūta tos pie attiecīgajām struktūrām, lai tie saņemtu norādījumus un palīdzību ar kiberdrošību saistītos jautājumos. Dalībvalstis tiek arī mudinātas piedāvāt tādus pakalpojumus kā tīmekļa vietņu konfigurācija un datu reģistrēšana, kas to darītu iespējamu mikrouzņēmumiem un mazajiem uzņēmumiem, kuriem šādu spēju nav.

| (57) | Dalībvalstīm valsts kiberdrošības stratēģijās būtu jāpieņem rīcībpolitikas aktīvas kiberaizsardzības veicināšanai plašākas aizsardzības stratēģijas satvarā. Aktīva kiberaizsardzība ir nevis reaģēšana, bet gan aktīva tīkla drošības pārkāpumu nepieļaušana, atklāšana, uzraudzība, analīze un mitigācija apvienojumā ar spēju izmantošanu cietušajā tīklā un ārpus tā. Tās ietvaros dalībvalstis varētu dažām vienībām piedāvāt bezmaksas pakalpojumus vai rīkus, tostarp pašapkalpošanās pārbaudes, atklāšanas rīkus un vietņu bloķēšanas pakalpojumus. Spēja ātri un automātiski kopīgot un izprast informāciju par draudiem un to analīzi, kiberdarbības brīdinājumi un atbildes reakcija ir izšķirīgi svarīga, lai būtu iespējami saskaņoti centieni veiksmīgi nepieļaut, atklāt, risināt un bloķēt uzbrukumus tīklu un informācijas sistēmām. Aktīva kiberaizsardzība ir balstīta uz defensīvu stratēģiju, kas izslēdz ofensīvus pasākumus. |
| --- | --- |

(57)

Dalībvalstīm valsts kiberdrošības stratēģijās būtu jāpieņem rīcībpolitikas aktīvas kiberaizsardzības veicināšanai plašākas aizsardzības stratēģijas satvarā. Aktīva kiberaizsardzība ir nevis reaģēšana, bet gan aktīva tīkla drošības pārkāpumu nepieļaušana, atklāšana, uzraudzība, analīze un mitigācija apvienojumā ar spēju izmantošanu cietušajā tīklā un ārpus tā. Tās ietvaros dalībvalstis varētu dažām vienībām piedāvāt bezmaksas pakalpojumus vai rīkus, tostarp pašapkalpošanās pārbaudes, atklāšanas rīkus un vietņu bloķēšanas pakalpojumus. Spēja ātri un automātiski kopīgot un izprast informāciju par draudiem un to analīzi, kiberdarbības brīdinājumi un atbildes reakcija ir izšķirīgi svarīga, lai būtu iespējami saskaņoti centieni veiksmīgi nepieļaut, atklāt, risināt un bloķēt uzbrukumus tīklu un informācijas sistēmām. Aktīva kiberaizsardzība ir balstīta uz defensīvu stratēģiju, kas izslēdz ofensīvus pasākumus.

| (58) | Ņemot vērā to, ka tīklu un informācijas sistēmu ievainojamību izmantošana var izraisīt būtiskus traucējumus un kaitējumu, riska mazināšanā svarīgs faktors ir šādu ievainojamību ātra apzināšana un novēršana. Tāpēc vienībām, kas izstrādā vai pārvalda tīklu un informācijas sistēmas, būtu jāievieš pienācīgas procedūras, kā rīkoties, kad tiek atklāta ievainojamība. Tā kā ievainojamību bieži konstatē un izpauž trešās personas, IKT produktu ražotājam vai IKT pakalpojumu sniedzējam būtu arī jāievieš nepieciešamās procedūras informācijas par ievainojamību saņemšanai no trešām personām. Šajā sakarā norādījumus par rīcību ievainojamības gadījumā un ievainojamības izpaušanu sniedz attiecīgi starptautiskie standarti ISO/IEC 30111 un ISO/IEC 29147. Labāka koordinācija starp ziņotājām fiziskām un juridiskām personām un IKT produktu ražotājiem vai IKT pakalpojumu sniedzējiem ir īpaši svarīga, lai sekmētu brīvprātīgu ievainojamības izpaušanas sistēmu. Koordinēta ievainojamības izpaušana ir strukturēts process, kurā potenciāli ievainojamu IKT produktu ražotājiem vai potenciāli ievainojamu IKT pakalpojumu sniedzējiem par ievainojamību tiek ziņots tā, lai ievainojamību varētu diagnosticēt un izlabot, pirms sīkāka informācija par to tiek izpausta trešām personām vai sabiedrībai. Koordinētā ievainojamības izpaušanā būtu jāietver arī koordinācija starp ziņotāju fizisku vai juridisku personu un potenciāli ievainojamu IKT produktu vai IKT pakalpojumu ražotāju vai sniedzēju attiecībā uz ievainojamības izlabošanas un publiskošanas termiņu. |
| --- | --- |

(58)

Ņemot vērā to, ka tīklu un informācijas sistēmu ievainojamību izmantošana var izraisīt būtiskus traucējumus un kaitējumu, riska mazināšanā svarīgs faktors ir šādu ievainojamību ātra apzināšana un novēršana. Tāpēc vienībām, kas izstrādā vai pārvalda tīklu un informācijas sistēmas, būtu jāievieš pienācīgas procedūras, kā rīkoties, kad tiek atklāta ievainojamība. Tā kā ievainojamību bieži konstatē un izpauž trešās personas, IKT produktu ražotājam vai IKT pakalpojumu sniedzējam būtu arī jāievieš nepieciešamās procedūras informācijas par ievainojamību saņemšanai no trešām personām. Šajā sakarā norādījumus par rīcību ievainojamības gadījumā un ievainojamības izpaušanu sniedz attiecīgi starptautiskie standarti ISO/IEC 30111 un ISO/IEC 29147. Labāka koordinācija starp ziņotājām fiziskām un juridiskām personām un IKT produktu ražotājiem vai IKT pakalpojumu sniedzējiem ir īpaši svarīga, lai sekmētu brīvprātīgu ievainojamības izpaušanas sistēmu. Koordinēta ievainojamības izpaušana ir strukturēts process, kurā potenciāli ievainojamu IKT produktu ražotājiem vai potenciāli ievainojamu IKT pakalpojumu sniedzējiem par ievainojamību tiek ziņots tā, lai ievainojamību varētu diagnosticēt un izlabot, pirms sīkāka informācija par to tiek izpausta trešām personām vai sabiedrībai. Koordinētā ievainojamības izpaušanā būtu jāietver arī koordinācija starp ziņotāju fizisku vai juridisku personu un potenciāli ievainojamu IKT produktu vai IKT pakalpojumu ražotāju vai sniedzēju attiecībā uz ievainojamības izlabošanas un publiskošanas termiņu.

| (59) | Komisijai, ENISA un dalībvalstīm būtu jāturpina veicināt saskaņotību ar starptautiskajiem standartiem un pastāvošajām nozares paraugpraksēm kiberdrošības risku pārvaldības jomā, piemēram, piegādes ķēdes drošības novērtēšanas, informācijas kopīgošanas un ievainojamības izpaušanas jomā. |
| --- | --- |

(59)

Komisijai, ENISA un dalībvalstīm būtu jāturpina veicināt saskaņotību ar starptautiskajiem standartiem un pastāvošajām nozares paraugpraksēm kiberdrošības risku pārvaldības jomā, piemēram, piegādes ķēdes drošības novērtēšanas, informācijas kopīgošanas un ievainojamības izpaušanas jomā.

| (60) | Dalībvalstīm sadarbībā ar ENISA būtu jāveic pasākumi, lai veicinātu koordinētu ievainojamības izpaušanu, ieviešot atbilstošu valsts rīcībpolitiku. Ar valsts rīcībpolitiku dalībvalstīm būtu jācenšas, cik vien iespējams, risināt problēmas, kas skar ievainojamības pētniekus, tostarp to, ka tiem var tikt noteikta kriminālatbildība saskaņā ar valsts tiesību aktiem. Ņemot vērā, ka fiziskas un juridiskas personas, kas pēta ievainojamību, dažās dalībvalstīs varētu būt pakļautas kriminālatbildībai un civiltiesiskajai atbildībai, dalībvalstis tiek mudinātas pieņemt pamatnostādnes par kriminālvajāšanas neīstenošanu pret pētniekiem informācijas drošības jomā un viņu darbību atbrīvošanu no civiltiesiskās atbildības. |
| --- | --- |

(60)

Dalībvalstīm sadarbībā ar ENISA būtu jāveic pasākumi, lai veicinātu koordinētu ievainojamības izpaušanu, ieviešot atbilstošu valsts rīcībpolitiku. Ar valsts rīcībpolitiku dalībvalstīm būtu jācenšas, cik vien iespējams, risināt problēmas, kas skar ievainojamības pētniekus, tostarp to, ka tiem var tikt noteikta kriminālatbildība saskaņā ar valsts tiesību aktiem. Ņemot vērā, ka fiziskas un juridiskas personas, kas pēta ievainojamību, dažās dalībvalstīs varētu būt pakļautas kriminālatbildībai un civiltiesiskajai atbildībai, dalībvalstis tiek mudinātas pieņemt pamatnostādnes par kriminālvajāšanas neīstenošanu pret pētniekiem informācijas drošības jomā un viņu darbību atbrīvošanu no civiltiesiskās atbildības.

| (61) | Dalībvalstīm būtu jāizraugās viena no savām CSIRT par koordinatori, kas vajadzības gadījumā darbotos kā uzticama starpniece starp ziņotājām fiziskajām un juridiskajām personām un tādu IKT produktu ražotājiem vai IKT pakalpojumu sniedzējiem, ko ievainojamība, visticamāk, skars. Par koordinatori izraudzītās CSIRT uzdevumiem būtu jāietver attiecīgo vienību identificēšana un sazināšanās ar tām, palīdzība fiziskajām un juridiskajām personām, kas ziņo par ievainojamību, sarunas par izpaušanas termiņiem un tādu ievainojamību pārvaldību, kuras ietekmē vairākas vienības (daudzpusējā koordinētā ievainojamības izpaušana). Ja paziņotā ievainojamība varētu būtiski ietekmēt vienības vairāk nekā vienā dalībvalstī, par koordinatorēm izraudzītajām CSIRT attiecīgos gadījumos būtu jāsadarbojas CSIRT tīklā. |
| --- | --- |

(61)

Dalībvalstīm būtu jāizraugās viena no savām CSIRT par koordinatori, kas vajadzības gadījumā darbotos kā uzticama starpniece starp ziņotājām fiziskajām un juridiskajām personām un tādu IKT produktu ražotājiem vai IKT pakalpojumu sniedzējiem, ko ievainojamība, visticamāk, skars. Par koordinatori izraudzītās CSIRT uzdevumiem būtu jāietver attiecīgo vienību identificēšana un sazināšanās ar tām, palīdzība fiziskajām un juridiskajām personām, kas ziņo par ievainojamību, sarunas par izpaušanas termiņiem un tādu ievainojamību pārvaldību, kuras ietekmē vairākas vienības (daudzpusējā koordinētā ievainojamības izpaušana). Ja paziņotā ievainojamība varētu būtiski ietekmēt vienības vairāk nekā vienā dalībvalstī, par koordinatorēm izraudzītajām CSIRT attiecīgos gadījumos būtu jāsadarbojas CSIRT tīklā.

| (62) | Piekļuve pareizai un savlaicīgai informācijai par ievainojamībām, kas skar IKT produktus un IKT pakalpojumus, veicina labāku kiberdrošības risku pārvaldību. Publiski pieejamas informācijas par ievainojamībām avoti ir svarīgs rīks vienībām un to pakalpojumu lietotājiem, kā arī kompetentajām iestādēm un CSIRT. Šā iemesla dēļ ENISA būtu jāizveido Eiropas ievainojamību datubāze, kurā vienības, neatkarīgi no tā, vai tās ir šīs direktīvas darbības jomā, un to tīklu un informācijas sistēmu nodrošinātāji, kā arī kompetentās iestādes un CSIRT var brīvprātīgi izpaust un reģistrēt publiski zināmas ievainojamības, lai lietotāji varētu veikt pienācīgus mitigācijas pasākumus. Minētās datubāzes mērķis būtu risināt unikālās problēmas, ko draudi rada Savienības vienībām. Turklāt ENISA būtu jāizveido pienācīga publiskošanas procesa procedūra, lai dotu vienībām laiku veikt mitigācijas pasākumus attiecībā uz to ievainojamībām, un jāizmanto jaunākie kiberdrošības risku pārvaldības pasākumi, kā arī mašīnlasāmas datu kopas un attiecīgas saskarnes. Lai veicinātu ievainojamību izpaušanas kultūru, atklāšanai nevajadzētu kaitēt ziņotājai fiziskai vai juridiskai personai. |
| --- | --- |

(62)

Piekļuve pareizai un savlaicīgai informācijai par ievainojamībām, kas skar IKT produktus un IKT pakalpojumus, veicina labāku kiberdrošības risku pārvaldību. Publiski pieejamas informācijas par ievainojamībām avoti ir svarīgs rīks vienībām un to pakalpojumu lietotājiem, kā arī kompetentajām iestādēm un CSIRT. Šā iemesla dēļ ENISA būtu jāizveido Eiropas ievainojamību datubāze, kurā vienības, neatkarīgi no tā, vai tās ir šīs direktīvas darbības jomā, un to tīklu un informācijas sistēmu nodrošinātāji, kā arī kompetentās iestādes un CSIRT var brīvprātīgi izpaust un reģistrēt publiski zināmas ievainojamības, lai lietotāji varētu veikt pienācīgus mitigācijas pasākumus. Minētās datubāzes mērķis būtu risināt unikālās problēmas, ko draudi rada Savienības vienībām. Turklāt ENISA būtu jāizveido pienācīga publiskošanas procesa procedūra, lai dotu vienībām laiku veikt mitigācijas pasākumus attiecībā uz to ievainojamībām, un jāizmanto jaunākie kiberdrošības risku pārvaldības pasākumi, kā arī mašīnlasāmas datu kopas un attiecīgas saskarnes. Lai veicinātu ievainojamību izpaušanas kultūru, atklāšanai nevajadzētu kaitēt ziņotājai fiziskai vai juridiskai personai.

| (63) | Lai gan līdzīgi ievainojamību reģistri un datubāzes jau pastāv, to mitinātājas un uzturētājas ir vienības, kas nav iedibinātas Savienībā. ENISA uzturēta Eiropas ievainojamību datubāze nodrošinātu labāku pārredzamību attiecībā uz publiskošanas procesu, pirms ievainojamība tiek publiski izpausta, un noturību gadījumā, kad notiek traucējumi vai pārtraukums līdzīgu pakalpojumu sniegšanā. Lai pēc iespējas izvairītos no centienu dublēšanās un nodrošinātu komplementaritāti, ENISA būtu jāizskata iespēja slēgt strukturētus sadarbības nolīgumus ar līdzīgiem reģistriem vai datubāzēm, kas ir trešo valstu jurisdikcijā. Konkrētāk, ENISA būtu jāizskata iespēja cieši sadarboties ar kopējās ievainojamību un eksponētību (CVE) sistēmas operatoriem. |
| --- | --- |

(63)

Lai gan līdzīgi ievainojamību reģistri un datubāzes jau pastāv, to mitinātājas un uzturētājas ir vienības, kas nav iedibinātas Savienībā. ENISA uzturēta Eiropas ievainojamību datubāze nodrošinātu labāku pārredzamību attiecībā uz publiskošanas procesu, pirms ievainojamība tiek publiski izpausta, un noturību gadījumā, kad notiek traucējumi vai pārtraukums līdzīgu pakalpojumu sniegšanā. Lai pēc iespējas izvairītos no centienu dublēšanās un nodrošinātu komplementaritāti, ENISA būtu jāizskata iespēja slēgt strukturētus sadarbības nolīgumus ar līdzīgiem reģistriem vai datubāzēm, kas ir trešo valstu jurisdikcijā. Konkrētāk, ENISA būtu jāizskata iespēja cieši sadarboties ar kopējās ievainojamību un eksponētību (CVE) sistēmas operatoriem.

| (64) | Sadarbības grupai būtu jāatbalsta un jāveicina stratēģiskā sadarbība un informācijas apmaiņa, kā arī jāstiprina dalībvalstu savstarpējā uzticēšanās un paļāvība. Sadarbības grupai ik divus gadus būtu jāizstrādā darba programma. Darba programmā būtu jāiekļauj darbības, kas sadarbības grupai jāveic, lai sasniegtu savus mērķus un izpildītus savus uzdevumus. Lai izvairītos no iespējamiem traucējumiem sadarbības grupas darbā, saskaņā ar šo direktīvu pieņemamās pirmās darba programmas izstrādes termiņš būtu jāpielāgo pēdējās saskaņā ar Direktīvu (ES) 2016/1148 izstrādātās darba programmas termiņam. |
| --- | --- |

(64)

Sadarbības grupai būtu jāatbalsta un jāveicina stratēģiskā sadarbība un informācijas apmaiņa, kā arī jāstiprina dalībvalstu savstarpējā uzticēšanās un paļāvība. Sadarbības grupai ik divus gadus būtu jāizstrādā darba programma. Darba programmā būtu jāiekļauj darbības, kas sadarbības grupai jāveic, lai sasniegtu savus mērķus un izpildītus savus uzdevumus. Lai izvairītos no iespējamiem traucējumiem sadarbības grupas darbā, saskaņā ar šo direktīvu pieņemamās pirmās darba programmas izstrādes termiņš būtu jāpielāgo pēdējās saskaņā ar Direktīvu (ES) 2016/1148 izstrādātās darba programmas termiņam.

| (65) | Izstrādājot norādījumu dokumentus, sadarbības grupai būtu konsekventi jāapzina valsts risinājumi un pieredze, jānovērtē sadarbības grupas nodevumu ietekme uz valstu pieejām, jāapspriež īstenošanas problēmas un jāformulē konkrēti ieteikumi, jo īpaši par to, kā atvieglot saskaņošanu šīs direktīvas transponēšanā dalībvalstīs, kas jāizpilda, labāk īstenojot pastāvošos noteikumus. Sadarbības grupa varētu arī apzināt valstu risinājumus nolūkā veicināt katrā konkrētajā nozarē izmantoto kiberdrošības risinājumu saderību Savienībā. Tas ir īpaši būtiski nozarēm, kurām ir starptautisks vai pārrobežu raksturs. |
| --- | --- |

(65)

Izstrādājot norādījumu dokumentus, sadarbības grupai būtu konsekventi jāapzina valsts risinājumi un pieredze, jānovērtē sadarbības grupas nodevumu ietekme uz valstu pieejām, jāapspriež īstenošanas problēmas un jāformulē konkrēti ieteikumi, jo īpaši par to, kā atvieglot saskaņošanu šīs direktīvas transponēšanā dalībvalstīs, kas jāizpilda, labāk īstenojot pastāvošos noteikumus. Sadarbības grupa varētu arī apzināt valstu risinājumus nolūkā veicināt katrā konkrētajā nozarē izmantoto kiberdrošības risinājumu saderību Savienībā. Tas ir īpaši būtiski nozarēm, kurām ir starptautisks vai pārrobežu raksturs.

| (66) | Sadarbības grupai arī turpmāk vajadzētu būt elastīgam forumam un būtu jāspēj reaģēt uz mainīgām un jaunām rīcībpolitikas prioritātēm un problēmām, vienlaikus ņemot vērā resursu pieejamību. Tā varētu organizēt regulāras kopīgas sanāksmes ar attiecīgajām privātā sektora ieinteresētajām personām no visas Savienības, lai apspriestu sadarbības grupas veiktās darbības un vāktu datus un informāciju par jaunām rīcībpolitiskām problēmām. Papildus tam sadarbības grupai būtu regulāri jānovērtē stāvoklis kiberdraudu vai incidentu, piemēram, izspiedējprogrammatūras, jomā. Lai uzlabotu sadarbību Savienības līmenī, sadarbības grupai būtu jāapsver iespēja pieaicināt attiecīgās Savienības iestādes, struktūras, birojus un aģentūras, kas iesaistītas kiberdrošības rīcībpolitikā, piemēram, Eiropas Parlamentu, Eiropolu, Eiropas Datu aizsardzības kolēģiju, Eiropas Savienības Aviācijas drošības aģentūru, kura izveidota ar Regulu (ES) 2018/1139, un Eiropas Savienības Kosmosa programmas aģentūru, kura izveidota ar Eiropas Parlamenta un Padomes Regulu (ES) 2021/696 (14), lai tās piedalītos tās darbā. |
| --- | --- |

(66)

Sadarbības grupai arī turpmāk vajadzētu būt elastīgam forumam un būtu jāspēj reaģēt uz mainīgām un jaunām rīcībpolitikas prioritātēm un problēmām, vienlaikus ņemot vērā resursu pieejamību. Tā varētu organizēt regulāras kopīgas sanāksmes ar attiecīgajām privātā sektora ieinteresētajām personām no visas Savienības, lai apspriestu sadarbības grupas veiktās darbības un vāktu datus un informāciju par jaunām rīcībpolitiskām problēmām. Papildus tam sadarbības grupai būtu regulāri jānovērtē stāvoklis kiberdraudu vai incidentu, piemēram, izspiedējprogrammatūras, jomā. Lai uzlabotu sadarbību Savienības līmenī, sadarbības grupai būtu jāapsver iespēja pieaicināt attiecīgās Savienības iestādes, struktūras, birojus un aģentūras, kas iesaistītas kiberdrošības rīcībpolitikā, piemēram, Eiropas Parlamentu, Eiropolu, Eiropas Datu aizsardzības kolēģiju, Eiropas Savienības Aviācijas drošības aģentūru, kura izveidota ar Regulu (ES) 2018/1139, un Eiropas Savienības Kosmosa programmas aģentūru, kura izveidota ar Eiropas Parlamenta un Padomes Regulu (ES) 2021/696 (14), lai tās piedalītos tās darbā.

| (67) | Lai uzlabotu sadarbību un stiprinātu dalībvalstu savstarpējo uzticēšanos, kompetentajām iestādēm un CSIRT būtu jāspēj piedalīties apmaiņas shēmās, kas paredzētas amatpersonām no citām dalībvalstīm, īpašā sistēmā un attiecīgos gadījumos ar vajadzīgo drošības pārbaudi amatpersonām, kas piedalās šādās apmaiņas shēmās. Kompetentajām iestādēm būtu jāveic pasākumi, kas nepieciešami, lai amatpersonas no citām dalībvalstīm varētu pilnvērtīgi piedalīties uzņēmējas kompetentās iestādes vai uzņēmējas CSIRT pasākumos. |
| --- | --- |

(67)

Lai uzlabotu sadarbību un stiprinātu dalībvalstu savstarpējo uzticēšanos, kompetentajām iestādēm un CSIRT būtu jāspēj piedalīties apmaiņas shēmās, kas paredzētas amatpersonām no citām dalībvalstīm, īpašā sistēmā un attiecīgos gadījumos ar vajadzīgo drošības pārbaudi amatpersonām, kas piedalās šādās apmaiņas shēmās. Kompetentajām iestādēm būtu jāveic pasākumi, kas nepieciešami, lai amatpersonas no citām dalībvalstīm varētu pilnvērtīgi piedalīties uzņēmējas kompetentās iestādes vai uzņēmējas CSIRT pasākumos.

| (68) | Dalībvalstīm būtu jāsniedz ieguldījums Komisijas Ieteikumā (ES) 2017/1584 (15) noteiktā ES satvara reaģēšanai kiberdrošības krīzēs izveidošanā, izmantojot pastāvošos sadarbības tīklus, jo īpaši Eiropas Kiberkrīžu sadarbības organizāciju tīklu (EU-CyCLONe), CSIRT tīklu un sadarbības grupu. EU-CyCLONe un CSIRT tīklam būtu jāsadarbojas, izmantojot procesuālo kārtību, kas precizē minētās sadarbības detaļas, un jāizvairās no jebkādas uzdevumu dublēšanās. EU-CyCLONe reglamentā būtu jāprecizē kārtība, kādā tīklam būtu jādarbojas, cita starpā paredzot tīkla uzdevumus, sadarbības veidus, mijiedarbību ar citiem attiecīgiem rīcībspēkiem un veidnes informācijas kopīgošanai, kā arī saziņas līdzekļus. Attiecībā uz krīžu pārvaldību Savienības līmenī attiecīgajām pusēm būtu jāpaļaujas uz ES integrētajiem krīzes situāciju politiskās reaģēšanas mehānismiem, ko paredz Padomes Īstenošanas lēmums (ES) 2018/1993 (16) (IPCR mehānismi). Šim nolūkam Komisijai būtu jāizmanto krīzes augstlīmeņa starpnozaru koordinācijas process ARGUS. Ja krīzei ir nozīmīgs ārpolitikas vai kopīgās drošības un aizsardzības politikas aspekts, būtu jāiedarbina Eiropas Ārējās darbības dienesta mehānisms reaģēšanai krīzes situācijās. |
| --- | --- |

(68)

Dalībvalstīm būtu jāsniedz ieguldījums Komisijas Ieteikumā (ES) 2017/1584 (15) noteiktā ES satvara reaģēšanai kiberdrošības krīzēs izveidošanā, izmantojot pastāvošos sadarbības tīklus, jo īpaši Eiropas Kiberkrīžu sadarbības organizāciju tīklu (EU-CyCLONe), CSIRT tīklu un sadarbības grupu. EU-CyCLONe un CSIRT tīklam būtu jāsadarbojas, izmantojot procesuālo kārtību, kas precizē minētās sadarbības detaļas, un jāizvairās no jebkādas uzdevumu dublēšanās. EU-CyCLONe reglamentā būtu jāprecizē kārtība, kādā tīklam būtu jādarbojas, cita starpā paredzot tīkla uzdevumus, sadarbības veidus, mijiedarbību ar citiem attiecīgiem rīcībspēkiem un veidnes informācijas kopīgošanai, kā arī saziņas līdzekļus. Attiecībā uz krīžu pārvaldību Savienības līmenī attiecīgajām pusēm būtu jāpaļaujas uz ES integrētajiem krīzes situāciju politiskās reaģēšanas mehānismiem, ko paredz Padomes Īstenošanas lēmums (ES) 2018/1993 (16) (IPCR mehānismi). Šim nolūkam Komisijai būtu jāizmanto krīzes augstlīmeņa starpnozaru koordinācijas process ARGUS. Ja krīzei ir nozīmīgs ārpolitikas vai kopīgās drošības un aizsardzības politikas aspekts, būtu jāiedarbina Eiropas Ārējās darbības dienesta mehānisms reaģēšanai krīzes situācijās.

| (69) | Saskaņā ar pielikumu Ieteikumam (ES) 2017/1584 plašapmēra kiberdrošības incidents būtu jāsaprot kā incidents, kura radītais traucējuma līmenis pārsniedz dalībvalsts spēju uz to reaģēt vai kuram ir būtiska ietekme uz vismaz divām dalībvalstīm. Atkarībā no cēloņa un ietekmes plašapmēra kiberdrošības incidenti var izvērsties par visaptverošām krīzēm, kas padara neiespējamu iekšējā tirgus pienācīgu darbību vai rada nopietnus sabiedriskās drošības un drošuma riskus vienībām vai iedzīvotājiem vairākās dalībvalstīs vai Savienībai kopumā. Ņemot vērā šādu incidentu plašo tvērumu un to, ka vairākumā gadījumu tiem ir pārrobežu raksturs, dalībvalstīm un attiecīgajām Savienības iestādēm, struktūrām, birojiem un aģentūrām būtu jāsadarbojas tehniskā, operatīvā un politiskā līmenī, lai pienācīgi koordinētu reaģēšanu Savienībā. |
| --- | --- |

(69)

Saskaņā ar pielikumu Ieteikumam (ES) 2017/1584 plašapmēra kiberdrošības incidents būtu jāsaprot kā incidents, kura radītais traucējuma līmenis pārsniedz dalībvalsts spēju uz to reaģēt vai kuram ir būtiska ietekme uz vismaz divām dalībvalstīm. Atkarībā no cēloņa un ietekmes plašapmēra kiberdrošības incidenti var izvērsties par visaptverošām krīzēm, kas padara neiespējamu iekšējā tirgus pienācīgu darbību vai rada nopietnus sabiedriskās drošības un drošuma riskus vienībām vai iedzīvotājiem vairākās dalībvalstīs vai Savienībai kopumā. Ņemot vērā šādu incidentu plašo tvērumu un to, ka vairākumā gadījumu tiem ir pārrobežu raksturs, dalībvalstīm un attiecīgajām Savienības iestādēm, struktūrām, birojiem un aģentūrām būtu jāsadarbojas tehniskā, operatīvā un politiskā līmenī, lai pienācīgi koordinētu reaģēšanu Savienībā.

| (70) | Krīzēm un plašapmēra kiberdrošības incidentiem Savienības līmenī ir vajadzīga koordinēta rīcība, lai nodrošinātu ātru un rezultatīvu reaģēšanu, jo nozares un dalībvalstis ir lielā mērā savstarpēji atkarīgas. Kibernoturīgu tīklu un informācijas sistēmu pieejamībai un datu pieejamībai, konfidencialitātei un integritātei ir izšķirīga loma Savienības drošībā un tās iedzīvotāju, uzņēmumu un iestāžu aizsardzībā pret incidentiem un kiberdraudiem, kā arī nolūkā vairot indivīdu un organizāciju uzticēšanos Savienības spējai veicināt un aizsargāt globālu, atvērtu, brīvu, stabilu un drošu kibertelpu, kuras pamatā ir cilvēktiesības, pamatbrīvības, demokrātija un tiesiskums. |
| --- | --- |

(70)

Krīzēm un plašapmēra kiberdrošības incidentiem Savienības līmenī ir vajadzīga koordinēta rīcība, lai nodrošinātu ātru un rezultatīvu reaģēšanu, jo nozares un dalībvalstis ir lielā mērā savstarpēji atkarīgas. Kibernoturīgu tīklu un informācijas sistēmu pieejamībai un datu pieejamībai, konfidencialitātei un integritātei ir izšķirīga loma Savienības drošībā un tās iedzīvotāju, uzņēmumu un iestāžu aizsardzībā pret incidentiem un kiberdraudiem, kā arī nolūkā vairot indivīdu un organizāciju uzticēšanos Savienības spējai veicināt un aizsargāt globālu, atvērtu, brīvu, stabilu un drošu kibertelpu, kuras pamatā ir cilvēktiesības, pamatbrīvības, demokrātija un tiesiskums.

| (71) | EU-CyCLONe būtu jādarbojas kā starpniekam starp tehnisko un politisko līmeni plašapmēra kiberdrošības incidentu un krīžu laikā, un tam būtu jāuzlabo sadarbība operatīvajā līmenī un jāatbalsta lēmumu pieņemšana politiskajā līmenī. Sadarbībā ar Komisiju, ņemot vērā Komisijas kompetenci krīžu pārvarēšanas jomā, EU-CyCLONe būtu jāizmanto CSIRT tīkla konstatējumi un savas spējas, lai sagatavotu plašapmēra kiberdrošības incidentu un krīžu ietekmes analīzi. |
| --- | --- |

(71)

EU-CyCLONe būtu jādarbojas kā starpniekam starp tehnisko un politisko līmeni plašapmēra kiberdrošības incidentu un krīžu laikā, un tam būtu jāuzlabo sadarbība operatīvajā līmenī un jāatbalsta lēmumu pieņemšana politiskajā līmenī. Sadarbībā ar Komisiju, ņemot vērā Komisijas kompetenci krīžu pārvarēšanas jomā, EU-CyCLONe būtu jāizmanto CSIRT tīkla konstatējumi un savas spējas, lai sagatavotu plašapmēra kiberdrošības incidentu un krīžu ietekmes analīzi.

| (72) | Kiberuzbrukumiem ir pārrobežu raksturs, un būtisks incidents var traucēt un kaitēt kritiskajām informācijas infrastruktūrām, no kurām ir atkarīga iekšējā tirgus netraucēta darbība. Ieteikums (ES) 2017/1584 pievēršas visu attiecīgo rīcībspēku lomai. Turklāt Komisija ar Eiropas Parlamenta un Padomes Lēmumu Nr. 1313/2013/ES (17) izveidotā Savienības civilās aizsardzības mehānisma satvarā ir atbildīga par vispārīgām sagatavotības darbībām, tostarp Ārkārtas reaģēšanas koordinēšanas centra un Kopīgās ārkārtējo situāciju sakaru un informācijas sistēmas pārvaldību, situācijas apzināšanās un analīzes spēju uzturēšanu un turpmāku attīstīšanu, kā arī par to, lai izveidotu un attīstītu spēju mobilizēt un nosūtīt ekspertu vienības gadījumā, ja kāda dalībvalsts vai trešā valsts lūdz palīdzību. Komisija ir atbildīga arī par analītisko ziņojumu sniegšanu IPCR mehānismiem saskaņā ar Īstenošanas lēmumu (ES) 2018/1993, cita starpā attiecībā uz kiberdrošības situācijas apzināšanos un sagatavotību, kā arī par situācijas apzināšanos un reaģēšanu krīzes situācijās tādās jomās kā lauksaimniecība, nelabvēlīgi laikapstākļi, konfliktu kartēšana un prognozes, agrīnās brīdināšanas sistēmas dabas katastrofu gadījumos, ārkārtas situācijas veselības jomā, infekcijas slimību uzraudzība, augu veselība, ķīmiskie incidenti, pārtikas un barības nekaitīgums, dzīvnieku veselība, migrācija, muita, kodolenerģētiskās un radioloģiskās avārijas un enerģētika. |
| --- | --- |

(72)

Kiberuzbrukumiem ir pārrobežu raksturs, un būtisks incidents var traucēt un kaitēt kritiskajām informācijas infrastruktūrām, no kurām ir atkarīga iekšējā tirgus netraucēta darbība. Ieteikums (ES) 2017/1584 pievēršas visu attiecīgo rīcībspēku lomai. Turklāt Komisija ar Eiropas Parlamenta un Padomes Lēmumu Nr. 1313/2013/ES (17) izveidotā Savienības civilās aizsardzības mehānisma satvarā ir atbildīga par vispārīgām sagatavotības darbībām, tostarp Ārkārtas reaģēšanas koordinēšanas centra un Kopīgās ārkārtējo situāciju sakaru un informācijas sistēmas pārvaldību, situācijas apzināšanās un analīzes spēju uzturēšanu un turpmāku attīstīšanu, kā arī par to, lai izveidotu un attīstītu spēju mobilizēt un nosūtīt ekspertu vienības gadījumā, ja kāda dalībvalsts vai trešā valsts lūdz palīdzību. Komisija ir atbildīga arī par analītisko ziņojumu sniegšanu IPCR mehānismiem saskaņā ar Īstenošanas lēmumu (ES) 2018/1993, cita starpā attiecībā uz kiberdrošības situācijas apzināšanos un sagatavotību, kā arī par situācijas apzināšanos un reaģēšanu krīzes situācijās tādās jomās kā lauksaimniecība, nelabvēlīgi laikapstākļi, konfliktu kartēšana un prognozes, agrīnās brīdināšanas sistēmas dabas katastrofu gadījumos, ārkārtas situācijas veselības jomā, infekcijas slimību uzraudzība, augu veselība, ķīmiskie incidenti, pārtikas un barības nekaitīgums, dzīvnieku veselība, migrācija, muita, kodolenerģētiskās un radioloģiskās avārijas un enerģētika.

| (73) | Attiecīgā gadījumā Savienība saskaņā ar LESD 218. pantu var noslēgt starptautiskus nolīgumus ar trešām valstīm vai starptautiskām organizācijām, kuri ļauj tām piedalīties un organizē to dalību konkrētās sadarbības grupas, CSIRT tīkla un EU-CyCLONe darbībās. Šādos nolīgumos būtu jānodrošina Savienības intereses un pienācīga datu aizsardzība. Tam nebūtu jāizslēdz dalībvalstu tiesības sadarboties ar trešām valstīm ievainojamību pārvaldībā un kiberdrošības risku pārvaldībā, atvieglojot ziņošanu un vispārēju informācijas apmaiņu saskaņā ar Savienības tiesību aktiem. |
| --- | --- |

(73)

Attiecīgā gadījumā Savienība saskaņā ar LESD 218. pantu var noslēgt starptautiskus nolīgumus ar trešām valstīm vai starptautiskām organizācijām, kuri ļauj tām piedalīties un organizē to dalību konkrētās sadarbības grupas, CSIRT tīkla un EU-CyCLONe darbībās. Šādos nolīgumos būtu jānodrošina Savienības intereses un pienācīga datu aizsardzība. Tam nebūtu jāizslēdz dalībvalstu tiesības sadarboties ar trešām valstīm ievainojamību pārvaldībā un kiberdrošības risku pārvaldībā, atvieglojot ziņošanu un vispārēju informācijas apmaiņu saskaņā ar Savienības tiesību aktiem.

| (74) | Lai veicinātu šīs direktīvas rezultatīvu īstenošanu, piemēram, attiecībā uz ievainojamību pārvaldību, kiberdrošības risku pārvaldības pasākumiem, ziņošanas pienākumiem un kiberdrošības informācijas kopīgošanas mehānismiem, dalībvalstis var sadarboties ar trešām valstīm un veikt darbības, kas tiek uzskatītas par atbilstošām minētajam nolūkam, tostarp apmainīties ar informāciju par kiberdraudiem, incidentiem, ievainojamībām, rīkiem un metodēm, taktiku, paņēmieniem un procedūrām, gatavību kiberdrošības krīžu pārvaldībai un mācībām, apmācību, uzticēšanās veidošanu un strukturētus informācijas kopīgošanas mehānismus. |
| --- | --- |

(74)

Lai veicinātu šīs direktīvas rezultatīvu īstenošanu, piemēram, attiecībā uz ievainojamību pārvaldību, kiberdrošības risku pārvaldības pasākumiem, ziņošanas pienākumiem un kiberdrošības informācijas kopīgošanas mehānismiem, dalībvalstis var sadarboties ar trešām valstīm un veikt darbības, kas tiek uzskatītas par atbilstošām minētajam nolūkam, tostarp apmainīties ar informāciju par kiberdraudiem, incidentiem, ievainojamībām, rīkiem un metodēm, taktiku, paņēmieniem un procedūrām, gatavību kiberdrošības krīžu pārvaldībai un mācībām, apmācību, uzticēšanās veidošanu un strukturētus informācijas kopīgošanas mehānismus.

| (75) | Būtu jāievieš salīdzinošā izvērtēšana, lai palīdzētu mācīties no kopīgas pieredzes, stiprinātu savstarpējo uzticēšanos un panāktu vienādi augstu kiberdrošības līmeni. Salīdzinošā izvērtēšana var dot vērtīgu ieskatu un ieteikumus, kas stiprinātu vispārējās kiberdrošības spējas, radītu vēl vienu funkcionālu ceļu paraugprakses kopīgošanai dalībvalstu starpā un palīdzētu uzlabot dalībvalstu gatavības līmeni kiberdrošības jomā. Turklāt salīdzinošajā izvērtēšanā būtu jāņem vērā līdzīgu mehānismu, piemēram, CSIRT tīkla salīdzinošās izvērtēšanas sistēmas, rezultāti, jārada pievienotā vērtība un jāizvairās no dublēšanās. Salīdzinošās izvērtēšanas īstenošanai nevajadzētu skart Savienības vai valstu tiesību aktus par konfidenciālas vai klasificētas informācijas aizsardzību. |
| --- | --- |

(75)

Būtu jāievieš salīdzinošā izvērtēšana, lai palīdzētu mācīties no kopīgas pieredzes, stiprinātu savstarpējo uzticēšanos un panāktu vienādi augstu kiberdrošības līmeni. Salīdzinošā izvērtēšana var dot vērtīgu ieskatu un ieteikumus, kas stiprinātu vispārējās kiberdrošības spējas, radītu vēl vienu funkcionālu ceļu paraugprakses kopīgošanai dalībvalstu starpā un palīdzētu uzlabot dalībvalstu gatavības līmeni kiberdrošības jomā. Turklāt salīdzinošajā izvērtēšanā būtu jāņem vērā līdzīgu mehānismu, piemēram, CSIRT tīkla salīdzinošās izvērtēšanas sistēmas, rezultāti, jārada pievienotā vērtība un jāizvairās no dublēšanās. Salīdzinošās izvērtēšanas īstenošanai nevajadzētu skart Savienības vai valstu tiesību aktus par konfidenciālas vai klasificētas informācijas aizsardzību.

| (76) | Sadarbības grupai būtu jāizveido dalībvalstīm paredzēta pašnovērtējuma metodika, kuras mērķis būtu aptvert tādus faktorus kā kiberdrošības risku pārvaldības pasākumu un ziņošanas pienākumu īstenošanas līmenis, kompetento iestāžu spēju līmenis un uzdevumu izpildes rezultativitāte, CSIRT operatīvās spējas, savstarpējās palīdzības īstenošanas līmenis, kiberdrošības informācijas kopīgošanas mehānismu īstenošanas līmenis vai konkrēti pārrobežu vai starpnozaru jautājumi. Dalībvalstis būtu jāmudina pašnovērtējumus veikt regulāri, kā arī iesniegt un apspriest sava pašnovērtējuma rezultātus sadarbības grupā. |
| --- | --- |

(76)

Sadarbības grupai būtu jāizveido dalībvalstīm paredzēta pašnovērtējuma metodika, kuras mērķis būtu aptvert tādus faktorus kā kiberdrošības risku pārvaldības pasākumu un ziņošanas pienākumu īstenošanas līmenis, kompetento iestāžu spēju līmenis un uzdevumu izpildes rezultativitāte, CSIRT operatīvās spējas, savstarpējās palīdzības īstenošanas līmenis, kiberdrošības informācijas kopīgošanas mehānismu īstenošanas līmenis vai konkrēti pārrobežu vai starpnozaru jautājumi. Dalībvalstis būtu jāmudina pašnovērtējumus veikt regulāri, kā arī iesniegt un apspriest sava pašnovērtējuma rezultātus sadarbības grupā.

| (77) | Tīklu un informācijas sistēmas drošības nodrošināšana lielā mērā ir būtisko un svarīgo vienību pienākums. Būtu jāveicina un jāattīsta riska pārvaldības kultūra, kas ietver riska novērtēšanu un faktiskajiem riskiem atbilstošu kiberdrošības risku pārvaldības pasākumu īstenošanu. |
| --- | --- |

(77)

Tīklu un informācijas sistēmas drošības nodrošināšana lielā mērā ir būtisko un svarīgo vienību pienākums. Būtu jāveicina un jāattīsta riska pārvaldības kultūra, kas ietver riska novērtēšanu un faktiskajiem riskiem atbilstošu kiberdrošības risku pārvaldības pasākumu īstenošanu.

| (78) | Kiberdrošības risku pārvaldības pasākumos būtu jāņem vērā, cik lielā mērā būtiskā vai svarīgā vienība ir atkarīga no tīklu un informācijas sistēmām, un jāietver pasākumi nolūkā identificēt visus incidentu riskus, novērst, atklāt incidentus, reaģēt uz tiem un atgūties no tiem, kā arī mazināt to ietekmi. Tīklu un informācijas sistēmu drošībai būtu jāietver glabāto, pārsūtīto un apstrādāto datu drošība. Kiberdrošības risku pārvaldības pasākumiem būtu jānodrošina sistēmiska analīze, kurā ņemts vērā cilvēkfaktors, lai gūtu pilnīgu priekšstatu par tīklu un informācijas sistēmas drošību. |
| --- | --- |

(78)

Kiberdrošības risku pārvaldības pasākumos būtu jāņem vērā, cik lielā mērā būtiskā vai svarīgā vienība ir atkarīga no tīklu un informācijas sistēmām, un jāietver pasākumi nolūkā identificēt visus incidentu riskus, novērst, atklāt incidentus, reaģēt uz tiem un atgūties no tiem, kā arī mazināt to ietekmi. Tīklu un informācijas sistēmu drošībai būtu jāietver glabāto, pārsūtīto un apstrādāto datu drošība. Kiberdrošības risku pārvaldības pasākumiem būtu jānodrošina sistēmiska analīze, kurā ņemts vērā cilvēkfaktors, lai gūtu pilnīgu priekšstatu par tīklu un informācijas sistēmas drošību.

| (79) | Tā kā tīklu un informācijas sistēmu drošības apdraudējumiem var būt dažāda izcelsme, kiberdrošības risku pārvaldības pasākumiem vajadzētu būt balstītiem visu apdraudējumu pieejā, kuras mērķis ir aizsargāt tīklu un informācijas sistēmas un minēto sistēmu fizisko vidi pret tādiem notikumiem kā zādzība, ugunsgrēks, plūdi, telesakaru vai elektroapgādes pārtraukumi vai pret tādu neatļautu fizisku piekļuvi un bojājumiem un traucējumiem būtiskās vai svarīgās vienības informācijā un informācijas apstrādes iekārtās, kas varētu apdraudēt glabāto, pārsūtīto vai apstrādāto datu vai pakalpojumu, kurus piedāvā vai kuriem var piekļūt ar tīklu un informācijas sistēmām, pieejamību, autentiskumu, integritāti vai konfidencialitāti. Tāpēc kiberdrošības risku pārvaldības pasākumos būtu jāpievēršas arī tīklu un informācijas sistēmu fiziskajai un vides drošībai, iekļaujot pasākumus šādu sistēmu aizsardzībai pret sistēmas traucējumiem, cilvēka kļūdām, ļaunprātīgām darbībām vai dabas parādībām atbilstoši Eiropas un starptautiskajiem standartiem, piemēram, tiem, kas iekļauti ISO/IEC 27000 sērijā. Šajā ziņā būtiskām vai svarīgām vienībām savu kiberdrošības risku pārvaldības pasākumos būtu jāpievēršas arī cilvēkresursu drošībai un jāievieš atbilstīga piekļuves kontroles rīcībpolitika. Minētajiem pasākumiem būtu jāatbilst Direktīvai (ES) 2022/2557. |
| --- | --- |

(79)

Tā kā tīklu un informācijas sistēmu drošības apdraudējumiem var būt dažāda izcelsme, kiberdrošības risku pārvaldības pasākumiem vajadzētu būt balstītiem visu apdraudējumu pieejā, kuras mērķis ir aizsargāt tīklu un informācijas sistēmas un minēto sistēmu fizisko vidi pret tādiem notikumiem kā zādzība, ugunsgrēks, plūdi, telesakaru vai elektroapgādes pārtraukumi vai pret tādu neatļautu fizisku piekļuvi un bojājumiem un traucējumiem būtiskās vai svarīgās vienības informācijā un informācijas apstrādes iekārtās, kas varētu apdraudēt glabāto, pārsūtīto vai apstrādāto datu vai pakalpojumu, kurus piedāvā vai kuriem var piekļūt ar tīklu un informācijas sistēmām, pieejamību, autentiskumu, integritāti vai konfidencialitāti. Tāpēc kiberdrošības risku pārvaldības pasākumos būtu jāpievēršas arī tīklu un informācijas sistēmu fiziskajai un vides drošībai, iekļaujot pasākumus šādu sistēmu aizsardzībai pret sistēmas traucējumiem, cilvēka kļūdām, ļaunprātīgām darbībām vai dabas parādībām atbilstoši Eiropas un starptautiskajiem standartiem, piemēram, tiem, kas iekļauti ISO/IEC 27000 sērijā. Šajā ziņā būtiskām vai svarīgām vienībām savu kiberdrošības risku pārvaldības pasākumos būtu jāpievēršas arī cilvēkresursu drošībai un jāievieš atbilstīga piekļuves kontroles rīcībpolitika. Minētajiem pasākumiem būtu jāatbilst Direktīvai (ES) 2022/2557.

| (80) | Lai pierādītu atbilstību kiberdrošības risku pārvaldības pasākumiem un ja nav piemērotu Eiropas kiberdrošības sertifikācijas shēmu, kas pieņemtas saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) 2019/881 (18), dalībvalstīm, apspriežoties ar sadarbības grupu un Eiropas Kiberdrošības sertifikācijas grupu būtu jāveicina attiecīgo Eiropas un starptautiskos standartu izmantošana būtiskajās un svarīgajās vienībās vai arī tās var pieprasīt vienībām izmantot sertificētus IKT produktus, IKT pakalpojumus un IKT procesus. |
| --- | --- |

(80)

Lai pierādītu atbilstību kiberdrošības risku pārvaldības pasākumiem un ja nav piemērotu Eiropas kiberdrošības sertifikācijas shēmu, kas pieņemtas saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) 2019/881 (18), dalībvalstīm, apspriežoties ar sadarbības grupu un Eiropas Kiberdrošības sertifikācijas grupu būtu jāveicina attiecīgo Eiropas un starptautiskos standartu izmantošana būtiskajās un svarīgajās vienībās vai arī tās var pieprasīt vienībām izmantot sertificētus IKT produktus, IKT pakalpojumus un IKT procesus.

| (81) | Lai izvairītos no nesamērīga finansiāla un administratīva sloga radīšanas būtiskajām un svarīgajām vienībām, kiberdrošības risku pārvaldības pasākumiem vajadzētu būt samērīgiem ar riskiem attiecīgajai tīklu un informācijas sistēmai, ņemot vērā jaunākos sasniegumus šādu pasākumu jomā un attiecīgā gadījumā attiecīgos Eiropas un starptautiskos standartus, kā arī to īstenošanas izmaksas. |
| --- | --- |

(81)

Lai izvairītos no nesamērīga finansiāla un administratīva sloga radīšanas būtiskajām un svarīgajām vienībām, kiberdrošības risku pārvaldības pasākumiem vajadzētu būt samērīgiem ar riskiem attiecīgajai tīklu un informācijas sistēmai, ņemot vērā jaunākos sasniegumus šādu pasākumu jomā un attiecīgā gadījumā attiecīgos Eiropas un starptautiskos standartus, kā arī to īstenošanas izmaksas.

| (82) | Kiberdrošības risku pārvaldības pasākumiem vajadzētu būt samērīgiem ar to, cik lielā mērā būtiskā vai svarīgā vienība ir eksponēta riskiem un kāda būtu incidenta sabiedriskā un ekonomiskā ietekme. Nosakot kiberdrošības risku pārvaldības pasākumus, kas pielāgoti būtiskajām un svarīgajām vienībām, būtu pienācīgi jāņem vērā būtisko un svarīgo vienību atšķirīgā eksponētība riskam, piemēram, vienības kritiskums, riski, tostarp sociālie riski, kam tā ir eksponēta, vienības lielums un incidentu rašanās varbūtība un to smagums, tostarp to sabiedrisko un ekonomisko ietekmi. |
| --- | --- |

(82)

Kiberdrošības risku pārvaldības pasākumiem vajadzētu būt samērīgiem ar to, cik lielā mērā būtiskā vai svarīgā vienība ir eksponēta riskiem un kāda būtu incidenta sabiedriskā un ekonomiskā ietekme. Nosakot kiberdrošības risku pārvaldības pasākumus, kas pielāgoti būtiskajām un svarīgajām vienībām, būtu pienācīgi jāņem vērā būtisko un svarīgo vienību atšķirīgā eksponētība riskam, piemēram, vienības kritiskums, riski, tostarp sociālie riski, kam tā ir eksponēta, vienības lielums un incidentu rašanās varbūtība un to smagums, tostarp to sabiedrisko un ekonomisko ietekmi.

| (83) | Būtiskajām un svarīgajām vienībām būtu jānodrošina savās darbībās izmantoto tīklu un informācijas sistēmu drošība. Minētās sistēmas galvenokārt ir privātas tīklu un informācijas sistēmas, kuras pārvalda būtisko un svarīgo vienību iekšējais IT personāls vai kuru drošība tiek nodrošināta ar ārpakalpojumiem. Kiberdrošības risku pārvaldības pasākumi un ziņošanas pienākumi, kas noteikti šajā direktīvā, attiecīgajām būtiskajām un svarīgajām vienībām būtu jāpiemēro neatkarīgi no tā, vai minētās vienības savu tīklu un informācijas sistēmu uzturēšanu veic iekšēji vai šim nolūkam izmanto ārpakalpojumus. |
| --- | --- |

(83)

Būtiskajām un svarīgajām vienībām būtu jānodrošina savās darbībās izmantoto tīklu un informācijas sistēmu drošība. Minētās sistēmas galvenokārt ir privātas tīklu un informācijas sistēmas, kuras pārvalda būtisko un svarīgo vienību iekšējais IT personāls vai kuru drošība tiek nodrošināta ar ārpakalpojumiem. Kiberdrošības risku pārvaldības pasākumi un ziņošanas pienākumi, kas noteikti šajā direktīvā, attiecīgajām būtiskajām un svarīgajām vienībām būtu jāpiemēro neatkarīgi no tā, vai minētās vienības savu tīklu un informācijas sistēmu uzturēšanu veic iekšēji vai šim nolūkam izmanto ārpakalpojumus.

| (84) | DNS pakalpojumu sniedzējiem, ALD nosaukumu reģistriem, mākoņdatošanas pakalpojumu sniedzējiem, datu centru pakalpojumu sniedzējiem, satura piegādes tīklu nodrošinātājiem, pārvaldītu pakalpojumu sniedzējiem, pārvaldītu drošības pakalpojumu sniedzējiem, tiešsaistes tirdzniecības vietu, tiešsaistes meklētājprogrammu un sociālās tīklošanās pakalpojumu platformu nodrošinātājiem un uzticamības pakalpojumu sniedzējiem, ņemot vērā to pārrobežu raksturu, būtu jāpieprasa augsta saskaņotības pakāpe Savienības līmenī. Tāpēc attiecībā uz minētajām vienībām kiberdrošības risku pārvaldības pasākumu īstenošana būtu jāveicina ar īstenošanas aktu. |
| --- | --- |

(84)

DNS pakalpojumu sniedzējiem, ALD nosaukumu reģistriem, mākoņdatošanas pakalpojumu sniedzējiem, datu centru pakalpojumu sniedzējiem, satura piegādes tīklu nodrošinātājiem, pārvaldītu pakalpojumu sniedzējiem, pārvaldītu drošības pakalpojumu sniedzējiem, tiešsaistes tirdzniecības vietu, tiešsaistes meklētājprogrammu un sociālās tīklošanās pakalpojumu platformu nodrošinātājiem un uzticamības pakalpojumu sniedzējiem, ņemot vērā to pārrobežu raksturu, būtu jāpieprasa augsta saskaņotības pakāpe Savienības līmenī. Tāpēc attiecībā uz minētajām vienībām kiberdrošības risku pārvaldības pasākumu īstenošana būtu jāveicina ar īstenošanas aktu.

| (85) | Risināt riskus, kas izriet no vienības piegādes ķēdes un tās attiecībām ar piegādātājiem, piemēram, datu uzglabāšanas un apstrādes pakalpojumu vai pārvaldītu drošības pakalpojumu sniedzējiem un programmatūras redaktoriem, ir īpaši svarīgi, ņemot vērā tādu incidentu izplatību, kuros vienības ir cietušas kiberuzbrukumos un kuros ļaunprātīgi nodarījumu veicēji ir spējuši ietekmēt vienības tīklu un informācijas sistēmu drošību, izmantojot ievainojamības, kas skar trešo personu produktus un pakalpojumus. Tāpēc būtiskām un svarīgām vienībām būtu jānovērtē un jāņem vērā savu piegādātāju un pakalpojumu sniedzēju produktu un pakalpojumu vispārējā kvalitāte un noturība, tajos iegultie kiberdrošības risku pārvaldības pasākumi un kiberdrošības prakses, tai skaitā to drošas izstrādes procedūras. Būtiskās un svarīgās vienības jo īpaši būtu jāmudina iekļaut kiberdrošības risku pārvaldības pasākumus līgumattiecībās ar saviem tiešajiem piegādātājiem un pakalpojumu sniedzējiem. Minētās vienības varētu izsvērt riskus, kas izriet no citiem piegādātāju un pakalpojumu sniedzēju līmeņiem. |
| --- | --- |

(85)

Risināt riskus, kas izriet no vienības piegādes ķēdes un tās attiecībām ar piegādātājiem, piemēram, datu uzglabāšanas un apstrādes pakalpojumu vai pārvaldītu drošības pakalpojumu sniedzējiem un programmatūras redaktoriem, ir īpaši svarīgi, ņemot vērā tādu incidentu izplatību, kuros vienības ir cietušas kiberuzbrukumos un kuros ļaunprātīgi nodarījumu veicēji ir spējuši ietekmēt vienības tīklu un informācijas sistēmu drošību, izmantojot ievainojamības, kas skar trešo personu produktus un pakalpojumus. Tāpēc būtiskām un svarīgām vienībām būtu jānovērtē un jāņem vērā savu piegādātāju un pakalpojumu sniedzēju produktu un pakalpojumu vispārējā kvalitāte un noturība, tajos iegultie kiberdrošības risku pārvaldības pasākumi un kiberdrošības prakses, tai skaitā to drošas izstrādes procedūras. Būtiskās un svarīgās vienības jo īpaši būtu jāmudina iekļaut kiberdrošības risku pārvaldības pasākumus līgumattiecībās ar saviem tiešajiem piegādātājiem un pakalpojumu sniedzējiem. Minētās vienības varētu izsvērt riskus, kas izriet no citiem piegādātāju un pakalpojumu sniedzēju līmeņiem.

| (86) | Pakalpojumu sniedzēju vidū pārvaldītu drošības pakalpojumu sniedzēji tādās jomās kā reaģēšana uz incidentiem, ielaušanās testēšana, drošības revīzijas un konsultācijas pilda īpaši svarīgu lomu, palīdzēdami vienībām to centienos novērst, atklāt incidentus, reaģēt uz tiem vai atgūties no tiem. Tomēr arī pārvaldītu drošības pakalpojumu sniedzēji paši ir bijuši kiberuzbrukumu mērķis, un tie rada īpašu risku, jo ir cieši iesaistīti vienību darbībās. Tāpēc būtiskām un svarīgām vienībām, izvēloties pārvaldītu drošības pakalpojumu sniedzēju, būtu jāievēro īpaša piesardzība. |
| --- | --- |

(86)

Pakalpojumu sniedzēju vidū pārvaldītu drošības pakalpojumu sniedzēji tādās jomās kā reaģēšana uz incidentiem, ielaušanās testēšana, drošības revīzijas un konsultācijas pilda īpaši svarīgu lomu, palīdzēdami vienībām to centienos novērst, atklāt incidentus, reaģēt uz tiem vai atgūties no tiem. Tomēr arī pārvaldītu drošības pakalpojumu sniedzēji paši ir bijuši kiberuzbrukumu mērķis, un tie rada īpašu risku, jo ir cieši iesaistīti vienību darbībās. Tāpēc būtiskām un svarīgām vienībām, izvēloties pārvaldītu drošības pakalpojumu sniedzēju, būtu jāievēro īpaša piesardzība.

| (87) | Kompetentās iestādes savu uzraudzības uzdevumu kontekstā var izmantot arī tādus kiberdrošības pakalpojumus kā drošības revīzijas, ielaušanās testēšana vai reaģēšana uz incidentiem. |
| --- | --- |

(87)

Kompetentās iestādes savu uzraudzības uzdevumu kontekstā var izmantot arī tādus kiberdrošības pakalpojumus kā drošības revīzijas, ielaušanās testēšana vai reaģēšana uz incidentiem.

| (88) | Būtiskām un svarīgām vienībām būtu arī jāizskata riski, kas izriet no to mijiedarbības un attiecībām ar citām ieinteresētajām personām plašākā ekosistēmā, arī attiecībā uz rūpnieciskās spiegošanas apkarošanu un komercnoslēpumu aizsardzību. Konkrētāk, minētajām vienībām būtu jāveic piemēroti pasākumi, lai nodrošinātu, ka to sadarbība ar akadēmiskajām un pētniecības iestādēm notiek atbilstoši to kiberdrošības rīcībpolitikai un ka tiek ievērota laba prakse attiecībā uz drošu piekļuvi un informācijas izplatīšanu kopumā un intelektuālā īpašuma aizsardzību konkrēti. Līdzīgi, ņemot vērā datu nozīmīgumu un vērtību būtisko un svarīgo vienību darbībās, minētajām vienībām, paļaujoties uz trešo personu sniegtiem datu transformēšanas un datu analīzes pakalpojumiem, būtu jāveic visi piemērotie kiberdrošības risku pārvaldības pasākumi. |
| --- | --- |

(88)

Būtiskām un svarīgām vienībām būtu arī jāizskata riski, kas izriet no to mijiedarbības un attiecībām ar citām ieinteresētajām personām plašākā ekosistēmā, arī attiecībā uz rūpnieciskās spiegošanas apkarošanu un komercnoslēpumu aizsardzību. Konkrētāk, minētajām vienībām būtu jāveic piemēroti pasākumi, lai nodrošinātu, ka to sadarbība ar akadēmiskajām un pētniecības iestādēm notiek atbilstoši to kiberdrošības rīcībpolitikai un ka tiek ievērota laba prakse attiecībā uz drošu piekļuvi un informācijas izplatīšanu kopumā un intelektuālā īpašuma aizsardzību konkrēti. Līdzīgi, ņemot vērā datu nozīmīgumu un vērtību būtisko un svarīgo vienību darbībās, minētajām vienībām, paļaujoties uz trešo personu sniegtiem datu transformēšanas un datu analīzes pakalpojumiem, būtu jāveic visi piemērotie kiberdrošības risku pārvaldības pasākumi.

| (89) | Būtiskām un svarīgām vienībām būtu jāpieņem dažādas kiberhigiēnas pamatprakses, piemēram, nulles uzticības principi, programmatūras atjauninājumi, ierīču konfigurācija, tīkla segmentēšana, identitātes un piekļuves pārvaldība vai lietotāju informētība, jāorganizē darbinieku apmācība un jāuzlabo izpratne par kiberdraudiem, pikšķerēšanu vai sociālās inženierijas paņēmieniem. Turklāt minētajām vienībām būtu jāizvērtē savas kiberdrošības spējas un attiecīgā gadījumā jāturpina integrēt kiberdrošības uzlabošanas tehnoloģijas, piemēram, mākslīgā intelekta vai mašīnmācīšanās sistēmas, kas stiprina to spējas un tīklu un informācijas sistēmu drošību. |
| --- | --- |

(89)

Būtiskām un svarīgām vienībām būtu jāpieņem dažādas kiberhigiēnas pamatprakses, piemēram, nulles uzticības principi, programmatūras atjauninājumi, ierīču konfigurācija, tīkla segmentēšana, identitātes un piekļuves pārvaldība vai lietotāju informētība, jāorganizē darbinieku apmācība un jāuzlabo izpratne par kiberdraudiem, pikšķerēšanu vai sociālās inženierijas paņēmieniem. Turklāt minētajām vienībām būtu jāizvērtē savas kiberdrošības spējas un attiecīgā gadījumā jāturpina integrēt kiberdrošības uzlabošanas tehnoloģijas, piemēram, mākslīgā intelekta vai mašīnmācīšanās sistēmas, kas stiprina to spējas un tīklu un informācijas sistēmu drošību.

| (90) | Lai vēl vairāk pievērstos svarīgiem piegādes ķēdes riskiem un palīdzētu būtiskām un svarīgām vienībām, kas darbojas nozarēs, uz kurām šī direktīva attiecas, pienācīgi pārvaldīt ar piegādes ķēdēm un piegādātājiem saistītus riskus, sadarbības grupai sadarbībā ar Komisiju un ENISA un attiecīgā gadījumā pēc apspriešanās ar attiecīgajām ieinteresētajām personām, arī no nozares, būtu jāveic koordinēti kritisko piegādes ķēžu riska novērtējumi, kā tas jau tika darīts attiecībā uz 5G tīkliem saskaņā ar Komisijas Ieteikumu (ES) 2019/534 (19), lai par katru nozari apzinātu, kuri ir kritiskie IKT pakalpojumi, IKT sistēmas vai IKT produkti, attiecīgie draudi un ievainojamības. Šādos koordinētos drošības riska novērtējumos būtu jāapzina pasākumi, mitigācijas plāni un paraugprakses pret kritiskas atkarības situācijām, potenciāliem kritiskiem atteices punktiem, draudiem, ievainojamībām un citiem riskiem, kas saistīti ar piegādes ķēdi, un būtu jāizpēta, kā vēl vairāk veicināt to plašāku pieņemšanu būtiskās un svarīgās vienībās. Potenciāli netehniski riska faktori, piemēram, nepamatota trešās valsts ietekme uz piegādātājiem un pakalpojumu sniedzējiem, jo īpaši alternatīvu pārvaldības modeļu gadījumā, ietver slēptas ievainojamības vai slepenpiekļuves un potenciālus sistēmiskus piegādes traucējumus, it sevišķi tehnoloģiskās iesīkstes vai atkarības no pakalpojumu sniedzējiem gadījumā. |
| --- | --- |

(90)

Lai vēl vairāk pievērstos svarīgiem piegādes ķēdes riskiem un palīdzētu būtiskām un svarīgām vienībām, kas darbojas nozarēs, uz kurām šī direktīva attiecas, pienācīgi pārvaldīt ar piegādes ķēdēm un piegādātājiem saistītus riskus, sadarbības grupai sadarbībā ar Komisiju un ENISA un attiecīgā gadījumā pēc apspriešanās ar attiecīgajām ieinteresētajām personām, arī no nozares, būtu jāveic koordinēti kritisko piegādes ķēžu riska novērtējumi, kā tas jau tika darīts attiecībā uz 5G tīkliem saskaņā ar Komisijas Ieteikumu (ES) 2019/534 (19), lai par katru nozari apzinātu, kuri ir kritiskie IKT pakalpojumi, IKT sistēmas vai IKT produkti, attiecīgie draudi un ievainojamības. Šādos koordinētos drošības riska novērtējumos būtu jāapzina pasākumi, mitigācijas plāni un paraugprakses pret kritiskas atkarības situācijām, potenciāliem kritiskiem atteices punktiem, draudiem, ievainojamībām un citiem riskiem, kas saistīti ar piegādes ķēdi, un būtu jāizpēta, kā vēl vairāk veicināt to plašāku pieņemšanu būtiskās un svarīgās vienībās. Potenciāli netehniski riska faktori, piemēram, nepamatota trešās valsts ietekme uz piegādātājiem un pakalpojumu sniedzējiem, jo īpaši alternatīvu pārvaldības modeļu gadījumā, ietver slēptas ievainojamības vai slepenpiekļuves un potenciālus sistēmiskus piegādes traucējumus, it sevišķi tehnoloģiskās iesīkstes vai atkarības no pakalpojumu sniedzējiem gadījumā.

| (91) | Koordinētajos piegādes ķēžu drošības riska novērtējumos, ievērojot attiecīgās nozares iezīmes, būtu jāņem vērā gan tehniski, gan attiecīgā gadījumā netehniski faktori, tai skaitā tie, kuri definēti Ieteikumā (ES) 2019/534, ES koordinētajā 5G tīklu kiberdrošības riska novērtējumā un ES 5G kiberdrošības rīkkopā, par ko vienojusies sadarbības grupa. Lai apzinātu piegādes ķēdes, par kurām būtu jāveic koordinēts drošības riska novērtējums, būtu jāņem vērā šādi kritēriji: i) tas, ciktāl būtiskās un svarīgās vienības izmanto konkrētus kritiskus IKT pakalpojumus, IKT sistēmas vai IKT produktus un paļaujas uz tiem; ii) konkrētu kritisku IKT pakalpojumu, IKT sistēmu vai IKT produktu relevance kritisku vai sensitīvu funkciju izpildē, arī persondatu apstrādē; iii) alternatīvu IKT pakalpojumu, IKT sistēmu vai IKT produktu pieejamība; iv) IKT pakalpojumu, IKT sistēmu vai IKT produktu vispārējās piegādes ķēdes noturība visā aprites ciklā pret notikumiem, kas izraisa traucējumus, un v) attiecībā uz jauniem IKT pakalpojumiem, IKT sistēmām vai IKT produktiem – to potenciālais turpmākais nozīmīgums vienību darbībām. Turklāt īpašs uzsvars būtu jāliek uz IKT pakalpojumiem, IKT sistēmām vai IKT produktiem, uz kuriem attiecas konkrētas trešo valstu prasības. |
| --- | --- |

(91)

Koordinētajos piegādes ķēžu drošības riska novērtējumos, ievērojot attiecīgās nozares iezīmes, būtu jāņem vērā gan tehniski, gan attiecīgā gadījumā netehniski faktori, tai skaitā tie, kuri definēti Ieteikumā (ES) 2019/534, ES koordinētajā 5G tīklu kiberdrošības riska novērtējumā un ES 5G kiberdrošības rīkkopā, par ko vienojusies sadarbības grupa. Lai apzinātu piegādes ķēdes, par kurām būtu jāveic koordinēts drošības riska novērtējums, būtu jāņem vērā šādi kritēriji: i) tas, ciktāl būtiskās un svarīgās vienības izmanto konkrētus kritiskus IKT pakalpojumus, IKT sistēmas vai IKT produktus un paļaujas uz tiem; ii) konkrētu kritisku IKT pakalpojumu, IKT sistēmu vai IKT produktu relevance kritisku vai sensitīvu funkciju izpildē, arī persondatu apstrādē; iii) alternatīvu IKT pakalpojumu, IKT sistēmu vai IKT produktu pieejamība; iv) IKT pakalpojumu, IKT sistēmu vai IKT produktu vispārējās piegādes ķēdes noturība visā aprites ciklā pret notikumiem, kas izraisa traucējumus, un v) attiecībā uz jauniem IKT pakalpojumiem, IKT sistēmām vai IKT produktiem – to potenciālais turpmākais nozīmīgums vienību darbībām. Turklāt īpašs uzsvars būtu jāliek uz IKT pakalpojumiem, IKT sistēmām vai IKT produktiem, uz kuriem attiecas konkrētas trešo valstu prasības.

| (92) | Lai racionalizētu pienākumus, kas tīklu un informācijas sistēmu drošības sakarā noteikti publisko elektronisko sakaru tīklu nodrošinātājiem vai publiski pieejamu elektronisko sakaru pakalpojumu sniedzējiem un uzticamības pakalpojumu sniedzējiem, un lai šīs vienības un kompetentās iestādes, kas paredzētas attiecīgi Eiropas Parlamenta un Padomes Direktīvā (ES) 2018/1972 (20) un Regulā (ES) Nr. 910/2014, varētu gūt labumu no tiesiskā regulējuma, kas izveidots ar šo direktīvu, tostarp par incidentu risināšanu atbildīgo CSIRT izraudzīšanos, attiecīgo kompetento iestāžu piedalīšanos sadarbības grupas un CSIRT tīkla darbā, minētās vienības būtu jāiekļauj šīs direktīvas darbības jomā. Tāpēc attiecīgie noteikumi, kas paredzēti Regulā (ES) Nr. 910/2014 un Direktīvā (ES) 2018/1972 un ir saistīti ar drošības un paziņošanas prasību piemērošanu minēto veidu vienībām, būtu jāsvītro. Šajā direktīvā paredzētajiem noteikumiem par ziņošanas pienākumiem nebūtu jāskar Regula (ES) 2016/679 un Direktīva 2002/58/EK. |
| --- | --- |

(92)

Lai racionalizētu pienākumus, kas tīklu un informācijas sistēmu drošības sakarā noteikti publisko elektronisko sakaru tīklu nodrošinātājiem vai publiski pieejamu elektronisko sakaru pakalpojumu sniedzējiem un uzticamības pakalpojumu sniedzējiem, un lai šīs vienības un kompetentās iestādes, kas paredzētas attiecīgi Eiropas Parlamenta un Padomes Direktīvā (ES) 2018/1972 (20) un Regulā (ES) Nr. 910/2014, varētu gūt labumu no tiesiskā regulējuma, kas izveidots ar šo direktīvu, tostarp par incidentu risināšanu atbildīgo CSIRT izraudzīšanos, attiecīgo kompetento iestāžu piedalīšanos sadarbības grupas un CSIRT tīkla darbā, minētās vienības būtu jāiekļauj šīs direktīvas darbības jomā. Tāpēc attiecīgie noteikumi, kas paredzēti Regulā (ES) Nr. 910/2014 un Direktīvā (ES) 2018/1972 un ir saistīti ar drošības un paziņošanas prasību piemērošanu minēto veidu vienībām, būtu jāsvītro. Šajā direktīvā paredzētajiem noteikumiem par ziņošanas pienākumiem nebūtu jāskar Regula (ES) 2016/679 un Direktīva 2002/58/EK.

| (93) | Šajā direktīvā noteiktie kiberdrošības pienākumi būtu jāuzskata par papildinājumu prasībām, kas uzticamības pakalpojumu sniedzējiem noteiktas ar Regulu (ES) Nr. 910/2014. Būtu jāprasa, lai uzticamības pakalpojumu sniedzēji saskaņā ar šo direktīvu veic visus pienācīgos un samērīgos pasākumus tādu risku pārvaldīšanai, kas tiek radīti to pakalpojumiem, tostarp attiecībā uz klientiem un atkarīgajām trešām pusēm, un ziņo par incidentiem. Šādiem kiberdrošības un ziņošanas pienākumiem būtu jāattiecas arī uz sniegto pakalpojumu fizisko aizsardzību. Regulas (ES) Nr. 910/2014 24. pantā noteiktās prasības kvalificētiem uzticamības pakalpojumu sniedzējiem joprojām ir piemērojamas. |
| --- | --- |

(93)

Šajā direktīvā noteiktie kiberdrošības pienākumi būtu jāuzskata par papildinājumu prasībām, kas uzticamības pakalpojumu sniedzējiem noteiktas ar Regulu (ES) Nr. 910/2014. Būtu jāprasa, lai uzticamības pakalpojumu sniedzēji saskaņā ar šo direktīvu veic visus pienācīgos un samērīgos pasākumus tādu risku pārvaldīšanai, kas tiek radīti to pakalpojumiem, tostarp attiecībā uz klientiem un atkarīgajām trešām pusēm, un ziņo par incidentiem. Šādiem kiberdrošības un ziņošanas pienākumiem būtu jāattiecas arī uz sniegto pakalpojumu fizisko aizsardzību. Regulas (ES) Nr. 910/2014 24. pantā noteiktās prasības kvalificētiem uzticamības pakalpojumu sniedzējiem joprojām ir piemērojamas.

| (94) | Lai nodrošinātu pašreizējās prakses turpināšanu un izmantotu Regulā (ES) Nr. 910/2014 piemērošanā gūtās zināšanas un pieredzi, dalībvalstis var piešķirt kompetento iestāžu lomu uzticamības pakalpojumu jomā uzraudzības iestādēm, kas norādītas minētajā regulā. Šādā gadījumā kompetentajām iestādēm saskaņā ar šo direktīvu būtu laikus un cieši jāsadarbojas ar minētajām uzraudzības iestādēm, apmainoties ar relevanto informāciju, lai nodrošinātu uzticamības pakalpojumu sniedzēju rezultatīvu uzraudzību un atbilstību šajā direktīvā un Regulā (ES) Nr. 910/2014 noteiktajām prasībām. Attiecīgā gadījumā CSIRT vai kompetentajai iestādei saskaņā ar šo direktīvu būtu nekavējoties jāinformē Regulā (ES) Nr. 910/2014 paredzētā uzraudzības iestāde par visiem paziņotajiem būtiskajiem kiberdraudiem vai incidentiem, kas ietekmē uzticamības pakalpojumus, kā arī par jebkādu uzticamības pakalpojumu sniedzēja šīs direktīvas pārkāpumu. Dalībvalstis ziņošanas nolūkā var attiecīgā gadījumā izmantot vienoto iesniegšanas punktu, kas izveidots, lai panāktu vienotu un automātisku ziņošanu par incidentiem gan Regulā (ES) Nr. 910/2014 paredzētajai uzraudzības iestādei, gan CSIRT vai šajā direktīvā paredzētajai kompetentajai iestādei. |
| --- | --- |

(94)

Lai nodrošinātu pašreizējās prakses turpināšanu un izmantotu Regulā (ES) Nr. 910/2014 piemērošanā gūtās zināšanas un pieredzi, dalībvalstis var piešķirt kompetento iestāžu lomu uzticamības pakalpojumu jomā uzraudzības iestādēm, kas norādītas minētajā regulā. Šādā gadījumā kompetentajām iestādēm saskaņā ar šo direktīvu būtu laikus un cieši jāsadarbojas ar minētajām uzraudzības iestādēm, apmainoties ar relevanto informāciju, lai nodrošinātu uzticamības pakalpojumu sniedzēju rezultatīvu uzraudzību un atbilstību šajā direktīvā un Regulā (ES) Nr. 910/2014 noteiktajām prasībām. Attiecīgā gadījumā CSIRT vai kompetentajai iestādei saskaņā ar šo direktīvu būtu nekavējoties jāinformē Regulā (ES) Nr. 910/2014 paredzētā uzraudzības iestāde par visiem paziņotajiem būtiskajiem kiberdraudiem vai incidentiem, kas ietekmē uzticamības pakalpojumus, kā arī par jebkādu uzticamības pakalpojumu sniedzēja šīs direktīvas pārkāpumu. Dalībvalstis ziņošanas nolūkā var attiecīgā gadījumā izmantot vienoto iesniegšanas punktu, kas izveidots, lai panāktu vienotu un automātisku ziņošanu par incidentiem gan Regulā (ES) Nr. 910/2014 paredzētajai uzraudzības iestādei, gan CSIRT vai šajā direktīvā paredzētajai kompetentajai iestādei.

| (95) | Attiecīgā gadījumā un lai izvairītos no nevajadzīgiem traucējumiem, šīs direktīvas transponēšanā būtu jāņem vērā pastāvošās valsts pamatnostādnes, kas pieņemtas, lai transponētu ar drošības pasākumiem saistītos noteikumus, kuri paredzēti Direktīvas (ES) 2018/1972 40. un 41. pantā, tādējādi izmantojot zināšanas un prasmes, kas attiecībā uz drošības pasākumiem un incidentu ziņošanu jau iegūtas Direktīvas (ES) 2018/1972 kontekstā. ENISA var arī izstrādāt norādījumus par drošības prasībām un par ziņošanas pienākumiem publisko elektronisko sakaru tīklu nodrošinātājiem vai publiski pieejamu elektronisko sakaru pakalpojumu sniedzējiem, lai atvieglotu saskaņošanu un pāreju un lai līdz minimumam samazinātu traucējumus. Lai nodrošinātu pašreizējās prakses turpināšanu un izmantotu Direktīvas (ES) 2018/1972 īstenošanā gūtās zināšanas un pieredzi, dalībvalstis kompetento iestāžu lomu elektronisko sakaru jomā var piešķirt valsts regulatīvajām iestādēm, kas paredzētas minētajā direktīvā. |
| --- | --- |

(95)

Attiecīgā gadījumā un lai izvairītos no nevajadzīgiem traucējumiem, šīs direktīvas transponēšanā būtu jāņem vērā pastāvošās valsts pamatnostādnes, kas pieņemtas, lai transponētu ar drošības pasākumiem saistītos noteikumus, kuri paredzēti Direktīvas (ES) 2018/1972 40. un 41. pantā, tādējādi izmantojot zināšanas un prasmes, kas attiecībā uz drošības pasākumiem un incidentu ziņošanu jau iegūtas Direktīvas (ES) 2018/1972 kontekstā. ENISA var arī izstrādāt norādījumus par drošības prasībām un par ziņošanas pienākumiem publisko elektronisko sakaru tīklu nodrošinātājiem vai publiski pieejamu elektronisko sakaru pakalpojumu sniedzējiem, lai atvieglotu saskaņošanu un pāreju un lai līdz minimumam samazinātu traucējumus. Lai nodrošinātu pašreizējās prakses turpināšanu un izmantotu Direktīvas (ES) 2018/1972 īstenošanā gūtās zināšanas un pieredzi, dalībvalstis kompetento iestāžu lomu elektronisko sakaru jomā var piešķirt valsts regulatīvajām iestādēm, kas paredzētas minētajā direktīvā.

| (96) | Tā kā palielinās numurneatkarīgo starppersonu sakaru pakalpojumu, kā tie definēti Direktīvā (ES) 2018/1972, nozīme, ir jānodrošina, ka uz tiem attiecas arī attiecīgās drošības prasības, ņemot vērā to specifiku un ekonomisko svaru. Tā kā uzbrukumu tvērums joprojām paplašinās, numurneatkarīgie starppersonu sakaru pakalpojumi, piemēram, ziņapmaiņas pakalpojumi, kļūst par tipiskiem uzbrukumu vektoriem. Ļaunprātīgi nodarījumu veicēji izmanto platformas, lai sazinātos ar upuriem un tos mudinātu atvērt kompromitētas tīmekļa lapas, tādējādi palielinot tādu incidentu iespējamību, kuros tiek izmantoti persondati un tālāk arī tiek ietekmēta tīklu un informācijas sistēmu drošība. Numurneatkarīgo starppersonu sakaru pakalpojumu sniedzējiem būtu jānodrošina radītajam riskam atbilstošs tīklu un informācijas sistēmu drošības līmenis. Tā kā numurneatkarīgo starppersonu sakaru pakalpojumu sniedzēji nemēdz faktiski kontrolēt signālu pārraidi tīklos, riskus šādiem pakalpojumiem savā ziņā var uzskatīt par zemākiem nekā tradicionālajiem elektronisko sakaru pakalpojumiem. Tas pats attiecas uz starppersonu sakaru pakalpojumiem, kā tie definēti Direktīvā (ES) 2018/1972, kuros izmanto numurus un kuros netiek īstenota faktiska kontrole pār signālu pārraidi. |
| --- | --- |

(96)

Tā kā palielinās numurneatkarīgo starppersonu sakaru pakalpojumu, kā tie definēti Direktīvā (ES) 2018/1972, nozīme, ir jānodrošina, ka uz tiem attiecas arī attiecīgās drošības prasības, ņemot vērā to specifiku un ekonomisko svaru. Tā kā uzbrukumu tvērums joprojām paplašinās, numurneatkarīgie starppersonu sakaru pakalpojumi, piemēram, ziņapmaiņas pakalpojumi, kļūst par tipiskiem uzbrukumu vektoriem. Ļaunprātīgi nodarījumu veicēji izmanto platformas, lai sazinātos ar upuriem un tos mudinātu atvērt kompromitētas tīmekļa lapas, tādējādi palielinot tādu incidentu iespējamību, kuros tiek izmantoti persondati un tālāk arī tiek ietekmēta tīklu un informācijas sistēmu drošība. Numurneatkarīgo starppersonu sakaru pakalpojumu sniedzējiem būtu jānodrošina radītajam riskam atbilstošs tīklu un informācijas sistēmu drošības līmenis. Tā kā numurneatkarīgo starppersonu sakaru pakalpojumu sniedzēji nemēdz faktiski kontrolēt signālu pārraidi tīklos, riskus šādiem pakalpojumiem savā ziņā var uzskatīt par zemākiem nekā tradicionālajiem elektronisko sakaru pakalpojumiem. Tas pats attiecas uz starppersonu sakaru pakalpojumiem, kā tie definēti Direktīvā (ES) 2018/1972, kuros izmanto numurus un kuros netiek īstenota faktiska kontrole pār signālu pārraidi.

| (97) | Iekšējais tirgus ir vairāk nekā jebkad iepriekš atkarīgs no interneta darbības. Gandrīz visu būtisko un svarīgo vienību pakalpojumi ir atkarīgi no internetā sniegtiem pakalpojumiem. Lai nodrošinātu būtisko un svarīgo vienību pakalpojumu netraucētu sniegšanu, ir svarīgi, lai visiem publisko elektronisko sakaru tīklu nodrošinātājiem būtu ieviesti pienācīgi kiberdrošības risku pārvaldības pasākumi un lai tie ziņotu par saistītajiem būtiskajiem incidentiem. Dalībvalstīm būtu jānodrošina, ka tiek saglabāta publisko elektronisko sakaru tīklu drošība un ka to būtiskās drošības intereses ir aizsargātas pret sabotāžu un spiegošanu. Tā kā starptautiskā savienotība uzlabo un paātrina Savienības un tās ekonomikas konkurētspējīgu digitalizāciju, par incidentiem, kas ietekmē zemūdens sakaru kabeļus, būtu jāziņo CSIRT vai attiecīgā gadījumā kompetentajai iestādei. Valsts kiberdrošības stratēģijās attiecīgā gadījumā būtu jāņem vērā zemūdens sakaru kabeļu kiberdrošība un jāietver potenciālo kiberdrošības risku apzināšana un mazināšanas pasākumi, lai nodrošinātu visaugstāko to aizsardzības līmeni. |
| --- | --- |

(97)

Iekšējais tirgus ir vairāk nekā jebkad iepriekš atkarīgs no interneta darbības. Gandrīz visu būtisko un svarīgo vienību pakalpojumi ir atkarīgi no internetā sniegtiem pakalpojumiem. Lai nodrošinātu būtisko un svarīgo vienību pakalpojumu netraucētu sniegšanu, ir svarīgi, lai visiem publisko elektronisko sakaru tīklu nodrošinātājiem būtu ieviesti pienācīgi kiberdrošības risku pārvaldības pasākumi un lai tie ziņotu par saistītajiem būtiskajiem incidentiem. Dalībvalstīm būtu jānodrošina, ka tiek saglabāta publisko elektronisko sakaru tīklu drošība un ka to būtiskās drošības intereses ir aizsargātas pret sabotāžu un spiegošanu. Tā kā starptautiskā savienotība uzlabo un paātrina Savienības un tās ekonomikas konkurētspējīgu digitalizāciju, par incidentiem, kas ietekmē zemūdens sakaru kabeļus, būtu jāziņo CSIRT vai attiecīgā gadījumā kompetentajai iestādei. Valsts kiberdrošības stratēģijās attiecīgā gadījumā būtu jāņem vērā zemūdens sakaru kabeļu kiberdrošība un jāietver potenciālo kiberdrošības risku apzināšana un mazināšanas pasākumi, lai nodrošinātu visaugstāko to aizsardzības līmeni.

| (98) | Lai aizsargātu publisko elektronisko sakaru tīklu un publiski pieejamu elektronisko sakaru pakalpojumu drošību, būtu jāveicina šifrēšanas tehnoloģiju, jo īpaši galšifrēšanas, izmantošana, kā arī uz datiem vērstas drošības koncepcijas, piemēram, kartogrāfija, segmentācija, marķēšana, piekļuves politika un piekļuves pārvaldība, kā arī automatizēti piekļuves lēmumi. Vajadzības gadījumā šifrēšanas, jo īpaši galšifrēšanas, izmantošanai šīs direktīvas nolūkos vajadzētu būt obligātai publisko elektronisko sakaru tīklu nodrošinātājiem vai publiski pieejamu elektronisko sakaru pakalpojumu sniedzējiem saskaņā ar tādiem principiem kā drošība un privātums pēc noklusējuma un integrēta drošības un privātuma aizsardzība. Galšifrēšanas izmantošana būtu jāsaskaņo ar dalībvalstu pilnvarām nodrošināt dalībvalstu būtisko drošības interešu un sabiedrības drošības aizsardzību un varēt izmeklēt un atklāt noziedzīgus nodarījumus un par tiem veikt kriminālvajāšanu saskaņā ar Savienības tiesību aktiem. Tomēr tam nevajadzētu vājināt galšifrēšanu, kas ir kritiska tehnoloģija reālai datu un privātuma aizsardzībai un sakaru drošībai. |
| --- | --- |

(98)

Lai aizsargātu publisko elektronisko sakaru tīklu un publiski pieejamu elektronisko sakaru pakalpojumu drošību, būtu jāveicina šifrēšanas tehnoloģiju, jo īpaši galšifrēšanas, izmantošana, kā arī uz datiem vērstas drošības koncepcijas, piemēram, kartogrāfija, segmentācija, marķēšana, piekļuves politika un piekļuves pārvaldība, kā arī automatizēti piekļuves lēmumi. Vajadzības gadījumā šifrēšanas, jo īpaši galšifrēšanas, izmantošanai šīs direktīvas nolūkos vajadzētu būt obligātai publisko elektronisko sakaru tīklu nodrošinātājiem vai publiski pieejamu elektronisko sakaru pakalpojumu sniedzējiem saskaņā ar tādiem principiem kā drošība un privātums pēc noklusējuma un integrēta drošības un privātuma aizsardzība. Galšifrēšanas izmantošana būtu jāsaskaņo ar dalībvalstu pilnvarām nodrošināt dalībvalstu būtisko drošības interešu un sabiedrības drošības aizsardzību un varēt izmeklēt un atklāt noziedzīgus nodarījumus un par tiem veikt kriminālvajāšanu saskaņā ar Savienības tiesību aktiem. Tomēr tam nevajadzētu vājināt galšifrēšanu, kas ir kritiska tehnoloģija reālai datu un privātuma aizsardzībai un sakaru drošībai.

| (99) | Lai aizsargātu publisko elektronisko sakaru tīklu un publiski pieejamu elektronisko sakaru pakalpojumu drošību un nepieļautu to ļaunprātīgu izmantošanu un manipulēšanu, būtu jāveicina drošu maršrutēšanas standartu izmantošana, kas nodrošinātu maršrutēšanas funkciju integritāti un stabilitāti interneta piekļuves pakalpojumu sniedzēju ekosistēmā. |
| --- | --- |

(99)

Lai aizsargātu publisko elektronisko sakaru tīklu un publiski pieejamu elektronisko sakaru pakalpojumu drošību un nepieļautu to ļaunprātīgu izmantošanu un manipulēšanu, būtu jāveicina drošu maršrutēšanas standartu izmantošana, kas nodrošinātu maršrutēšanas funkciju integritāti un stabilitāti interneta piekļuves pakalpojumu sniedzēju ekosistēmā.

| (100) | Lai aizsargātu interneta funkcionalitāti un integritāti un veicinātu DNS drošību un noturību, attiecīgās ieinteresētās personas, tostarp Savienības privātā sektora vienības, publiski pieejamu elektronisko sakaru pakalpojumu sniedzēji, it sevišķi interneta piekļuves pakalpojumu sniedzēji, un tiešsaistes meklētājprogrammu nodrošinātāji būtu jāmudina pieņemt DNS atrises dažādošanas stratēģiju. Dalībvalstīm būtu arī jāmudina izstrādāt un izmantot publisku un drošu Eiropas DNS atrisinātāja pakalpojumu. |
| --- | --- |

(100)

Lai aizsargātu interneta funkcionalitāti un integritāti un veicinātu DNS drošību un noturību, attiecīgās ieinteresētās personas, tostarp Savienības privātā sektora vienības, publiski pieejamu elektronisko sakaru pakalpojumu sniedzēji, it sevišķi interneta piekļuves pakalpojumu sniedzēji, un tiešsaistes meklētājprogrammu nodrošinātāji būtu jāmudina pieņemt DNS atrises dažādošanas stratēģiju. Dalībvalstīm būtu arī jāmudina izstrādāt un izmantot publisku un drošu Eiropas DNS atrisinātāja pakalpojumu.

| (101) | Šī direktīva nosaka vairākposmu pieeju būtisku incidentu paziņošanai, lai panāktu pareizo līdzsvaru starp ātru ziņošanu, kas palīdz mazināt būtisku incidentu potenciālo izplatīšanos un dod būtiskām un svarīgām vienībām iespēju lūgt atbalstu, no vienas puses, un padziļinātu ziņošanu, kurā izdara vērtīgus secinājumus par individuāliem incidentiem un kura laika gaitā uzlabo individuālu vienību un veselu nozaru kibernoturību, no otras puses. Šajā sakarā šajā direktīvā būtu jāiekļauj arī ziņošana par tādiem incidentiem, kuri, spriežot pēc attiecīgās vienības veiktā sākotnējā novērtējuma, varētu minētajai vienībai izraisīt smagus pakalpojumu darbības traucējumus vai finansiālus zaudējumus vai ietekmēt citas fiziskas vai juridiskas personas, radot būtisku materiālu vai nemateriālu kaitējumu. Šādā sākotnējā novērtējumā cita starpā būtu jāņem vērā skartās tīklu un informācijas sistēmas, jo īpaši to nozīmība vienības pakalpojumu sniegšanā, kiberdraudu smagums un tehniskās īpašības, kā arī visas izmantotās pamatā esošās ievainojamības un vienības pieredze ar līdzīgiem incidentiem. To, vai pakalpojuma darbības traucējums ir smags, varētu ļoti palīdzēt noteikt tādi rādītāji kā apmērs, kādā tiek ietekmēta pakalpojuma darbība, incidenta ilgums un skarto pakalpojumu saņēmēju skaits. |
| --- | --- |

(101)

Šī direktīva nosaka vairākposmu pieeju būtisku incidentu paziņošanai, lai panāktu pareizo līdzsvaru starp ātru ziņošanu, kas palīdz mazināt būtisku incidentu potenciālo izplatīšanos un dod būtiskām un svarīgām vienībām iespēju lūgt atbalstu, no vienas puses, un padziļinātu ziņošanu, kurā izdara vērtīgus secinājumus par individuāliem incidentiem un kura laika gaitā uzlabo individuālu vienību un veselu nozaru kibernoturību, no otras puses. Šajā sakarā šajā direktīvā būtu jāiekļauj arī ziņošana par tādiem incidentiem, kuri, spriežot pēc attiecīgās vienības veiktā sākotnējā novērtējuma, varētu minētajai vienībai izraisīt smagus pakalpojumu darbības traucējumus vai finansiālus zaudējumus vai ietekmēt citas fiziskas vai juridiskas personas, radot būtisku materiālu vai nemateriālu kaitējumu. Šādā sākotnējā novērtējumā cita starpā būtu jāņem vērā skartās tīklu un informācijas sistēmas, jo īpaši to nozīmība vienības pakalpojumu sniegšanā, kiberdraudu smagums un tehniskās īpašības, kā arī visas izmantotās pamatā esošās ievainojamības un vienības pieredze ar līdzīgiem incidentiem. To, vai pakalpojuma darbības traucējums ir smags, varētu ļoti palīdzēt noteikt tādi rādītāji kā apmērs, kādā tiek ietekmēta pakalpojuma darbība, incidenta ilgums un skarto pakalpojumu saņēmēju skaits.

| (102) | Ja būtiskam un svarīgām vienībām kļūst zināms par būtisku incidentu, tām vajadzētu būt pienākumam bez nepamatotas kavēšanās un katrā ziņā 24 stundu laikā sniegt agrīnu brīdinājumu. Pēc minētā agrīnā brīdinājuma būtu jāziņo par incidentu. Attiecīgajām vienībām par incidentu būtu jāziņo bez nepamatotas kavēšanās un katrā ziņā 72 stundu laikā pēc tam, kad tās uzzinājušas par būtisko incidentu, lai it sevišķi atjauninātu informāciju, kas sniegta ar agrīno brīdinājumu, un norādītu būtiskā incidenta sākotnējo novērtējumu, tostarp tā smagumu un ietekmi, kā arī, ja pieejami, aizskāruma rādītājus. Ne vēlāk kā vienu mēnesi pēc incidenta paziņošanas būtu jāsniedz galīgs ziņojums. Agrīnajā brīdinājumā būtu jāiekļauj tikai tāda informācija, kas ir nepieciešama, lai darītu incidentu zināmu CSIRT vai attiecīgā gadījumā kompetentajai iestādei un attiecīgā vienība vajadzības gadījumā varētu lūgt palīdzību. Šādā agrīnajā brīdinājumā attiecīgā gadījumā būtu jānorāda, vai ir aizdomas, ka būtisko incidentu ir izraisījušas nelikumīgas vai ļaunprātīgas darbības, un vai tam varētu būt pārrobežu ietekme. Dalībvalstīm būtu jānodrošina, ka pienākums iesniegt šo agrīno brīdinājumu vai tam sekojošo paziņojumu par incidentu nenovirza paziņotājas vienības resursus no darbībām, kas saistītas ar incidentu risināšanu un kam būtu jāpiešķir prioritāte, lai nepieļautu, ka incidentu ziņošanas pienākumi novirza resursus no reaģēšanas uz būtiskiem incidentiem vai citādi apdraud vienības centienus šajā sakarā. Ja galīgā ziņojuma iesniegšanas laikā incidents turpinās, dalībvalstīm būtu jānodrošina, ka attiecīgās vienības tajā laikā iesniedz progresa ziņojumu un viena mēneša laikā pēc būtiskā incidenta risināšanas – galīgo ziņojumu. |
| --- | --- |

(102)

Ja būtiskam un svarīgām vienībām kļūst zināms par būtisku incidentu, tām vajadzētu būt pienākumam bez nepamatotas kavēšanās un katrā ziņā 24 stundu laikā sniegt agrīnu brīdinājumu. Pēc minētā agrīnā brīdinājuma būtu jāziņo par incidentu. Attiecīgajām vienībām par incidentu būtu jāziņo bez nepamatotas kavēšanās un katrā ziņā 72 stundu laikā pēc tam, kad tās uzzinājušas par būtisko incidentu, lai it sevišķi atjauninātu informāciju, kas sniegta ar agrīno brīdinājumu, un norādītu būtiskā incidenta sākotnējo novērtējumu, tostarp tā smagumu un ietekmi, kā arī, ja pieejami, aizskāruma rādītājus. Ne vēlāk kā vienu mēnesi pēc incidenta paziņošanas būtu jāsniedz galīgs ziņojums. Agrīnajā brīdinājumā būtu jāiekļauj tikai tāda informācija, kas ir nepieciešama, lai darītu incidentu zināmu CSIRT vai attiecīgā gadījumā kompetentajai iestādei un attiecīgā vienība vajadzības gadījumā varētu lūgt palīdzību. Šādā agrīnajā brīdinājumā attiecīgā gadījumā būtu jānorāda, vai ir aizdomas, ka būtisko incidentu ir izraisījušas nelikumīgas vai ļaunprātīgas darbības, un vai tam varētu būt pārrobežu ietekme. Dalībvalstīm būtu jānodrošina, ka pienākums iesniegt šo agrīno brīdinājumu vai tam sekojošo paziņojumu par incidentu nenovirza paziņotājas vienības resursus no darbībām, kas saistītas ar incidentu risināšanu un kam būtu jāpiešķir prioritāte, lai nepieļautu, ka incidentu ziņošanas pienākumi novirza resursus no reaģēšanas uz būtiskiem incidentiem vai citādi apdraud vienības centienus šajā sakarā. Ja galīgā ziņojuma iesniegšanas laikā incidents turpinās, dalībvalstīm būtu jānodrošina, ka attiecīgās vienības tajā laikā iesniedz progresa ziņojumu un viena mēneša laikā pēc būtiskā incidenta risināšanas – galīgo ziņojumu.

| (103) | Attiecīgā gadījumā būtiskajām un svarīgajām vienībām bez nepamatotas kavēšanās būtu jāpaziņo saviem pakalpojumu saņēmējiem par visiem pasākumiem vai korektīvajām darbībām, ko var veikt, lai mazinātu riskus, kuri izriet no būtiskiem kiberdraudiem. Minētajām vienībām attiecīgā gadījumā un jo īpaši tad, ja būtiskie kiberdraudi varētu īstenoties, būtu pakalpojumu saņēmēji jāinformē arī par pašiem draudiem. Prasība informēt minētos saņēmējus par būtiskiem kiberdraudiem būtu jāpilda, cik vien iespējams, bet tai nebūtu jāatbrīvo minētās vienības no pienākuma par saviem līdzekļiem veikt pienācīgus un tūlītējus pasākumus, lai novērstu vai izlabotu jebkurus šādus draudus un atjaunotu normālo pakalpojuma drošības līmeni. Šāda informācija par būtiskiem kiberdraudiem būtu jāsniedz pakalpojumu saņēmējiem bez maksas un viegli saprotamā valodā. |
| --- | --- |

(103)

Attiecīgā gadījumā būtiskajām un svarīgajām vienībām bez nepamatotas kavēšanās būtu jāpaziņo saviem pakalpojumu saņēmējiem par visiem pasākumiem vai korektīvajām darbībām, ko var veikt, lai mazinātu riskus, kuri izriet no būtiskiem kiberdraudiem. Minētajām vienībām attiecīgā gadījumā un jo īpaši tad, ja būtiskie kiberdraudi varētu īstenoties, būtu pakalpojumu saņēmēji jāinformē arī par pašiem draudiem. Prasība informēt minētos saņēmējus par būtiskiem kiberdraudiem būtu jāpilda, cik vien iespējams, bet tai nebūtu jāatbrīvo minētās vienības no pienākuma par saviem līdzekļiem veikt pienācīgus un tūlītējus pasākumus, lai novērstu vai izlabotu jebkurus šādus draudus un atjaunotu normālo pakalpojuma drošības līmeni. Šāda informācija par būtiskiem kiberdraudiem būtu jāsniedz pakalpojumu saņēmējiem bez maksas un viegli saprotamā valodā.

| (104) | Publisko elektronisko sakaru tīklu nodrošinātājiem vai publiski pieejamu elektronisko sakaru pakalpojumu sniedzējiem būtu jāievieš integrēta drošība un drošība pēc noklusējuma un jāinformē pakalpojumu saņēmēji par būtiskiem kiberdraudiem un par pasākumiem, ko tie var veikt, lai aizsargātu savu ierīču un sakaru drošību, izmantojot, piemēram, konkrētu veidu programmatūru vai šifrēšanas tehnoloģijas. |
| --- | --- |

(104)

Publisko elektronisko sakaru tīklu nodrošinātājiem vai publiski pieejamu elektronisko sakaru pakalpojumu sniedzējiem būtu jāievieš integrēta drošība un drošība pēc noklusējuma un jāinformē pakalpojumu saņēmēji par būtiskiem kiberdraudiem un par pasākumiem, ko tie var veikt, lai aizsargātu savu ierīču un sakaru drošību, izmantojot, piemēram, konkrētu veidu programmatūru vai šifrēšanas tehnoloģijas.

| (105) | Proaktīva pieeja kiberdraudiem ir būtisks kiberdrošības risku pārvaldības pasākumu komponents, kam būtu kompetentajām iestādēm jādod iespēja rezultatīvi novērst kiberdraudu materializēšanos incidentos, kas var radīt ievērojamu materiālo vai nemateriālo kaitējumu. Šajā nolūkā ļoti svarīgi ir ziņot par kiberdraudiem. Tāpēc vienības tiek mudinātas par kiberdraudiem ziņot brīvprātīgi. |
| --- | --- |

(105)

Proaktīva pieeja kiberdraudiem ir būtisks kiberdrošības risku pārvaldības pasākumu komponents, kam būtu kompetentajām iestādēm jādod iespēja rezultatīvi novērst kiberdraudu materializēšanos incidentos, kas var radīt ievērojamu materiālo vai nemateriālo kaitējumu. Šajā nolūkā ļoti svarīgi ir ziņot par kiberdraudiem. Tāpēc vienības tiek mudinātas par kiberdraudiem ziņot brīvprātīgi.

| (106) | Lai vienkāršotu šajā direktīvā prasītās informācijas paziņošanu, kā arī samazinātu administratīvo slogu vienībām, dalībvalstīm relevantās ziņojamās informācijas iesniegšanai būtu jānodrošina tehniskie līdzekļi, piemēram, vienots iesniegšanas punkts, automatizētas sistēmas, tiešsaistes veidlapas, lietotājdraudzīgas saskarnes, veidnes, specializētas platformas vienībām neatkarīgi no tā, vai tās ietilpst šīs direktīvas darbības jomā. Savienības finansējums, kas atbalsta šīs direktīvas īstenošanu, jo īpaši programmā “Digitālā Eiropa”, kas izveidota ar Eiropas Parlamenta un Padomes Regulu (ES) 2021/694 (21), varētu ietvert atbalstu vienotajiem iesniegšanas punktiem. Turklāt vienības bieži atrodas situācijā, kurā konkrēts incidents tā iezīmju dēļ ir jāpaziņo dažādām iestādēm, jo to paredz paziņošanas pienākumi, kas ietverti dažādos tiesību instrumentos. Šādi gadījumi rada papildu administratīvo slogu un varētu arī izraisīt nenoteiktību attiecībā uz šādu paziņojumu formātu un procedūrām. Ja ir izveidots vienots iesniegšanas punkts, dalībvalstis tiek mudinātas izmantot šo vienoto iesniegšanas punktu arī tādiem paziņojumiem par drošības incidentiem, kas prasīti citos Savienības tiesību aktos, piemēram, Regulā (ES) 2016/679 un Direktīvā 2002/58/EK. Šāda vienota iesniegšanas punkta izmantošanai ziņošanai par drošības incidentiem saskaņā ar Regulu (ES) 2016/679 un Direktīvu 2002/58/EK nevajadzētu ietekmēt Regulas (ES) 2016/679 un Direktīvas 2002/58/EK noteikumu piemērošanu, jo īpaši to noteikumu piemērošanu, kas attiecas uz tajās minēto iestāžu neatkarību. ENISA sadarbībā ar sadarbības grupu būtu jāizstrādā vienotas paziņojumu veidnes, pieņemot pamatnostādnes, lai vienkāršotu un racionalizētu ziņojamo informāciju, ko pieprasa Savienības tiesību akti, un mazinātu administratīvo slogu paziņotājām vienībām. |
| --- | --- |

(106)

Lai vienkāršotu šajā direktīvā prasītās informācijas paziņošanu, kā arī samazinātu administratīvo slogu vienībām, dalībvalstīm relevantās ziņojamās informācijas iesniegšanai būtu jānodrošina tehniskie līdzekļi, piemēram, vienots iesniegšanas punkts, automatizētas sistēmas, tiešsaistes veidlapas, lietotājdraudzīgas saskarnes, veidnes, specializētas platformas vienībām neatkarīgi no tā, vai tās ietilpst šīs direktīvas darbības jomā. Savienības finansējums, kas atbalsta šīs direktīvas īstenošanu, jo īpaši programmā “Digitālā Eiropa”, kas izveidota ar Eiropas Parlamenta un Padomes Regulu (ES) 2021/694 (21), varētu ietvert atbalstu vienotajiem iesniegšanas punktiem. Turklāt vienības bieži atrodas situācijā, kurā konkrēts incidents tā iezīmju dēļ ir jāpaziņo dažādām iestādēm, jo to paredz paziņošanas pienākumi, kas ietverti dažādos tiesību instrumentos. Šādi gadījumi rada papildu administratīvo slogu un varētu arī izraisīt nenoteiktību attiecībā uz šādu paziņojumu formātu un procedūrām. Ja ir izveidots vienots iesniegšanas punkts, dalībvalstis tiek mudinātas izmantot šo vienoto iesniegšanas punktu arī tādiem paziņojumiem par drošības incidentiem, kas prasīti citos Savienības tiesību aktos, piemēram, Regulā (ES) 2016/679 un Direktīvā 2002/58/EK. Šāda vienota iesniegšanas punkta izmantošanai ziņošanai par drošības incidentiem saskaņā ar Regulu (ES) 2016/679 un Direktīvu 2002/58/EK nevajadzētu ietekmēt Regulas (ES) 2016/679 un Direktīvas 2002/58/EK noteikumu piemērošanu, jo īpaši to noteikumu piemērošanu, kas attiecas uz tajās minēto iestāžu neatkarību. ENISA sadarbībā ar sadarbības grupu būtu jāizstrādā vienotas paziņojumu veidnes, pieņemot pamatnostādnes, lai vienkāršotu un racionalizētu ziņojamo informāciju, ko pieprasa Savienības tiesību akti, un mazinātu administratīvo slogu paziņotājām vienībām.

| (107) | Ja ir aizdomas, ka incidents ir saistīts ar smagām noziedzīgām darbībām, kas noteiktas Savienības vai valsts tiesību aktos, dalībvalstīm būtu jāmudina būtiskās un svarīgās vienības, pamatojoties uz piemērojamiem kriminālprocesa noteikumiem atbilstoši Savienības tiesībām, par incidentiem, kam varētu būt smagas noziedzības raksturs, ziņot attiecīgajām tiesībaizsardzības iestādēm. Attiecīgos gadījumos un neskarot persondatu aizsardzības noteikumus, kas piemērojami Eiropolam, vēlams, ka Eiropas Kibernoziedzības apkarošanas centrs (EC3) un ENISA veicina koordināciju starp dažādu dalībvalstu kompetentajām iestādēm un tiesībaizsardzības iestādēm. |
| --- | --- |

(107)

Ja ir aizdomas, ka incidents ir saistīts ar smagām noziedzīgām darbībām, kas noteiktas Savienības vai valsts tiesību aktos, dalībvalstīm būtu jāmudina būtiskās un svarīgās vienības, pamatojoties uz piemērojamiem kriminālprocesa noteikumiem atbilstoši Savienības tiesībām, par incidentiem, kam varētu būt smagas noziedzības raksturs, ziņot attiecīgajām tiesībaizsardzības iestādēm. Attiecīgos gadījumos un neskarot persondatu aizsardzības noteikumus, kas piemērojami Eiropolam, vēlams, ka Eiropas Kibernoziedzības apkarošanas centrs (EC3) un ENISA veicina koordināciju starp dažādu dalībvalstu kompetentajām iestādēm un tiesībaizsardzības iestādēm.

| (108) | Incidentu dēļ daudzos gadījumos tiek apdraudēti persondati. Šajā kontekstā kompetentajām iestādēm būtu jāsadarbojas un jāapmainās ar informāciju par visiem attiecīgajiem jautājumiem ar iestādēm, kas minētas Regulā (ES) 2016/679 un Direktīvā 2002/58/EK. |
| --- | --- |

(108)

Incidentu dēļ daudzos gadījumos tiek apdraudēti persondati. Šajā kontekstā kompetentajām iestādēm būtu jāsadarbojas un jāapmainās ar informāciju par visiem attiecīgajiem jautājumiem ar iestādēm, kas minētas Regulā (ES) 2016/679 un Direktīvā 2002/58/EK.

| (109) | Lai nodrošinātu DNS drošību, stabilitāti un noturību, kas savukārt veicina vienādi augsta līmeņa kiberdrošību Savienībā, ir būtiski uzturēt precīzas un pilnīgas datubāzes ar domēnu nosaukumu reģistrācijas datiem (WHOIS dati) un nodrošināt likumīgu piekļuvi šādiem datiem. Šajā konkrētajā nolūkā ALD nosaukumu reģistriem un vienībām, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, būtu jānosaka prasība apstrādāt konkrētus datus, kas vajadzīgi minētā mērķa sasniegšanai. Šādai apstrādei vajadzētu būt juridiskam pienākumam Regulas (ES) 2016/679 6. panta 1. punkta c) apakšpunkta nozīmē. Minētais pienākums neskar iespēju vākt domēnu nosaukumu reģistrācijas datus citiem mērķiem, piemēram, pamatojoties uz līgumattiecībām vai juridiskām prasībām, kas noteiktas citos Savienības vai valsts tiesību aktos. Minētā pienākuma mērķis ir iegūt pilnīgu un precīzu reģistrācijas datu kopumu, un tam nevajadzētu novest pie tā, ka vienus un tos pašus datus vāc vairākas reizes. ALD nosaukumu reģistriem un vienībām, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, būtu jāsadarbojas, lai izvairītos no minētā uzdevuma izpildes dublēšanās. |
| --- | --- |

(109)

Lai nodrošinātu DNS drošību, stabilitāti un noturību, kas savukārt veicina vienādi augsta līmeņa kiberdrošību Savienībā, ir būtiski uzturēt precīzas un pilnīgas datubāzes ar domēnu nosaukumu reģistrācijas datiem (WHOIS dati) un nodrošināt likumīgu piekļuvi šādiem datiem. Šajā konkrētajā nolūkā ALD nosaukumu reģistriem un vienībām, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, būtu jānosaka prasība apstrādāt konkrētus datus, kas vajadzīgi minētā mērķa sasniegšanai. Šādai apstrādei vajadzētu būt juridiskam pienākumam Regulas (ES) 2016/679 6. panta 1. punkta c) apakšpunkta nozīmē. Minētais pienākums neskar iespēju vākt domēnu nosaukumu reģistrācijas datus citiem mērķiem, piemēram, pamatojoties uz līgumattiecībām vai juridiskām prasībām, kas noteiktas citos Savienības vai valsts tiesību aktos. Minētā pienākuma mērķis ir iegūt pilnīgu un precīzu reģistrācijas datu kopumu, un tam nevajadzētu novest pie tā, ka vienus un tos pašus datus vāc vairākas reizes. ALD nosaukumu reģistriem un vienībām, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, būtu jāsadarbojas, lai izvairītos no minētā uzdevuma izpildes dublēšanās.

| (110) | Domēna nosaukumu reģistrācijas datu pieejamība un savlaicīga piekļūstamība leģitīmiem piekļuves prasītājiem ir būtiska DNS ļaunprātīgas izmantošanas novēršanai un apkarošanai, kā arī incidentu novēršanai un atklāšanai un reaģēšanai uz tiem. Ar leģitīmiem piekļuves prasītājiem saprot jebkuru fizisku vai juridisku personu, kas iesniedz pieprasījumu, ievērojot Savienības vai valsts tiesību aktus. To vidū var būt iestādes, kas ir kompetentas saskaņā ar šo direktīvu, un iestādes, kas saskaņā ar Savienības vai valsts tiesību aktiem ir kompetentas novērst, izmeklēt, atklāt noziedzīgus nodarījumus vai veikt par tiem kriminālvajāšanu, kā arī CERT vai CSIRT. ALD nosaukumu reģistriem un vienībām, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, būtu arī jānosaka prasība nodrošināt leģitīmiem piekļuves prasītājiem likumīgu piekļuvi konkrētiem domēnu nosaukumu reģistrācijas datiem, kas vajadzīgi prasītās piekļuves mērķiem, saskaņā ar Savienības un valsts tiesību aktiem. Leģitīmu piekļuves prasītāju pieprasījumam būtu jāpievieno pamatojums, pēc kā var novērtēt nepieciešamību piekļūt datiem. |
| --- | --- |

(110)

Domēna nosaukumu reģistrācijas datu pieejamība un savlaicīga piekļūstamība leģitīmiem piekļuves prasītājiem ir būtiska DNS ļaunprātīgas izmantošanas novēršanai un apkarošanai, kā arī incidentu novēršanai un atklāšanai un reaģēšanai uz tiem. Ar leģitīmiem piekļuves prasītājiem saprot jebkuru fizisku vai juridisku personu, kas iesniedz pieprasījumu, ievērojot Savienības vai valsts tiesību aktus. To vidū var būt iestādes, kas ir kompetentas saskaņā ar šo direktīvu, un iestādes, kas saskaņā ar Savienības vai valsts tiesību aktiem ir kompetentas novērst, izmeklēt, atklāt noziedzīgus nodarījumus vai veikt par tiem kriminālvajāšanu, kā arī CERT vai CSIRT. ALD nosaukumu reģistriem un vienībām, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, būtu arī jānosaka prasība nodrošināt leģitīmiem piekļuves prasītājiem likumīgu piekļuvi konkrētiem domēnu nosaukumu reģistrācijas datiem, kas vajadzīgi prasītās piekļuves mērķiem, saskaņā ar Savienības un valsts tiesību aktiem. Leģitīmu piekļuves prasītāju pieprasījumam būtu jāpievieno pamatojums, pēc kā var novērtēt nepieciešamību piekļūt datiem.

| (111) | Lai nodrošinātu precīzu un pilnīgu domēnu nosaukumu reģistrācijas datu pieejamību, ALD nosaukumu reģistriem un vienībām, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, būtu jāvāc domēnu nosaukumu reģistrācijas dati un jāgarantē to integritāte un pieejamība. Konkrētāk, ALD nosaukumu reģistriem un vienībām, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, būtu jāizstrādā rīcībpolitikas un procedūras precīzu un pilnīgu domēnu nosaukumu reģistrācijas datu vākšanai un uzturēšanai, kā arī neprecīzu reģistrācijas datu novēršanai un izlabošanai saskaņā ar Savienības datu aizsardzības tiesību aktiem. Minētajās rīcībpolitikās un procedūrās pēc iespējas būtu jāņem vērā standarti, ko starptautiskā līmenī izstrādājušas daudzpusējās ieinteresēto personu pārvaldības struktūras. ALD nosaukumu reģistriem un vienībām, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, būtu jāpieņem un jāīsteno samērīgas domēnu nosaukumu reģistrācijas datu verifikācijas procedūras. Minētajām procedūrām būtu jāatspoguļo nozarē izmantotās paraugprakses un, ciktāl iespējams, elektroniskās identifikācijas jomā panāktais progress. Verifikācijas procedūru piemēri var būt ex ante kontroles, ko veic reģistrācijas laikā, un ex post kontroles, ko veic pēc reģistrācijas. ALD nosaukumu reģistriem un vienībām, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, būtu it īpaši jāverificē vismaz viens no reģistrētāja saziņas līdzekļiem. |
| --- | --- |

(111)

Lai nodrošinātu precīzu un pilnīgu domēnu nosaukumu reģistrācijas datu pieejamību, ALD nosaukumu reģistriem un vienībām, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, būtu jāvāc domēnu nosaukumu reģistrācijas dati un jāgarantē to integritāte un pieejamība. Konkrētāk, ALD nosaukumu reģistriem un vienībām, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, būtu jāizstrādā rīcībpolitikas un procedūras precīzu un pilnīgu domēnu nosaukumu reģistrācijas datu vākšanai un uzturēšanai, kā arī neprecīzu reģistrācijas datu novēršanai un izlabošanai saskaņā ar Savienības datu aizsardzības tiesību aktiem. Minētajās rīcībpolitikās un procedūrās pēc iespējas būtu jāņem vērā standarti, ko starptautiskā līmenī izstrādājušas daudzpusējās ieinteresēto personu pārvaldības struktūras. ALD nosaukumu reģistriem un vienībām, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, būtu jāpieņem un jāīsteno samērīgas domēnu nosaukumu reģistrācijas datu verifikācijas procedūras. Minētajām procedūrām būtu jāatspoguļo nozarē izmantotās paraugprakses un, ciktāl iespējams, elektroniskās identifikācijas jomā panāktais progress. Verifikācijas procedūru piemēri var būt ex ante kontroles, ko veic reģistrācijas laikā, un ex post kontroles, ko veic pēc reģistrācijas. ALD nosaukumu reģistriem un vienībām, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, būtu it īpaši jāverificē vismaz viens no reģistrētāja saziņas līdzekļiem.

| (112) | ALD nosaukumu reģistriem un vienībām, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, būtu jānosaka prasība darīt publiski pieejamus domēnu nosaukumu reģistrācijas datus, uz kuriem neattiecas Savienības datu aizsardzības tiesību akti, piemēram, datus, kuri attiecas uz juridiskām personām, saskaņā ar Regulu (ES) 2016/679. Attiecībā uz juridiskām personām ALD nosaukumu reģistriem un vienībām, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, būtu jādara publiski pieejams vismaz reģistrētāja nosaukums un kontakttālruņa numurs. Būtu jāpublicē arī saziņas e-pasta adrese ar noteikumu, ka tā nesatur persondatus, piemēram, e-pasta pseidonīmu vai funkcionālo kontu gadījumā. ALD nosaukumu reģistriem un vienībām, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, būtu arī jānodrošina leģitīmiem piekļuves prasītājiem likumīga piekļuve konkrētiem domēnu nosaukumu reģistrācijas datiem par fiziskām personām saskaņā ar Savienības datu aizsardzības tiesību aktiem. Dalībvalstīm būtu jāprasa, lai ALD nosaukumu reģistri un vienības, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, bez nepamatotas kavēšanās atbild uz leģitīmo piekļuves prasītāju pieprasījumiem izpaust domēna nosaukumu reģistrācijas datus. ALD nosaukumu reģistriem un vienībām, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, būtu jāizstrādā rīcībpolitikas un procedūras reģistrācijas datu, tostarp pakalpojumu līmeņa līgumu, publicēšanai un izpaušanai, lai izpildītu leģitīmo piekļuves prasītāju piekļuves pieprasījumus. Minētajās rīcībpolitikās un procedūrās pēc iespējas būtu jāņem vērā jebkādi norādījumi un standarti, ko starptautiskā līmenī izstrādājušas daudzpusējās ieinteresēto personu pārvaldības struktūras. Piekļuves procedūrā varētu ietvert saskarnes, portāla vai citu tehnisku rīku izmantošanu nolūkā nodrošināt efektīvu sistēmu reģistrācijas datu pieprasīšanai un piekļūšanai tiem. Lai veicinātu saskaņotu praksi visā iekšējā tirgū, Komisija, neskarot Eiropas Datu aizsardzības kolēģijas kompetenci, var sniegt pamantostādnes par šādām procedūrām, kurās, cik iespējams, ņemti vērā standarti, ko starptautiskā līmenī izstrādājušas daudzpusējās ieinteresēto personu pārvaldības struktūras. Dalībvalstīm būtu jānodrošina, ka visu veidu piekļuve personu un nepersonu domēna nosaukumu reģistrācijas datiem ir bez maksas. |
| --- | --- |

(112)

ALD nosaukumu reģistriem un vienībām, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, būtu jānosaka prasība darīt publiski pieejamus domēnu nosaukumu reģistrācijas datus, uz kuriem neattiecas Savienības datu aizsardzības tiesību akti, piemēram, datus, kuri attiecas uz juridiskām personām, saskaņā ar Regulu (ES) 2016/679. Attiecībā uz juridiskām personām ALD nosaukumu reģistriem un vienībām, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, būtu jādara publiski pieejams vismaz reģistrētāja nosaukums un kontakttālruņa numurs. Būtu jāpublicē arī saziņas e-pasta adrese ar noteikumu, ka tā nesatur persondatus, piemēram, e-pasta pseidonīmu vai funkcionālo kontu gadījumā. ALD nosaukumu reģistriem un vienībām, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, būtu arī jānodrošina leģitīmiem piekļuves prasītājiem likumīga piekļuve konkrētiem domēnu nosaukumu reģistrācijas datiem par fiziskām personām saskaņā ar Savienības datu aizsardzības tiesību aktiem. Dalībvalstīm būtu jāprasa, lai ALD nosaukumu reģistri un vienības, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, bez nepamatotas kavēšanās atbild uz leģitīmo piekļuves prasītāju pieprasījumiem izpaust domēna nosaukumu reģistrācijas datus. ALD nosaukumu reģistriem un vienībām, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, būtu jāizstrādā rīcībpolitikas un procedūras reģistrācijas datu, tostarp pakalpojumu līmeņa līgumu, publicēšanai un izpaušanai, lai izpildītu leģitīmo piekļuves prasītāju piekļuves pieprasījumus. Minētajās rīcībpolitikās un procedūrās pēc iespējas būtu jāņem vērā jebkādi norādījumi un standarti, ko starptautiskā līmenī izstrādājušas daudzpusējās ieinteresēto personu pārvaldības struktūras. Piekļuves procedūrā varētu ietvert saskarnes, portāla vai citu tehnisku rīku izmantošanu nolūkā nodrošināt efektīvu sistēmu reģistrācijas datu pieprasīšanai un piekļūšanai tiem. Lai veicinātu saskaņotu praksi visā iekšējā tirgū, Komisija, neskarot Eiropas Datu aizsardzības kolēģijas kompetenci, var sniegt pamantostādnes par šādām procedūrām, kurās, cik iespējams, ņemti vērā standarti, ko starptautiskā līmenī izstrādājušas daudzpusējās ieinteresēto personu pārvaldības struktūras. Dalībvalstīm būtu jānodrošina, ka visu veidu piekļuve personu un nepersonu domēna nosaukumu reģistrācijas datiem ir bez maksas.

| (113) | Būtu jāuzskata, ka vienības, kuras ietilpst šīs direktīvas darbības jomā, ir tās dalībvalsts jurisdikcijā, kurā tās ir iedibinātas. Tomēr būtu jāuzskata, ka publisko elektronisko sakaru tīklu nodrošinātāji vai publiski pieejamu elektronisko sakaru pakalpojumu sniedzēji ir tās dalībvalsts jurisdikcijā, kurā tie sniedz savus pakalpojumus. Būtu jāuzskata, ka DNS pakalpojumu sniedzēji, ALD nosaukumu reģistri, vienības, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, mākoņdatošanas pakalpojumu sniedzēji, datu centru pakalpojumu sniedzēji, satura piegādes tīklu nodrošinātāji, pārvaldītu pakalpojumu sniedzēji un pārvaldītu drošības pakalpojumu sniedzēji, kā arī tiešsaistes tirdzniecības vietu nodrošinātāji, tiešsaistes meklētājprogrammu nodrošinātāji un sociālās tīklošanās pakalpojumu platformu nodrošinātāji ir tās dalībvalsts jurisdikcijā, kurā ir to galvenā iedibinājuma vieta Savienībā. Valsts pārvaldes vienībām vajadzētu būt tās dalībvalsts jurisdikcijā, kura tās ir izveidojusi. Ja vienība sniedz pakalpojumus vai ir iedibināta vairāk nekā vienā dalībvalstī, tai vajadzētu būt katras attiecīgās dalībvalsts atsevišķā un vienlaicīgā jurisdikcijā. Šo dalībvalstu kompetentajām iestādēm būtu jāsadarbojas, jāsniedz savstarpēja palīdzība un attiecīgā gadījumā jāveic kopīgas uzraudzības darbības. Ja dalībvalstis īsteno jurisdikciju, tām nebūtu jānosaka izpildes pasākumi vai jāuzliek sodi par vienu un to pašu rīcību vairāk nekā vienu reizi saskaņā ar ne bis in idem principu. |
| --- | --- |

(113)

Būtu jāuzskata, ka vienības, kuras ietilpst šīs direktīvas darbības jomā, ir tās dalībvalsts jurisdikcijā, kurā tās ir iedibinātas. Tomēr būtu jāuzskata, ka publisko elektronisko sakaru tīklu nodrošinātāji vai publiski pieejamu elektronisko sakaru pakalpojumu sniedzēji ir tās dalībvalsts jurisdikcijā, kurā tie sniedz savus pakalpojumus. Būtu jāuzskata, ka DNS pakalpojumu sniedzēji, ALD nosaukumu reģistri, vienības, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, mākoņdatošanas pakalpojumu sniedzēji, datu centru pakalpojumu sniedzēji, satura piegādes tīklu nodrošinātāji, pārvaldītu pakalpojumu sniedzēji un pārvaldītu drošības pakalpojumu sniedzēji, kā arī tiešsaistes tirdzniecības vietu nodrošinātāji, tiešsaistes meklētājprogrammu nodrošinātāji un sociālās tīklošanās pakalpojumu platformu nodrošinātāji ir tās dalībvalsts jurisdikcijā, kurā ir to galvenā iedibinājuma vieta Savienībā. Valsts pārvaldes vienībām vajadzētu būt tās dalībvalsts jurisdikcijā, kura tās ir izveidojusi. Ja vienība sniedz pakalpojumus vai ir iedibināta vairāk nekā vienā dalībvalstī, tai vajadzētu būt katras attiecīgās dalībvalsts atsevišķā un vienlaicīgā jurisdikcijā. Šo dalībvalstu kompetentajām iestādēm būtu jāsadarbojas, jāsniedz savstarpēja palīdzība un attiecīgā gadījumā jāveic kopīgas uzraudzības darbības. Ja dalībvalstis īsteno jurisdikciju, tām nebūtu jānosaka izpildes pasākumi vai jāuzliek sodi par vienu un to pašu rīcību vairāk nekā vienu reizi saskaņā ar ne bis in idem principu.

| (114) | Lai ņemtu vērā DNS pakalpojumu sniedzēju, ALD nosaukumu reģistru, vienību, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, mākoņdatošanas pakalpojumu sniedzēju, datu centra pakalpojumu sniedzēju, satura piegādes tīklu nodrošinātāju, pārvaldītu pakalpojumu sniedzēju, pārvaldītu drošības pakalpojumu sniedzēju, kā arī tiešsaistes tirdzniecības vietu nodrošinātāju, tiešsaistes meklētājprogrammu nodrošinātāju un sociālās tīklošanās pakalpojumu platformu nodrošinātāju pakalpojumu un darbību pārrobežu raksturu, tikai vienai dalībvalstij vajadzētu būt jurisdikcijai pār šādām vienībām. Jurisdikcija būtu jāpiešķir tai dalībvalstij, kurā attiecīgajai vienībai ir tās galvenais iedibinājums Savienībā. Iedibinājuma kritērijs šīs direktīvas nolūkos nozīmē darbības reālu īstenošanu ar stabilu veidojumu. Šāda veidojuma juridiskā forma neatkarīgi no tā, vai tā ir filiāle vai meitasuzņēmums ar juridiskas personas statusu, šajā ziņā nav noteicošais faktors. Tam, vai šis kritērijs ir izpildīts, nevajadzētu būt atkarīgam no tā, vai tīklu un informācijas sistēmas fiziski atrodas noteiktā vietā; šādu sistēmu klātbūtne un izmantošana pati par sevi nav uzskatāma par šādu galveno iedibinājumu un tāpēc nav izšķirīgs kritērijs galvenā iedibinājuma noteikšanai. Būtu jāuzskata, ka galvenais iedibinājums ir tajā dalībvalstī, kur Savienībā tiek pieņemts vairums ar kiberdrošības riska pārvaldības pasākumiem saistīto lēmumu. Parasti tā ir vieta, kur atrodas vienības centrālā administrācija Savienībā. Ja šādu dalībvalsti nevar noteikt vai ja šādus lēmumus nepieņem Savienībā, būtu jāuzskata, ka galvenais iedibinājums ir dalībvalstī, kurā tiek veiktas kiberdrošības darbības. Ja šādu dalībvalsti nevar noteikt, būtu jāuzskata, ka galvenais iedibinājums ir dalībvalstī, kurā vienībai ir iedibinājums ar vislielāko darbinieku skaitu Savienībā. Ja pakalpojumus sniedz uzņēmumu grupa, par uzņēmumu grupas galveno iedibinājumu būtu jāuzskata kontrolējošā uzņēmuma galvenais iedibinājums. |
| --- | --- |

(114)

Lai ņemtu vērā DNS pakalpojumu sniedzēju, ALD nosaukumu reģistru, vienību, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, mākoņdatošanas pakalpojumu sniedzēju, datu centra pakalpojumu sniedzēju, satura piegādes tīklu nodrošinātāju, pārvaldītu pakalpojumu sniedzēju, pārvaldītu drošības pakalpojumu sniedzēju, kā arī tiešsaistes tirdzniecības vietu nodrošinātāju, tiešsaistes meklētājprogrammu nodrošinātāju un sociālās tīklošanās pakalpojumu platformu nodrošinātāju pakalpojumu un darbību pārrobežu raksturu, tikai vienai dalībvalstij vajadzētu būt jurisdikcijai pār šādām vienībām. Jurisdikcija būtu jāpiešķir tai dalībvalstij, kurā attiecīgajai vienībai ir tās galvenais iedibinājums Savienībā. Iedibinājuma kritērijs šīs direktīvas nolūkos nozīmē darbības reālu īstenošanu ar stabilu veidojumu. Šāda veidojuma juridiskā forma neatkarīgi no tā, vai tā ir filiāle vai meitasuzņēmums ar juridiskas personas statusu, šajā ziņā nav noteicošais faktors. Tam, vai šis kritērijs ir izpildīts, nevajadzētu būt atkarīgam no tā, vai tīklu un informācijas sistēmas fiziski atrodas noteiktā vietā; šādu sistēmu klātbūtne un izmantošana pati par sevi nav uzskatāma par šādu galveno iedibinājumu un tāpēc nav izšķirīgs kritērijs galvenā iedibinājuma noteikšanai. Būtu jāuzskata, ka galvenais iedibinājums ir tajā dalībvalstī, kur Savienībā tiek pieņemts vairums ar kiberdrošības riska pārvaldības pasākumiem saistīto lēmumu. Parasti tā ir vieta, kur atrodas vienības centrālā administrācija Savienībā. Ja šādu dalībvalsti nevar noteikt vai ja šādus lēmumus nepieņem Savienībā, būtu jāuzskata, ka galvenais iedibinājums ir dalībvalstī, kurā tiek veiktas kiberdrošības darbības. Ja šādu dalībvalsti nevar noteikt, būtu jāuzskata, ka galvenais iedibinājums ir dalībvalstī, kurā vienībai ir iedibinājums ar vislielāko darbinieku skaitu Savienībā. Ja pakalpojumus sniedz uzņēmumu grupa, par uzņēmumu grupas galveno iedibinājumu būtu jāuzskata kontrolējošā uzņēmuma galvenais iedibinājums.

| (115) | Ja publisko elektronisko sakaru tīklu nodrošinātājs vai publiski pieejamu elektronisko sakaru pakalpojumu sniedzējs publiski pieejamu rekursīvu DNS pakalpojumu sniedz tikai kā daļu no interneta piekļuves pakalpojuma, būtu jāuzskata, ka vienība ir visu to dalībvalstu jurisdikcijā, kurās tiek sniegti tās pakalpojumi. |
| --- | --- |

(115)

Ja publisko elektronisko sakaru tīklu nodrošinātājs vai publiski pieejamu elektronisko sakaru pakalpojumu sniedzējs publiski pieejamu rekursīvu DNS pakalpojumu sniedz tikai kā daļu no interneta piekļuves pakalpojuma, būtu jāuzskata, ka vienība ir visu to dalībvalstu jurisdikcijā, kurās tiek sniegti tās pakalpojumi.

| (116) | Ja DNS pakalpojumu sniedzējs, ALD nosaukumu reģistrs, vienība, kas sniedz domēna nosaukumu reģistrācijas pakalpojumus, mākoņdatošanas pakalpojumu sniedzējs, datu centra pakalpojumu sniedzējs, satura piegādes tīklu nodrošinātājs, pārvaldītu pakalpojumu sniedzējs, pārvaldītu drošības pakalpojumu sniedzējs vai tiešsaistes tirdzniecības vietas, tiešsaistes meklētājprogrammas vai sociālās tīklošanās pakalpojumu platformas nodrošinātājs, kas nav iedibināts Savienībā, piedāvā pakalpojumus Savienībā, tam būtu jāizraugās pārstāvis Savienībā. Lai noteiktu, vai šāda vienība piedāvā pakalpojumus Savienībā, būtu jānoskaidro, vai vienība plāno piedāvāt pakalpojumus personām vienā vai vairākās dalībvalstīs. Būtu jāuzskata, ka, lai noskaidrotu šādu nodomu, nepietiek tikai ar to vien, ka Savienībā ir piekļūstama vienības vai starpnieka tīmekļa vietne, e-pasta adrese vai cita kontaktinformācija vai ka tiek izmantota valoda, ko parasti izmanto trešā valstī, kurā vienība ir iedibināta. Tomēr tādi faktori kā tādas valodas vai valūtas izmantošana, ko parasti izmanto vienā vai vairākās dalībvalstīs, ar iespēju pasūtīt pakalpojumus minētajā valodā vai Savienībā esošu klientu vai lietotāju pieminēšana varētu skaidri liecināt, ka vienība plāno piedāvāt pakalpojumus Savienībā. Pārstāvim būtu jārīkojas vienības vārdā, un kompetentajām iestādēm vai CSIRT vajadzētu būt iespējai ar pārstāvi sazināties. Pārstāvis būtu jāizraugās nepārprotami ar vienības rakstisku pilnvarojumu rīkoties tās vārdā attiecībā uz tās pienākumiem, kas noteikti šajā direktīvā, tostarp ziņošanu par incidentiem. |
| --- | --- |

(116)

Ja DNS pakalpojumu sniedzējs, ALD nosaukumu reģistrs, vienība, kas sniedz domēna nosaukumu reģistrācijas pakalpojumus, mākoņdatošanas pakalpojumu sniedzējs, datu centra pakalpojumu sniedzējs, satura piegādes tīklu nodrošinātājs, pārvaldītu pakalpojumu sniedzējs, pārvaldītu drošības pakalpojumu sniedzējs vai tiešsaistes tirdzniecības vietas, tiešsaistes meklētājprogrammas vai sociālās tīklošanās pakalpojumu platformas nodrošinātājs, kas nav iedibināts Savienībā, piedāvā pakalpojumus Savienībā, tam būtu jāizraugās pārstāvis Savienībā. Lai noteiktu, vai šāda vienība piedāvā pakalpojumus Savienībā, būtu jānoskaidro, vai vienība plāno piedāvāt pakalpojumus personām vienā vai vairākās dalībvalstīs. Būtu jāuzskata, ka, lai noskaidrotu šādu nodomu, nepietiek tikai ar to vien, ka Savienībā ir piekļūstama vienības vai starpnieka tīmekļa vietne, e-pasta adrese vai cita kontaktinformācija vai ka tiek izmantota valoda, ko parasti izmanto trešā valstī, kurā vienība ir iedibināta. Tomēr tādi faktori kā tādas valodas vai valūtas izmantošana, ko parasti izmanto vienā vai vairākās dalībvalstīs, ar iespēju pasūtīt pakalpojumus minētajā valodā vai Savienībā esošu klientu vai lietotāju pieminēšana varētu skaidri liecināt, ka vienība plāno piedāvāt pakalpojumus Savienībā. Pārstāvim būtu jārīkojas vienības vārdā, un kompetentajām iestādēm vai CSIRT vajadzētu būt iespējai ar pārstāvi sazināties. Pārstāvis būtu jāizraugās nepārprotami ar vienības rakstisku pilnvarojumu rīkoties tās vārdā attiecībā uz tās pienākumiem, kas noteikti šajā direktīvā, tostarp ziņošanu par incidentiem.

| (117) | Lai gūtu skaidru pārskatu par DNS pakalpojumu sniedzējiem, ALD nosaukumu reģistriem, vienībām, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, mākoņdatošanas pakalpojumu sniedzējiem, datu centru pakalpojumu sniedzējiem, satura piegādes tīklu nodrošinātājiem, pārvaldītu pakalpojumu sniedzējiem un pārvaldītu drošības pakalpojumu sniedzējiem, kā arī tiešsaistes tirdzniecības vietu nodrošinātājiem, tiešsaistes meklētājprogrammu nodrošinātājiem un sociālās tīklošanās pakalpojumu platformu nodrošinātājiem, kas sniedz pakalpojumus Savienībā, kuri ietilpst šīs direktīvas darbības jomā, ENISA būtu jāizveido un jāuztur šādu vienību reģistrs, kura pamatā būtu informācija, kas saņemta no dalībvalstīm, attiecīgā gadījumā – ar valstu mehānismiem, kas izveidoti, lai vienības reģistrētos. Vienotajiem kontaktpunktiem informācija un jebkādas tās izmaiņas būtu jāpārsūta ENISA. Lai nodrošinātu minētajā reģistrā iekļaujamās informācijas precizitāti un pilnīgumu, dalībvalstis var iesniegt ENISA valsts reģistros pieejamo informāciju par minētajām vienībām. ENISA un dalībvalstīm būtu jāveic šādu reģistru sadarbspējas veicināšanas pasākumi, bet vienlaikus arī jānodrošina konfidenciālas vai klasificētas informācijas aizsardzība. ENISA būtu jāizstrādā pienācīgi informācijas klasifikācijas un pārvaldības protokoli, lai nodrošinātu izpaustās informācijas drošību un konfidencialitāti un lai ierobežotu piekļuvi šādai informācijai, tās glabāšanu un pārsūtīšanu paredzētajiem lietotājiem. |
| --- | --- |

(117)

Lai gūtu skaidru pārskatu par DNS pakalpojumu sniedzējiem, ALD nosaukumu reģistriem, vienībām, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, mākoņdatošanas pakalpojumu sniedzējiem, datu centru pakalpojumu sniedzējiem, satura piegādes tīklu nodrošinātājiem, pārvaldītu pakalpojumu sniedzējiem un pārvaldītu drošības pakalpojumu sniedzējiem, kā arī tiešsaistes tirdzniecības vietu nodrošinātājiem, tiešsaistes meklētājprogrammu nodrošinātājiem un sociālās tīklošanās pakalpojumu platformu nodrošinātājiem, kas sniedz pakalpojumus Savienībā, kuri ietilpst šīs direktīvas darbības jomā, ENISA būtu jāizveido un jāuztur šādu vienību reģistrs, kura pamatā būtu informācija, kas saņemta no dalībvalstīm, attiecīgā gadījumā – ar valstu mehānismiem, kas izveidoti, lai vienības reģistrētos. Vienotajiem kontaktpunktiem informācija un jebkādas tās izmaiņas būtu jāpārsūta ENISA. Lai nodrošinātu minētajā reģistrā iekļaujamās informācijas precizitāti un pilnīgumu, dalībvalstis var iesniegt ENISA valsts reģistros pieejamo informāciju par minētajām vienībām. ENISA un dalībvalstīm būtu jāveic šādu reģistru sadarbspējas veicināšanas pasākumi, bet vienlaikus arī jānodrošina konfidenciālas vai klasificētas informācijas aizsardzība. ENISA būtu jāizstrādā pienācīgi informācijas klasifikācijas un pārvaldības protokoli, lai nodrošinātu izpaustās informācijas drošību un konfidencialitāti un lai ierobežotu piekļuvi šādai informācijai, tās glabāšanu un pārsūtīšanu paredzētajiem lietotājiem.

| (118) | Ja notiek apmaiņa ar informāciju, kas saskaņā ar Savienības vai valsts tiesību aktiem ir klasificēta, šāda informācija tiek paziņota vai citādi kopīgota atbilstoši šai direktīvai, būtu jāpiemēro attiecīgie noteikumi par rīcību ar klasificētu informāciju. Turklāt ENISA rīcībā vajadzētu būt infrastruktūrai, procedūrām un noteikumiem sensitīvas un klasificētas informācijas apstrādei saskaņā ar piemērojamajiem drošības noteikumiem par ES klasificētas informācijas aizsardzību. |
| --- | --- |

(118)

Ja notiek apmaiņa ar informāciju, kas saskaņā ar Savienības vai valsts tiesību aktiem ir klasificēta, šāda informācija tiek paziņota vai citādi kopīgota atbilstoši šai direktīvai, būtu jāpiemēro attiecīgie noteikumi par rīcību ar klasificētu informāciju. Turklāt ENISA rīcībā vajadzētu būt infrastruktūrai, procedūrām un noteikumiem sensitīvas un klasificētas informācijas apstrādei saskaņā ar piemērojamajiem drošības noteikumiem par ES klasificētas informācijas aizsardzību.

| (119) | Tā kā kiberdraudi kļūst sarežģītāki un attīstītāki, labi šādu draudu atklāšanas un profilakses pasākumi lielā mērā ir atkarīgi no regulāras apdraudējuma un neaizsargātības izlūkdatu kopīgošanas starp vienībām. Informācijas kopīgošana uzlabo informētību par kiberdraudiem, kas savukārt uzlabo vienību spēju novērst šādu draudu pārtapšanu reālos incidentos un dod tām iespēju labāk ierobežot incidentu ietekmi un efektīvāk no tiem atgūties. Nepastāvot Savienības līmeņa norādījumiem, šādu izlūkdatu apmaiņu, šķiet, ir kavējuši dažādi faktori, jo īpaši nenoteiktība attiecībā uz saderību ar konkurences un atbildības noteikumiem. |
| --- | --- |

(119)

Tā kā kiberdraudi kļūst sarežģītāki un attīstītāki, labi šādu draudu atklāšanas un profilakses pasākumi lielā mērā ir atkarīgi no regulāras apdraudējuma un neaizsargātības izlūkdatu kopīgošanas starp vienībām. Informācijas kopīgošana uzlabo informētību par kiberdraudiem, kas savukārt uzlabo vienību spēju novērst šādu draudu pārtapšanu reālos incidentos un dod tām iespēju labāk ierobežot incidentu ietekmi un efektīvāk no tiem atgūties. Nepastāvot Savienības līmeņa norādījumiem, šādu izlūkdatu apmaiņu, šķiet, ir kavējuši dažādi faktori, jo īpaši nenoteiktība attiecībā uz saderību ar konkurences un atbildības noteikumiem.

| (120) | Vienības būtu jāmudina ar dalībvalstu atbalstu kolektīvi izmantot savas individuālās zināšanas un praktisko pieredzi stratēģiskajā, taktiskajā un operacionālajā līmenī, lai uzlabotu savas spējas pienācīgi novērst, atklāt incidentus, reaģēt uz tiem vai atgūties no tiem, vai mazināt to sekas. Tāpēc ir nepieciešams pavērt ceļu brīvprātīgiem kiberdrošības informācijas kopīgošanas mehānismiem Savienības līmenī. Šajā nolūkā dalībvalstīm būtu aktīvi jāatbalsta un jāmudina šādos informācijas kopīgošanas mehānismos piedalīties vienības, piemēram, vienības, kas koncentrējas uz kiberdrošības pakalpojumiem un pētījumiem, kā arī attiecīgās vienības, kas nav šīs direktīvas darbības jomā. Minētie pasākumi būtu jāizveido saskaņā ar Savienības konkurences noteikumiem un Savienības datu aizsardzības tiesību aktiem. |
| --- | --- |

(120)

Vienības būtu jāmudina ar dalībvalstu atbalstu kolektīvi izmantot savas individuālās zināšanas un praktisko pieredzi stratēģiskajā, taktiskajā un operacionālajā līmenī, lai uzlabotu savas spējas pienācīgi novērst, atklāt incidentus, reaģēt uz tiem vai atgūties no tiem, vai mazināt to sekas. Tāpēc ir nepieciešams pavērt ceļu brīvprātīgiem kiberdrošības informācijas kopīgošanas mehānismiem Savienības līmenī. Šajā nolūkā dalībvalstīm būtu aktīvi jāatbalsta un jāmudina šādos informācijas kopīgošanas mehānismos piedalīties vienības, piemēram, vienības, kas koncentrējas uz kiberdrošības pakalpojumiem un pētījumiem, kā arī attiecīgās vienības, kas nav šīs direktīvas darbības jomā. Minētie pasākumi būtu jāizveido saskaņā ar Savienības konkurences noteikumiem un Savienības datu aizsardzības tiesību aktiem.

| (121) | Persondatu apstrādi, ciktāl tā ir nepieciešama un samērīga ar nolūku būtiskajām un svarīgajām vienībām nodrošināt tīklu un informācijas sistēmu drošību, varētu uzskatīt par likumīgu, pamatojoties uz to, ka šāda apstrāde atbilst pārzinim uzliktajam juridiskajam pienākumam saskaņā ar Regulas (ES) 2016/679 6. panta 1. punkta c) apakšpunkta un 6. panta 3. punkta prasībām. Persondatu apstrāde varētu būt nepieciešama arī leģitīmām interesēm, kas ir būtiskajām un svarīgajām vienībām, kā arī drošības tehnoloģiju un pakalpojumu sniedzējiem, kuri rīkojas minēto vienību vārdā, saskaņā ar Regulas (ES) 2016/679 6. panta 1. punkta f) apakšpunktu, arī tad, ja šāda apstrāde ir nepieciešama kiberdrošības informācijas kopīgošanas mehānismiem vai brīvprātīgai relevantās informācijas paziņošanai saskaņā ar šo direktīvu. Pasākumiem, kas saistīti ar incidentu novēršanu, atklāšanu, apzināšanu, ierobežošanu, analīzi un reaģēšanu uz tiem, pasākumiem, kas veicina informētību par konkrētiem kiberdraudiem, informācijas apmaiņu ievainojamības izlabošanas un ievainojamības koordinētas izpaušanas kontekstā, brīvprātīgu informācijas apmaiņu par minētajiem incidentiem, kā arī kiberdraudiem un ievainojamībām, aizskāruma rādītājiem, taktiku, paņēmieniem un procedūrām, kiberdrošības brīdinājumiem un konfigurācijas rīkiem, varētu būt vajadzīga konkrētu kategoriju persondatu, piemēram, IP adrešu, vienoto resursu vietrāžu (URL), domēnu nosaukumu, e-pasta adrešu, un – ja tie atklāj persondatus – laika zīmogu, apstrāde. Persondatu apstrāde, ko veic kompetentās iestādes, vienotie kontaktpunkti un CSIRT, varētu būt juridisks pienākums vai varētu tikt uzskatīta par nepieciešamu, lai veiktu uzdevumu sabiedrības interesēs vai īstenotu oficiālās pilnvaras, kas pārzinim piešķirtas saskaņā ar Regulas (ES) 2016/679 6. panta 1. punkta c) vai e) apakšpunktu un 6. panta 3. punktu, vai lai īstenotu minētās regulas 6. panta 1. punkta f) apakšpunktā minēto būtisko un svarīgo vienību leģitīmās intereses. Turklāt valsts tiesību aktos varētu paredzēt noteikumus, kas ļauj kompetentajām iestādēm, vienotajiem kontaktpunktiem un CSIRT, ciktāl tas ir nepieciešams un samērīgi ar nolūku nodrošināt būtisko un svarīgo vienību tīklu un informācijas sistēmu drošību, apstrādāt īpašu kategoriju persondatus saskaņā ar Regulas (ES) 2016/679 9. pantu, jo īpaši paredzot piemērotus un konkrētus pasākumus, kā aizsargāt fizisko personu pamattiesības un intereses, tostarp tehniskus ierobežojumus šādu datu atkalizmantošanai un mūsdienīgu drošības un privātuma aizsardzības pasākumu, piemēram, pseidonimizācijas vai šifrēšanas, izmantošanu, ja anonimizācija var būtiski ietekmēt izvirzīto mērķi. |
| --- | --- |

(121)

Persondatu apstrādi, ciktāl tā ir nepieciešama un samērīga ar nolūku būtiskajām un svarīgajām vienībām nodrošināt tīklu un informācijas sistēmu drošību, varētu uzskatīt par likumīgu, pamatojoties uz to, ka šāda apstrāde atbilst pārzinim uzliktajam juridiskajam pienākumam saskaņā ar Regulas (ES) 2016/679 6. panta 1. punkta c) apakšpunkta un 6. panta 3. punkta prasībām. Persondatu apstrāde varētu būt nepieciešama arī leģitīmām interesēm, kas ir būtiskajām un svarīgajām vienībām, kā arī drošības tehnoloģiju un pakalpojumu sniedzējiem, kuri rīkojas minēto vienību vārdā, saskaņā ar Regulas (ES) 2016/679 6. panta 1. punkta f) apakšpunktu, arī tad, ja šāda apstrāde ir nepieciešama kiberdrošības informācijas kopīgošanas mehānismiem vai brīvprātīgai relevantās informācijas paziņošanai saskaņā ar šo direktīvu. Pasākumiem, kas saistīti ar incidentu novēršanu, atklāšanu, apzināšanu, ierobežošanu, analīzi un reaģēšanu uz tiem, pasākumiem, kas veicina informētību par konkrētiem kiberdraudiem, informācijas apmaiņu ievainojamības izlabošanas un ievainojamības koordinētas izpaušanas kontekstā, brīvprātīgu informācijas apmaiņu par minētajiem incidentiem, kā arī kiberdraudiem un ievainojamībām, aizskāruma rādītājiem, taktiku, paņēmieniem un procedūrām, kiberdrošības brīdinājumiem un konfigurācijas rīkiem, varētu būt vajadzīga konkrētu kategoriju persondatu, piemēram, IP adrešu, vienoto resursu vietrāžu (URL), domēnu nosaukumu, e-pasta adrešu, un – ja tie atklāj persondatus – laika zīmogu, apstrāde. Persondatu apstrāde, ko veic kompetentās iestādes, vienotie kontaktpunkti un CSIRT, varētu būt juridisks pienākums vai varētu tikt uzskatīta par nepieciešamu, lai veiktu uzdevumu sabiedrības interesēs vai īstenotu oficiālās pilnvaras, kas pārzinim piešķirtas saskaņā ar Regulas (ES) 2016/679 6. panta 1. punkta c) vai e) apakšpunktu un 6. panta 3. punktu, vai lai īstenotu minētās regulas 6. panta 1. punkta f) apakšpunktā minēto būtisko un svarīgo vienību leģitīmās intereses. Turklāt valsts tiesību aktos varētu paredzēt noteikumus, kas ļauj kompetentajām iestādēm, vienotajiem kontaktpunktiem un CSIRT, ciktāl tas ir nepieciešams un samērīgi ar nolūku nodrošināt būtisko un svarīgo vienību tīklu un informācijas sistēmu drošību, apstrādāt īpašu kategoriju persondatus saskaņā ar Regulas (ES) 2016/679 9. pantu, jo īpaši paredzot piemērotus un konkrētus pasākumus, kā aizsargāt fizisko personu pamattiesības un intereses, tostarp tehniskus ierobežojumus šādu datu atkalizmantošanai un mūsdienīgu drošības un privātuma aizsardzības pasākumu, piemēram, pseidonimizācijas vai šifrēšanas, izmantošanu, ja anonimizācija var būtiski ietekmēt izvirzīto mērķi.

| (122) | Lai nostiprinātu uzraudzības pilnvaras un pasākumus, kas palīdz nodrošināt reālu atbilstību prasībām, šajā direktīvā būtu jāparedz minimāls to uzraudzības pasākumu un līdzekļu saraksts, ar kuriem kompetentās iestādes var uzraudzīt būtiskās un svarīgās vienības. Turklāt šajā direktīvā būtu jānosaka uzraudzības režīma nošķīrums starp būtiskajām un svarīgajām vienībām, lai nodrošinātu taisnīgu pienākumu līdzsvaru minētajām vienībām un kompetentajām iestādēm. Tādēļ būtiskajām vienībām būtu jāpiemēro visaptverošs ex ante un ex post uzraudzības režīms, savukārt svarīgajām vienībām būtu jāpiemēro viegls un tikai ex post uzraudzības režīms. Tāpēc svarīgajām vienībām nebūtu jāpiemēro prasība sistemātiski dokumentēt atbilstību kiberdrošības risku pārvaldības pasākumiem, savukārt kompetentajām iestādēm būtu jāīsteno reaģējoša ex post pieeja uzraudzībai, tādēļ tām nevajadzētu būt vispārējam pienākumam uzraudzīt minētās vienības. Svarīgo vienību ex post uzraudzību var izraisīt pierādījumi, norādes vai informācija, kas darīta zināma kompetentajām iestādēm un ko šīs iestādes uzskata par tādu, kas liecina par šīs direktīvas iespējamiem pārkāpumiem. Piemēram, tie varētu būt tādi pierādījumi, norādes vai informācija, ko kompetentajām iestādēm sniedz citas iestādes, vienības, iedzīvotāji, mediji vai citi avoti, publiski pieejama informācija vai kas varētu izrietēt no citām darbībām, kuras kompetentās iestādes veic, pildot savus uzdevumus. |
| --- | --- |

(122)

Lai nostiprinātu uzraudzības pilnvaras un pasākumus, kas palīdz nodrošināt reālu atbilstību prasībām, šajā direktīvā būtu jāparedz minimāls to uzraudzības pasākumu un līdzekļu saraksts, ar kuriem kompetentās iestādes var uzraudzīt būtiskās un svarīgās vienības. Turklāt šajā direktīvā būtu jānosaka uzraudzības režīma nošķīrums starp būtiskajām un svarīgajām vienībām, lai nodrošinātu taisnīgu pienākumu līdzsvaru minētajām vienībām un kompetentajām iestādēm. Tādēļ būtiskajām vienībām būtu jāpiemēro visaptverošs ex ante un ex post uzraudzības režīms, savukārt svarīgajām vienībām būtu jāpiemēro viegls un tikai ex post uzraudzības režīms. Tāpēc svarīgajām vienībām nebūtu jāpiemēro prasība sistemātiski dokumentēt atbilstību kiberdrošības risku pārvaldības pasākumiem, savukārt kompetentajām iestādēm būtu jāīsteno reaģējoša ex post pieeja uzraudzībai, tādēļ tām nevajadzētu būt vispārējam pienākumam uzraudzīt minētās vienības. Svarīgo vienību ex post uzraudzību var izraisīt pierādījumi, norādes vai informācija, kas darīta zināma kompetentajām iestādēm un ko šīs iestādes uzskata par tādu, kas liecina par šīs direktīvas iespējamiem pārkāpumiem. Piemēram, tie varētu būt tādi pierādījumi, norādes vai informācija, ko kompetentajām iestādēm sniedz citas iestādes, vienības, iedzīvotāji, mediji vai citi avoti, publiski pieejama informācija vai kas varētu izrietēt no citām darbībām, kuras kompetentās iestādes veic, pildot savus uzdevumus.

| (123) | Uzraudzības uzdevumu izpildei, ko veic kompetentās iestādes, nevajadzētu lieki kavēt attiecīgās vienības darbu. Ja kompetentās iestādes veic savus uzraudzības uzdevumus attiecībā uz būtiskām vienībām, tostarp veic inspekcijas uz vietas un uzraudzību neklātienē, izmeklē šīs direktīvas pārkāpumus un veic drošības revīzijas vai drošības skenēšanu, tām būtu līdz minimumam jāsamazina ietekme uz attiecīgās vienības darbu. |
| --- | --- |

(123)

Uzraudzības uzdevumu izpildei, ko veic kompetentās iestādes, nevajadzētu lieki kavēt attiecīgās vienības darbu. Ja kompetentās iestādes veic savus uzraudzības uzdevumus attiecībā uz būtiskām vienībām, tostarp veic inspekcijas uz vietas un uzraudzību neklātienē, izmeklē šīs direktīvas pārkāpumus un veic drošības revīzijas vai drošības skenēšanu, tām būtu līdz minimumam jāsamazina ietekme uz attiecīgās vienības darbu.

| (124) | Veicot ex ante uzraudzību, kompetentajām iestādēm būtu jāspēj lemt par prioritāšu noteikšanu attiecībā uz to rīcībā esošo uzraudzības pasākumu un līdzekļu samērīgu izmantošanu. Tas nozīmē, ka kompetentās iestādes var lemt par šādu prioritāšu noteikšanu, pamatojoties uz uzraudzības metodiku, kurā būtu jāievēro uz risku balstīta pieeja. Konkrētāk, šāda metodika varētu ietvert kritērijus vai etalonus būtisko vienību klasificēšanai riska kategorijās un attiecīgus uzraudzības pasākumus un līdzekļus, kas ieteicami katrai riska kategorijai, piemēram, inspekciju uz vietas, mērķorientētu drošības revīziju vai drošības skenēšanas izmantošanu, biežumu vai veidu, pieprasāmās informācijas veidu un minētās informācijas detalizācijas pakāpi. Šādu uzraudzības metodiku varētu papildināt arī ar darba programmām un regulāri novērtēt un pārskatīt, arī attiecībā uz tādiem aspektiem kā resursu piešķiršana un vajadzības. Attiecībā uz valsts pārvaldes vienībām uzraudzības pilnvaras būtu jāīsteno atbilstoši valsts regulējumam un institucionālajai kārtībai. |
| --- | --- |

(124)

Veicot ex ante uzraudzību, kompetentajām iestādēm būtu jāspēj lemt par prioritāšu noteikšanu attiecībā uz to rīcībā esošo uzraudzības pasākumu un līdzekļu samērīgu izmantošanu. Tas nozīmē, ka kompetentās iestādes var lemt par šādu prioritāšu noteikšanu, pamatojoties uz uzraudzības metodiku, kurā būtu jāievēro uz risku balstīta pieeja. Konkrētāk, šāda metodika varētu ietvert kritērijus vai etalonus būtisko vienību klasificēšanai riska kategorijās un attiecīgus uzraudzības pasākumus un līdzekļus, kas ieteicami katrai riska kategorijai, piemēram, inspekciju uz vietas, mērķorientētu drošības revīziju vai drošības skenēšanas izmantošanu, biežumu vai veidu, pieprasāmās informācijas veidu un minētās informācijas detalizācijas pakāpi. Šādu uzraudzības metodiku varētu papildināt arī ar darba programmām un regulāri novērtēt un pārskatīt, arī attiecībā uz tādiem aspektiem kā resursu piešķiršana un vajadzības. Attiecībā uz valsts pārvaldes vienībām uzraudzības pilnvaras būtu jāīsteno atbilstoši valsts regulējumam un institucionālajai kārtībai.

| (125) | Kompetentajām iestādēm būtu jānodrošina, ka to uzraudzības uzdevumus attiecībā uz būtiskajām un svarīgajām vienībām veic apmācīti speciālisti, kuriem vajadzētu būt minēto uzdevumu veikšanai vajadzīgajām prasmēm, jo īpaši attiecībā uz inspekcijām uz vietas un uzraudzību neklātienē, arī attiecībā uz vājo vietu noteikšanu datubāzēs, aparatūrā, ugunsmūros, šifrēšanā un tīklos. Minētās inspekcijas un uzraudzība būtu jāveic objektīvi. |
| --- | --- |

(125)

Kompetentajām iestādēm būtu jānodrošina, ka to uzraudzības uzdevumus attiecībā uz būtiskajām un svarīgajām vienībām veic apmācīti speciālisti, kuriem vajadzētu būt minēto uzdevumu veikšanai vajadzīgajām prasmēm, jo īpaši attiecībā uz inspekcijām uz vietas un uzraudzību neklātienē, arī attiecībā uz vājo vietu noteikšanu datubāzēs, aparatūrā, ugunsmūros, šifrēšanā un tīklos. Minētās inspekcijas un uzraudzība būtu jāveic objektīvi.

| (126) | Pienācīgi pamatotos gadījumos, kad kompetentajai iestādei ir zināms par būtiskiem kiberdraudiem vai nenovēršamu risku, tai būtu jāspēj pieņemt tūlītējus izpildes panākšanas lēmumus, lai novērstu incidentu vai reaģētu uz to. |
| --- | --- |

(126)

Pienācīgi pamatotos gadījumos, kad kompetentajai iestādei ir zināms par būtiskiem kiberdraudiem vai nenovēršamu risku, tai būtu jāspēj pieņemt tūlītējus izpildes panākšanas lēmumus, lai novērstu incidentu vai reaģētu uz to.

| (127) | Lai izpildes panākšana būtu rezultatīva, būtu jānosaka minimāls to izpildes panākšanas pilnvaru saraksts, kuras var īstenot par šajā direktīvā paredzēto kiberdrošības risku pārvaldības pasākumu un ziņošanas pienākumu pārkāpumiem, izveidojot Savienībā skaidru un konsekventu satvaru šādai izpildes panākšanai. Būtu pienācīgi jāņem vērā šīs direktīvas pārkāpuma veids, smagums un ilgums, izraisītais materiālais vai nemateriālais kaitējums, tas, vai pārkāpums izdarīts tīši vai nolaidības dēļ, darbības, kas veiktas, lai novērstu vai mazinātu radīto materiālo vai nemateriālo kaitējumu, atbildības pakāpe vai jebkādi attiecīgi iepriekšēji pārkāpumi, sadarbības ar kompetento iestādi pakāpe un jebkādi citi vainu pastiprinoši vai mīkstinoši apstākļi. Izpildes panākšanas pasākumiem, arī administratīvajiem naudas sodiem, vajadzētu būt samērīgiem, un to piemērošanā būtu jāievēro attiecīgās procesuālās garantijas saskaņā ar vispārīgajiem Savienības tiesību principiem un Eiropas Savienības Pamattiesību hartu (“Harta”), tai skaitā tiesībām uz efektīvu tiesību aizsardzību tiesā, nevainīguma prezumpciju un tiesībām uz aizstāvību. |
| --- | --- |

(127)

Lai izpildes panākšana būtu rezultatīva, būtu jānosaka minimāls to izpildes panākšanas pilnvaru saraksts, kuras var īstenot par šajā direktīvā paredzēto kiberdrošības risku pārvaldības pasākumu un ziņošanas pienākumu pārkāpumiem, izveidojot Savienībā skaidru un konsekventu satvaru šādai izpildes panākšanai. Būtu pienācīgi jāņem vērā šīs direktīvas pārkāpuma veids, smagums un ilgums, izraisītais materiālais vai nemateriālais kaitējums, tas, vai pārkāpums izdarīts tīši vai nolaidības dēļ, darbības, kas veiktas, lai novērstu vai mazinātu radīto materiālo vai nemateriālo kaitējumu, atbildības pakāpe vai jebkādi attiecīgi iepriekšēji pārkāpumi, sadarbības ar kompetento iestādi pakāpe un jebkādi citi vainu pastiprinoši vai mīkstinoši apstākļi. Izpildes panākšanas pasākumiem, arī administratīvajiem naudas sodiem, vajadzētu būt samērīgiem, un to piemērošanā būtu jāievēro attiecīgās procesuālās garantijas saskaņā ar vispārīgajiem Savienības tiesību principiem un Eiropas Savienības Pamattiesību hartu (“Harta”), tai skaitā tiesībām uz efektīvu tiesību aizsardzību tiesā, nevainīguma prezumpciju un tiesībām uz aizstāvību.

| (128) | Šī direktīva neprasa dalībvalstīm paredzēt kriminālatbildību vai civiltiesisko atbildību fiziskām personām, kuru pienākums ir nodrošināt vienības atbilstību šai direktīvai, par kaitējumu, ko šīs direktīvas pārkāpuma dēļ cietušas trešās puses. |
| --- | --- |

(128)

Šī direktīva neprasa dalībvalstīm paredzēt kriminālatbildību vai civiltiesisko atbildību fiziskām personām, kuru pienākums ir nodrošināt vienības atbilstību šai direktīvai, par kaitējumu, ko šīs direktīvas pārkāpuma dēļ cietušas trešās puses.

| (129) | Lai nodrošinātu šajā direktīvā noteikto pienākumu rezultatīvas izpildes panākšanu, katrai kompetentajai iestādei vajadzētu būt pilnvarām uzlikt administratīvus naudas sodus vai pieprasīt to uzlikšanu. |
| --- | --- |

(129)

Lai nodrošinātu šajā direktīvā noteikto pienākumu rezultatīvas izpildes panākšanu, katrai kompetentajai iestādei vajadzētu būt pilnvarām uzlikt administratīvus naudas sodus vai pieprasīt to uzlikšanu.

| (130) | Ja administratīvs naudas sods tiek uzlikts būtiskai vai svarīgai vienībai, kas ir uzņēmums, minētajā nolūkā uzņēmums būtu jāsaprot kā uzņēmums saskaņā ar LESD 101. un 102. pantu. Ja administratīvs naudas sods tiek uzlikts personai, kas nav uzņēmums, kompetentajai iestādei, apsverot pienācīgo naudas soda lielumu, būtu jāņem vērā vispārējais ienākumu līmenis dalībvalstī, kā arī attiecīgās personas ekonomiskā situācija. Tas, vai un kādā apmērā administratīvi naudas sodi būtu piemērojami publiskām iestādēm, būtu jānosaka dalībvalstīm. Administratīva naudas soda uzlikšana neskar citu kompetento iestāžu pilnvaru piemērošanu vai citu tādu sodu piemērošanu, kas noteikti valsts tiesību normās, ar kurām transponēta šī direktīva. |
| --- | --- |

(130)

Ja administratīvs naudas sods tiek uzlikts būtiskai vai svarīgai vienībai, kas ir uzņēmums, minētajā nolūkā uzņēmums būtu jāsaprot kā uzņēmums saskaņā ar LESD 101. un 102. pantu. Ja administratīvs naudas sods tiek uzlikts personai, kas nav uzņēmums, kompetentajai iestādei, apsverot pienācīgo naudas soda lielumu, būtu jāņem vērā vispārējais ienākumu līmenis dalībvalstī, kā arī attiecīgās personas ekonomiskā situācija. Tas, vai un kādā apmērā administratīvi naudas sodi būtu piemērojami publiskām iestādēm, būtu jānosaka dalībvalstīm. Administratīva naudas soda uzlikšana neskar citu kompetento iestāžu pilnvaru piemērošanu vai citu tādu sodu piemērošanu, kas noteikti valsts tiesību normās, ar kurām transponēta šī direktīva.

| (131) | Dalībvalstīm būtu jāspēj pieņemt noteikumus par kriminālsodiem, ko piemēro, ja tiek pārkāptas valsts tiesību normas, ar kurām transponēta šī direktīva. Tomēr kriminālsodu piemērošanai par šādu valsts tiesību normu pārkāpumiem un saistītu administratīvu sodu piemērošanai nebūtu jāizraisa ne bis in idem principa pārkāpšana, kā to interpretējusi Eiropas Savienības Tiesa. |
| --- | --- |

(131)

Dalībvalstīm būtu jāspēj pieņemt noteikumus par kriminālsodiem, ko piemēro, ja tiek pārkāptas valsts tiesību normas, ar kurām transponēta šī direktīva. Tomēr kriminālsodu piemērošanai par šādu valsts tiesību normu pārkāpumiem un saistītu administratīvu sodu piemērošanai nebūtu jāizraisa ne bis in idem principa pārkāpšana, kā to interpretējusi Eiropas Savienības Tiesa.

| (132) | Situācijām, attiecībā uz kurām šī direktīva administratīvos sodus nesaskaņo vai ja nepieciešams citos gadījumos, piemēram, šīs direktīvas smaga pārkāpuma gadījumā, dalībvalstīm būtu jāievieš sistēma, kas paredz iedarbīgus, samērīgus un atturošus sodus. Šādu sodu raksturs un tas, vai tie ir krimināli vai administratīvi, būtu jānosaka ar valsts tiesību aktiem. |
| --- | --- |

(132)

Situācijām, attiecībā uz kurām šī direktīva administratīvos sodus nesaskaņo vai ja nepieciešams citos gadījumos, piemēram, šīs direktīvas smaga pārkāpuma gadījumā, dalībvalstīm būtu jāievieš sistēma, kas paredz iedarbīgus, samērīgus un atturošus sodus. Šādu sodu raksturs un tas, vai tie ir krimināli vai administratīvi, būtu jānosaka ar valsts tiesību aktiem.

| (133) | Lai vēl vairāk nostiprinātu par šīs direktīvas pārkāpumiem piemērojamo izpildes panākšanas pasākumu iedarbīgumu un atturošo ietekmi, kompetentajām iestādēm vajadzētu būt pilnvarotām piemērot vai lūgt piemērot sertifikācijas vai atļaujas darbības pagaidu apturēšanu attiecībā uz visiem vai daļu no attiecīgajiem būtiskas vienības sniegtajiem pakalpojumiem vai veiktajām darbībām un pieprasīt noteikt pagaidu aizliegumu jebkādai fiziskai personai pildīt vadības funkcijas izpilddirektora vai juridiskā pārstāvja līmenī. Ņemot vērā šādas pagaidu apturēšanas vai aizlieguma smagumu un ietekmi uz vienību darbībām un galu galā uz lietotājiem, tā būtu jāpiemēro tikai samērīgi ar pārkāpuma smagumu un ņemot vērā katra gadījuma īpašos apstākļus, arī to, vai pārkāpums izdarīts tīši vai nolaidības dēļ, un visas veiktās materiālā vai nemateriālā kaitējuma novēršanas vai mazināšanas darbības. Šāda pagaidu apturēšana vai aizliegums būtu jāpiemēro tikai kā galējs līdzeklis, proti, tikai pēc tam, kad visas citas attiecīgās izpildes panākšanas darbības, kas noteiktas šajā direktīvā, jau ir izsmeltas, un tikai līdz brīdim, kad attiecīgā vienība veic nepieciešamās darbības, lai novērstu trūkumus vai izpildītu kompetentās iestādes prasības, kā sakarā šāda pagaidu apturēšana vai aizliegums piemērots. Šādas pagaidu apturēšanas vai aizlieguma piemērošanā būtu jāievēro attiecīgās procesuālās garantijas saskaņā ar vispārīgajiem Savienības tiesību principiem un Hartu, tai skaitā tiesībām uz efektīvu tiesību aizsardzību un taisnīgu tiesu, nevainīguma prezumpciju un tiesībām uz aizstāvību. |
| --- | --- |

(133)

Lai vēl vairāk nostiprinātu par šīs direktīvas pārkāpumiem piemērojamo izpildes panākšanas pasākumu iedarbīgumu un atturošo ietekmi, kompetentajām iestādēm vajadzētu būt pilnvarotām piemērot vai lūgt piemērot sertifikācijas vai atļaujas darbības pagaidu apturēšanu attiecībā uz visiem vai daļu no attiecīgajiem būtiskas vienības sniegtajiem pakalpojumiem vai veiktajām darbībām un pieprasīt noteikt pagaidu aizliegumu jebkādai fiziskai personai pildīt vadības funkcijas izpilddirektora vai juridiskā pārstāvja līmenī. Ņemot vērā šādas pagaidu apturēšanas vai aizlieguma smagumu un ietekmi uz vienību darbībām un galu galā uz lietotājiem, tā būtu jāpiemēro tikai samērīgi ar pārkāpuma smagumu un ņemot vērā katra gadījuma īpašos apstākļus, arī to, vai pārkāpums izdarīts tīši vai nolaidības dēļ, un visas veiktās materiālā vai nemateriālā kaitējuma novēršanas vai mazināšanas darbības. Šāda pagaidu apturēšana vai aizliegums būtu jāpiemēro tikai kā galējs līdzeklis, proti, tikai pēc tam, kad visas citas attiecīgās izpildes panākšanas darbības, kas noteiktas šajā direktīvā, jau ir izsmeltas, un tikai līdz brīdim, kad attiecīgā vienība veic nepieciešamās darbības, lai novērstu trūkumus vai izpildītu kompetentās iestādes prasības, kā sakarā šāda pagaidu apturēšana vai aizliegums piemērots. Šādas pagaidu apturēšanas vai aizlieguma piemērošanā būtu jāievēro attiecīgās procesuālās garantijas saskaņā ar vispārīgajiem Savienības tiesību principiem un Hartu, tai skaitā tiesībām uz efektīvu tiesību aizsardzību un taisnīgu tiesu, nevainīguma prezumpciju un tiesībām uz aizstāvību.

| (134) | Lai nodrošinātu, ka vienības pilda savus šajā direktīvā noteiktos pienākumus saskaņā ar dalībvalstīm būtu savstarpēji jāsadarbojas un jāpalīdz attiecībā uz uzraudzības un izpildes panākšanas pasākumiem, jo īpaši, ja vienība sniedz pakalpojumus vairāk nekā vienā dalībvalstī vai ja tās tīklu un informācijas sistēmas atrodas dalībvalstī, kas nav tā dalībvalsts, kurā tā sniedz pakalpojumus. Sniedzot palīdzību, pieprasījuma saņēmējai kompetentajai iestādei būtu jāveic uzraudzības vai izpildes panākšanas pasākumi saskaņā ar valsts tiesību aktiem. Lai nodrošinātu šajā direktīvā paredzētās savstarpējās palīdzības raitu darbību, kompetentajām iestādēm sadarbības grupa būtu jāizmanto kā forums, kur apspriest lietas un konkrētus palīdzības pieprasījumus. |
| --- | --- |

(134)

Lai nodrošinātu, ka vienības pilda savus šajā direktīvā noteiktos pienākumus saskaņā ar dalībvalstīm būtu savstarpēji jāsadarbojas un jāpalīdz attiecībā uz uzraudzības un izpildes panākšanas pasākumiem, jo īpaši, ja vienība sniedz pakalpojumus vairāk nekā vienā dalībvalstī vai ja tās tīklu un informācijas sistēmas atrodas dalībvalstī, kas nav tā dalībvalsts, kurā tā sniedz pakalpojumus. Sniedzot palīdzību, pieprasījuma saņēmējai kompetentajai iestādei būtu jāveic uzraudzības vai izpildes panākšanas pasākumi saskaņā ar valsts tiesību aktiem. Lai nodrošinātu šajā direktīvā paredzētās savstarpējās palīdzības raitu darbību, kompetentajām iestādēm sadarbības grupa būtu jāizmanto kā forums, kur apspriest lietas un konkrētus palīdzības pieprasījumus.

| (135) | Lai nodrošinātu rezultatīvu uzraudzību un izpildes panākšanu, jo īpaši situācijā ar pārrobežu dimensiju, dalībvalstij, kas ir saņēmusi savstarpējas palīdzības lūgumu, minētā lūguma robežās būtu jāveic piemēroti uzraudzības un izpildes panākšanas pasākumi attiecībā uz vienību, uz kuru attiecas minētais lūgums un kas minētās dalībvalsts teritorijā sniedz pakalpojumus vai kam tajā ir tīklu un informācijas sistēma. |
| --- | --- |

(135)

Lai nodrošinātu rezultatīvu uzraudzību un izpildes panākšanu, jo īpaši situācijā ar pārrobežu dimensiju, dalībvalstij, kas ir saņēmusi savstarpējas palīdzības lūgumu, minētā lūguma robežās būtu jāveic piemēroti uzraudzības un izpildes panākšanas pasākumi attiecībā uz vienību, uz kuru attiecas minētais lūgums un kas minētās dalībvalsts teritorijā sniedz pakalpojumus vai kam tajā ir tīklu un informācijas sistēma.

| (136) | Šai direktīvai būtu jānosaka noteikumi par sadarbību starp kompetentajām iestādēm un uzraudzības iestādēm saskaņā ar Regulu (ES) 2016/679, lai vērstos pret šīs direktīvas pārkāpumiem, kas saistīti ar persondatiem. |
| --- | --- |

(136)

Šai direktīvai būtu jānosaka noteikumi par sadarbību starp kompetentajām iestādēm un uzraudzības iestādēm saskaņā ar Regulu (ES) 2016/679, lai vērstos pret šīs direktīvas pārkāpumiem, kas saistīti ar persondatiem.

| (137) | Šai direktīvai būtu jātiecas nodrošināt augstu atbildības līmeni attiecībā uz kiberdrošības riska pārvaldības pasākumiem un ziņošanas pienākumiem būtisko un svarīgo vienību līmenī. Tāpēc būtisko un svarīgo vienību pārvaldības struktūrām būtu jāapstiprina kiberdrošības risku pārvaldības pasākumi un jāuzrauga to īstenošana. |
| --- | --- |

(137)

Šai direktīvai būtu jātiecas nodrošināt augstu atbildības līmeni attiecībā uz kiberdrošības riska pārvaldības pasākumiem un ziņošanas pienākumiem būtisko un svarīgo vienību līmenī. Tāpēc būtisko un svarīgo vienību pārvaldības struktūrām būtu jāapstiprina kiberdrošības risku pārvaldības pasākumi un jāuzrauga to īstenošana.

| (138) | Lai uz šīs direktīvas pamata Savienībā nodrošinātu vienādi augstu kiberdrošības līmeni, būtu jādeleģē Komisijai pilnvaras pieņemt aktus saskaņā ar LESD 290. pantu attiecībā uz šīs direktīvas papildināšanu, precizējot, kuru kategoriju būtiskajām un svarīgajām vienībām ir jāizmanto konkrēti sertificēti IKT produkti, IKT pakalpojumi un IKT procesi vai jāsaņem sertifikāts Eiropas kiberdrošības sertifikācijas shēmā. Ir īpaši būtiski, lai Komisija, veicot sagatavošanas darbus, rīkotu atbilstīgas apspriešanās, tostarp ekspertu līmenī, un lai minētās apspriešanās tiktu rīkotas saskaņā ar principiem, kas noteikti 2016. gada 13. aprīļa Iestāžu nolīgumā par labāku likumdošanas procesu (22). Jo īpaši, lai deleģēto aktu sagatavošanā nodrošinātu vienādu dalību, Eiropas Parlaments un Padome visus dokumentus saņem vienlaicīgi ar dalībvalstu ekspertiem, un minēto iestāžu ekspertiem ir sistemātiska piekļuve Komisijas ekspertu grupu sanāksmēm, kurās notiek deleģēto aktu sagatavošana. |
| --- | --- |

(138)

Lai uz šīs direktīvas pamata Savienībā nodrošinātu vienādi augstu kiberdrošības līmeni, būtu jādeleģē Komisijai pilnvaras pieņemt aktus saskaņā ar LESD 290. pantu attiecībā uz šīs direktīvas papildināšanu, precizējot, kuru kategoriju būtiskajām un svarīgajām vienībām ir jāizmanto konkrēti sertificēti IKT produkti, IKT pakalpojumi un IKT procesi vai jāsaņem sertifikāts Eiropas kiberdrošības sertifikācijas shēmā. Ir īpaši būtiski, lai Komisija, veicot sagatavošanas darbus, rīkotu atbilstīgas apspriešanās, tostarp ekspertu līmenī, un lai minētās apspriešanās tiktu rīkotas saskaņā ar principiem, kas noteikti 2016. gada 13. aprīļa Iestāžu nolīgumā par labāku likumdošanas procesu (22). Jo īpaši, lai deleģēto aktu sagatavošanā nodrošinātu vienādu dalību, Eiropas Parlaments un Padome visus dokumentus saņem vienlaicīgi ar dalībvalstu ekspertiem, un minēto iestāžu ekspertiem ir sistemātiska piekļuve Komisijas ekspertu grupu sanāksmēm, kurās notiek deleģēto aktu sagatavošana.

| (139) | Lai nodrošinātu vienādus nosacījumus šīs direktīvas īstenošanai, būtu jāpiešķir īstenošanas pilnvaras Komisijai noteikt procesuālo kārtību, kas nepieciešama sadarbības grupas darbībai, un tehniskās un metodiskās, kā arī nozaru prasības attiecībā uz kiberdrošības risku pārvaldības pasākumiem, un sīkāk precizēt informācijas veidu, incidentu, kiberdraudu un gandrīz notikušu incidentu paziņojumu un būtisku kiberdraudu paziņojumu formātu un procedūru, kā arī gadījumus, kad incidents uzskatāms par būtisku. Minētās pilnvaras būtu jāizmanto saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) Nr. 182/2011 (23). |
| --- | --- |

(139)

Lai nodrošinātu vienādus nosacījumus šīs direktīvas īstenošanai, būtu jāpiešķir īstenošanas pilnvaras Komisijai noteikt procesuālo kārtību, kas nepieciešama sadarbības grupas darbībai, un tehniskās un metodiskās, kā arī nozaru prasības attiecībā uz kiberdrošības risku pārvaldības pasākumiem, un sīkāk precizēt informācijas veidu, incidentu, kiberdraudu un gandrīz notikušu incidentu paziņojumu un būtisku kiberdraudu paziņojumu formātu un procedūru, kā arī gadījumus, kad incidents uzskatāms par būtisku. Minētās pilnvaras būtu jāizmanto saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) Nr. 182/2011 (23).

| (140) | Komisijai pēc apspriešanās ar ieinteresētajām personām būtu periodiski jāpārskata šī direktīva, jo īpaši lai noteiktu, vai ir lietderīgi ierosināt grozījumus, ņemot vērā izmaiņas sabiedriskajos, politiskajos, tehnoloģiskajos vai tirgus apstākļos. Īstenojot pārskatīšanu, Komisijai būtu arī jānovērtē attiecīgo vienību lieluma un šīs direktīvas pielikumos minēto nozaru, apakšnozaru un vienību veidu relevance ekonomikas un sabiedrības darbībai kiberdrošības aspektā. Komisijai cita starpā būtu jānovērtē, vai nodrošinātājus, uz kuriem attiecas šīs direktīvas darbības joma un kas izraudzīti kā ļoti lielas tiešsaistes platformas Eiropas Parlamenta un Padomes Regulas (ES) 2022/2065 (24) 33. panta nozīmē, varētu identificēt kā būtiskas vienības saskaņā ar šo direktīvu. |
| --- | --- |

(140)

Komisijai pēc apspriešanās ar ieinteresētajām personām būtu periodiski jāpārskata šī direktīva, jo īpaši lai noteiktu, vai ir lietderīgi ierosināt grozījumus, ņemot vērā izmaiņas sabiedriskajos, politiskajos, tehnoloģiskajos vai tirgus apstākļos. Īstenojot pārskatīšanu, Komisijai būtu arī jānovērtē attiecīgo vienību lieluma un šīs direktīvas pielikumos minēto nozaru, apakšnozaru un vienību veidu relevance ekonomikas un sabiedrības darbībai kiberdrošības aspektā. Komisijai cita starpā būtu jānovērtē, vai nodrošinātājus, uz kuriem attiecas šīs direktīvas darbības joma un kas izraudzīti kā ļoti lielas tiešsaistes platformas Eiropas Parlamenta un Padomes Regulas (ES) 2022/2065 (24) 33. panta nozīmē, varētu identificēt kā būtiskas vienības saskaņā ar šo direktīvu.

| (141) | Ar šo direktīvu ENISA tiek noteikti jauni uzdevumi, tādējādi palielinot tās lomu, un tā rezultātā ENISA varētu arī nākties savus Regulā (ES) 2019/881 paredzētos pašreizējos uzdevumus veikt augstākā līmenī nekā iepriekš. Lai nodrošinātu, ka ENISA rīcībā ir nepieciešamie finanšu resursi un cilvēkresursi, kas vajadzīgi pastāvošo un jauno uzdevumu veikšanai, kā arī nolūkā minētos no tās lomas palielināšanas izrietošos uzdevumus pildīt augstākā līmenī, būtu attiecīgi jāpalielina tās budžets. Turklāt, lai nodrošinātu resursefektivitāti, ENISA būtu jāpiešķir lielāka elastība attiecībā uz to, kā tā var iekšēji sadalīt resursus, lai tā varētu rezultatīvi veikt savus uzdevumus un attaisnot cerības. |
| --- | --- |

(141)

Ar šo direktīvu ENISA tiek noteikti jauni uzdevumi, tādējādi palielinot tās lomu, un tā rezultātā ENISA varētu arī nākties savus Regulā (ES) 2019/881 paredzētos pašreizējos uzdevumus veikt augstākā līmenī nekā iepriekš. Lai nodrošinātu, ka ENISA rīcībā ir nepieciešamie finanšu resursi un cilvēkresursi, kas vajadzīgi pastāvošo un jauno uzdevumu veikšanai, kā arī nolūkā minētos no tās lomas palielināšanas izrietošos uzdevumus pildīt augstākā līmenī, būtu attiecīgi jāpalielina tās budžets. Turklāt, lai nodrošinātu resursefektivitāti, ENISA būtu jāpiešķir lielāka elastība attiecībā uz to, kā tā var iekšēji sadalīt resursus, lai tā varētu rezultatīvi veikt savus uzdevumus un attaisnot cerības.

| (142) | Ņemot vērā to, ka šīs direktīvas mērķi, proti, panākt vienādi augstu kiberdrošības līmeni Savienībā, nevar pietiekami labi sasniegt atsevišķās dalībvalstīs, bet rīcības ietekmes dēļ to var labāk sasniegt Savienības līmenī, Savienība var pieņemt pasākumus saskaņā ar Līguma par Eiropas Savienību 5. pantā noteikto subsidiaritātes principu. Saskaņā ar minētajā pantā noteikto proporcionalitātes principu šajā direktīvā paredz vienīgi tos pasākumus, kas ir vajadzīgi minētā mērķa sasniegšanai. |
| --- | --- |

(142)

Ņemot vērā to, ka šīs direktīvas mērķi, proti, panākt vienādi augstu kiberdrošības līmeni Savienībā, nevar pietiekami labi sasniegt atsevišķās dalībvalstīs, bet rīcības ietekmes dēļ to var labāk sasniegt Savienības līmenī, Savienība var pieņemt pasākumus saskaņā ar Līguma par Eiropas Savienību 5. pantā noteikto subsidiaritātes principu. Saskaņā ar minētajā pantā noteikto proporcionalitātes principu šajā direktīvā paredz vienīgi tos pasākumus, kas ir vajadzīgi minētā mērķa sasniegšanai.

| (143) | Šajā direktīvā ir respektētas pamattiesības un ievēroti principi, kas atzīti Hartā, jo īpaši tiesības uz privātās dzīves un saziņas neaizskaramību, tiesības uz persondatu aizsardzību, uzņēmējdarbības brīvība, tiesības uz īpašumu, tiesības uz efektīvu tiesību aizsardzību tiesā un taisnīgu tiesu, nevainīguma prezumpcija un aizstāvības tiesības. Tiesības uz efektīvu tiesību aizsardzību attiecas arī uz būtisko un svarīgo vienību sniegto pakalpojumu saņēmējiem. Šī direktīva būtu jāīsteno saskaņā ar minētajām tiesībām un principiem. |
| --- | --- |

(143)

Šajā direktīvā ir respektētas pamattiesības un ievēroti principi, kas atzīti Hartā, jo īpaši tiesības uz privātās dzīves un saziņas neaizskaramību, tiesības uz persondatu aizsardzību, uzņēmējdarbības brīvība, tiesības uz īpašumu, tiesības uz efektīvu tiesību aizsardzību tiesā un taisnīgu tiesu, nevainīguma prezumpcija un aizstāvības tiesības. Tiesības uz efektīvu tiesību aizsardzību attiecas arī uz būtisko un svarīgo vienību sniegto pakalpojumu saņēmējiem. Šī direktīva būtu jāīsteno saskaņā ar minētajām tiesībām un principiem.

| (144) | Saskaņā ar Eiropas Parlamenta un Padomes Regulas (ES) 2018/1725 (25) 42. panta 1. punktu ir notikusi apspriešanās ar Eiropas Datu aizsardzības uzraudzītāju, kas 2021. gada 11. martā sniedza atzinumu (26), |
| --- | --- |

(144)

Saskaņā ar Eiropas Parlamenta un Padomes Regulas (ES) 2018/1725 (25) 42. panta 1. punktu ir notikusi apspriešanās ar Eiropas Datu aizsardzības uzraudzītāju, kas 2021. gada 11. martā sniedza atzinumu (26),

IR PIEŅĒMUŠI ŠO DIREKTĪVU.

I NODAĻA

VISPĀRĪGI NOTEIKUMI

1. pants

Priekšmets

1.   Šī direktīva paredz pasākumus, kuru mērķis ir Savienībā panākt vienādi augstu kiberdrošības līmeni, lai uzlabotu iekšējā tirgus darbību.

2.   Minētajā nolūkā šajā direktīvā ir noteikti:

| a) | pienākumi, kas dalībvalstīm prasa pieņemt valsts kiberdrošības stratēģijas un izraudzīties vai izveidot kompetentās iestādes, kiberkrīžu pārvaldības iestādes, vienotus kontaktpunktus kiberdrošības jautājumos (vienotie kontaktpunkti) un datordrošības incidentu reaģēšanas vienības (CSIRT); |
| --- | --- |

a)

pienākumi, kas dalībvalstīm prasa pieņemt valsts kiberdrošības stratēģijas un izraudzīties vai izveidot kompetentās iestādes, kiberkrīžu pārvaldības iestādes, vienotus kontaktpunktus kiberdrošības jautājumos (vienotie kontaktpunkti) un datordrošības incidentu reaģēšanas vienības (CSIRT);

| b) | kiberdrošības risku pārvaldības pasākumi un ziņošanas pienākumi vienību veidiem, kas minēti I vai II pielikumā, kā arī vienībām, kas identificētas kā kritiskās vienības saskaņā ar Direktīvu (ES) 2022/2557; |
| --- | --- |

b)

kiberdrošības risku pārvaldības pasākumi un ziņošanas pienākumi vienību veidiem, kas minēti I vai II pielikumā, kā arī vienībām, kas identificētas kā kritiskās vienības saskaņā ar Direktīvu (ES) 2022/2557;

| c) | noteikumi un pienākumi attiecībā uz kiberdrošības informācijas kopīgošanu; |
| --- | --- |

c)

noteikumi un pienākumi attiecībā uz kiberdrošības informācijas kopīgošanu;

| d) | uzraudzības un izpildes panākšanas pienākumi dalībvalstīm. |
| --- | --- |

d)

uzraudzības un izpildes panākšanas pienākumi dalībvalstīm.

2. pants

Darbības joma

1.   Šo direktīvu piemēro to I vai II pielikumā minēto publisko vai privāto vienību veidiem, kas kvalificējas kā vidējie uzņēmumi saskaņā ar Ieteikuma 2003/361/EK pielikuma 2. pantu vai pārsniedz vidējiem uzņēmumiem noteiktos maksimālos lielumus, kuri paredzēti minētā panta 1. punktā, un kas sniedz pakalpojumus vai veic darbības Savienībā.

Minētā ieteikuma pielikuma 3. panta 4. punktu šīs direktīvas nolūkiem nepiemēro.

2.   Šo direktīvu I vai II pielikumā minēto vienību veidiem neatkarīgi no to lieluma piemēro arī tad, ja:

| a) | pakalpojumus sniedz:






  i) | publisko elektronisko sakaru tīklu nodrošinātāji vai publiski pieejamu elektronisko sakaru pakalpojumu sniedzēji; |
| --- | --- | --- |

a)

pakalpojumus sniedz:

i)

publisko elektronisko sakaru tīklu nodrošinātāji vai publiski pieejamu elektronisko sakaru pakalpojumu sniedzēji;

| ii) | uzticamības pakalpojuma sniedzēji; |
| --- | --- |

ii)

uzticamības pakalpojuma sniedzēji;

| iii) | augstākā līmeņa domēnu nosaukumu reģistri un domēnu nosaukumu sistēmu pakalpojumu sniedzēji; |
| --- | --- |

iii)

augstākā līmeņa domēnu nosaukumu reģistri un domēnu nosaukumu sistēmu pakalpojumu sniedzēji;

| b) | vienība ir dalībvalstī vienīgā tāda pakalpojuma sniedzēja, kas ir būtisks kritisku sabiedrisku vai ekonomisku darbību nodrošināšanai; |
| --- | --- |

b)

vienība ir dalībvalstī vienīgā tāda pakalpojuma sniedzēja, kas ir būtisks kritisku sabiedrisku vai ekonomisku darbību nodrošināšanai;

| c) | vienības sniegtā pakalpojuma traucējumam var būt būtiska ietekme uz sabiedrības aizsardzību, sabiedrisko drošību vai sabiedrības veselību; |
| --- | --- |

c)

vienības sniegtā pakalpojuma traucējumam var būt būtiska ietekme uz sabiedrības aizsardzību, sabiedrisko drošību vai sabiedrības veselību;

| d) | vienības sniegtā pakalpojuma traucējums varētu izraisīt būtisku sistēmisku risku, jo īpaši nozarēm, kurās šādam traucējumam varētu būt pārrobežu ietekme; |
| --- | --- |

d)

vienības sniegtā pakalpojuma traucējums varētu izraisīt būtisku sistēmisku risku, jo īpaši nozarēm, kurās šādam traucējumam varētu būt pārrobežu ietekme;

| e) | vienība ir kritiska tāpēc, ka tā ir īpaši svarīga valsts vai reģionālā līmenī konkrētā veida nozarei vai pakalpojuma veidam vai citām savstarpēji atkarīgām nozarēm dalībvalstī; |
| --- | --- |

e)

vienība ir kritiska tāpēc, ka tā ir īpaši svarīga valsts vai reģionālā līmenī konkrētā veida nozarei vai pakalpojuma veidam vai citām savstarpēji atkarīgām nozarēm dalībvalstī;

| f) | vienība ir:






  i) | centrālās valdības valsts pārvaldes vienība, kā definējusi dalībvalsts saskaņā ar valsts tiesību aktiem; vai |
| --- | --- | --- |

f)

vienība ir:

i)

centrālās valdības valsts pārvaldes vienība, kā definējusi dalībvalsts saskaņā ar valsts tiesību aktiem; vai

| ii) | valsts pārvaldes vienība reģionālā līmenī, kā definējusi dalībvalsts saskaņā ar valsts tiesību aktiem, un tās sniegto pakalpojumu traucējumi, vadoties pēc uz risku balstīta novērtējuma, varētu būtiski ietekmēt kritiskas sabiedriskās vai ekonomiskās darbības. |
| --- | --- |

ii)

valsts pārvaldes vienība reģionālā līmenī, kā definējusi dalībvalsts saskaņā ar valsts tiesību aktiem, un tās sniegto pakalpojumu traucējumi, vadoties pēc uz risku balstīta novērtējuma, varētu būtiski ietekmēt kritiskas sabiedriskās vai ekonomiskās darbības.

3.   Neatkarīgi no to lieluma, šo direktīvu piemēro vienībām, kas identificētas kā kritiskas vienības saskaņā ar Direktīvu (ES) 2022/2557.

4.   Neatkarīgi no to lieluma, šo direktīvu piemēro vienībām, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus.

5.   Dalībvalstis var paredzēt, ka šo direktīvu piemēro:

| a) | valsts pārvaldes vienībām vietējā līmenī; |
| --- | --- |

a)

valsts pārvaldes vienībām vietējā līmenī;

| b) | izglītības iestādēm, jo īpaši, ja tās veic kritiskas pētniecības darbības. |
| --- | --- |

b)

izglītības iestādēm, jo īpaši, ja tās veic kritiskas pētniecības darbības.

6.   Šī direktīva neskar dalībvalstu pienākumu sargāt valsts drošību un to pilnvaras aizsargāt citas valsts pamatfunkcijas, tostarp valsts teritoriālās integritātes nodrošināšanu un likumības un kārtības uzturēšanu.

7.   Šo direktīvu nepiemēro valsts pārvaldes vienībām, kas veic darbības valsts drošības, sabiedriskās drošības, aizsardzības vai tiesībaizsardzības jomā, tostarp noziedzīgu nodarījumu novēršanā, izmeklēšanā, atklāšanā un kriminālvajāšanā par tiem.

8.   Dalībvalstis var atbrīvot konkrētas vienības, kas veic darbības valsts drošības, sabiedriskās drošības, aizsardzības vai tiesībaizsardzības jomā, tostarp noziedzīgu nodarījumu novēršanā, izmeklēšanā, atklāšanā un kriminālvajāšanā par tiem, vai kas sniedz pakalpojumus tikai valsts pārvaldes vienībām, kuras minētas šā panta 7. punktā, attiecībā uz minētajām darbībām vai pakalpojumiem no 21. vai 23. pantā noteikto pienākumu izpildes. Šādos gadījumos minētajām konkrētajām darbībām vai pakalpojumiem nepiemēro VII nodaļā minētos uzraudzības un izpildes panākšanas pasākumus. Ja vienības veic tikai šajā punktā minētās darbības vai sniedz tikai šajā punktā minētos pakalpojumus, dalībvalstis var arī nolemt atbrīvot minētās vienības no 3. un 27. pantā noteiktajiem pienākumiem.

9.   Šā panta 7. un 8. punktu nepiemēro, ja vienība darbojas kā uzticamības pakalpojumu sniedzējs.

10.   Šo direktīvu nepiemēro vienībām, kuras dalībvalstis ir atbrīvojušas no Regulas (ES) 2022/2554 darbības jomas saskaņā ar minētās regulas 2. panta 4. punktu.

11.   Šajā direktīvā noteiktie pienākumi neietver tādas informācijas sniegšanu, kuras izpaušana būtu pretrunā dalībvalstu būtiskajām valsts drošības, sabiedrības drošības vai aizsardzības interesēm.

12.   Šo direktīvu piemēro, neskarot Eiropas Parlamenta un Padomes Regulu (ES) 2016/679, Direktīvu 2002/58/EK, Eiropas Parlamenta un Padomes Direktīvas 2011/93/ES (27) un 2013/40/ES (28) un Direktīvu (ES) 2022/2557.

13.   Neskarot LESD 346. pantu, informācijas, kas ir konfidenciāla saskaņā ar Savienības vai valstu tiesību normām, piemēram, normām par uzņēmējdarbības konfidencialitāti, apmaiņa ar Komisiju un citām attiecīgajām iestādēm saskaņā ar šo direktīvu notiek tikai tad, ja šāda apmaiņa ir nepieciešama šīs direktīvas piemērošanai. Ar informāciju apmainās tikai tiktāl, ciktāl tas ir atbilstīgi un samērīgi minētās apmaiņas nolūkam. Informācijas apmaiņā ievēro minētās informācijas konfidencialitāti un aizsargā attiecīgo vienību drošību un komerciālās intereses.

14.   Vienības, kompetentās iestādes, vienotie kontaktpunkti un CSIRT apstrādā persondatus, ciktāl tas nepieciešams šīs direktīvas mērķiem un saskaņā ar Regulu (ES) 2016/679, un jo īpaši šāda apstrāde balstās uz minētās regulas 6. pantu.

Persondatu apstrādi, ievērojot šo direktīvu, publisko elektronisko sakaru tīklu nodrošinātāji vai publiski pieejamu elektronisko sakaru pakalpojumu sniedzēji veic saskaņā ar Savienības datu aizsardzības tiesību aktiem un Savienības privātuma tiesību aktiem, jo īpaši Direktīvu 2002/58/EK.

3. pants

Būtiskas un svarīgas vienības

1.   Šajā direktīvā par būtiskām vienībām uzskata šādas vienības:

| a) | I pielikumā minēto veidu vienības, kas pārsniedz Ieteikuma 2003/361/EK pielikuma 2. panta 1. punktā paredzēto maksimālo lielumu vidējiem uzņēmumiem; |
| --- | --- |

a)

I pielikumā minēto veidu vienības, kas pārsniedz Ieteikuma 2003/361/EK pielikuma 2. panta 1. punktā paredzēto maksimālo lielumu vidējiem uzņēmumiem;

| b) | kvalificētus uzticamības pakalpojumu sniedzējus un augstākā līmeņa domēnu nosaukumu reģistrus, kā arī DNS pakalpojuma sniedzējus neatkarīgi no to lieluma; |
| --- | --- |

b)

kvalificētus uzticamības pakalpojumu sniedzējus un augstākā līmeņa domēnu nosaukumu reģistrus, kā arī DNS pakalpojuma sniedzējus neatkarīgi no to lieluma;

| c) | publisko elektronisko sakaru tīklu nodrošinātājus vai publiski pieejamu elektronisko sakaru pakalpojumu nodrošinātājus, kas kvalificējas kā vidējs uzņēmums saskaņā ar Ieteikuma 2003/361/EK pielikuma 2. pantu; |
| --- | --- |

c)

publisko elektronisko sakaru tīklu nodrošinātājus vai publiski pieejamu elektronisko sakaru pakalpojumu nodrošinātājus, kas kvalificējas kā vidējs uzņēmums saskaņā ar Ieteikuma 2003/361/EK pielikuma 2. pantu;

| d) | valsts pārvaldes vienības, kas minētas 2. panta 2. punkta f) apakšpunkta i) punktā; |
| --- | --- |

d)

valsts pārvaldes vienības, kas minētas 2. panta 2. punkta f) apakšpunkta i) punktā;

| e) | jebkuras citas I vai II pielikumā minēto veidu vienības, ko dalībvalsts identificējusi kā būtiskas vienības, ievērojot 2. panta 2. punkta b)–e) apakšpunktu; |
| --- | --- |

e)

jebkuras citas I vai II pielikumā minēto veidu vienības, ko dalībvalsts identificējusi kā būtiskas vienības, ievērojot 2. panta 2. punkta b)–e) apakšpunktu;

| f) | vienības, kas identificētas kā kritiskās vienības saskaņā ar Direktīvu (ES) 2022/2557, kā minēts šīs direktīvas 2. panta 3. punktā; |
| --- | --- |

f)

vienības, kas identificētas kā kritiskās vienības saskaņā ar Direktīvu (ES) 2022/2557, kā minēts šīs direktīvas 2. panta 3. punktā;

| g) | ja dalībvalsts tā paredzējusi, vienības, ko minētā dalībvalsts pirms 2023. gada 16. janvāra identificējusi par pamatpakalpojumu sniedzējām saskaņā ar Direktīvu (ES) 2016/1148 vai valsts tiesību aktiem. |
| --- | --- |

g)

ja dalībvalsts tā paredzējusi, vienības, ko minētā dalībvalsts pirms 2023. gada 16. janvāra identificējusi par pamatpakalpojumu sniedzējām saskaņā ar Direktīvu (ES) 2016/1148 vai valsts tiesību aktiem.

2.   Šajā direktīvā par svarīgām vienībām uzskata tās I vai II pielikumā minēto veidu vienības, kas nav kvalificējamas kā būtiskas vienības, ievērojot šā panta 1. punktu. Tās ir vienības, ko dalībvalsts identificējusi kā svarīgas vienības, ievērojot 2. panta 2. punkta b)–e) apakšpunktu.

3.   Līdz 2025. gada 17. aprīlim dalībvalstis izveido sarakstu ar būtiskām un svarīgām vienībām, kā arī vienībām, kuras sniedz domēnu nosaukumu reģistrācijas pakalpojumus. Dalībvalstis minēto sarakstu regulāri un vismaz reizi divos gados pārskata un vajadzības gadījumā atjaunina.

4.   Lai izveidotu 3. punktā minēto sarakstu, dalībvalstis pieprasa minētajā punktā norādītajām vienībām iesniegt kompetentajām iestādēm vismaz šādu informāciju:

| a) | vienības nosaukums; |
| --- | --- |

a)

vienības nosaukums;

| b) | adrese un jaunākā kontaktinformācija, tostarp e-pasta adreses, IP adrešu diapazoni un tālruņa numuri; |
| --- | --- |

b)

adrese un jaunākā kontaktinformācija, tostarp e-pasta adreses, IP adrešu diapazoni un tālruņa numuri;

| c) | attiecīgā gadījumā attiecīgā nozare un apakšnozare, kas minēta I vai II pielikumā; un |
| --- | --- |

c)

attiecīgā gadījumā attiecīgā nozare un apakšnozare, kas minēta I vai II pielikumā; un

| d) | attiecīgā gadījumā to dalībvalstu saraksts, kurās tās sniedz pakalpojumus, kas ietilpst šīs direktīvas darbības jomā. |
| --- | --- |

d)

attiecīgā gadījumā to dalībvalstu saraksts, kurās tās sniedz pakalpojumus, kas ietilpst šīs direktīvas darbības jomā.

Šā panta 3. punktā minētās vienības par visām izmaiņām saskaņā ar šā punkta pirmo daļu iesniegtajā informācijā informē bez kavēšanās un katrā ziņā divu nedēļu laikā pēc izmaiņu notikšanas.

Komisija ar Eiropas Savienības Kiberdrošības aģentūras (ENISA) palīdzību bez nepamatotas kavēšanās sniedz pamatnostādnes un veidnes attiecībā uz pienākumiem, kas noteikti šajā punktā.

Dalībvalstis var izveidot valsts mehānismus, lai vienības varētu reģistrēties.

5.   Līdz 2025. gada 17. aprīlim un pēc tam reizi divos gados kompetentās iestādes paziņo:

| a) | Komisijai un sadarbības grupai to būtisko un svarīgo vienību skaitu, kuras saskaņā ar 3. punktu iekļautas sarakstā katrā no I vai II pielikumā minētajām nozarēm un apakšnozarēm; un |
| --- | --- |

a)

Komisijai un sadarbības grupai to būtisko un svarīgo vienību skaitu, kuras saskaņā ar 3. punktu iekļautas sarakstā katrā no I vai II pielikumā minētajām nozarēm un apakšnozarēm; un

| b) | Komisijai relevantu informāciju par to būtisko un svarīgo vienību skaitu, kas identificētas, ievērojot 2. panta 2. punkta b)–e) apakšpunktu, nozari un apakšnozari, kuras minētas I vai II pielikumā un kurās tās darbojas, vienību sniegto pakalpojumu veidu un to no 2. panta 2. punkta b)–e) apakšpunktā paredzētajiem noteikumiem, ievērojot ko tās identificētas. |
| --- | --- |

b)

Komisijai relevantu informāciju par to būtisko un svarīgo vienību skaitu, kas identificētas, ievērojot 2. panta 2. punkta b)–e) apakšpunktu, nozari un apakšnozari, kuras minētas I vai II pielikumā un kurās tās darbojas, vienību sniegto pakalpojumu veidu un to no 2. panta 2. punkta b)–e) apakšpunktā paredzētajiem noteikumiem, ievērojot ko tās identificētas.

6.   Līdz 2025. gada 17. aprīlim un pēc Komisijas pieprasījuma dalībvalstis var paziņot Komisijai 5. punkta b) apakšpunktā minēto būtisko un svarīgo vienību nosaukumus.

4. pants

Nozarspecifiski Savienības tiesību akti

1.   Ja nozarspecifiski Savienības tiesību akti prasa būtiskajām vai svarīgajām vienībām pieņemt kiberdrošības risku pārvaldības pasākumus vai ziņot par būtiskiem incidentiem un ja šādas prasības ietekmes ziņā ir vismaz līdzvērtīgas šajā direktīvā noteiktajiem pienākumiem, attiecīgos šīs direktīvas noteikumus, tostarp VII nodaļas noteikumus par uzraudzību un izpildes panākšanu, šādām vienībām nepiemēro. Ja nozarspecifiski Savienības tiesību akti neattiecas uz visām vienībām konkrētā nozarē, kas ietilpst šīs direktīvas darbības jomā, attiecīgos šīs direktīvas noteikumus turpina piemērot vienībām, uz kurām neattiecas minētie nozarspecifiskie Savienības tiesību akti.

2.   Šā panta 1. punktā minētās prasības uzskata par ietekmes ziņā līdzvērtīgām šajā direktīvā noteiktajiem pienākumiem, ja:

| a) | kiberdrošības risku pārvaldības pasākumi ietekmes ziņā ir vismaz līdzvērtīgi 21. panta 1. un 2. punktā noteiktajiem pasākumiem; vai |
| --- | --- |

a)

kiberdrošības risku pārvaldības pasākumi ietekmes ziņā ir vismaz līdzvērtīgi 21. panta 1. un 2. punktā noteiktajiem pasākumiem; vai

| b) | nozarspecifiskais Savienības tiesību akts paredz CSIRT un šajā direktīvā paredzētajām kompetentajām iestādēm vai vienotajiem kontaktpunktiem tūlītēju un attiecīgā gadījumā automātisku un tiešu piekļuvi paziņojumiem par incidentiem un ja prasības paziņot par būtiskiem incidentiem ietekmes ziņā ir vismaz līdzvērtīgas šīs direktīvas 23. panta 1.–6. punktā noteiktajām prasībām. |
| --- | --- |

b)

nozarspecifiskais Savienības tiesību akts paredz CSIRT un šajā direktīvā paredzētajām kompetentajām iestādēm vai vienotajiem kontaktpunktiem tūlītēju un attiecīgā gadījumā automātisku un tiešu piekļuvi paziņojumiem par incidentiem un ja prasības paziņot par būtiskiem incidentiem ietekmes ziņā ir vismaz līdzvērtīgas šīs direktīvas 23. panta 1.–6. punktā noteiktajām prasībām.

3.   Komisija 2023. gada 17. jūlijam sniedz pamatnostādnes, kurās tā precizē 1. un 2. punkta piemērošanu. Komisija minētās pamatnostādnes regulāri pārskata. Minēto pamatnostādņu sagatavošanā Komisija ņem vērā visus sadarbības grupas un ENISA apsvērumus.

5. pants

Minimālā saskaņošana

Šī direktīva neliedz dalībvalstīm ieviest vai saglabāt noteikumus, kas nodrošina augstāku kiberdrošības līmeni, ar noteikumu, ka šādi noteikumi ir saderīgi ar Savienības tiesību aktos noteiktajiem dalībvalstu pienākumiem.

6. pants

Definīcijas

Šajā direktīvā piemēro šādas definīcijas:

| 1) | “tīklu un informācijas sistēma” ir:






  a) | elektronisko sakaru tīkls, kā definēts Direktīvas (ES) 2018/1972 2. panta 1) punktā; |
| --- | --- | --- |

1)

“tīklu un informācijas sistēma” ir:

a)

elektronisko sakaru tīkls, kā definēts Direktīvas (ES) 2018/1972 2. panta 1) punktā;

| b) | jebkura ierīce vai savstarpēji savienotu vai saistītu ierīču grupa, no kurām viena vai vairākas ierīces atbilstoši programmai veic digitālu datu automātisku apstrādi; vai |
| --- | --- |

b)

jebkura ierīce vai savstarpēji savienotu vai saistītu ierīču grupa, no kurām viena vai vairākas ierīces atbilstoši programmai veic digitālu datu automātisku apstrādi; vai

| c) | digitāli dati, ko a) un b) apakšpunktā minētie elementi glabā, apstrādā, iegūst vai sūta to darbības, izmantošanas, aizsardzības un uzturēšanas nolūkos; |
| --- | --- |

c)

digitāli dati, ko a) un b) apakšpunktā minētie elementi glabā, apstrādā, iegūst vai sūta to darbības, izmantošanas, aizsardzības un uzturēšanas nolūkos;

| 2) | “tīklu un informācijas sistēmu drošība” ir tīklu un informācijas sistēmu spēja noteiktā uzticamības līmenī pretoties visiem notikumiem, kas var apdraudēt glabāto, pārsūtīto vai apstrādāto datu pieejamību, autentiskumu, integritāti vai konfidencialitāti vai minēto tīklu un informācijas sistēmu piedāvātos vai ar to starpniecību pieejamos pakalpojumus; |
| --- | --- |

2)

“tīklu un informācijas sistēmu drošība” ir tīklu un informācijas sistēmu spēja noteiktā uzticamības līmenī pretoties visiem notikumiem, kas var apdraudēt glabāto, pārsūtīto vai apstrādāto datu pieejamību, autentiskumu, integritāti vai konfidencialitāti vai minēto tīklu un informācijas sistēmu piedāvātos vai ar to starpniecību pieejamos pakalpojumus;

| 3) | “kiberdrošība” ir kiberdrošība, kā definēts Regulas (ES) 2019/881 2. panta 1) punktā; |
| --- | --- |

3)

“kiberdrošība” ir kiberdrošība, kā definēts Regulas (ES) 2019/881 2. panta 1) punktā;

| 4) | “valsts kiberdrošības stratēģija” ir saskaņots dalībvalsts satvars, kas paredz stratēģiskus mērķus un prioritātes kiberdrošības jomā un pārvaldību to sasniegšanai attiecīgajā dalībvalstī; |
| --- | --- |

4)

“valsts kiberdrošības stratēģija” ir saskaņots dalībvalsts satvars, kas paredz stratēģiskus mērķus un prioritātes kiberdrošības jomā un pārvaldību to sasniegšanai attiecīgajā dalībvalstī;

| 5) | “gandrīz noticis notikums” ir notikums, kas būtu varējis apdraudēt glabātu, pārsūtītu vai apstrādātu datu vai pakalpojumu, kurus piedāvā tīklu un informācijas sistēmas vai kuri pieejami ar tīklu un informācijas sistēmu starpniecību, pieejamību, autentiskumu, integritāti vai konfidencialitāti, bet kura pilnīga īstenošanās tika sekmīgi novērsta vai tas neīstenojās; |
| --- | --- |

5)

“gandrīz noticis notikums” ir notikums, kas būtu varējis apdraudēt glabātu, pārsūtītu vai apstrādātu datu vai pakalpojumu, kurus piedāvā tīklu un informācijas sistēmas vai kuri pieejami ar tīklu un informācijas sistēmu starpniecību, pieejamību, autentiskumu, integritāti vai konfidencialitāti, bet kura pilnīga īstenošanās tika sekmīgi novērsta vai tas neīstenojās;

| 6) | “incidents” ir notikums, kas apdraud glabātu, pārsūtītu vai apstrādātu datu vai pakalpojumu, kurus piedāvā tīklu un informācijas sistēmas vai kuri pieejami ar tīklu un informācijas sistēmu starpniecību, pieejamību, autentiskumu, integritāti vai konfidencialitāti; |
| --- | --- |

6)

“incidents” ir notikums, kas apdraud glabātu, pārsūtītu vai apstrādātu datu vai pakalpojumu, kurus piedāvā tīklu un informācijas sistēmas vai kuri pieejami ar tīklu un informācijas sistēmu starpniecību, pieejamību, autentiskumu, integritāti vai konfidencialitāti;

| 7) | “plašapmēra kiberdrošības incidents” ir incidents, kas izraisa traucējumu līmeni, kurš pārsniedz dalībvalsts spēju uz to reaģēt, vai kam ir būtiska ietekme uz vismaz divām dalībvalstīm; |
| --- | --- |

7)

“plašapmēra kiberdrošības incidents” ir incidents, kas izraisa traucējumu līmeni, kurš pārsniedz dalībvalsts spēju uz to reaģēt, vai kam ir būtiska ietekme uz vismaz divām dalībvalstīm;

| 8) | “incidenta risināšana” ir visas darbības un procedūras, kuru mērķis ir novērst, atklāt, analizēt un ierobežot incidentu vai reaģēt uz to un atgūties no tā; |
| --- | --- |

8)

“incidenta risināšana” ir visas darbības un procedūras, kuru mērķis ir novērst, atklāt, analizēt un ierobežot incidentu vai reaģēt uz to un atgūties no tā;

| 9) | “risks” ir incidenta izraisītu zaudējumu vai traucējumu iespējamība, un to izsaka kā šādu zaudējumu vai traucējumu apjoma un minētā incidenta varbūtības apvienojumu; |
| --- | --- |

9)

“risks” ir incidenta izraisītu zaudējumu vai traucējumu iespējamība, un to izsaka kā šādu zaudējumu vai traucējumu apjoma un minētā incidenta varbūtības apvienojumu;

| 10) | “kiberdraudi” ir kiberdraudi, kā definēts Regulas (ES) 2019/881 2. panta 8) punktā; |
| --- | --- |

10)

“kiberdraudi” ir kiberdraudi, kā definēts Regulas (ES) 2019/881 2. panta 8) punktā;

| 11) | “būtiski kiberdraudi” ir tādi kiberdraudi, kurus, ņemot vērā to tehniskās pamatīpašības, var uzskatīt par spējīgiem nopietni ietekmēt kādas vienības tīklu un informācijas sistēmas vai vienības pakalpojumu lietotājus, radot ievērojamu materiālu vai nemateriālu kaitējumu; |
| --- | --- |

11)

“būtiski kiberdraudi” ir tādi kiberdraudi, kurus, ņemot vērā to tehniskās pamatīpašības, var uzskatīt par spējīgiem nopietni ietekmēt kādas vienības tīklu un informācijas sistēmas vai vienības pakalpojumu lietotājus, radot ievērojamu materiālu vai nemateriālu kaitējumu;

| 12) | “IKT produkts” ir IKT produkts, kā definēts Regulas (ES) 2019/881 2. panta 12) punktā; |
| --- | --- |

12)

“IKT produkts” ir IKT produkts, kā definēts Regulas (ES) 2019/881 2. panta 12) punktā;

| 13) | “IKT pakalpojums” ir IKT pakalpojums, kā definēts Regulas (ES) 2019/881 2. panta 13) punktā; |
| --- | --- |

13)

“IKT pakalpojums” ir IKT pakalpojums, kā definēts Regulas (ES) 2019/881 2. panta 13) punktā;

| 14) | “IKT process” ir IKT process, kā definēts Regulas (ES) 2019/881 2. panta 14) punktā; |
| --- | --- |

14)

“IKT process” ir IKT process, kā definēts Regulas (ES) 2019/881 2. panta 14) punktā;

| 15) | “ievainojamība” ir IKT produktu vai pakalpojumu vājums, uzņēmība pret tehniskām problēmām vai nepilnība, ko var izmantot kiberdraudiem; |
| --- | --- |

15)

“ievainojamība” ir IKT produktu vai pakalpojumu vājums, uzņēmība pret tehniskām problēmām vai nepilnība, ko var izmantot kiberdraudiem;

| 16) | “standarts” ir standarts, kā definēts Eiropas Parlamenta un Padomes Regulas (ES) Nr. 1025/2012 (29) 2. panta 1) punktā; |
| --- | --- |

16)

“standarts” ir standarts, kā definēts Eiropas Parlamenta un Padomes Regulas (ES) Nr. 1025/2012 (29) 2. panta 1) punktā;

29

| 17) | “tehniskā specifikācija” ir tehniska specifikācija, kā definēts Regulas (ES) Nr. 1025/2012 2. panta 4) punktā; |
| --- | --- |

17)

“tehniskā specifikācija” ir tehniska specifikācija, kā definēts Regulas (ES) Nr. 1025/2012 2. panta 4) punktā;

| 18) | “interneta plūsmu apmaiņas punkts” ir tīkla iekārta, kas ļauj nodrošināt vairāk nekā divu neatkarīgu tīklu (autonomu sistēmu) starpsavienojumu galvenokārt nolūkā atvieglot interneta datplūsmas apmaiņu, kas nodrošina starpsavienojumu tikai autonomām sistēmām un kas nepieprasa, lai interneta datplūsma starp jebkurām divām iesaistītām autonomām sistēmām izietu cauri jebkurai trešai autonomai sistēmai, ne maina vai citādi ietekmē šādu datplūsmu; |
| --- | --- |

18)

“interneta plūsmu apmaiņas punkts” ir tīkla iekārta, kas ļauj nodrošināt vairāk nekā divu neatkarīgu tīklu (autonomu sistēmu) starpsavienojumu galvenokārt nolūkā atvieglot interneta datplūsmas apmaiņu, kas nodrošina starpsavienojumu tikai autonomām sistēmām un kas nepieprasa, lai interneta datplūsma starp jebkurām divām iesaistītām autonomām sistēmām izietu cauri jebkurai trešai autonomai sistēmai, ne maina vai citādi ietekmē šādu datplūsmu;

| 19) | “domēnu nosaukumu sistēma” jeb “DNS” ir hierarhiska sadalīta nosaukumu sistēma, kas dod iespēju identificēt interneta pakalpojumus un resursus, ļaujot galalietotāju ierīcēm izmantot interneta maršrutēšanas un savienojumu pakalpojumus, lai piekļūtu šiem pakalpojumiem un resursiem; |
| --- | --- |

19)

“domēnu nosaukumu sistēma” jeb “DNS” ir hierarhiska sadalīta nosaukumu sistēma, kas dod iespēju identificēt interneta pakalpojumus un resursus, ļaujot galalietotāju ierīcēm izmantot interneta maršrutēšanas un savienojumu pakalpojumus, lai piekļūtu šiem pakalpojumiem un resursiem;

| 20) | “DNS pakalpojumu sniedzējs” ir vienība, kas sniedz:






  a) | publiski pieejamus rekursīvus domēnu nosaukumu atrises pakalpojumus interneta galalietotājiem; vai |
| --- | --- | --- |

20)

“DNS pakalpojumu sniedzējs” ir vienība, kas sniedz:

a)

publiski pieejamus rekursīvus domēnu nosaukumu atrises pakalpojumus interneta galalietotājiem; vai

| b) | autoritatīvus domēnu nosaukumu atrises pakalpojumus trešo personu lietošanai, izņemot saknes nosaukumu serverus; |
| --- | --- |

b)

autoritatīvus domēnu nosaukumu atrises pakalpojumus trešo personu lietošanai, izņemot saknes nosaukumu serverus;

| 21) | “augstākā līmeņa domēnu nosaukumu reģistrs” jeb “ALD nosaukumu reģistrs” ir vienība, kam deleģēts īpašs ALD un kas atbild par ALD pārvaldību, to starpā domēnu nosaukumu reģistrāciju kā ALD un ALD tehnisko darbību, kā arī tā nosaukumu serveru darbību, datubāzu uzturēšanu un ALD zonas datņu sadalīšanu starp nosaukumu serveriem, neatkarīgi no tā, vai kādu no minētajām darbībām veic pati vienība vai ārpakalpojumu sniedzējs, bet izņemot situācijas, kad ALD nosaukumus reģistrs izmanto tikai savām vajadzībām; |
| --- | --- |

21)

“augstākā līmeņa domēnu nosaukumu reģistrs” jeb “ALD nosaukumu reģistrs” ir vienība, kam deleģēts īpašs ALD un kas atbild par ALD pārvaldību, to starpā domēnu nosaukumu reģistrāciju kā ALD un ALD tehnisko darbību, kā arī tā nosaukumu serveru darbību, datubāzu uzturēšanu un ALD zonas datņu sadalīšanu starp nosaukumu serveriem, neatkarīgi no tā, vai kādu no minētajām darbībām veic pati vienība vai ārpakalpojumu sniedzējs, bet izņemot situācijas, kad ALD nosaukumus reģistrs izmanto tikai savām vajadzībām;

| 22) | “vienība, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus”, ir reģistratūra vai aģents, kas darbojas reģistratūru vārdā, piemēram, privātuma vai pilnvarotās reģistrācijas pakalpojumu sniedzējs vai tālākpārdevējs; |
| --- | --- |

22)

“vienība, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus”, ir reģistratūra vai aģents, kas darbojas reģistratūru vārdā, piemēram, privātuma vai pilnvarotās reģistrācijas pakalpojumu sniedzējs vai tālākpārdevējs;

| 23) | “digitāls pakalpojums” ir pakalpojums, kā definēts Eiropas Parlamenta un Padomes Direktīvas (ES) 2015/1535 (30) 1. panta 1. punkta b) apakšpunktā; |
| --- | --- |

23)

“digitāls pakalpojums” ir pakalpojums, kā definēts Eiropas Parlamenta un Padomes Direktīvas (ES) 2015/1535 (30) 1. panta 1. punkta b) apakšpunktā;

30

| 24) | “uzticamības pakalpojums” ir uzticamības pakalpojums, kā definēts Regulas (ES) Nr. 910/2014 3. panta 16) punktā; |
| --- | --- |

24)

“uzticamības pakalpojums” ir uzticamības pakalpojums, kā definēts Regulas (ES) Nr. 910/2014 3. panta 16) punktā;

| 25) | “uzticamības pakalpojumu sniedzējs” ir uzticamības pakalpojumu sniedzējs, kā definēts Regulas (ES) Nr. 910/2014 3. panta 19) punktā; |
| --- | --- |

25)

“uzticamības pakalpojumu sniedzējs” ir uzticamības pakalpojumu sniedzējs, kā definēts Regulas (ES) Nr. 910/2014 3. panta 19) punktā;

| 26) | “kvalificēts uzticamības pakalpojums” ir kvalificēts uzticamības pakalpojums, kā definēts Regulas (ES) Nr. 910/2014 3. panta 17) punktā; |
| --- | --- |

26)

“kvalificēts uzticamības pakalpojums” ir kvalificēts uzticamības pakalpojums, kā definēts Regulas (ES) Nr. 910/2014 3. panta 17) punktā;

| 27) | “kvalificēts uzticamības pakalpojumu sniedzējs” ir uzticamības pakalpojumu sniedzējs, kā definēts Regulas (ES) Nr. 910/2014 3. panta 20) punktā; |
| --- | --- |

27)

“kvalificēts uzticamības pakalpojumu sniedzējs” ir uzticamības pakalpojumu sniedzējs, kā definēts Regulas (ES) Nr. 910/2014 3. panta 20) punktā;

| 28) | “tiešsaistes tirdzniecības vieta” ir tiešsaistes tirdzniecības vieta, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2005/29/EK (31) 2. panta n) punktā; |
| --- | --- |

28)

“tiešsaistes tirdzniecības vieta” ir tiešsaistes tirdzniecības vieta, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2005/29/EK (31) 2. panta n) punktā;

31

| 29) | “tiešsaistes meklētājprogramma” ir tiešsaistes meklētājprogramma, kā definēts Eiropas Parlamenta un Padomes Regulas (ES) 2019/1150 (32) 2. panta 5) punktā; |
| --- | --- |

29)

“tiešsaistes meklētājprogramma” ir tiešsaistes meklētājprogramma, kā definēts Eiropas Parlamenta un Padomes Regulas (ES) 2019/1150 (32) 2. panta 5) punktā;

32

| 30) | “mākoņdatošanas pakalpojums” ir digitāls pakalpojums, kas dod iespēju plaši un attālināti piekļūt kopīgojamu datošanas resursu mērogojamam un elastīgam pūlam un pēc pieprasījuma to pārvaldīt, tostarp, ja šādi resursi ir izvietoti vairākās vietās; |
| --- | --- |

30)

“mākoņdatošanas pakalpojums” ir digitāls pakalpojums, kas dod iespēju plaši un attālināti piekļūt kopīgojamu datošanas resursu mērogojamam un elastīgam pūlam un pēc pieprasījuma to pārvaldīt, tostarp, ja šādi resursi ir izvietoti vairākās vietās;

| 31) | “datu centra pakalpojums” ir pakalpojums, kas ietver struktūras vai struktūru grupas, kuras paredzētas tāda IT un tīkla aprīkojuma centralizētai izmitināšanai, savstarpējai savienošanai un darbībai, kas sniedz datu uzglabāšanas, apstrādes un transportēšanas pakalpojumus kopā ar visām ierīcēm un infrastruktūrām jaudas sadalei un vides kontrolei; |
| --- | --- |

31)

“datu centra pakalpojums” ir pakalpojums, kas ietver struktūras vai struktūru grupas, kuras paredzētas tāda IT un tīkla aprīkojuma centralizētai izmitināšanai, savstarpējai savienošanai un darbībai, kas sniedz datu uzglabāšanas, apstrādes un transportēšanas pakalpojumus kopā ar visām ierīcēm un infrastruktūrām jaudas sadalei un vides kontrolei;

| 32) | “satura piegādes tīkls” ir ģeogrāfiski sadalītu serveru tīkls, kas nodrošina digitālā satura un pakalpojumu augstu pieejamību, piekļūstamību vai ātru piegādi interneta lietotājiem satura un pakalpojumu sniedzēju vārdā; |
| --- | --- |

32)

“satura piegādes tīkls” ir ģeogrāfiski sadalītu serveru tīkls, kas nodrošina digitālā satura un pakalpojumu augstu pieejamību, piekļūstamību vai ātru piegādi interneta lietotājiem satura un pakalpojumu sniedzēju vārdā;

| 33) | “sociālās tīklošanās pakalpojumu platforma” ir platforma, kurā galalietotāji var pieslēgties, kopīgot saturu, atklāt informāciju un savstarpēji sazināties, izmantojot vairākas ierīces, jo īpaši tērzētavās, ar ziņām, video un ieteikumiem; |
| --- | --- |

33)

“sociālās tīklošanās pakalpojumu platforma” ir platforma, kurā galalietotāji var pieslēgties, kopīgot saturu, atklāt informāciju un savstarpēji sazināties, izmantojot vairākas ierīces, jo īpaši tērzētavās, ar ziņām, video un ieteikumiem;

| 34) | “pārstāvis” ir fiziska vai juridiska persona, kura ir iedibināta Savienībā un ir skaidri izraudzīta rīkoties, lai pārstāvētu DNS pakalpojumu sniedzēju, ALD nosaukumu reģistru, vienību, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, mākoņpakalpojumu sniedzēju, datu centra pakalpojumu sniedzēju, satura piegādes tīkla nodrošinātāju, pārvaldītu pakalpojumu sniedzēju, pārvaldītu drošības pakalpojumu sniedzēju vai tiešsaistes tirdzniecības vietas, tiešsaistes meklētājprogrammas vai sociālās tīklošanās pakalpojumu platformas nodrošinātāju, kas nav iedibināts Savienībā, un pie kuras var vērsties kompetentā iestāde vai CSIRT pašas vienības vietā attiecībā uz minētās vienības pienākumiem atbilstoši šai direktīvai; |
| --- | --- |

34)

“pārstāvis” ir fiziska vai juridiska persona, kura ir iedibināta Savienībā un ir skaidri izraudzīta rīkoties, lai pārstāvētu DNS pakalpojumu sniedzēju, ALD nosaukumu reģistru, vienību, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, mākoņpakalpojumu sniedzēju, datu centra pakalpojumu sniedzēju, satura piegādes tīkla nodrošinātāju, pārvaldītu pakalpojumu sniedzēju, pārvaldītu drošības pakalpojumu sniedzēju vai tiešsaistes tirdzniecības vietas, tiešsaistes meklētājprogrammas vai sociālās tīklošanās pakalpojumu platformas nodrošinātāju, kas nav iedibināts Savienībā, un pie kuras var vērsties kompetentā iestāde vai CSIRT pašas vienības vietā attiecībā uz minētās vienības pienākumiem atbilstoši šai direktīvai;

CSIRT

| 35) | “valsts pārvaldes vienība” ir vienība, kas dalībvalstī par tādu ir atzīta saskaņā ar valsts tiesību aktiem, izņemot tiesu iestādes, parlamentus un centrālās bankas, un kas atbilst šādiem kritērijiem:






  a) | tā ir izveidota ar mērķi apmierināt vispārējas vajadzības, un tā nav rūpnieciska vai komerciāla rakstura; |
| --- | --- | --- |

35)

“valsts pārvaldes vienība” ir vienība, kas dalībvalstī par tādu ir atzīta saskaņā ar valsts tiesību aktiem, izņemot tiesu iestādes, parlamentus un centrālās bankas, un kas atbilst šādiem kritērijiem:

a)

tā ir izveidota ar mērķi apmierināt vispārējas vajadzības, un tā nav rūpnieciska vai komerciāla rakstura;

| b) | tai ir juridiskas personas statuss vai ar likumu noteiktas tiesības rīkoties citas vienības, kurai ir juridiskas personas statuss, vārdā; |
| --- | --- |

b)

tai ir juridiskas personas statuss vai ar likumu noteiktas tiesības rīkoties citas vienības, kurai ir juridiskas personas statuss, vārdā;

| c) | to galvenokārt finansē valsts vai reģionālas iestādes vai citi publisko tiesību subjekti, tās pārvaldību uzrauga minētās iestādes vai subjekti vai tās vadībā, valdē vai uzraudzības padomē vairāk nekā pusi locekļu ieceļ valsts, reģionālās iestādes vai citi publisko tiesību subjekti; |
| --- | --- |

c)

to galvenokārt finansē valsts vai reģionālas iestādes vai citi publisko tiesību subjekti, tās pārvaldību uzrauga minētās iestādes vai subjekti vai tās vadībā, valdē vai uzraudzības padomē vairāk nekā pusi locekļu ieceļ valsts, reģionālās iestādes vai citi publisko tiesību subjekti;

| d) | tai ir pilnvaras adresēt fiziskām vai juridiskām personām administratīvus vai regulatīvus lēmumus, kas skar to tiesības, kuras attiecas uz personu pārrobežu pārvietošanos vai preču, pakalpojumu vai kapitāla pārrobežu apriti; |
| --- | --- |

d)

tai ir pilnvaras adresēt fiziskām vai juridiskām personām administratīvus vai regulatīvus lēmumus, kas skar to tiesības, kuras attiecas uz personu pārrobežu pārvietošanos vai preču, pakalpojumu vai kapitāla pārrobežu apriti;

| 36) | “publisks elektronisko sakaru tīkls” ir publisks elektronisko sakaru tīkls, kā definēts Direktīvas (ES) 2018/1972 2. panta 8) punktā; |
| --- | --- |

36)

“publisks elektronisko sakaru tīkls” ir publisks elektronisko sakaru tīkls, kā definēts Direktīvas (ES) 2018/1972 2. panta 8) punktā;

| 37) | “elektronisko sakaru pakalpojums” ir elektronisko sakaru pakalpojums, kā definēts Direktīvas (ES) 2018/1972 2. panta 4) punktā; |
| --- | --- |

37)

“elektronisko sakaru pakalpojums” ir elektronisko sakaru pakalpojums, kā definēts Direktīvas (ES) 2018/1972 2. panta 4) punktā;

| 38) | “vienība” ir fiziska vai juridiska persona, kas izveidota un atzīta kā tāda atbilstoši tās iedibinājuma vietas valsts tiesību aktiem un kas var savā vārdā īstenot tiesības un uzņemties pienākumus; |
| --- | --- |

38)

“vienība” ir fiziska vai juridiska persona, kas izveidota un atzīta kā tāda atbilstoši tās iedibinājuma vietas valsts tiesību aktiem un kas var savā vārdā īstenot tiesības un uzņemties pienākumus;

| 39) | “pārvaldītu pakalpojumu sniedzējs” ir vienība, kas sniedz pakalpojumus, kuri saistīti ar IKT produktu, tīklu, infrastruktūras, lietojumprogrammu vai jebkādu citu tīklu un informācijas sistēmu uzstādīšanu, pārvaldību, darbību vai uzturēšanu un kuri izpaužas kā palīdzība vai aktīva administrēšana, ko veic vai nu klientu telpās, vai attālināti; |
| --- | --- |

39)

“pārvaldītu pakalpojumu sniedzējs” ir vienība, kas sniedz pakalpojumus, kuri saistīti ar IKT produktu, tīklu, infrastruktūras, lietojumprogrammu vai jebkādu citu tīklu un informācijas sistēmu uzstādīšanu, pārvaldību, darbību vai uzturēšanu un kuri izpaužas kā palīdzība vai aktīva administrēšana, ko veic vai nu klientu telpās, vai attālināti;

| 40) | “pārvaldītu drošības pakalpojumu sniedzējs” ir pārvaldītu pakalpojumu sniedzējs, kas veic tādas darbības vai sniedz palīdzību tādām darbībām, kuras saistītas ar kiberdrošības risku pārvaldību; |
| --- | --- |

40)

“pārvaldītu drošības pakalpojumu sniedzējs” ir pārvaldītu pakalpojumu sniedzējs, kas veic tādas darbības vai sniedz palīdzību tādām darbībām, kuras saistītas ar kiberdrošības risku pārvaldību;

| 41) | “pētniecības organizācija” ir vienība, kuras galvenais mērķis ir veikt lietišķos pētījumus vai eksperimentālu izstrādi, lai pētījumu rezultātus izmantotu komerciālos nolūkos, bet kas neietver izglītības iestādes. |
| --- | --- |

41)

“pētniecības organizācija” ir vienība, kuras galvenais mērķis ir veikt lietišķos pētījumus vai eksperimentālu izstrādi, lai pētījumu rezultātus izmantotu komerciālos nolūkos, bet kas neietver izglītības iestādes.

II NODAĻA

KOORDINĒTI KIBERDROŠĪBAS SATVARI

7. pants

Valsts kiberdrošības stratēģija

1.   Katra dalībvalsts pieņem valsts kiberdrošības stratēģiju, kurā nosaka stratēģiskos mērķus, vajadzīgos resursus minēto mērķu sasniegšanai un atbilstīgus rīcībpolitikas un regulatīvus pasākumus, lai sasniegtu un uzturētu augstu kiberdrošības līmeni. Valsts kiberdrošības stratēģijā iekļauj:

| a) | dalībvalsts kiberdrošības stratēģijas mērķus un prioritātes, kas jo īpaši aptver I un II pielikumā minētās nozares; |
| --- | --- |

a)

dalībvalsts kiberdrošības stratēģijas mērķus un prioritātes, kas jo īpaši aptver I un II pielikumā minētās nozares;

| b) | pārvaldības satvaru šā punkta a) apakšpunktā minēto mērķu un prioritāšu sasniegšanai, tostarp rīcībpolitikas, kas minētas 2. punktā; |
| --- | --- |

b)

pārvaldības satvaru šā punkta a) apakšpunktā minēto mērķu un prioritāšu sasniegšanai, tostarp rīcībpolitikas, kas minētas 2. punktā;

| c) | pārvaldības satvaru, kurā precizēti attiecīgo ieinteresēto personu lomas un pienākumi valsts līmenī, kas ir pamatā sadarbībai un koordinācijai valsts līmenī starp šajā direktīvā minētajām kompetentajām iestādēm, vienotajiem kontaktpunktiem un CSIRT, kā arī koordinācijai un sadarbībai starp minētajām struktūrām un kompetentajām iestādēm, kas minētas nozarspecifiskos Savienības tiesību aktos; |
| --- | --- |

c)

pārvaldības satvaru, kurā precizēti attiecīgo ieinteresēto personu lomas un pienākumi valsts līmenī, kas ir pamatā sadarbībai un koordinācijai valsts līmenī starp šajā direktīvā minētajām kompetentajām iestādēm, vienotajiem kontaktpunktiem un CSIRT, kā arī koordinācijai un sadarbībai starp minētajām struktūrām un kompetentajām iestādēm, kas minētas nozarspecifiskos Savienības tiesību aktos;

| d) | mehānismu attiecīgo aktīvu identificēšanai un risku novērtējumu konkrētajā dalībvalstī; |
| --- | --- |

d)

mehānismu attiecīgo aktīvu identificēšanai un risku novērtējumu konkrētajā dalībvalstī;

| e) | to pasākumu identifikāciju, kas nodrošina sagatavotību, reaģēšanu un atkopšanos pēc incidentiem, tostarp sadarbību starp publisko un privāto sektoru; |
| --- | --- |

e)

to pasākumu identifikāciju, kas nodrošina sagatavotību, reaģēšanu un atkopšanos pēc incidentiem, tostarp sadarbību starp publisko un privāto sektoru;

| f) | valsts kiberdrošības stratēģijas īstenošanā iesaistīto dažādo iestāžu un ieinteresēto personu sarakstu; |
| --- | --- |

f)

valsts kiberdrošības stratēģijas īstenošanā iesaistīto dažādo iestāžu un ieinteresēto personu sarakstu;

| g) | rīcībpolitikas satvaru pastiprinātai koordinācijai starp kompetentajām iestādēm, kas minētas šajā direktīvā, un kompetentajām iestādēm, kas paredzētas Direktīvā (ES) 2022/2557, tādas informācijas kopīgošanas kontekstā, kura attiecas uz riskiem, kiberdraudiem un incidentiem, kā arī attiecīgā gadījumā ar kiberdrošību nesaistītiem riskiem, draudiem un incidentiem un uzraudzības uzdevumu veikšanu; |
| --- | --- |

g)

rīcībpolitikas satvaru pastiprinātai koordinācijai starp kompetentajām iestādēm, kas minētas šajā direktīvā, un kompetentajām iestādēm, kas paredzētas Direktīvā (ES) 2022/2557, tādas informācijas kopīgošanas kontekstā, kura attiecas uz riskiem, kiberdraudiem un incidentiem, kā arī attiecīgā gadījumā ar kiberdrošību nesaistītiem riskiem, draudiem un incidentiem un uzraudzības uzdevumu veikšanu;

| h) | plānu, tostarp vajadzīgos pasākumus, iedzīvotāju informētības par kiberdrošību vispārējā līmeņa uzlabošanai. |
| --- | --- |

h)

plānu, tostarp vajadzīgos pasākumus, iedzīvotāju informētības par kiberdrošību vispārējā līmeņa uzlabošanai.

2.   Kā valsts kiberdrošības stratēģijas daļu dalībvalstis jo īpaši pieņem rīcībpolitikas:

| a) | kas vērstas uz kiberdrošību piegādes ķēdē attiecībā uz IKT produktiem un IKT pakalpojumiem, kurus vienības izmanto pakalpojumu sniegšanai; |
| --- | --- |

a)

kas vērstas uz kiberdrošību piegādes ķēdē attiecībā uz IKT produktiem un IKT pakalpojumiem, kurus vienības izmanto pakalpojumu sniegšanai;

| b) | par to, kā publiskajā iepirkumā iekļaut un noteikt ar kiberdrošību saistītas prasības IKT produktiem un IKT pakalpojumiem, tostarp saistībā ar kiberdrošības sertifikāciju, šifrēšanu un atvērtā pirmkoda kiberdrošības produktu izmantošanu; |
| --- | --- |

b)

par to, kā publiskajā iepirkumā iekļaut un noteikt ar kiberdrošību saistītas prasības IKT produktiem un IKT pakalpojumiem, tostarp saistībā ar kiberdrošības sertifikāciju, šifrēšanu un atvērtā pirmkoda kiberdrošības produktu izmantošanu;

| c) | par ievainojamības pārvaldību, ietverot koordinētas ievainojamības izpaušanas veicināšanu un atvieglošanu saskaņā ar 12. panta 1. punktu; |
| --- | --- |

c)

par ievainojamības pārvaldību, ietverot koordinētas ievainojamības izpaušanas veicināšanu un atvieglošanu saskaņā ar 12. panta 1. punktu;

| d) | saistībā ar atvērtā interneta publiskā kodola vispārējās pieejamības, integritātes un konfidencialitātes uzturēšanu, tostarp attiecīgā gadījumā zemūdens sakaru kabeļu kiberdrošību; |
| --- | --- |

d)

saistībā ar atvērtā interneta publiskā kodola vispārējās pieejamības, integritātes un konfidencialitātes uzturēšanu, tostarp attiecīgā gadījumā zemūdens sakaru kabeļu kiberdrošību;

| e) | kas veicina tādu attiecīgu progresīvu tehnoloģiju izstrādi un integrāciju, kuru mērķis ir īstenot modernus kiberdrošības risku pārvaldības pasākumus; |
| --- | --- |

e)

kas veicina tādu attiecīgu progresīvu tehnoloģiju izstrādi un integrāciju, kuru mērķis ir īstenot modernus kiberdrošības risku pārvaldības pasākumus;

| f) | kas veicina un attīsta iedzīvotājiem, ieinteresētajām personām un vienībām paredzētu izglītību un apmācību kiberdrošības, kiberdrošības prasmju, izpratnes veicināšanas un pētniecības un izstrādes iniciatīvu jomā, kā arī norādījumus par labu kiberhigiēnas praksi un kontroli; |
| --- | --- |

f)

kas veicina un attīsta iedzīvotājiem, ieinteresētajām personām un vienībām paredzētu izglītību un apmācību kiberdrošības, kiberdrošības prasmju, izpratnes veicināšanas un pētniecības un izstrādes iniciatīvu jomā, kā arī norādījumus par labu kiberhigiēnas praksi un kontroli;

| g) | kas atbalsta akadēmiskās un pētniecības iestādes kiberdrošības rīku un drošas tīklu infrastruktūras attīstīšanā, uzlabošanā un ieviešanas veicināšanā; |
| --- | --- |

g)

kas atbalsta akadēmiskās un pētniecības iestādes kiberdrošības rīku un drošas tīklu infrastruktūras attīstīšanā, uzlabošanā un ieviešanas veicināšanā;

| h) | kas ietver attiecīgas procedūras un atbilstīgus informācijas kopīgošanas rīkus, ar kuriem atbalsta brīvprātīgu kiberdrošības informācijas kopīgošanu starp vienībām saskaņā ar Savienības tiesību aktiem; |
| --- | --- |

h)

kas ietver attiecīgas procedūras un atbilstīgus informācijas kopīgošanas rīkus, ar kuriem atbalsta brīvprātīgu kiberdrošības informācijas kopīgošanu starp vienībām saskaņā ar Savienības tiesību aktiem;

| i) | kas stiprina mazo un vidējo uzņēmumu kibernoturību un kiberhigiēnas pamatlīmeni, jo īpaši tiem, kas ir izslēgti no šīs direktīvas darbības jomas, sniedzot viegli pieejamus norādījumus un palīdzību to īpašajām vajadzībām; |
| --- | --- |

i)

kas stiprina mazo un vidējo uzņēmumu kibernoturību un kiberhigiēnas pamatlīmeni, jo īpaši tiem, kas ir izslēgti no šīs direktīvas darbības jomas, sniedzot viegli pieejamus norādījumus un palīdzību to īpašajām vajadzībām;

| j) | kas veicina aktīvu kiberaizsardzību. |
| --- | --- |

j)

kas veicina aktīvu kiberaizsardzību.

3.   Dalībvalstis savas kiberdrošības stratēģijas paziņo Komisijai trīs mēnešu laikā pēc to pieņemšanas. Dalībvalstis no šādiem paziņojumiem var izslēgt informāciju, kas attiecas uz to valsts drošību.

4.   Dalībvalstis regulāri un vismaz reizi piecos gados novērtē savas kiberdrošības stratēģijas, pamatojoties uz galvenajiem snieguma rādītājiem, un nepieciešamības gadījumā tās atjaunina. ENISA pēc dalībvalstu pieprasījuma palīdz tām izstrādāt vai atjaunināt valsts kiberdrošības stratēģiju un galvenos snieguma rādītājus minētās stratēģijas novērtēšanai, lai to saskaņotu ar šajā direktīvā noteiktajām prasībām un pienākumiem.

8. pants

Kompetentās iestādes un vienotie kontaktpunkti

1.   Katra dalībvalsts izraugās vai izveido vienu vai vairākas kompetentās iestādes, kas atbild par kiberdrošību un par uzraudzības uzdevumiem, kuri minēti VII nodaļā (kompetentās iestādes).

2.   Kompetentās iestādes, kas minētas 1. punktā, uzrauga šīs direktīvas īstenošanu valsts līmenī.

3.   Katra dalībvalsts izraugās vai izveido vienoto kontaktpunktu. Ja dalībvalsts, ievērojot 1. punktu, izraugās vai izveido tikai vienu kompetento iestādi, minētā kompetentā iestāde ir arī attiecīgās dalībvalsts vienotais kontaktpunkts.

4.   Katrs vienotais kontaktpunkts koordinē sadarbību, lai nodrošinātu dalībvalstu iestāžu pārrobežu sadarbību ar attiecīgajām citu dalībvalstu iestādēm un attiecīgā gadījumā ar Komisiju un ENISA, kā arī lai nodrošinātu starpnozaru sadarbību ar citām kompetentajām iestādēm savā dalībvalstī.

5.   Dalībvalstis nodrošina, ka to kompetentajām iestādēm un vienotajiem kontaktpunktiem ir adekvāti resursi, lai efektīvi un rezultatīvi veiktu tiem uzticētos uzdevumus un tādējādi sasniegtu šīs direktīvas mērķus.

6.   Katra dalībvalsts bez nepamatotas kavēšanās paziņo Komisijai 1. punktā minētās kompetentās iestādes un 3. punktā minētā vienotā kontaktpunkta identitāti, minēto iestāžu uzdevumus un visas turpmākās ar tām saistītās izmaiņas. Katra dalībvalsts publisko tās kompetentās iestādes identitāti. Komisija vienoto kontaktpunktu sarakstu dara publiski pieejamu.

9. pants

Valstu kiberkrīžu pārvaldības satvari

1.   Katra dalībvalsts izraugās vai izveido vienu vai vairākas kompetentās iestādes, kas atbild par plašapmēra kiberdrošības incidentu un krīžu pārvaldību (kiberkrīžu pārvaldības iestādes). Dalībvalstis nodrošina, ka šīm iestādēm ir pietiekami resursi, lai rezultatīvi un efektīvi veiktu tām uzticētos uzdevumus. Dalībvalstis nodrošina saskaņotību ar esošajiem vispārējas valsts krīžu pārvaldības satvariem.

2.   Ja dalībvalsts saskaņā ar 1. punktu izraugās vai izveido vairāk nekā vienu kiberkrīžu pārvaldības iestādi, tā skaidri norāda, kura no minētajām iestādēm darbojas kā koordinatore plašapmēra kiberdrošības incidentu un krīžu pārvaldībā.

3.   Katra dalībvalsts nosaka spējas, aktīvus un procedūras, ko var izmantot krīzes gadījumā šīs direktīvas nolūkos.

4.   Katra dalībvalsts pieņem valsts plānu reaģēšanai uz plašapmēra kiberdrošības incidentiem un krīzēm, kurā izklāsta plašapmēra kiberdrošības incidentu un krīžu pārvaldības mērķus un kārtību. Minētajā plānā jo īpaši nosaka:

| a) | valsts sagatavotības pasākumu un darbību mērķus; |
| --- | --- |

a)

valsts sagatavotības pasākumu un darbību mērķus;

| b) | kiberkrīžu pārvaldības iestāžu uzdevumus un pienākumus; |
| --- | --- |

b)

kiberkrīžu pārvaldības iestāžu uzdevumus un pienākumus;

| c) | kiberkrīžu pārvaldības procedūras, tostarp to integrēšanu vispārējā valsts krīžu pārvaldības satvarā, un informācijas apmaiņas kanālus; |
| --- | --- |

c)

kiberkrīžu pārvaldības procedūras, tostarp to integrēšanu vispārējā valsts krīžu pārvaldības satvarā, un informācijas apmaiņas kanālus;

| d) | valsts sagatavotības pasākumus, tostarp mācības un apmācību; |
| --- | --- |

d)

valsts sagatavotības pasākumus, tostarp mācības un apmācību;

| e) | attiecīgās iesaistītās publiskā un privātā sektora ieinteresētās personas un infrastruktūru; |
| --- | --- |

e)

attiecīgās iesaistītās publiskā un privātā sektora ieinteresētās personas un infrastruktūru;

| f) | tādas valsts procedūras un vienošanās starp attiecīgajām valsts iestādēm un struktūrām, kuru mērķis ir nodrošināt dalībvalstu efektīvu dalību un atbalstu koordinētā plašapmēra kiberdrošības incidentu un krīžu pārvaldībā Savienības līmenī. |
| --- | --- |

f)

tādas valsts procedūras un vienošanās starp attiecīgajām valsts iestādēm un struktūrām, kuru mērķis ir nodrošināt dalībvalstu efektīvu dalību un atbalstu koordinētā plašapmēra kiberdrošības incidentu un krīžu pārvaldībā Savienības līmenī.

5.   Trīs mēnešu laikā pēc tam, kad 1. punktā minētā kiberkrīžu pārvaldības iestāde ir izraudzīta vai izveidota, katra dalībvalsts paziņo Komisijai savas iestādes identitāti un visas turpmākās izmaiņas tajā. Dalībvalstis trīs mēnešu laikā pēc minēto plānu pieņemšanas iesniedz Komisijai un Eiropas Kiberkrīžu koordinācijas organizāciju tīklam (EU-CyCLONe) relevantu informāciju saistībā ar 4. punkta prasībām par saviem valsts plāniem reaģēšanai uz plašapmēra kiberdrošības incidentiem un krīzēm. Dalībvalstis var neiekļaut informāciju, ja un ciktāl šāda neiekļaušana ir nepieciešama valsts drošībai.

10. pants

Datordrošības incidentu reaģēšanas vienības (
  CSIRT)

1.   Katra dalībvalsts izraugās vai izveido vienu vai vairākas CSIRT. CSIRT var izraudzīties vai izveidot kādas kompetentās iestādes ietvaros. CSIRT atbilst 11. panta 1. punktā noteiktajām prasībām, to darbība attiecas vismaz uz I un II pielikumā minētajām nozarēm, apakšnozarēm vai vienību veidiem, un tās ir atbildīgas par incidentu risināšanu saskaņā ar labi definētu procesu.

2.   Dalībvalstis nodrošina, ka katrai CSIRT ir pietiekami resursi, lai tā rezultatīvi pildītu savus uzdevumus, kā izklāstīts 11. panta 3. punktā.

3.   Dalībvalstis nodrošina, ka katras CSIRT rīcībā ir piemērota, droša un noturīga sakaru un informācijas infrastruktūra, izmantojot kuru veikt informācijas apmaiņu ar būtiskajām un svarīgajām vienībām un citām attiecīgajām ieinteresētajām personām. Šajā nolūkā dalībvalstis nodrošina, ka katra CSIRT sniedz ieguldījumu drošu informācijas kopīgošanas rīku izmantošanā.

4.   CSIRT sadarbojas un attiecīgā gadījumā saskaņā ar 29. pantu apmainās ar relevantu informāciju ar būtisko un svarīgo vienību nozaru un starpnozaru kopienām.

5.   CSIRT piedalās salīdzinošajā izvērtēšanā, ko organizē saskaņā ar 19. pantu.

6.   Dalībvalstis nodrošina savu CSIRT rezultatīvu, efektīvu un drošu sadarbību CSIRT tīklā.

7.   CSIRT var izveidot sadarbības attiecības ar trešo valstu datordrošības incidentu reaģēšanas vienībām. Šādās sadarbības attiecībās dalībvalstis veicina rezultatīvu, efektīvu un drošu informācijas apmaiņu ar minētajām trešo valstu datordrošības incidentu reaģēšanas vienībām, izmantojot relevantas informācijas kopīgošanas protokolus, tostarp gaismas signālu protokolu. CSIRT var apmainīties ar relevantu informāciju ar trešo valstu datordrošības incidentu reaģēšanas vienībām, tostarp ar persondatiem saskaņā ar Savienības datu aizsardzības tiesību aktiem.

8.   CSIRT var sadarboties ar trešo valstu datordrošības incidentu reaģēšanas vienībām vai līdzvērtīgām trešo valstu struktūrām, jo īpaši, lai tām sniegtu palīdzību kiberdrošības jomā.

9.   Katra dalībvalsts bez nepamatotas kavēšanās paziņo Komisijai šā panta 1. punktā minētās CSIRT un saskaņā ar 12. panta 1. punktu par koordinatori ieceltās CSIRT identitāti, to attiecīgos uzdevumus saistībā ar būtiskām un svarīgām vienībām un visas turpmākās ar tām saistītās izmaiņas.

10.   Dalībvalstis var lūgt ENISA palīdzību savu CSIRT izveidē.

11. pants

Prasības
  CSIRT
  , to tehniskās spējas un uzdevumi

1.   
  CSIRT atbilst šādām prasībām:

| a) | CSIRT nodrošina savu sakaru kanālu augstu pieejamības līmeni, izvairoties no vienotiem atteices punktiem, un tai ir vairāki saziņas līdzekļi, kas jebkurā laikā ļauj ar to sazināties un nodrošina saziņu ar citiem; tās skaidri nosaka saziņas kanālus un dara tos zināmus tiem, kam tās sniedz pakalpojumus, un sadarbības partneriem; |
| --- | --- |

a)

CSIRT nodrošina savu sakaru kanālu augstu pieejamības līmeni, izvairoties no vienotiem atteices punktiem, un tai ir vairāki saziņas līdzekļi, kas jebkurā laikā ļauj ar to sazināties un nodrošina saziņu ar citiem; tās skaidri nosaka saziņas kanālus un dara tos zināmus tiem, kam tās sniedz pakalpojumus, un sadarbības partneriem;

| b) | CSIRT telpas un izmantotās informācijas sistēmas atrodas drošās vietās; |
| --- | --- |

b)

CSIRT telpas un izmantotās informācijas sistēmas atrodas drošās vietās;

| c) | CSIRT ir aprīkotas ar piemērotu sistēmu pieprasījumu pārvaldībai un novirzīšanai, jo īpaši lai atvieglotu efektīvu un lietpratīgu nodošanu; |
| --- | --- |

c)

CSIRT ir aprīkotas ar piemērotu sistēmu pieprasījumu pārvaldībai un novirzīšanai, jo īpaši lai atvieglotu efektīvu un lietpratīgu nodošanu;

| d) | CSIRT nodrošina savu darbību konfidencialitāti un uzticamību; |
| --- | --- |

d)

CSIRT nodrošina savu darbību konfidencialitāti un uzticamību;

| e) | CSIRT ir pietiekams darbinieku skaits, lai nodrošinātu to pakalpojumu pieejamību jebkurā brīdī, un tās nodrošina, ka to personāls ir pienācīgi apmācīts; |
| --- | --- |

e)

CSIRT ir pietiekams darbinieku skaits, lai nodrošinātu to pakalpojumu pieejamību jebkurā brīdī, un tās nodrošina, ka to personāls ir pienācīgi apmācīts;

| f) | CSIRT ir nodrošinātas ar rezerves sistēmām un dublēšanas darba telpu, lai nodrošinātu to pakalpojumu nepārtrauktību. |
| --- | --- |

f)

CSIRT ir nodrošinātas ar rezerves sistēmām un dublēšanas darba telpu, lai nodrošinātu to pakalpojumu nepārtrauktību.

CSIRT var piedalīties starptautiskos sadarbības tīklos.

2.   Dalībvalstis nodrošina, ka to CSIRT kopīgi ir pietiekamas tehniskās spējas, kas vajadzīgas, lai pildītu 3. punktā minētos uzdevumus. Dalībvalstis nodrošina, ka to CSIRT tiek piešķirti pietiekami resursi, lai nodarbinātu pietiekamu skaitu darbinieku, kas CSIRT ļautu attīstīt to tehniskās spējas.

3.   
  CSIRT ir šādi uzdevumi:

| a) | kiberdraudu, ievainojamības un incidentu uzraudzība un analīze valsts līmenī un pēc pieprasījuma palīdzības sniegšana attiecīgajām būtiskajām un svarīgajām vienībām saistībā ar to tīklu un informācijas sistēmu uzraudzību reāllaikā vai tuvu reāllaikam; |
| --- | --- |

a)

kiberdraudu, ievainojamības un incidentu uzraudzība un analīze valsts līmenī un pēc pieprasījuma palīdzības sniegšana attiecīgajām būtiskajām un svarīgajām vienībām saistībā ar to tīklu un informācijas sistēmu uzraudzību reāllaikā vai tuvu reāllaikam;

| b) | agrīnu brīdinājumu, trauksmju, paziņojumu sniegšana un informācijas izplatīšana attiecīgajām būtiskajām un svarīgajām vienībām, kā arī kompetentajām iestādēm un citām attiecīgām ieinteresētajām personām par kiberdraudiem, ievainojamību un incidentiem, ja iespējams – gandrīz reāllaikā; |
| --- | --- |

b)

agrīnu brīdinājumu, trauksmju, paziņojumu sniegšana un informācijas izplatīšana attiecīgajām būtiskajām un svarīgajām vienībām, kā arī kompetentajām iestādēm un citām attiecīgām ieinteresētajām personām par kiberdraudiem, ievainojamību un incidentiem, ja iespējams – gandrīz reāllaikā;

| c) | vajadzības gadījumā reaģēšana uz incidentiem un palīdzības sniegšana attiecīgajām būtiskajām un svarīgajām vienībām; |
| --- | --- |

c)

vajadzības gadījumā reaģēšana uz incidentiem un palīdzības sniegšana attiecīgajām būtiskajām un svarīgajām vienībām;

| d) | kriminālistikas datu vākšana un analīze un dinamiskas risku un incidentu analīzes un situācijas apzināšanas nodrošināšana attiecībā uz kiberdrošību; |
| --- | --- |

d)

kriminālistikas datu vākšana un analīze un dinamiskas risku un incidentu analīzes un situācijas apzināšanas nodrošināšana attiecībā uz kiberdrošību;

| e) | pēc būtiskās vai svarīgās vienības pieprasījuma attiecīgās vienības tīklu un informācijas sistēmu proaktīva skenēšana, lai atklātu ievainojamības ar iespējamu būtisku ietekmi; |
| --- | --- |

e)

pēc būtiskās vai svarīgās vienības pieprasījuma attiecīgās vienības tīklu un informācijas sistēmu proaktīva skenēšana, lai atklātu ievainojamības ar iespējamu būtisku ietekmi;

| f) | piedalīšanās CSIRT tīklā un savstarpējas palīdzības sniegšana atbilstīgi to spējām un kompetencei citiem CSIRT tīkla dalībniekiem pēc to lūguma; |
| --- | --- |

f)

piedalīšanās CSIRT tīklā un savstarpējas palīdzības sniegšana atbilstīgi to spējām un kompetencei citiem CSIRT tīkla dalībniekiem pēc to lūguma;

| g) | attiecīgā gadījumā darbošanās kā koordinatorēm koordinētās ievainojamības izpaušanas saskaņā ar 12. panta 1. punktu vajadzībām; |
| --- | --- |

g)

attiecīgā gadījumā darbošanās kā koordinatorēm koordinētās ievainojamības izpaušanas saskaņā ar 12. panta 1. punktu vajadzībām;

| h) | līdzdalība drošu informācijas kopīgošanas rīku ieviešanā saskaņā ar 10. panta 3. punktu. |
| --- | --- |

h)

līdzdalība drošu informācijas kopīgošanas rīku ieviešanā saskaņā ar 10. panta 3. punktu.

CSIRT var veikt būtisku un svarīgu vienību publiski pieejamu tīklu un informācijas sistēmu proaktīvu neintruzīvu skenēšanu. Skenēšanu veic, lai atklātu ievainojamas vai nedroši konfigurētas tīklu un informācijas sistēmas un informētu attiecīgās vienības. Šādai skenēšanai nav negatīvas ietekmes uz vienību pakalpojumu darbību.

Veicot pirmajā daļā minētos uzdevumus, CSIRT var piešķirt prioritāti konkrētiem uzdevumiem, izmantojot uz risku balstītu pieeju.

4.   CSIRT nodibina sadarbības attiecības ar attiecīgajām ieinteresētajām personām privātajā sektorā, lai labāk sasniegtu šīs direktīvas mērķus.

5.   Lai veicinātu 4. punktā minēto sadarbību, CSIRT veicina vienotas vai standartizētas prakses, klasifikācijas shēmu un taksonomiju pieņemšanu un izmantošanu attiecībā uz:

| a) | incidentu risināšanas procedūrām; |
| --- | --- |

a)

incidentu risināšanas procedūrām;

| b) | krīžu pārvaldību; un |
| --- | --- |

b)

krīžu pārvaldību; un

| c) | koordinētu ievainojamības izpaušanu saskaņā ar 12. panta 1. punktu. |
| --- | --- |

c)

koordinētu ievainojamības izpaušanu saskaņā ar 12. panta 1. punktu.

12. pants

Koordinēta ievainojamības izpaušana un Eiropas ievainojamību datubāze

1.   Katra dalībvalsts izraugās vienu no savām CSIRT par koordinatori koordinētas ievainojamības izpaušanas vajadzībām. Par koordinatori izraudzītā CSIRT rīkojas kā uzticams starpnieks, nepieciešamības gadījumā pēc kādas no pusēm pieprasījuma veicinot mijiedarbību starp fizisko vai juridisko personu, kas ziņo par ievainojamību, un potenciāli ievainojamu IKT produktu ražotāju vai potenciāli ievainojamu IKT pakalpojumu sniedzēju. CSIRT, kas izraudzīta par koordinatori, uzdevumi ietver:

| a) | attiecīgo vienību identificēšanu un sazināšanos ar tām; |
| --- | --- |

a)

attiecīgo vienību identificēšanu un sazināšanos ar tām;

| b) | palīdzību fiziskām vai juridiskām personām, kas ziņo par ievainojamību; un |
| --- | --- |

b)

palīdzību fiziskām vai juridiskām personām, kas ziņo par ievainojamību; un

| c) | sarunas par informācijas izpaušanas termiņiem un tādu ievainojamību pārvaldību, kuras ietekmē vairākas vienības. |
| --- | --- |

c)

sarunas par informācijas izpaušanas termiņiem un tādu ievainojamību pārvaldību, kuras ietekmē vairākas vienības.

Dalībvalstis nodrošina, ka fiziskas vai juridiskas personas, ja tās to pieprasa, var anonīmi ziņot par ievainojamību CSIRT, kas izraudzīta par koordinatori. CSIRT, kas izraudzīta par koordinatori, nodrošina, ka tiek veikta rūpīga pēckontrole attiecībā uz paziņoto ievainojamību, un nodrošina par ievainojamību ziņojušās fiziskās vai juridiskās personas anonimitāti. Ja paziņotā ievainojamība varētu būtiski ietekmēt vienības vairāk nekā vienā dalībvalstī, katras attiecīgās dalībvalsts CSIRT, kas izraudzīta par koordinatori, attiecīgos gadījumos sadarbojas CSIRT tīklā ar citām CSIRT, kas izraudzītas par koordinatorēm.

2.   
  ENISA pēc apspriešanās ar sadarbības grupu izstrādā un uztur Eiropas ievainojamību datubāzi. Šajā nolūkā ENISA izveido un uztur atbilstīgas informācijas sistēmas, rīcībpolitikas un procedūras un pieņem nepieciešamos tehniskos un organizatoriskos pasākumus Eiropas ievainojamību datubāzes drošības un integritātes nodrošināšanai, jo īpaši lai vienības, neatkarīgi no tā, vai tās ietilpst šīs direktīvas darbības jomā, un to tīklu un informācijas sistēmu piegādātāji varētu brīvprātīgi izpaust un reģistrēt publiski zināmas ievainojamības IKT produktos vai IKT pakalpojumos. Visām ieinteresētajām personām nodrošina piekļuvi Eiropas ievainojamību datubāzē ietvertajai informācijai par ievainojamībām. Minētajā datubāzē iekļauj:

| a) | informāciju, kas raksturo ievainojamību; |
| --- | --- |

a)

informāciju, kas raksturo ievainojamību;

| b) | ietekmētos IKT produktus vai IKT pakalpojumus un ievainojamības smagumu, raksturojot apstākļus, kādos to var izmantot; |
| --- | --- |

b)

ietekmētos IKT produktus vai IKT pakalpojumus un ievainojamības smagumu, raksturojot apstākļus, kādos to var izmantot;

| c) | informāciju par attiecīgo ielāpu pieejamību un, ja nav pieejamu ielāpu, ievainojamu IKT produktu un IKT pakalpojumu lietotājiem adresētus un kompetento iestāžu vai CSIRT sniegtus norādījumus par to, kā var mazināt no izpaustās ievainojamības izrietošos riskus. |
| --- | --- |

c)

informāciju par attiecīgo ielāpu pieejamību un, ja nav pieejamu ielāpu, ievainojamu IKT produktu un IKT pakalpojumu lietotājiem adresētus un kompetento iestāžu vai CSIRT sniegtus norādījumus par to, kā var mazināt no izpaustās ievainojamības izrietošos riskus.

13. pants

Sadarbība valsts līmenī

1.   Vienas un tās pašas dalībvalsts kompetentās iestādes, vienotais kontaktpunkts un CSIRT – ja tās ir atsevišķas struktūras – sadarbojas attiecībā uz šajā direktīvā noteikto pienākumu izpildi.

2.   Dalībvalstis nodrošina, ka CSIRT vai attiecīgā gadījumā to kompetentās iestādes saņem paziņojumus par būtiskiem incidentiem saskaņā ar 23. pantu un incidentiem, kiberdraudiem un gandrīz notikušiem notikumiem saskaņā ar 30. pantu.

3.   Dalībvalstis nodrošina, ka CSIRT vai attiecīgā gadījumā to kompetentās iestādes informē to vienotos kontaktpunktus par paziņojumiem, kas attiecas uz incidentiem, kiberdraudiem un gandrīz notikušiem notikumiem un kas sniegti atbilstoši šai direktīvai.

4.   Lai nodrošinātu, ka kompetento iestāžu, vienoto kontaktpunktu un CSIRT uzdevumi un pienākumi tiek veikti efektīvi, dalībvalstis pēc iespējas nodrošina pienācīgu sadarbību starp minētajām struktūrām un tiesībaizsardzības iestādēm, datu aizsardzības iestādēm, valstu iestādēm, kas minētas Regulā (EK) Nr. 300/2008 un (ES) 2018/1139, uzraudzības struktūrām, kas minētas Regulā (ES) Nr. 910/2014, kompetentajām iestādēm, kas minētas Regulā (ES) 2022/2554, valsts regulatīvajām iestādēm, kas minētas Direktīvā (ES) 2018/1972, kompetentajām iestādēm, kas minētas Direktīvā (ES) 2022/2557, kā arī kompetentajām iestādēm, kas minētas citos Savienības nozarspecifiskos tiesību aktos, attiecīgajā dalībvalstī.

5.   Dalībvalstis nodrošina, ka to kompetentās iestādes, kas minētas šajā direktīvā, un to kompetentās iestādes, kas minētas Direktīvā (ES) 2022/2557, regulāri sadarbojas un apmainās ar informāciju attiecībā uz kritisko vienību identificēšanu, par riskiem, kiberdraudiem un incidentiem, kā arī par riskiem, kuri nav saistīti ar kiberdrošību, draudiem un incidentiem, kas skar būtiskās vienības, kuras identificētas kā kritiskās vienības Direktīvā (ES) 2022/2557., un par pasākumiem, kas veikti, reaģējot uz šādiem riskiem, draudiem un incidentiem. Dalībvalstis arī nodrošina, ka to kompetentās iestādes, kas minētas šajā direktīvā, un to kompetentās iestādes, kas minētas Regulā (ES) Nr. 910/2014, Regulā (ES) 2022/2554 un Direktīvā (ES) 2018/1972, regulāri apmainās ar relevantu informāciju, tostarp par attiecīgajiem incidentiem un kiberdraudiem.

6.   Dalībvalstis vienkāršo ziņošanu, izmantojot tehniskos līdzekļus 23. un 30. pantā minētajiem paziņojumiem.

III NODAĻA

SADARBĪBA SAVIENĪBAS UN STARPTAUTISKĀ LĪMENĪ

14. pants

Sadarbības grupa

1.   Lai atbalstītu un veicinātu stratēģisku sadarbību un informācijas apmaiņu starp dalībvalstīm, kā arī lai stiprinātu uzticēšanos un paļāvību, izveido sadarbības grupu.

2.   Sadarbības grupa veic savus uzdevumus, pamatojoties uz divgadu darba programmām, kas minētas 7. punktā.

3.   Sadarbības grupas sastāvā ir pārstāvji no dalībvalstīm, Komisijas un ENISA. Sadarbības grupas darbībās kā novērotājs piedalās Eiropas Ārējās darbības dienests. Eiropas uzraudzības iestādes (EUI) un kompetentās iestādes, kas minētas Regulā (ES) 2022/2554, var piedalīties sadarbības grupas darbībās saskaņā ar minētās regulas 47. panta 1. punktu.

Attiecīgā gadījumā sadarbības grupa var uzaicināt tās darbā piedalīties Eiropas Parlamentu un pārstāvjus no attiecīgajām ieinteresētajām personām.

Komisija nodrošina sekretariātu.

4.   Sadarbības grupai ir šādi uzdevumi:

| a) | dot norādījumus kompetentajām iestādēm par šīs direktīvas transponēšanu un īstenošanu; |
| --- | --- |

a)

dot norādījumus kompetentajām iestādēm par šīs direktīvas transponēšanu un īstenošanu;

| b) | dot norādījumus kompetentajām iestādēm par rīcībpolitiku izstrādi un īstenošanu attiecībā uz koordinētu ievainojamības izpaušanu, kā minēts 7. panta 2. punkta c) apakšpunktā; |
| --- | --- |

b)

dot norādījumus kompetentajām iestādēm par rīcībpolitiku izstrādi un īstenošanu attiecībā uz koordinētu ievainojamības izpaušanu, kā minēts 7. panta 2. punkta c) apakšpunktā;

| c) | apmainīties ar paraugpraksi un informāciju saistībā ar šīs direktīvas īstenošanu, arī par kiberdraudiem, incidentiem, ievainojamībām, gandrīz notikušiem notikumiem, izpratnes veicināšanas iniciatīvām, apmācību, mācībām un prasmēm, spēju veidošanu, standartiem un tehniskajām specifikācijām, kā arī būtisku un svarīgu vienību identificēšanu, ievērojot 2. panta 2. punkta b)–e) apakšpunktu; |
| --- | --- |

c)

apmainīties ar paraugpraksi un informāciju saistībā ar šīs direktīvas īstenošanu, arī par kiberdraudiem, incidentiem, ievainojamībām, gandrīz notikušiem notikumiem, izpratnes veicināšanas iniciatīvām, apmācību, mācībām un prasmēm, spēju veidošanu, standartiem un tehniskajām specifikācijām, kā arī būtisku un svarīgu vienību identificēšanu, ievērojot 2. panta 2. punkta b)–e) apakšpunktu;

| d) | apmainīties ar padomiem un sadarboties ar Komisiju jaunu kiberdrošības rīcībpolitikas iniciatīvu jomā un attiecībā uz vispārējo nozarspecifisko kiberdrošības prasību konsekvenci; |
| --- | --- |

d)

apmainīties ar padomiem un sadarboties ar Komisiju jaunu kiberdrošības rīcībpolitikas iniciatīvu jomā un attiecībā uz vispārējo nozarspecifisko kiberdrošības prasību konsekvenci;

| e) | apmainīties ar padomiem un sadarboties ar Komisiju saistībā ar deleģēto vai īstenošanas aktu projektiem, ko pieņem, ievērojot šo direktīvu; |
| --- | --- |

e)

apmainīties ar padomiem un sadarboties ar Komisiju saistībā ar deleģēto vai īstenošanas aktu projektiem, ko pieņem, ievērojot šo direktīvu;

| f) | apmainīties ar paraugpraksi un informāciju ar attiecīgajām Savienības iestādēm, struktūrām, birojiem un aģentūrām; |
| --- | --- |

f)

apmainīties ar paraugpraksi un informāciju ar attiecīgajām Savienības iestādēm, struktūrām, birojiem un aģentūrām;

| g) | apmainīties viedokļiem par tādu nozarspecifisku Savienības tiesību aktu īstenošanu, kuros ietverti noteikumi par kiberdrošību; |
| --- | --- |

g)

apmainīties viedokļiem par tādu nozarspecifisku Savienības tiesību aktu īstenošanu, kuros ietverti noteikumi par kiberdrošību;

| h) | attiecīgā gadījumā apspriest ziņojumus par salīdzinošo izvērtēšanu, kas minēti 19. panta 9. punktā, un sagatavot secinājumus un ieteikumus; |
| --- | --- |

h)

attiecīgā gadījumā apspriest ziņojumus par salīdzinošo izvērtēšanu, kas minēti 19. panta 9. punktā, un sagatavot secinājumus un ieteikumus;

| i) | veikt kritisko piegādes ķēžu koordinētus drošības riska novērtējumus saskaņā ar 22. panta 1. punktu; |
| --- | --- |

i)

veikt kritisko piegādes ķēžu koordinētus drošības riska novērtējumus saskaņā ar 22. panta 1. punktu;

| j) | apspriest savstarpējas palīdzības gadījumus, tostarp pieredzi un rezultātus, kas gūti kopīgās pārrobežu uzraudzības darbībās, kā minēts 37. pantā; |
| --- | --- |

j)

apspriest savstarpējas palīdzības gadījumus, tostarp pieredzi un rezultātus, kas gūti kopīgās pārrobežu uzraudzības darbībās, kā minēts 37. pantā;

| k) | pēc vienas vai vairāku attiecīgo dalībvalstu lūguma apspriest konkrētus savstarpējas palīdzības pieprasījumus, kā minēts 37. pantā; |
| --- | --- |

k)

pēc vienas vai vairāku attiecīgo dalībvalstu lūguma apspriest konkrētus savstarpējas palīdzības pieprasījumus, kā minēts 37. pantā;

| l) | dot stratēģiskus norādījumus CSIRT tīklam un EU-CyCLONe par konkrētām jaunām problēmām; |
| --- | --- |

l)

dot stratēģiskus norādījumus CSIRT tīklam un EU-CyCLONe par konkrētām jaunām problēmām;

| m) | apmainīties viedokļiem par rīcībpolitiku attiecībā uz turpmākiem pasākumiem pēc plašapmēra kiberdrošības incidentiem un krīzēm, pamatojoties uz CSIRT tīkla un EU-CyCLONe gūto pieredzi; |
| --- | --- |

m)

apmainīties viedokļiem par rīcībpolitiku attiecībā uz turpmākiem pasākumiem pēc plašapmēra kiberdrošības incidentiem un krīzēm, pamatojoties uz CSIRT tīkla un EU-CyCLONe gūto pieredzi;

| n) | sniegt ieguldījumu kiberdrošības spējās visā Savienībā, veicinot valsts amatpersonu apmaiņu ar spēju veidošanas programmu, kurā iesaista darbiniekus no kompetentajām iestādēm vai CSIRT; |
| --- | --- |

n)

sniegt ieguldījumu kiberdrošības spējās visā Savienībā, veicinot valsts amatpersonu apmaiņu ar spēju veidošanas programmu, kurā iesaista darbiniekus no kompetentajām iestādēm vai CSIRT;

| o) | organizēt regulāras kopīgas sanāksmes ar attiecīgajām privātā sektora ieinteresētajām personām no visas Savienības, lai apspriestu sadarbības grupas veiktās darbības un apkopotu informāciju par jaunām rīcībpolitikas problēmām; |
| --- | --- |

o)

organizēt regulāras kopīgas sanāksmes ar attiecīgajām privātā sektora ieinteresētajām personām no visas Savienības, lai apspriestu sadarbības grupas veiktās darbības un apkopotu informāciju par jaunām rīcībpolitikas problēmām;

| p) | apspriest darbu, kas veikts saistībā ar kiberdrošības mācībām, tostarp ENISA veikto darbu; |
| --- | --- |

p)

apspriest darbu, kas veikts saistībā ar kiberdrošības mācībām, tostarp ENISA veikto darbu;

| q) | izstrādāt 19. panta 1. punktā minētās salīdzinošās izvērtēšanas metodiku un organizatoriskos aspektus, kā arī ar Komisijas un ENISA palīdzību saskaņā ar 19. panta 5. punktu izstrādāt dalībvalstīm pašnovērtējuma metodiku un sadarbībā ar Komisiju un ENISA saskaņā ar 19. panta 6. punktu izstrādāt rīcības kodeksus, kas ir pamatā norīkoto kiberdrošības ekspertu darba metodēm; |
| --- | --- |

q)

izstrādāt 19. panta 1. punktā minētās salīdzinošās izvērtēšanas metodiku un organizatoriskos aspektus, kā arī ar Komisijas un ENISA palīdzību saskaņā ar 19. panta 5. punktu izstrādāt dalībvalstīm pašnovērtējuma metodiku un sadarbībā ar Komisiju un ENISA saskaņā ar 19. panta 6. punktu izstrādāt rīcības kodeksus, kas ir pamatā norīkoto kiberdrošības ekspertu darba metodēm;

| r) | sagatavot ziņojumus par stratēģiskā līmenī un no salīdzinošās izvērtēšanas gūto pieredzi 40. pantā minētās pārskatīšanas nolūkā; |
| --- | --- |

r)

sagatavot ziņojumus par stratēģiskā līmenī un no salīdzinošās izvērtēšanas gūto pieredzi 40. pantā minētās pārskatīšanas nolūkā;

| s) | apspriest un regulāri novērtēt pašreizējo stāvokli kiberdraudu vai incidentu, piemēram, izspiedējprogrammatūras, jomā. |
| --- | --- |

s)

apspriest un regulāri novērtēt pašreizējo stāvokli kiberdraudu vai incidentu, piemēram, izspiedējprogrammatūras, jomā.

Sadarbības grupa pirmās daļas r) apakšpunktā minētos ziņojumus iesniedz Komisijai, Eiropas Parlamentam un Padomei.

5.   Dalībvalstis nodrošina to pārstāvju efektīvu, rezultatīvu un drošu sadarbību sadarbības grupā.

6.   Sadarbības grupa var pieprasīt no CSIRT tīkla tehnisku ziņojumu par izraudzītiem tematiem.

7.   Līdz 2024. gada 1. februārim un pēc tam reizi divos gados sadarbības grupa izstrādā darba programmu par pasākumiem, kas jāveic, lai sasniegtu tās mērķus un izpildītu uzdevumus.

8.   Komisija var pieņemt īstenošanas aktus, ar kuriem nosaka procesuālo kārtību, kas nepieciešama sadarbības grupas darbībai.

Minētos īstenošanas aktus pieņem saskaņā ar pārbaudes procedūru, kas minēta 39. panta 2. punktā.

Komisija saskaņā ar 4. punkta e) apakšpunktu apmainās ar padomiem un sadarbojas ar sadarbības grupu saistībā ar šā punkta pirmajā daļā minētajiem īstenošanas aktu projektiem.

9.   Sadarbības grupa regulāri un jebkurā gadījumā vismaz reizi gadā tiekas ar Kritisko vienību noturības grupu, kas izveidota ar Direktīvu (ES) 2022/2557., lai veicinātu un atvieglotu stratēģisko sadarbību un informācijas apmaiņu.

15. pants

CSIRT
  tīkls

1.   Lai palīdzētu attīstīt paļāvību un uzticēšanos un veicinātu ātru un efektīvu operatīvo sadarbību starp dalībvalstīm, tiek izveidots valsts CSIRT tīkls.

2.   CSIRT tīklu veido saskaņā ar 10. pantu izraudzīto vai izveidoto CSIRT un Savienības iestāžu, struktūru un aģentūru datorapdraudējumu reaģēšanas vienības (CERT-EU) pārstāvji. Komisija piedalās CSIRT tīklā novērotāja statusā. ENISA nodrošina sekretariātu un aktīvi palīdz sadarbībā starp CSIRT.

3.   
  CSIRT tīklam ir šādi uzdevumi:

| a) | apmainīties ar informāciju par CSIRT spējām; |
| --- | --- |

a)

apmainīties ar informāciju par CSIRT spējām;

| b) | sekmēt tehnoloģiju un attiecīgo pasākumu, rīcībpolitiku, rīku, procesu, paraugprakšu un satvaru kopīgošanu, pārnesi un apmaiņu CSIRT starpā; |
| --- | --- |

b)

sekmēt tehnoloģiju un attiecīgo pasākumu, rīcībpolitiku, rīku, procesu, paraugprakšu un satvaru kopīgošanu, pārnesi un apmaiņu CSIRT starpā;

| c) | apmainīties ar relevantu informāciju par incidentiem, gandrīz notikušiem notikumiem, kiberdraudiem, riskiem un ievainojamībām; |
| --- | --- |

c)

apmainīties ar relevantu informāciju par incidentiem, gandrīz notikušiem notikumiem, kiberdraudiem, riskiem un ievainojamībām;

| d) | apmainīties ar informāciju par publikācijām un ieteikumiem kiberdrošības jomā; |
| --- | --- |

d)

apmainīties ar informāciju par publikācijām un ieteikumiem kiberdrošības jomā;

| e) | nodrošināt sadarbspēju attiecībā uz informācijas kopīgošanas specifikācijām un protokoliem; |
| --- | --- |

e)

nodrošināt sadarbspēju attiecībā uz informācijas kopīgošanas specifikācijām un protokoliem;

| f) | ja to lūdz CSIRT tīkla dalībnieks, kuru varētu ietekmēt incidents, – apmainīties ar informāciju par minēto incidentu un apspriest informāciju par to un saistītajiem kiberdraudiem, riskiem un ievainojamībām; |
| --- | --- |

f)

ja to lūdz CSIRT tīkla dalībnieks, kuru varētu ietekmēt incidents, – apmainīties ar informāciju par minēto incidentu un apspriest informāciju par to un saistītajiem kiberdraudiem, riskiem un ievainojamībām;

| g) | pēc CSIRT tīkla dalībnieka lūguma apspriest un, ja iespējams, īstenot saskaņotu reaģēšanu uz incidentu, kas ir identificēts attiecīgās dalībvalsts jurisdikcijā; |
| --- | --- |

g)

pēc CSIRT tīkla dalībnieka lūguma apspriest un, ja iespējams, īstenot saskaņotu reaģēšanu uz incidentu, kas ir identificēts attiecīgās dalībvalsts jurisdikcijā;

| h) | sniegt dalībvalstīm palīdzību pārrobežu incidentu risināšanā atbilstoši šai direktīvai; |
| --- | --- |

h)

sniegt dalībvalstīm palīdzību pārrobežu incidentu risināšanā atbilstoši šai direktīvai;

| i) | sadarboties, apmainīties ar paraugpraksi un sniegt palīdzību CSIRT, kas izraudzītas par koordinatorēm saskaņā ar 12. panta 1. punktu, attiecībā uz tādas koordinētas ievainojamību izpaušanas pārvaldību, kas varētu būtiski ietekmēt vienības vairāk nekā vienā dalībvalstī; |
| --- | --- |

i)

sadarboties, apmainīties ar paraugpraksi un sniegt palīdzību CSIRT, kas izraudzītas par koordinatorēm saskaņā ar 12. panta 1. punktu, attiecībā uz tādas koordinētas ievainojamību izpaušanas pārvaldību, kas varētu būtiski ietekmēt vienības vairāk nekā vienā dalībvalstī;

| j) | apspriest un apzināt operatīvās sadarbības turpmākos veidus, arī attiecībā uz:






  i) | kiberdraudu un incidentu kategorijām; |
| --- | --- | --- |

j)

apspriest un apzināt operatīvās sadarbības turpmākos veidus, arī attiecībā uz:

i)

kiberdraudu un incidentu kategorijām;

| ii) | agrīniem brīdinājumiem; |
| --- | --- |

ii)

agrīniem brīdinājumiem;

| iii) | savstarpēju palīdzību; |
| --- | --- |

iii)

savstarpēju palīdzību;

| iv) | koordinēšanas principiem un kārtību reaģēšanā uz pārrobežu riskiem un incidentiem; |
| --- | --- |

iv)

koordinēšanas principiem un kārtību reaģēšanā uz pārrobežu riskiem un incidentiem;

| v) | pēc kādas dalībvalsts lūguma – ieguldījumu valsts plānā reaģēšanai uz plašapmēra kiberdrošības incidentiem un krīzēm, kas minēts 9. panta 4. punktā; |
| --- | --- |

v)

pēc kādas dalībvalsts lūguma – ieguldījumu valsts plānā reaģēšanai uz plašapmēra kiberdrošības incidentiem un krīzēm, kas minēts 9. panta 4. punktā;

| k) | informēt sadarbības grupu par savām darbībām un par turpmākajiem operatīvās sadarbības veidiem, kas apspriesti, ievērojot j) apakšpunktu, un nepieciešamības gadījumā lūgt norādījumus attiecībā uz tiem; |
| --- | --- |

k)

informēt sadarbības grupu par savām darbībām un par turpmākajiem operatīvās sadarbības veidiem, kas apspriesti, ievērojot j) apakšpunktu, un nepieciešamības gadījumā lūgt norādījumus attiecībā uz tiem;

| l) | apkopot informāciju no kiberdrošības mācībām, tostarp tām, ko organizē ENISA; |
| --- | --- |

l)

apkopot informāciju no kiberdrošības mācībām, tostarp tām, ko organizē ENISA;

| m) | pēc atsevišķas CSIRT pieprasījuma apspriest tās spējas un sagatavotību; |
| --- | --- |

m)

pēc atsevišķas CSIRT pieprasījuma apspriest tās spējas un sagatavotību;

| n) | sadarboties un apmainīties ar informāciju ar reģionālajiem un Savienības līmeņa drošības operāciju centriem (SOC), lai uzlabotu vienotu situācijas izpratni par incidentiem un kiberdraudiem Savienībā; |
| --- | --- |

n)

sadarboties un apmainīties ar informāciju ar reģionālajiem un Savienības līmeņa drošības operāciju centriem (SOC), lai uzlabotu vienotu situācijas izpratni par incidentiem un kiberdraudiem Savienībā;

| o) | attiecīgā gadījumā apspriest salīdzinošās izvērtēšanas ziņojumus, kas minēti 19. panta 9. punktā; |
| --- | --- |

o)

attiecīgā gadījumā apspriest salīdzinošās izvērtēšanas ziņojumus, kas minēti 19. panta 9. punktā;

| p) | sniegt pamatnostādnes, lai atvieglotu operatīvās prakses konverģenci saistībā ar šā panta noteikumu piemērošanu attiecībā uz operatīvo sadarbību. |
| --- | --- |

p)

sniegt pamatnostādnes, lai atvieglotu operatīvās prakses konverģenci saistībā ar šā panta noteikumu piemērošanu attiecībā uz operatīvo sadarbību.

4.   Šīs direktīvas 40. pantā minētās pārskatīšanas nolūkā CSIRT tīkls līdz 2025. gada 17. janvārim un pēc tam reizi divos gados novērtē operatīvajā sadarbībā gūto progresu un pieņem ziņojumu. Ziņojumā jo īpaši izdara secinājumus un izstrādā ieteikumus, pamatojoties uz rezultātiem, kas gūti 19. pantā minētajā salīdzinošajā izvērtēšanā, kura ir veikta attiecībā uz valstu CSIRT. Minēto ziņojumu iesniedz sadarbības grupai.

5.   CSIRT tīkls pieņem savu reglamentu.

6.   CSIRT tīkls un EU-CyCLONe vienojas par procesuālo kārtību un uz tās pamata sadarbojas.

16. pants

Eiropas Kiberkrīžu sadarbības organizāciju tīkls (
  EU-CyCLONe)

1.   EU-CyCLONe izveido, lai atbalstītu plašapmēra kiberdrošības incidentu un krīžu koordinētu pārvaldību operatīvā līmenī un nodrošinātu regulāru relevantas informācijas apmaiņu starp dalībvalstīm un Savienības iestādēm, struktūrām, birojiem un aģentūrām.

2.   EU-CyCLONe sastāvā ir pārstāvji no dalībvalstu kiberkrīžu pārvaldības iestādēm, kā arī - gadījumos, kad iespējamam vai notiekošam plašapmēra kiberdrošības incidentam ir vai varētu būt būtiska ietekme uz pakalpojumiem un darbībām, kas ietilpst šīs direktīvas darbības jomā - no Komisijas. Citos gadījumos Komisija EU-CyCLONe darbībās piedalās kā novērotāja.

ENISA nodrošina EU-CyCLONe sekretariātu un atbalsta drošu informācijas apmaiņu, kā arī nodrošina rīkus, kas vajadzīgi, lai atbalstītu dalībvalstu sadarbību drošas informācijas apmaiņas nodrošināšanā.

Attiecīgā gadījumā EU-CyCLONe var aicināt attiecīgo ieinteresēto personu pārstāvjus piedalīties tās darbā novērotāja statusā.

3.   
  EU-CyCLONe ir šādi uzdevumi:

| a) | paaugstināt plašapmēra kiberdrošības incidentu un krīžu pārvaldības sagatavotības līmeni; |
| --- | --- |

a)

paaugstināt plašapmēra kiberdrošības incidentu un krīžu pārvaldības sagatavotības līmeni;

| b) | veidot vienotu situācijas izpratni par plašapmēra kiberdrošības incidentiem un krīzēm; |
| --- | --- |

b)

veidot vienotu situācijas izpratni par plašapmēra kiberdrošības incidentiem un krīzēm;

| c) | izvērtēt attiecīgo plašapmēra kiberdrošības incidentu un krīžu sekas un ietekmi un ierosināt iespējamos mitigācijas pasākumus; |
| --- | --- |

c)

izvērtēt attiecīgo plašapmēra kiberdrošības incidentu un krīžu sekas un ietekmi un ierosināt iespējamos mitigācijas pasākumus;

| d) | koordinēt plašapmēra kiberdrošības incidentu un krīžu pārvaldību un atbalstīt lēmumu pieņemšanu politiskā līmenī saistībā ar šādiem incidentiem un krīzēm; |
| --- | --- |

d)

koordinēt plašapmēra kiberdrošības incidentu un krīžu pārvaldību un atbalstīt lēmumu pieņemšanu politiskā līmenī saistībā ar šādiem incidentiem un krīzēm;

| e) | pēc attiecīgās dalībvalsts pieprasījuma apspriest 9. panta 4. punktā minētos valsts plānus reaģēšanai uz plašapmēra kiberdrošības incidentiem un krīzēm. |
| --- | --- |

e)

pēc attiecīgās dalībvalsts pieprasījuma apspriest 9. panta 4. punktā minētos valsts plānus reaģēšanai uz plašapmēra kiberdrošības incidentiem un krīzēm.

4.   EU-CyCLONe pieņem savu reglamentu.

5.   EU-CyCLONe regulāri ziņo sadarbības grupai par plašapmēra kiberdrošības incidentu un krīžu pārvaldību, kā arī tendencēm, īpaši pievēršoties to ietekmei uz būtiskajām un svarīgajām vienībām.

6.   EU-CyCLONe sadarbojas ar CSIRT tīklu, pamatojoties uz saskaņotu procesuālo kārtību, kas paredzēta 15. panta 6. punktā.

7.   Līdz 2024. gada 17. jūlijam un pēc tam reizi 18 mēnešos EU-CyCLONe iesniedz Eiropas Parlamentam un Padomei novērtējuma ziņojumu par savu darbu.

17. pants

Starptautiskā sadarbība

Attiecīgā gadījumā Savienība saskaņā ar LESD 218. pantu var noslēgt starptautiskus nolīgumus ar trešām valstīm vai starptautiskām organizācijām, kuri ļauj tām piedalīties un organizē to dalību sadarbības grupas, CSIRT tīkla un EU-CyCLONe konkrētās darbībās. Šādi nolīgumi atbilst Savienības datu aizsardzības tiesību aktiem.

CSIRT

EU-CyCLONe

18. pants

Ziņojums par situāciju kiberdrošības jomā Savienībā

1.   
  ENISA, sadarbojoties ar Komisiju un sadarbības grupu, pieņem divgadu ziņojumu par situāciju kiberdrošības jomā Savienībā un iesniedz minēto ziņojumu Eiropas Parlamentam, kā arī iepazīstina Parlamentu ar to. Ziņojumu cita starpā iesniedz mašīnlasāmu datu veidā, un tajā iekļauj:

| a) | Savienības līmeņa kiberdrošības risku novērtējumu, kurā ir ņemta vērā kiberapdraudējuma aina; |
| --- | --- |

a)

Savienības līmeņa kiberdrošības risku novērtējumu, kurā ir ņemta vērā kiberapdraudējuma aina;

| b) | kiberdrošības spēju attīstības novērtējumu publiskajā un privātajā sektorā visā Savienībā; |
| --- | --- |

b)

kiberdrošības spēju attīstības novērtējumu publiskajā un privātajā sektorā visā Savienībā;

| c) | novērtējumu par vispārējo kiberdrošības izpratnes un kiberhigiēnas līmeni iedzīvotāju un vienību, tostarp mazo un vidējo uzņēmumu, vidū; |
| --- | --- |

c)

novērtējumu par vispārējo kiberdrošības izpratnes un kiberhigiēnas līmeni iedzīvotāju un vienību, tostarp mazo un vidējo uzņēmumu, vidū;

| d) | apkopotu novērtējumu par 19. pantā minēto salīdzinošo izvērtēšanu rezultātiem; |
| --- | --- |

d)

apkopotu novērtējumu par 19. pantā minēto salīdzinošo izvērtēšanu rezultātiem;

| e) | apkopotu novērtējumu par kiberdrošības spēju un resursu brieduma līmeni visā Savienībā, tostarp nozaru līmenī, kā arī par to, cik lielā mērā dalībvalstu kiberdrošības stratēģijas ir saskaņotas. |
| --- | --- |

e)

apkopotu novērtējumu par kiberdrošības spēju un resursu brieduma līmeni visā Savienībā, tostarp nozaru līmenī, kā arī par to, cik lielā mērā dalībvalstu kiberdrošības stratēģijas ir saskaņotas.

2.   Ziņojumā iekļauj īpašus rīcībpolitiku ieteikumus trūkumu novēršanai un kiberdrošības līmeņa paaugstināšanai Savienībā un konstatējumu kopsavilkumu par attiecīgo periodu no ENISA saskaņā ar Regulas (ES) 2019/881 7. panta 6. punktu sagatavotajiem ES kiberdrošības tehniskās situācijas ziņojumiem par incidentiem un kiberdraudiem.

3.   ENISA sadarbībā ar Komisiju, sadarbības grupu un CSIRT tīklu sagatavo metodiku, tostarp attiecīgos 1. punkta e) apakšpunktā minētā apkopotā novērtējuma mainīgos lielumus, piemēram, kvantitatīvos un kvalitatīvos rādītājus.

19. pants

Salīdzinošā izvērtēšana

1.   Sadarbības grupa līdz 2025. gada 17. janvārim ar Komisijas un ENISA un attiecīgā gadījumā CSIRT tīkla palīdzību izstrādā salīdzinošās izvērtēšanas metodiku un organizatoriskos aspektus, lai mācītos no kopīgas pieredzes, stiprinātu savstarpējo uzticēšanos, panāktu vienādi augstu kiberdrošības līmeni, kā arī uzlabotu dalībvalstu kiberdrošības spējas un rīcībpolitikas, kas vajadzīgas šīs direktīvas īstenošanai. Dalība salīdzinošajā izvērtēšanā ir brīvprātīga. Salīdzinošo izvērtēšanu veic kiberdrošības eksperti. Kiberdrošības ekspertus ieceļ vismaz divas dalībvalstis, kas nav izvērtējamā dalībvalsts.

Salīdzinošās izvērtēšanas ietver vismaz vienu no šiem elementiem:

| a) | šīs direktīvas 21. un 23. pantā noteikto kiberdrošības risku pārvaldības pasākumu un ziņošanas pienākumu īstenošanas līmenis; |
| --- | --- |

a)

šīs direktīvas 21. un 23. pantā noteikto kiberdrošības risku pārvaldības pasākumu un ziņošanas pienākumu īstenošanas līmenis;

| b) | spēju līmenis, tostarp pieejamos finansiālos un tehniskos resursus un cilvēkresursus, un kompetento iestāžu uzdevumu izpildes efektivitāte; |
| --- | --- |

b)

spēju līmenis, tostarp pieejamos finansiālos un tehniskos resursus un cilvēkresursus, un kompetento iestāžu uzdevumu izpildes efektivitāte;

| c) | CSIRT operatīvās spējas; |
| --- | --- |

c)

CSIRT operatīvās spējas;

| d) | 37. pantā minētās savstarpējās palīdzības īstenošanas līmenis; |
| --- | --- |

d)

37. pantā minētās savstarpējās palīdzības īstenošanas līmenis;

| e) | šīs regulas 29. pantā minētā kiberdrošības informācijas kopīgošanas mehānisma īstenošanas līmenis; |
| --- | --- |

e)

šīs regulas 29. pantā minētā kiberdrošības informācijas kopīgošanas mehānisma īstenošanas līmenis;

| f) | specifiski pārrobežu vai starpnozaru jautājumi. |
| --- | --- |

f)

specifiski pārrobežu vai starpnozaru jautājumi.

2.   Metodika, kas minēta 1. punktā, ietver objektīvus, nediskriminējošus, taisnīgus un pārredzamus kritērijus, uz kuru pamata dalībvalstis izraugās kiberdrošības ekspertus, kas ir tiesīgi veikt salīdzinošo izvērtēšanu. Komisija un ENISA piedalās salīdzinošajā izvērtēšanā novērotāja statusā.

3.   Salīdzinošās izvērtēšanas vajadzībām dalībvalstis var identificēt specifiskus jautājumus, kā minēts 1. punkta f) apakšpunktā.

4.   Pirms salīdzinošās izvērtēšanas sākšanas, kā minēts 1. punktā, dalībvalstis paziņo iesaistītajām dalībvalstīm tās tvērumu, tostarp specifiskos jautājumus, kuri identificēti, ievērojot 3. punktu.

5.   Pirms salīdzinošās izvērtēšanas sākšanas dalībvalstis var veikt izvērtējamo aspektu pašnovērtējumu un iesniegt minēto pašnovērtējumu izraudzītajiem kiberdrošības ekspertiem. Sadarbības grupa ar Komisijas un ENISA palīdzību nosaka dalībvalstu pašnovērtējuma metodiku.

6.   Salīdzinošā izvērtēšana ietver fiziskus vai virtuālus apmeklējumus klātienē un informācijas apmaiņu no tālienes. Saskaņā ar labas sadarbības principu dalībvalsts, par kuru veic salīdzinošo izvērtēšanu, izraudzītajiem ekspertiem sniedz izvērtēšanai nepieciešamo informāciju, neskarot valsts vai Savienības tiesību aktus par konfidenciālas vai klasificētas informācijas aizsardzību vai tādu būtisku valsts funkciju saglabāšanu kā valsts drošība. Sadarbības grupa sadarbībā ar Komisiju un ENISA izstrādā piemērotus rīcības kodeksus, kuros nosaka izraudzīto kiberdrošības ekspertu darba metodes. Visu salīdzinošās izvērtēšanas laikā iegūto informāciju izmanto tikai minētajam mērķim. Kiberdrošības eksperti, kuri piedalās salīdzinošajā izvērtēšanā, neizpauž trešām personām sensitīvu vai konfidenciālu informāciju, kas iegūta salīdzinošās izvērtēšanas laikā.

7.   Pēc salīdzinošās izvērtēšanas par kādu no dalībvalstīm izvērtētos aspektus tajā pašā dalībvalstī nevērtē divus gadus pēc salīdzinošās izvērtēšanas noslēgšanas, ja vien minētā dalībvalsts nav pieprasījusi citādi vai pēc sadarbības grupas priekšlikuma nav panākta citāda vienošanās.

8.   Dalībvalstis nodrošina, ka katrs interešu konflikta risks, kas attiecas uz izraudzītajiem kiberdrošības ekspertiem, pirms salīdzinošās izvērtēšanas sākšanas tiek darīts zināms pārējām dalībvalstīm, sadarbības grupai, Komisijai un ENISA. Dalībvalsts, par kuru veic salīdzinošo izvērtēšanu, var iebilst pret konkrētu kiberdrošības ekspertu izraudzīšanos, balstoties uz pienācīgi pamatotiem iemesliem, kas paziņoti ekspertus izraugošajai dalībvalstij.

9.   Kiberdrošības eksperti, kuri piedalās salīdzinošajā izvērtēšanā, sagatavo ziņojumus par salīdzinošās izvērtēšanas konstatējumiem un secinājumiem. Dalībvalstis, par kurām veic salīdzinošo izvērtēšanu, var sniegt komentārus par tās izvērtējošo ziņojumu projektiem un šādus komentārus pievieno ziņojumiem. Ziņojumos iekļauj ieteikumus, kā panākt uzlabojumus aspektos, uz kuriem attiecas salīdzinošā izvērtēšana. Vajadzības gadījumā ziņojumus iesniedz sadarbības grupai un CSIRT tīklam. Dalībvalsts, par kuru veic salīdzinošo izvērtēšanu, var nolemt publiskot tās ziņojumu vai tā versiju ar aizklājumiem.

IV NODAĻA

KIBERDROŠĪBAS RISKU PĀRVALDĪBAS PASĀKUMI UN ZIŅOŠANAS PIENĀKUMI

20. pants

Pārvalde

1.   Dalībvalstis nodrošina, ka būtisku un svarīgu vienību pārvaldes struktūras apstiprina kiberdrošības risku pārvaldības pasākumus, ko minētās vienības veikušas, lai izpildītu 21. panta prasības, pārrauga to īstenošanu, un no tām var prasīt atbildību par to, ka vienības ir pārkāpušas minēto pantu.

Šā punkta piemērošana neskar valsts tiesību aktus par atbildības noteikumiem, ko piemēro valsts iestādēm, kā arī par valsts ierēdņu un ievēlētu vai ieceltu amatpersonu atbildību.

2.   Dalībvalstis nodrošina, ka būtisko un svarīgo vienību pārvaldības struktūru locekļiem tiek prasīts iziet apmācību, un mudina būtiskās un svarīgās vienības līdzīgu apmācību regulāri piedāvāt saviem darbiniekiem, lai nodrošinātu pietiekamas zināšanas un prasmes, kas tiem ļautu identificēt riskus un novērtēt kiberdrošības risku pārvaldības praksi, kā arī to ietekmi uz vienības sniegtajiem pakalpojumiem.

21. pants

Kiberdrošības risku pārvaldības pasākumi

1.   Dalībvalstis nodrošina, ka būtiskās un svarīgās vienības veic atbilstīgus un samērīgus tehniskos, operatīvos un organizatoriskos pasākumus, lai pārvaldītu riskus to tīklu un informācijas sistēmu drošībai, ko tās izmanto savā darbībā vai savu pakalpojumu sniegšanā, un novērstu vai līdz minimumam samazinātu incidentu ietekmi uz pakalpojumu saņēmējiem un uz citiem pakalpojumiem.

Ņemot vērā jaunākos un attiecīgā gadījumā atbilstošos Eiropas un starptautiskos standartus, kā arī īstenošanas izmaksas, pirmajā daļā minētie pasākumi nodrošina radītajiem riskiem atbilstošu tīklu un informācijas sistēmu drošības līmeni. Novērtējot minēto pasākumu samērīgumu, pienācīgi ņem vērā to, kādā mērā vienība ir pakļauta riskiem, vienības lielumu un incidentu iespējamību un smagumu, tostarp sociālo un ekonomisko ietekmi.

2.   Pasākumu, kas minēti 1. punktā, pamatā ir visu apdraudējumu pieeja, kuras mērķis ir aizsargāt tīklu un informācijas sistēmas un šo sistēmu fizisko vidi no incidentiem, un tie ietver vismaz:

| a) | riska analīzes un informācijas sistēmu drošības rīcībpolitikas; |
| --- | --- |

a)

riska analīzes un informācijas sistēmu drošības rīcībpolitikas;

| b) | incidentu risināšanu; |
| --- | --- |

b)

incidentu risināšanu;

| c) | darbības nepārtrauktību, piemēram, dublējuma pārvaldību un negadījuma seku novēršanu, un krīžu pārvaldību; |
| --- | --- |

c)

darbības nepārtrauktību, piemēram, dublējuma pārvaldību un negadījuma seku novēršanu, un krīžu pārvaldību;

| d) | piegādes ķēdes drošību, tostarp ar drošību saistītus aspektus, kas skar attiecības starp katru vienību un tās tiešajiem piegādātājiem vai pakalpojumu sniedzējiem; |
| --- | --- |

d)

piegādes ķēdes drošību, tostarp ar drošību saistītus aspektus, kas skar attiecības starp katru vienību un tās tiešajiem piegādātājiem vai pakalpojumu sniedzējiem;

| e) | drošību tīklu un informācijas sistēmu ieguvē, attīstīšanā un uzturēšanā, tostarp rīcību ievainojamības gadījumā un ievainojamības izpaušanu; |
| --- | --- |

e)

drošību tīklu un informācijas sistēmu ieguvē, attīstīšanā un uzturēšanā, tostarp rīcību ievainojamības gadījumā un ievainojamības izpaušanu;

| f) | rīcībpolitikas un procedūras, ar ko novērtē kiberdrošības risku pārvaldības pasākumu efektivitāti; |
| --- | --- |

f)

rīcībpolitikas un procedūras, ar ko novērtē kiberdrošības risku pārvaldības pasākumu efektivitāti;

| g) | kiberhigiēnas pamatpraksi un apmācību kiberdrošības jomā; |
| --- | --- |

g)

kiberhigiēnas pamatpraksi un apmācību kiberdrošības jomā;

| h) | rīcībpolitikas un procedūras attiecībā uz kriptogrāfijas un attiecīgā gadījumā šifrēšanas izmantošanu; |
| --- | --- |

h)

rīcībpolitikas un procedūras attiecībā uz kriptogrāfijas un attiecīgā gadījumā šifrēšanas izmantošanu;

| i) | cilvēkresursu drošību, piekļuves kontroles rīcībpolitikas un aktīvu pārvaldību; |
| --- | --- |

i)

cilvēkresursu drošību, piekļuves kontroles rīcībpolitikas un aktīvu pārvaldību;

| j) | attiecīgā gadījumā daudzfaktoru autentifikācijas vai nepārtrauktas autentifikācijas risinājumus, drošu balss, video un teksta sakaru un drošu ārkārtas sakaru sistēmu izmantošanu vienībā. |
| --- | --- |

j)

attiecīgā gadījumā daudzfaktoru autentifikācijas vai nepārtrauktas autentifikācijas risinājumus, drošu balss, video un teksta sakaru un drošu ārkārtas sakaru sistēmu izmantošanu vienībā.

3.   Dalībvalstis nodrošina, ka, apsverot, kuri pasākumi, kas minēti šā panta 2. punkta d) apakšpunktā, ir piemēroti, vienības ņem vērā ievainojamības, kas raksturīgas katram tiešajam piegādātājam un pakalpojumu sniedzējam, un vispārējo savu piegādātāju un pakalpojumu sniedzēju produktu kvalitāti un to kiberdrošības praksi, tostarp to drošās izstrādes procedūras. Dalībvalstis nodrošina arī to, ka, apsverot, kuri minētajā apakšpunktā norādītie pasākumi ir piemēroti, no vienībām tiek prasīts ņemt vērā saskaņā ar 22. panta 1. punktu veikto kritisko piegādes ķēžu koordinēto drošības riska novērtējumu rezultātus.

4.   Dalībvalstis nodrošina, ka vienība, kas konstatē, ka tā neievēro 2. punktā paredzētos pasākumus, bez liekas kavēšanās veic visus nepieciešamos, piemērotos un samērīgos korektīvos pasākumus.

5.   Līdz 2024. gada 17. oktobrim Komisija pieņem īstenošanas aktus, ar kuriem nosaka 2. punktā minēto pasākumu tehniskās un metodiskās prasības attiecībā uz DNS pakalpojumu sniedzējiem, ALD nosaukumu reģistriem, mākoņdatošanas pakalpojumu sniedzējiem, datu centru pakalpojumu sniedzējiem, satura piegādes tīkla nodrošinātājiem, pārvaldītu pakalpojumu sniedzējiem, pārvaldītu drošības pakalpojumu sniedzējiem, tiešsaistes tirdzniecības vietu, tiešsaistes meklētājprogrammu un sociālās tīklošanās pakalpojumu platformu nodrošinātājiem un uzticamības pakalpojumu sniedzējiem.

Komisija var pieņemt īstenošanas aktus, ar kuriem nosaka tehniskās un metodiskās prasības, kā arī vajadzības gadījumā nozaru prasības 2. punktā minētajiem pasākumiem attiecībā uz būtiskām un svarīgām vienībām, kas nav minētas šā punkta pirmajā daļā.

Sagatavojot šā punkta pirmajā un otrajā daļā minētos īstenošanas aktus, Komisija, ciktāl iespējams, ievēro Eiropas un starptautiskos standartus, kā arī attiecīgās tehniskās specifikācijas. Komisija apmainās ar padomiem un sadarbojas ar sadarbības grupu un ENISA jautājumos par īstenošanas aktu projektiem saskaņā ar 14. panta 4. punkta e) apakšpunktu.

Minētos īstenošanas aktus pieņem saskaņā ar pārbaudes procedūru, kas minēta 39. panta 2. punktā.

22. pants

Savienības līmenī koordinētie kritisko piegādes ķēžu drošības riska novērtējumi

1.   Sadarbības grupa kopā ar Komisiju un ENISA var veikt konkrētu kritisku IKT pakalpojumu, IKT sistēmu vai IKT produktu piegādes ķēžu koordinētus drošības riska novērtējumus, ņemot vērā tehniskus un attiecīgā gadījumā netehniskus riska faktorus.

2.   Komisija pēc apspriešanās ar sadarbības grupu un ENISA, kā arī – vajadzības gadījumā – attiecīgajām ieinteresētajām personām identificē konkrētos kritiskos IKT pakalpojumus, IKT sistēmas vai IKT produktus, par kuriem var veikt 1. punktā minēto koordinēto drošības riska novērtējumu.

23. pants

Ziņošanas pienākumi

1.   Katra dalībvalsts nodrošina, ka būtiskās un svarīgās vienības bez nepamatotas kavēšanās paziņo CSIRT vai attiecīgā gadījumā savai kompetentajai iestādei saskaņā ar 4. punktu par ikvienu incidentu, kam ir būtiska ietekme uz to pakalpojumu sniegšanu, kā minēts 3. punktā (būtisks incidents). Atbilstošā gadījumā attiecīgās vienības bez nepamatotas kavēšanās informē savus pakalpojumu saņēmējus par būtiskiem incidentiem, kas varētu nelabvēlīgi ietekmēt minēto pakalpojumu sniegšanu. Katra dalībvalsts nodrošina, ka minētās vienības cita starpā paziņo visu informāciju, kas ļauj CSIRT vai attiecīgā gadījumā kompetentajai iestādei noteikt incidenta pārrobežu ietekmi. Paziņošanas akts vien neuzliek paziņotājai vienībai lielāku atbildību.

Ja attiecīgās vienības paziņo kompetentajai iestādei par būtisku incidentu saskaņā ar pirmo daļu, dalībvalsts nodrošina, ka minētā kompetentā iestāde pēc paziņojuma saņemšanas to pārsūta arī CSIRT.

Pārrobežu vai starpnozaru būtiska incidenta gadījumā dalībvalstis nodrošina, ka to vienotajiem kontaktpunktiem laikus tiek sniegta relevanta informācija, kas paziņota saskaņā ar 4. punktu.

2.   Attiecīgā gadījumā dalībvalstis nodrošina, ka būtiskās un svarīgās vienības bez nepamatotas kavēšanās paziņo saviem pakalpojumu saņēmējiem, kurus varētu skart būtiski kiberdraudi, par visiem pasākumiem vai korektīvajiem līdzekļiem, ko minētie saņēmēji var izmantot, reaģējot uz minētajiem draudiem. Attiecīgā gadījumā vienības informē minētos saņēmējus arī par pašiem būtiskajiem kiberdraudiem.

3.   Incidentu uzskata par būtisku, ja:

| a) | tas ir izraisījis vai spēj izraisīt smagus pakalpojumu darbības traucējumus vai finansiālus zaudējumus attiecīgajai vienībai; |
| --- | --- |

a)

tas ir izraisījis vai spēj izraisīt smagus pakalpojumu darbības traucējumus vai finansiālus zaudējumus attiecīgajai vienībai;

| b) | tas ir ietekmējis vai spēj ietekmēt citas fiziskas vai juridiskas personas, izraisot ievērojamu materiālo vai nemateriālo kaitējumu. |
| --- | --- |

b)

tas ir ietekmējis vai spēj ietekmēt citas fiziskas vai juridiskas personas, izraisot ievērojamu materiālo vai nemateriālo kaitējumu.

4.   Dalībvalstis nodrošina, ka 1. punktā noteiktās paziņošanas nolūkos attiecīgās vienības iesniedz CSIRT vai attiecīgā gadījumā kompetentajai iestādei:

| a) | bez nepamatotas kavēšanās un katrā ziņā 24 stundu laikā no brīža, kad uzzinājušas par būtisku incidentu, – agrīnu brīdinājumu, kurā attiecīgā gadījumā norāda, vai ir aizdomas, ka būtisko incidentu ir izraisījusi nelikumīga vai ļaunprātīga rīcība, un vai tam varētu būt pārrobežu ietekme; |
| --- | --- |

a)

bez nepamatotas kavēšanās un katrā ziņā 24 stundu laikā no brīža, kad uzzinājušas par būtisku incidentu, – agrīnu brīdinājumu, kurā attiecīgā gadījumā norāda, vai ir aizdomas, ka būtisko incidentu ir izraisījusi nelikumīga vai ļaunprātīga rīcība, un vai tam varētu būt pārrobežu ietekme;

| b) | bez nepamatotas kavēšanās un jebkurā gadījumā 72 stundu laikā pēc tam, kad uzzinājušas par būtisko incidentu, – paziņojumu par incidentu, kurā attiecīgā gadījumā atjaunina a) apakšpunktā minēto informāciju un norāda būtiskā incidenta sākotnējo novērtējumu, tostarp tā smagumu un ietekmi, kā arī, ja pieejami, aizskāruma rādītājus; |
| --- | --- |

b)

bez nepamatotas kavēšanās un jebkurā gadījumā 72 stundu laikā pēc tam, kad uzzinājušas par būtisko incidentu, – paziņojumu par incidentu, kurā attiecīgā gadījumā atjaunina a) apakšpunktā minēto informāciju un norāda būtiskā incidenta sākotnējo novērtējumu, tostarp tā smagumu un ietekmi, kā arī, ja pieejami, aizskāruma rādītājus;

| c) | pēc CSIRT vai attiecīgā gadījumā kompetentās iestādes pieprasījuma – starpposma ziņojumu par attiecīgajiem statusa atjauninājumiem; |
| --- | --- |

c)

pēc CSIRT vai attiecīgā gadījumā kompetentās iestādes pieprasījuma – starpposma ziņojumu par attiecīgajiem statusa atjauninājumiem;

| d) | galīgu ziņojumu ne vēlāk kā mēnesi pēc b) apakšpunktā minētā paziņojuma par incidentu iesniegšanas, tajā iekļaujot:






  i) | incidenta, tostarp tā smaguma un ietekmes sīku aprakstu; |
| --- | --- | --- |

d)

galīgu ziņojumu ne vēlāk kā mēnesi pēc b) apakšpunktā minētā paziņojuma par incidentu iesniegšanas, tajā iekļaujot:

i)

incidenta, tostarp tā smaguma un ietekmes sīku aprakstu;

| ii) | draudu veidu vai pamatcēloni, kas, iespējams, varētu būt izraisījis incidentu; |
| --- | --- |

ii)

draudu veidu vai pamatcēloni, kas, iespējams, varētu būt izraisījis incidentu;

| iii) | piemērotos un notiekošos mitigācijas pasākumus; |
| --- | --- |

iii)

piemērotos un notiekošos mitigācijas pasākumus;

| iv) | attiecīgā gadījumā informāciju par incidenta pārrobežu ietekmi; |
| --- | --- |

iv)

attiecīgā gadījumā informāciju par incidenta pārrobežu ietekmi;

| e) | ja pēc d) apakšpunktā minētā galīgā ziņojuma iesniegšanas brīža incidents vēl nav beidzies, dalībvalstis nodrošina, ka attiecīgās vienības tajā laikā iesniedz progresa ziņojumu un viena mēneša laikā pēc incidenta risināšanas iesniedz galīgo ziņojumu. |
| --- | --- |

e)

ja pēc d) apakšpunktā minētā galīgā ziņojuma iesniegšanas brīža incidents vēl nav beidzies, dalībvalstis nodrošina, ka attiecīgās vienības tajā laikā iesniedz progresa ziņojumu un viena mēneša laikā pēc incidenta risināšanas iesniedz galīgo ziņojumu.

Atkāpjoties no pirmās daļas b) apakšpunkta, uzticamības pakalpojumu sniedzējs par būtiskiem incidentiem, kas ietekmē tā uzticamības pakalpojumu sniegšanu, bez nepamatotas kavēšanās un jebkurā gadījumā 24 stundu laikā pēc uzzināšanas par būtisko incidentu paziņo CSIRT vai attiecīgā gadījumā kompetentajai iestādei.

5.   CSIRT vai kompetentā iestāde bez liekas kavēšanās un, ja iespējams, 24 stundu laikā no 4. punkta a) apakšpunktā minētā agrīnā brīdinājuma saņemšanas sniedz paziņotājai vienībai atbildi, kurā iekļauj sākotnējo komentāru par būtisko incidentu un – pēc vienības pieprasījuma – norādījumus vai praktiskus padomus par iespējamo mitigācijas pasākumu īstenošanu. Ja CSIRT nav sākotnējais 1. un 2. punktā minētā paziņojuma saņēmējs, norādījumus sniedz kompetentā iestāde, sadarbojoties ar CSIRT. Ja attiecīgā vienība lūdz papildu tehnisko atbalstu, CSIRT to sniedz. Ja ir aizdomas, ka būtiskais incidents ir noziedzīgs, CSIRT vai kompetentā iestāde arī dod norādījumus par būtiskā incidenta paziņošanu tiesībaizsardzības iestādēm.

6.   Attiecīgā gadījumā, īpaši tad, ja 1. punktā minētais būtiskais incidents skar divas vai vairākas dalībvalstis, CSIRT, kompetentā iestāde vai vienotais kontaktpunkts bez liekas kavēšanās informē citas skartās dalībvalstis un ENISA par būtisko incidentu. Šāda informācija ietver tā veida informāciju, kas saņemta saskaņā ar 4. punktu. To darot, CSIRT, kompetentā iestāde vai vienotais kontaktpunkts saskaņā ar Savienības vai valsts tiesību aktiem nodrošina vienības drošību un komerciālās intereses, kā arī sniegtās informācijas konfidencialitāti.

7.   Ja ir nepieciešams informēt sabiedrību, lai novērstu būtisku incidentu vai risinātu notiekošu būtisku incidentu, vai būtiska incidenta izpaušana citādi ir sabiedrības interesēs, dalībvalsts CSIRT vai attiecīgā gadījumā tās kompetentā iestāde vai vajadzības gadījumā citu iesaistīto dalībvalstu CSIRT vai kompetentās iestādes pēc apspriešanās ar attiecīgo vienību var informēt sabiedrību par būtisko incidentu vai pieprasīt, lai to dara vienība.

8.   Pēc CSIRT vai kompetentās iestādes pieprasījuma vienotais kontaktpunkts nosūta atbilstoši 1. punktam saņemtos paziņojumus citu skarto dalībvalstu vienotajiem kontaktpunktiem.

9.   Vienotais kontaktpunkts reizi trijos mēnešos iesniedz ENISA kopsavilkuma ziņojumu, kurā iekļauj anonimizētus un apkopotus datus par būtiskiem incidentiem, incidentiem, kiberdraudiem un gandrīz notikušiem notikumiem, par kuriem paziņots saskaņā ar šā panta 1. punktu un 30. pantu. Lai veicinātu salīdzināmas informācijas sniegšanu, ENISA var pieņemt tehniskus norādījumus par kopsavilkuma ziņojumā iekļaujamās informācijas parametriem. ENISA reizi sešos mēnešos informē sadarbības grupu un CSIRT tīklu par saviem konstatējumiem par saņemtajiem paziņojumiem.

10.   CSIRT vai attiecīgā gadījumā kompetentās iestādes sniedz Direktīvā (ES) 2022/2557 minētajām kompetentajām iestādēm informāciju par būtiskiem incidentiem, incidentiem, kiberdraudiem un gandrīz notikušiem notikumiem, par kuriem vienības, kas identificētas kā kritiskās vienības Direktīvā (ES) 2022/2557, ir paziņojušas saskaņā ar šā panta 1. punktu un 30. pantu.

11.   Komisija var pieņemt īstenošanas aktus, kuros sīkāk precizē atbilstoši šā panta 1. punktam un 30. pantam iesniegtajā ziņojumā un atbilstoši šā panta 2. punktam iesniegtajā ziņojumā iekļaujamās informācijas veidu, ziņojuma formātu un paziņošanas procedūru.

Līdz 2024. gada 17. oktobrim Komisija attiecībā uz DNS pakalpojumu sniedzējiem, ALD nosaukumu reģistriem, mākoņdatošanas pakalpojumu sniedzējiem, datu centru pakalpojumu sniedzējiem, satura piegādes tīkla nodrošinātājiem, pārvaldītu pakalpojumu sniedzējiem, pārvaldītu drošības pakalpojumu sniedzējiem, kā arī tiešsaistes tirdzniecības vietu, tiešsaistes meklētājprogrammu un sociālās tīklošanās pakalpojumu platformu nodrošinātājiem, pieņem īstenošanas aktus, kuros sīkāk precizē gadījumus, kad incidentu uzskata par būtisku, kā minēts 3. punktā. Komisija var pieņemt šādus īstenošanas aktus attiecībā uz citām būtiskām un svarīgām vienībām.

Komisija apmainās ar padomiem un sadarbojas ar sadarbības grupu saistībā ar šā punkta pirmajā un otrajā daļā minētajiem īstenošanas aktu projektiem saskaņā ar 14. panta 4. punkta e) apakšpunktu.

Minētos īstenošanas aktus pieņem saskaņā ar pārbaudes procedūru, kas minēta 39. panta 2. punktā.

24. pants

Eiropas kiberdrošības sertifikācijas shēmu izmantošana

1.   Lai pierādītu atbilstību konkrētām 21. panta prasībām, dalībvalstis var pieprasīt būtiskām un svarīgām vienībām izmantot konkrētus IKT produktus, IKT pakalpojumus un IKT procesus, ko būtiskā vai svarīgā vienība ir izstrādājusi vai iepirkusi no trešām pusēm, kuras ir sertificētas atbilstoši Eiropas kiberdrošības sertifikācijas shēmām, kas pieņemtas saskaņā ar Regulas (ES) 2019/881 49. pantu. Dalībvalstis turklāt mudina būtiskās un svarīgās vienības izmantot kvalificētus uzticamības pakalpojumus.

2.   Komisija ir pilnvarota pieņemt deleģētus aktus saskaņā ar 38. pantu, lai papildinātu šo direktīvu, nosakot, kurām būtisko un svarīgo vienību kategorijām ir jāizmanto konkrēti sertificēti IKT produkti, IKT pakalpojumi un IKT procesi vai jāsaņem sertifikāts atbilstoši kādai no Eiropas kiberdrošības sertifikācijas shēmām, kas pieņemta saskaņā ar Regulas (ES) 2019/881 49. pantu. Šādus deleģētos aktus pieņem, ja ir konstatēts nepietiekams kiberdrošības līmenis, un tajos iekļauj īstenošanas periodu.

Pirms šādu deleģēto aktu pieņemšanas Komisija veic ietekmes novērtējumu un veic apspriešanos saskaņā ar Regulas (ES) 2019/881 56. pantu.

3.   Ja šā panta 2. punkta nolūkiem nav pieejama neviena atbilstīga Eiropas kiberdrošības sertifikācijas shēma, Komisija pēc apspriešanās ar sadarbības grupu un Eiropas Kiberdrošības sertifikācijas grupu pieprasa, lai ENISA sagatavo kandidātshēmu atbilstoši Regulas (ES) 2019/881 48. panta 2. punktam.

25. pants

Standartizācija

1.   Lai sekmētu 21. panta 1. un 2. punkta konverģentu īstenošanu, dalībvalstis, neliekot izmantot konkrēta veida tehnoloģiju un nediskriminējot par labu tādas izmantošanai, veicina tīklu un informācijas sistēmu drošībai relevantu Eiropas un starptautisko standartu un tehnisko specifikāciju izmantošanu.

2.   ENISA sadarbībā ar dalībvalstīm un attiecīgā gadījumā pēc apspriešanās ar attiecīgajām ieinteresētajām personām izstrādā padomus un pamatnostādnes par tehniskajām jomām, kas jāapsver saistībā ar 1. punktu, kā arī par jau esošajiem standartiem, tostarp valsts standartiem, kas ļautu aptvert minētās jomas.

V NODAĻA

JURISDIKCIJA UN REĢISTRĀCIJA

26. pants

Jurisdikcija un teritorialitāte

1.   Uzskata, ka vienības, kas ietilpst šīs direktīvas darbības jomā, ir tās dalībvalsts jurisdikcijā, kurā tās ir iedibinātas, izņemot:

| a) | publisko elektronisko sakaru tīklu nodrošinātājus vai publiski pieejamu elektronisko sakaru pakalpojumu sniedzējus, kurus uzskata par tādiem, kas ir tās dalībvalsts jurisdikcijā, kur tie sniedz savus pakalpojumus; |
| --- | --- |

a)

publisko elektronisko sakaru tīklu nodrošinātājus vai publiski pieejamu elektronisko sakaru pakalpojumu sniedzējus, kurus uzskata par tādiem, kas ir tās dalībvalsts jurisdikcijā, kur tie sniedz savus pakalpojumus;

| b) | DNS pakalpojumu sniedzējus, ALD nosaukumu reģistrus, vienības, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, mākoņdatošanas pakalpojumu sniedzējus, datu centru pakalpojumu sniedzējus, satura piegādes tīklu nodrošinātājus, pārvaldītu pakalpojumu sniedzējus, pārvaldītu drošības pakalpojumu sniedzējus, kā arī tiešsaistes tirdzniecības vietu, tiešsaistes meklētājprogrammu vai sociālās tīklošanās pakalpojumu platformu nodrošinātājus, kurus uzskata par tādiem, kas ir tās dalībvalsts jurisdikcijā, kurā ir to galvenais iedibinājums Savienībā saskaņā ar 2. punktu. |
| --- | --- |

b)

DNS pakalpojumu sniedzējus, ALD nosaukumu reģistrus, vienības, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, mākoņdatošanas pakalpojumu sniedzējus, datu centru pakalpojumu sniedzējus, satura piegādes tīklu nodrošinātājus, pārvaldītu pakalpojumu sniedzējus, pārvaldītu drošības pakalpojumu sniedzējus, kā arī tiešsaistes tirdzniecības vietu, tiešsaistes meklētājprogrammu vai sociālās tīklošanās pakalpojumu platformu nodrošinātājus, kurus uzskata par tādiem, kas ir tās dalībvalsts jurisdikcijā, kurā ir to galvenais iedibinājums Savienībā saskaņā ar 2. punktu.

| c) | valsts pārvaldes vienības, kuras uzskata par esošām tās dalībvalsts jurisdikcijā, kura tās ir izveidojusi. |
| --- | --- |

c)

valsts pārvaldes vienības, kuras uzskata par esošām tās dalībvalsts jurisdikcijā, kura tās ir izveidojusi.

2.   Šīs direktīvas nolūkos uzskata, ka vienībai, kas minēta 1. punkta b) apakšpunktā, galvenais iedibinājums Savienībā ir tajā dalībvalstī, kurā galvenokārt tiek pieņemti lēmumi saistībā ar kiberdrošības risku pārvaldības pasākumiem. Ja šādu dalībvalsti nevar noteikt vai šādus lēmumus nepieņem Savienībā, uzskata, ka galvenais iedibinājums ir dalībvalstī, kurā tiek veiktas kiberdrošības operācijas. Ja šādu dalībvalsti nevar noteikt, uzskata, ka galvenais iedibinājums ir dalībvalstī, kurā attiecīgajai vienībai ir iedibinājums ar vislielāko darbinieku skaitu Savienībā.

3.   Ja 1. punkta b) apakšpunktā minētā vienība nav iedibināta Savienībā, bet tā piedāvā pakalpojumus Savienībā, tā izraugās pārstāvi Savienībā. Minētajam pārstāvim iedibinājums vieta ir vienā no dalībvalstīm, kurās tiek piedāvāti pakalpojumi. Uzskata, ka šāda vienība ir tās dalībvalsts jurisdikcijā, kurā ir pārstāvja iedibinājums. Ja nav izraudzīta pārstāvja Savienībā atbilstoši šim punktam, jebkura dalībvalsts, kurā vienība sniedz pakalpojumus, var veikt tiesiskas darbības pret vienību par šīs direktīvas pārkāpumu.

4.   Šā panta 1. punkta b) apakšpunktā minētās vienības veiktā pārstāvja izraudzīšanās neskar tiesiskās darbības, ko var ierosināt pret pašu vienību.

5.   Dalībvalstis, kas ir saņēmušas savstarpējas palīdzības lūgumu attiecībā uz 1. punkta b) apakšpunktā minēto vienību, var minētā lūguma robežās veikt pienācīgus uzraudzības un izpildes panākšanas pasākumus attiecībā uz attiecīgo vienību, kas to teritorijā sniedz pakalpojumus vai kam tur ir tīkls un informācijas sistēma.

27. pants

Vienību reģistrs

1.   ENISA izveido un uztur DNS pakalpojumu sniedzēju, ALD nosaukumu reģistratoru, vienību, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, mākoņdatošanas pakalpojumu sniedzēju, datu centru pakalpojumu sniedzēju, satura piegādes tīklu nodrošinātāju, pārvaldītu pakalpojumu sniedzēju, pārvaldītu drošības pakalpojumu sniedzēju, kā arī tiešsaistes tirdzniecības vietu, tiešsaistes meklētājprogrammu vai sociālās tīklošanās pakalpojumu platformu nodrošinātāju reģistru, pamatojoties uz informāciju, kas saņemta no vienotajiem kontaktpunktiem, saskaņā ar 4. punktu. Pēc pieprasījuma ENISA atļauj kompetentajām iestādēm piekļūt minētajam reģistram, vienlaikus attiecīgā gadījumā nodrošinot, ka informācijas konfidencialitāte ir aizsargāta.

2.   Dalībvalstis pieprasa 1. punktā minētajām vienībām līdz 2025. gada 17. janvārim iesniegt kompetentajām iestādēm šādu informāciju:

| a) | vienības nosaukums; |
| --- | --- |

a)

vienības nosaukums;

| b) | attiecīgā gadījumā – I vai II pielikumā minētā nozare, apakšnozare un vienības veids; |
| --- | --- |

b)

attiecīgā gadījumā – I vai II pielikumā minētā nozare, apakšnozare un vienības veids;

| c) | vienības galvenā iedibinājuma adrese un tās citu juridisku iedibinājumu adreses Savienībā vai, ja vienība nav iedibināta Savienībā – ievērojot 26. panta 3. punktu izraudzītā pārstāvja iedibinājuma adrese Savienībā; |
| --- | --- |

c)

vienības galvenā iedibinājuma adrese un tās citu juridisku iedibinājumu adreses Savienībā vai, ja vienība nav iedibināta Savienībā – ievērojot 26. panta 3. punktu izraudzītā pārstāvja iedibinājuma adrese Savienībā;

| d) | atjaunināta kontaktinformācija, tostarp vienības un attiecīgā gadījumā tās saskaņā ar 26. panta 3. punktu ieceltā pārstāvja e-pasta adreses un tālruņa numuri; |
| --- | --- |

d)

atjaunināta kontaktinformācija, tostarp vienības un attiecīgā gadījumā tās saskaņā ar 26. panta 3. punktu ieceltā pārstāvja e-pasta adreses un tālruņa numuri;

| e) | dalībvalstis, kurās vienība sniedz pakalpojumus; un |
| --- | --- |

e)

dalībvalstis, kurās vienība sniedz pakalpojumus; un

| f) | vienības IP adrešu diapazoni. |
| --- | --- |

f)

vienības IP adrešu diapazoni.

3.   Dalībvalstis nodrošina, ka vienības, kas minētas 1. punktā, par visām izmaiņām informācijā, ko tās iesniegušas atbilstoši 2. punktam, paziņo kompetentajai iestādei nekavējoties un katrā ziņā trīs mēnešu laikā no attiecīgo izmaiņu stāšanās spēkā.

4.   Pēc 2. un 3. punktā minētās informācijas, izņemot 2. punkta f) apakšpunktā minētās, saņemšanas attiecīgās dalībvalsts vienotais kontaktpunkts bez liekas kavēšanās pārsūta to ENISA.

5.   Attiecīgā gadījumā šā panta 2. un 3. punktā minēto informāciju iesniedz, izmantojot valsts mehānismu, kas minēts 3. panta 4. punkta ceturtajā daļā.

28. pants

Domēnu nosaukumu reģistrācijas datubāze

1.   Lai veicinātu DNS drošību, stabilitāti un noturību, dalībvalstis pieprasa, lai ALD nosaukumu reģistri un vienības, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, ar pienācīgu rūpību savāktu un uzturētu precīzus un pilnīgus domēnu nosaukumu reģistrācijas datus īpaši tam paredzētā datubāzē saskaņā ar Savienības datu aizsardzības tiesību aktiem par attiecībā uz datiem, kas ir persondati.

2.   Šā panta 1. punkta nolūkos dalībvalstis pieprasa, lai domēnu nosaukumu reģistrācijas datubāzē tiktu ietverta vajadzīgā informācija, kas ļautu identificēt domēnu nosaukumu turētājus un kontaktpunktus, kuri pārvalda ALD nosaukumus, un sazināties ar tiem. Šāda informācija ietver:

| a) | domēna nosaukumu; |
| --- | --- |

a)

domēna nosaukumu;

| b) | reģistrācijas datumu; |
| --- | --- |

b)

reģistrācijas datumu;

| c) | reģistrētāja vārdu un uzvārdu, e-pasta adresi un tālruņa numuru; |
| --- | --- |

c)

reģistrētāja vārdu un uzvārdu, e-pasta adresi un tālruņa numuru;

| d) | tā kontaktpunkta e-pasta adresi un tālruņa numuru, kurš pārvalda domēna nosaukumu, ja tie atšķiras no reģistrētāja e-pasta adreses un tālruņa numura. |
| --- | --- |

d)

tā kontaktpunkta e-pasta adresi un tālruņa numuru, kurš pārvalda domēna nosaukumu, ja tie atšķiras no reģistrētāja e-pasta adreses un tālruņa numura.

3.   Dalībvalstis pieprasa ALD nosaukumu reģistriem un vienībām, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, ieviest rīcībpolitikas un procedūras, tostarp verifikācijas procedūras, lai nodrošinātu, ka 1. punktā minētajā datubāzē ir iekļauta precīza un pilnīga informācija. Dalībvalstis pieprasa, lai šādas rīcībpolitikas un procedūras tiktu publiskotas.

4.   Dalībvalstis pieprasa ALD nosaukumu reģistriem un vienībām, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, bez nepamatotas kavēšanās pēc domēna nosaukuma reģistrācijas darīt publiski pieejamus domēnu nosaukumu reģistrācijas datus, kuri nav persondati.

5.   Dalībvalstis pieprasa ALD nosaukumu reģistriem un vienībām, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, sniegt leģitīmiem piekļuves prasītājiem pēc to likumīgiem un pienācīgi pamatotiem pieprasījumiem piekļuvi konkrētiem domēnu nosaukumu reģistrācijas datiem, ievērojot Savienības datu aizsardzības tiesību aktus. Dalībvalstis pieprasa ALD nosaukumu reģistriem un vienībām, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, bez nepamatotas kavēšanās un jebkurā gadījumā 72 stundu laikā pēc jebkādu piekļuves pieprasījumu saņemšanas atbildēt uz tiem. Dalībvalstis pieprasa, lai rīcībpolitikas un procedūras attiecībā uz šādu datu izpaušanu tiktu darītas publiski pieejamas.

6.   Šā panta 1.–5. punktā noteikto pienākumu izpilde neizraisa domēnu nosaukumu reģistrācijas datu divkāršu vākšanu. Šajā nolūkā dalībvalstis pieprasa ALD nosaukumu reģistriem un vienībām, kas sniedz domēnu nosaukumu reģistrācijas pakalpojumus, savstarpēji sadarboties.

VI NODAĻA

INFORMĀCIJAS KOPĪGOŠANA

29. pants

Kiberdrošības informācijas kopīgošanas mehānisms

1.   Dalībvalstis nodrošina, ka vienības, kuras ietilpst šīs direktīvas darbības jomā, un attiecīgā gadījumā citas vienības, kuras neietilpst šīs direktīvas darbības jomā, var brīvprātīgi savstarpēji apmainīties ar relevantu kiberdrošības informāciju, tostarp informāciju, kas attiecas uz kiberdraudiem, gandrīz notikušiem notikumiem, ievainojamību, paņēmieniem un procedūrām, aizskāruma rādītājiem, pretinieku taktiku, specifisku informāciju par apdraudējuma aktoru, kiberdrošības brīdinājumiem un ieteikumiem attiecībā uz drošības rīku konfigurācijām kiberuzbrukumu atklāšanai, ja šāda informācijas kopīgošana:

| a) | ir paredzēta, lai novērstu un atklātu incidentus, reaģētu uz tiem vai atgūtos no tiem, vai mazinātu to ietekmi; |
| --- | --- |

a)

ir paredzēta, lai novērstu un atklātu incidentus, reaģētu uz tiem vai atgūtos no tiem, vai mazinātu to ietekmi;

| b) | uzlabo kiberdrošības līmeni, it īpaši, palielinot informētību par kiberdraudiem, ierobežojot šādu draudu izplatīšanās spējas vai traucējot šādām spējām īstenoties, atbalstot virkni aizsardzības spēju, ievainojamības izlabošanu un izpaušanu, draudu atklāšanas, ierobežošanas un novēršanas metodes, mitigācijas stratēģijas vai reaģēšanas un seku novēršanas posmus vai veicinot publiskā un privātā sektora sadarbību kiberdraudu izpētē. |
| --- | --- |

b)

uzlabo kiberdrošības līmeni, it īpaši, palielinot informētību par kiberdraudiem, ierobežojot šādu draudu izplatīšanās spējas vai traucējot šādām spējām īstenoties, atbalstot virkni aizsardzības spēju, ievainojamības izlabošanu un izpaušanu, draudu atklāšanas, ierobežošanas un novēršanas metodes, mitigācijas stratēģijas vai reaģēšanas un seku novēršanas posmus vai veicinot publiskā un privātā sektora sadarbību kiberdraudu izpētē.

2.   Dalībvalstis nodrošina, ka informācijas apmaiņa notiek būtisko un svarīgo vienību kopienās un attiecīgā gadījumā to piegādātāju un pakalpojumu sniedzēju kopienās. Šādu apmaiņu īsteno, izveidojot kiberdrošības informācijas kopīgošanas mehānismu attiecībā uz nodotās informācijas iespējami sensitīvo raksturu.

3.   Dalībvalstis veicina šā panta 2. punktā minēto kiberdrošības informācijas kopīgošanas mehānisma izveidi. Šāds mehānisms var precizēt operatīvos elementus, tostarp speciālu IKT platformu un automatizācijas rīku izmantošanu, saturu un nosacījumus. Detalizētāk aprakstot publisku iestāžu iesaistīšanos šādā mehānismā, dalībvalstis var paredzēt nosacījumus attiecībā uz informāciju, ko dara pieejamu kompetentās iestādes vai CSIRT. Dalībvalstis piedāvā palīdzību šāda mehānisma piemērošanā atbilstoši savām rīcībpolitikām, kas minētas 7. panta 2. punkta h) apakšpunktā.

4.   Dalībvalstis nodrošina, ka būtiskās un svarīgās vienības informē kompetentās iestādes par savu dalību 2. punktā minētajā kiberdrošības informācijas kopīgošanas mehānismā, tiklīdz tās iesaistās šādā mehānismā, vai attiecīgā gadījumā – par izstāšanos no šāda mehānisma, tiklīdz izstāšanās stājas spēkā.

5.   ENISA palīdz 2. punktā minētā kiberdrošības informācijas kopīgošanas mehānisma izveidē, apmainoties ar paraugpraksi un sniedzot norādījumus.

30. pants

Relevantas informācijas brīvprātīga paziņošana

1.   Dalībvalstis nodrošina, ka papildus 23. pantā paredzētajam paziņošanas pienākumam paziņojumus CSIRT vai attiecīgā gadījumā kompetentajām iestādēm var brīvprātīgi iesniegt:

| a) | būtiskās un svarīgās vienības attiecībā uz incidentiem, kiberdraudiem un gandrīz notikušiem notikumiem; |
| --- | --- |

a)

būtiskās un svarīgās vienības attiecībā uz incidentiem, kiberdraudiem un gandrīz notikušiem notikumiem;

| b) | vienības, kas nav minētas a) apakšpunktā, neatkarīgi no tā, vai tās ietilpst šīs direktīvas darbības jomā, attiecībā uz būtiskiem incidentiem, kiberdraudiem un gandrīz notikušiem notikumiem. |
| --- | --- |

b)

vienības, kas nav minētas a) apakšpunktā, neatkarīgi no tā, vai tās ietilpst šīs direktīvas darbības jomā, attiecībā uz būtiskiem incidentiem, kiberdraudiem un gandrīz notikušiem notikumiem.

2.   Dalībvalstis šā panta 1. punktā minētos paziņojumus apstrādā saskaņā ar 23. pantā noteikto procedūru. Dalībvalstis obligātos paziņojumus var apstrādāt, nosakot tiem prioritāti pār brīvprātīgajiem paziņojumiem.

Vajadzības gadījumā CSIRT un attiecīgā gadījumā kompetentās iestādes sniedz vienotajiem kontaktpunktiem informāciju par paziņojumiem, kas saņemti, ievērojot šo pantu, vienlaikus nodrošinot paziņotājas vienības sniegtās informācijas konfidencialitāti un pienācīgu aizsardzību. Neskarot noziedzīgu nodarījumu novēršanu, izmeklēšanu, atklāšanu un kriminālvajāšanu par tiem, brīvprātīgās paziņošanas rezultātā paziņotājai vienībai netiek uzlikti nekādi papildu pienākumi, kādi tai netiktu uzlikti, ja tā nebūtu iesniegusi minēto paziņojumu.

VII NODAĻA

UZRAUDZĪBA UN IZPILDES PANĀKŠANA

31. pants

Vispārīgi uzraudzības un izpildes panākšanas aspekti

1.   Dalībvalstis nodrošina, ka to kompetentās iestādes efektīvi uzrauga šīs direktīvas izpildi un veic nepieciešamos pasākumus, lai to nodrošinātu.

2.   Dalībvalstis var atļaut to kompetentajām iestādēm uzraudzības uzdevumus prioritizēt. Šādas prioritizēšanas pamatā ir uz risku balstīta pieeja. Šajā nolūkā, pildot šā panta 32. un 33. pantā paredzētos uzraudzības uzdevumus, kompetentās iestādes var izveidot uzraudzības metodiku, kas ļauj noteikt prioritātes attiecībā uz šādiem uzdevumiem, ievērojot uz risku balstītu pieeju.

3.   Pievēršoties incidentiem, kuru rezultātā notiek persondatu aizsardzības pārkāpumi, kompetentās iestādes strādā ciešā sadarbībā ar Regulā (ES) 2016/679 minētajām uzraudzības iestādēm, neskarot uzraudzības iestādēm minētajā regulā noteikto kompetenci un uzdevumus.

4.   Neskarot valsts tiesisko regulējumu un iestāžu sistēmas, dalībvalstis nodrošina, ka, uzraugot valsts pārvaldes vienību atbilstību šai direktīvai un nosakot izpildes panākšanas pasākumus par šīs direktīvas pārkāpumiem, kompetentajām iestādēm ir atbilstīgas pilnvaras veikt šādus uzdevumus operatīvi neatkarīgi no uzraudzītajām valsts pārvaldes vienībām. Dalībvalstis var lemt par piemērotu, samērīgu un efektīvu uzraudzības un izpildes panākšanas pasākumu noteikšanu attiecībā uz minētajām vienībām saskaņā ar valsts tiesisko regulējumu un iestāžu sistēmu.

32. pants

Uzraudzības un izpildes panākšanas pasākumi attiecībā uz būtiskajām vienībām

1.   Dalībvalstis nodrošina, ka uzraudzības vai izpildes panākšanas pasākumi, kas noteikti būtiskajām vienībām attiecībā uz šajā direktīvā noteiktajiem pienākumiem, ir iedarbīgi, samērīgi un atturoši, ņemot vērā katra atsevišķa gadījuma apstākļus.

2.   Dalībvalstis nodrošina, ka kompetentajām iestādēm, kad tās īsteno savus uzraudzības uzdevumus attiecībā uz būtiskajām vienībām, ir pilnvaras piemērot minētajām vienībām vismaz:

| a) | inspekcijas uz vietas un attālinātu uzraudzību, arī izlases veida pārbaudes, ko veic apmācīti speciālisti; |
| --- | --- |

a)

inspekcijas uz vietas un attālinātu uzraudzību, arī izlases veida pārbaudes, ko veic apmācīti speciālisti;

| b) | regulāras un mērķtiecīgas drošības revīzijas, ko veic neatkarīga struktūra vai kompetenta iestāde; |
| --- | --- |

b)

regulāras un mērķtiecīgas drošības revīzijas, ko veic neatkarīga struktūra vai kompetenta iestāde;

| c) | ad hoc revīzijas, tostarp, kad to pamato būtisks incidents vai būtiskās vienības šīs direktīvas pārkāpums; |
| --- | --- |

c)

ad hoc revīzijas, tostarp, kad to pamato būtisks incidents vai būtiskās vienības šīs direktīvas pārkāpums;

| d) | drošības skenēšanu, pamatojoties uz objektīviem, nediskriminējošiem, taisnīgiem un pārredzamiem riska novērtēšanas kritērijiem, vajadzības gadījumā sadarbībā ar attiecīgo vienību; |
| --- | --- |

d)

drošības skenēšanu, pamatojoties uz objektīviem, nediskriminējošiem, taisnīgiem un pārredzamiem riska novērtēšanas kritērijiem, vajadzības gadījumā sadarbībā ar attiecīgo vienību;

| e) | tādas informācijas pieprasījumus, kas nepieciešama, lai novērtētu attiecīgās vienības pieņemtos kiberdrošības risku pārvaldības pasākumus, tostarp dokumentētas kiberdrošības rīcībpolitikas, kā arī atbilstību pienākumam iesniegt informāciju kompetentajām iestādēm atbilstīgi 27. pantam; |
| --- | --- |

e)

tādas informācijas pieprasījumus, kas nepieciešama, lai novērtētu attiecīgās vienības pieņemtos kiberdrošības risku pārvaldības pasākumus, tostarp dokumentētas kiberdrošības rīcībpolitikas, kā arī atbilstību pienākumam iesniegt informāciju kompetentajām iestādēm atbilstīgi 27. pantam;

| f) | pieprasījumus piekļūt datiem, dokumentiem un informācijai, kas nepieciešama to uzraudzības uzdevumu izpildei; |
| --- | --- |

f)

pieprasījumus piekļūt datiem, dokumentiem un informācijai, kas nepieciešama to uzraudzības uzdevumu izpildei;

| g) | pieprasījumus par pierādījumiem, ka tiek īstenotas kiberdrošības rīcībpolitikas, piemēram, kvalificēta revidenta veikto drošības revīziju rezultātiem un attiecīgajiem pamatā esošajiem pierādījumiem. |
| --- | --- |

g)

pieprasījumus par pierādījumiem, ka tiek īstenotas kiberdrošības rīcībpolitikas, piemēram, kvalificēta revidenta veikto drošības revīziju rezultātiem un attiecīgajiem pamatā esošajiem pierādījumiem.

Šā punkta pirmās daļas b) apakšpunktā minēto mērķtiecīgo drošības revīziju pamatā ir riska novērtējumi, ko veic kompetentā iestāde vai revidētā vienība, vai cita ar risku saistīta pieejamā informācija.

Ikvienas mērķtiecīgās drošības revīzijas rezultātus dara pieejamus kompetentajai iestādei. Šādas neatkarīgas struktūras veiktas mērķtiecīgas drošības revīzijas izmaksas sedz revidētā vienība, izņemot pienācīgi pamatotus gadījumus, kad kompetentā iestāde nolemj citādi.

3.   Īstenojot savas pilnvaras saskaņā ar 2. punkta e), f) vai g) apakšpunktu, kompetentās iestādes norāda pieprasījuma mērķi un precizē prasīto informāciju.

4.   Dalībvalstis nodrošina, ka to kompetentajām iestādēm, īstenojot izpildes panākšanas pilnvaras attiecībā uz būtiskajām vienībām, ir pilnvaras vismaz:

| a) | izdot brīdinājumus par attiecīgo vienību šīs direktīvas pārkāpumiem; |
| --- | --- |

a)

izdot brīdinājumus par attiecīgo vienību šīs direktīvas pārkāpumiem;

| b) | pieņemt saistošus norādījumus, tostarp par pasākumiem, kas vajadzīgi, lai novērstu vai atrisinātu incidentu, kā arī šādu pasākumu īstenošanas termiņus un termiņus, kādā jāziņo par to īstenošanu, vai rīkojumu, ar kuru pieprasa, lai attiecīgās vienības novērš konstatētos trūkumus vai šīs direktīvas pārkāpumus; |
| --- | --- |

b)

pieņemt saistošus norādījumus, tostarp par pasākumiem, kas vajadzīgi, lai novērstu vai atrisinātu incidentu, kā arī šādu pasākumu īstenošanas termiņus un termiņus, kādā jāziņo par to īstenošanu, vai rīkojumu, ar kuru pieprasa, lai attiecīgās vienības novērš konstatētos trūkumus vai šīs direktīvas pārkāpumus;

| c) | uzdot attiecīgajām iestādēm izbeigt rīcību, ar ko pārkāpj šo direktīvu, un atturēties no tādas rīcības atkārtošanas; |
| --- | --- |

c)

uzdot attiecīgajām iestādēm izbeigt rīcību, ar ko pārkāpj šo direktīvu, un atturēties no tādas rīcības atkārtošanas;

| d) | uzdot attiecīgajām vienībām konkrētā veidā un konkrētā laikposmā nodrošināt savu kiberdrošības risku pārvaldības pasākumu atbilstību 21. pantam vai izpildīt ziņošanas pienākumu, kas noteikts 23. pantā; |
| --- | --- |

d)

uzdot attiecīgajām vienībām konkrētā veidā un konkrētā laikposmā nodrošināt savu kiberdrošības risku pārvaldības pasākumu atbilstību 21. pantam vai izpildīt ziņošanas pienākumu, kas noteikts 23. pantā;

| e) | uzdot attiecīgajām vienībām informēt fiziskās vai juridiskās personas, attiecībā uz kurām tās sniedz pakalpojumus vai veic darbības, kuras var ietekmēt būtiski kiberdraudi, par apdraudējuma raksturu, kā arī par visiem iespējamajiem aizsardzības vai korektīviem pasākumiem, ko attiecīgās fiziskās vai juridiskās personas var veikt, reaģējot uz šādiem draudiem; |
| --- | --- |

e)

uzdot attiecīgajām vienībām informēt fiziskās vai juridiskās personas, attiecībā uz kurām tās sniedz pakalpojumus vai veic darbības, kuras var ietekmēt būtiski kiberdraudi, par apdraudējuma raksturu, kā arī par visiem iespējamajiem aizsardzības vai korektīviem pasākumiem, ko attiecīgās fiziskās vai juridiskās personas var veikt, reaģējot uz šādiem draudiem;

| f) | uzdot attiecīgajām vienībām saprātīgā termiņā īstenot ieteikumus, kas sniegti drošības revīzijas rezultātā; |
| --- | --- |

f)

uzdot attiecīgajām vienībām saprātīgā termiņā īstenot ieteikumus, kas sniegti drošības revīzijas rezultātā;

| g) | norīkot uzraudzības speciālistu, kam ir precīzi definēti uzdevumi, noteiktā laikposmā pārraudzīt, vai attiecīgās vienības ievēro 21. un 23. pantu; |
| --- | --- |

g)

norīkot uzraudzības speciālistu, kam ir precīzi definēti uzdevumi, noteiktā laikposmā pārraudzīt, vai attiecīgās vienības ievēro 21. un 23. pantu;

| h) | uzdot attiecīgajām vienībām noteiktā veidā publiskot informāciju par to, kādos aspektos vērojama šīs direktīvas pārkāpšana; |
| --- | --- |

h)

uzdot attiecīgajām vienībām noteiktā veidā publiskot informāciju par to, kādos aspektos vērojama šīs direktīvas pārkāpšana;

| i) | piemērot vai pieprasīt, lai attiecīgās struktūras, tiesas vai tribunāli saskaņā ar valsts tiesību aktiem piemēro administratīvu naudas sodu atbilstoši 34. pantam papildus pasākumiem, kas minēti šā punkta a)–h) apakšpunktā. |
| --- | --- |

i)

piemērot vai pieprasīt, lai attiecīgās struktūras, tiesas vai tribunāli saskaņā ar valsts tiesību aktiem piemēro administratīvu naudas sodu atbilstoši 34. pantam papildus pasākumiem, kas minēti šā punkta a)–h) apakšpunktā.

5.   Ja izrādās, ka izpildes panākšanas pasākumi, kas pieņemti atbilstoši 4. punkta a)–d) un f) apakšpunktam, ir neefektīvi, dalībvalstis nodrošina, ka to kompetentajām iestādēm ir pilnvaras noteikt termiņu, līdz kuram būtiskajai vienībai ir jāveic nepieciešamā rīcība, lai novērstu trūkumus vai izpildītu minēto iestāžu prasības. Ja pieprasītā darbība netiek veikta noteiktajā termiņā, dalībvalstis nodrošina, ka kompetentajām iestādēm ir šādas pilnvaras:

| a) | uz laiku apturēt vai pieprasīt sertifikācijas vai apstiprināšanas struktūrai vai tiesai vai tribunālam saskaņā ar valsts tiesību aktiem uz laiku apturēt sertifikāciju vai atļauju attiecībā uz visiem būtiskās vienības sniegtajiem attiecīgajiem pakalpojumiem vai veiktajām darbībām vai to daļu; |
| --- | --- |

a)

uz laiku apturēt vai pieprasīt sertifikācijas vai apstiprināšanas struktūrai vai tiesai vai tribunālam saskaņā ar valsts tiesību aktiem uz laiku apturēt sertifikāciju vai atļauju attiecībā uz visiem būtiskās vienības sniegtajiem attiecīgajiem pakalpojumiem vai veiktajām darbībām vai to daļu;

| b) | pieprasīt, lai attiecīgās struktūras, tiesas vai tribunāli saskaņā ar valsts tiesību aktiem uz laiku aizliegtu jebkurai fiziskai personai, kas ir atbildīga par vadības pienākumu veikšanu galvenās izpildpersonas vai juridiskā pārstāvja līmenī būtiskajā vienībā, veikt vadības funkcijas šajā vienībā. |
| --- | --- |

b)

pieprasīt, lai attiecīgās struktūras, tiesas vai tribunāli saskaņā ar valsts tiesību aktiem uz laiku aizliegtu jebkurai fiziskai personai, kas ir atbildīga par vadības pienākumu veikšanu galvenās izpildpersonas vai juridiskā pārstāvja līmenī būtiskajā vienībā, veikt vadības funkcijas šajā vienībā.

Pagaidu apturēšanu vai aizliegumu, kas noteikti saskaņā ar šo punktu, piemēro tikai līdz brīdim, kad attiecīgā vienība veic nepieciešamo darbību, lai novērstu trūkumus vai izpildītu kompetentās iestādes prasības, attiecībā uz kurām šāds izpildes panākšanas pasākums piemērots. Šādas pagaidu apturēšanas vai aizlieguma piemērošanā ievēro attiecīgas procesuālās garantijas saskaņā ar vispārīgajiem Savienības tiesību principiem un Hartu, tai skaitā tiesības uz efektīvu tiesību aizsardzību un taisnīgu tiesu, nevainīguma prezumpciju un tiesības uz aizstāvību.

Šajā punktā paredzētos izpildes panākšanas pasākumus nepiemēro valsts pārvaldes vienībām, uz kurām attiecas šī direktīva.

6.   Dalībvalstis nodrošina, ka jebkurai fiziskai personai, kura atbild par būtisko vienību vai rīkojas kā būtiskās vienības juridiskā pārstāve, pamatojoties uz pilnvarām to pārstāvēt, pilnvarām pieņemt lēmumus tās vārdā vai pilnvarām īstenot kontroli pār to, ir pilnvaras nodrošināt, ka vienība ievēro šo direktīvu. Dalībvalstis nodrošina, ka šādas fiziskās personas var tikt sauktas pie atbildības, ja viņas pārkāpj savus pienākumus nodrošināt atbilstību šai direktīvai.

Attiecībā uz valsts pārvaldes vienībām šis punkts neskar valstu tiesību aktus par valsts ierēdņu un ievēlētu vai ieceltu amatpersonu atbildību.

7.   Veicot jebkuru no izpildes panākšanas pasākumiem, kas minēti 4. vai 5. punktā, kompetentās iestādes ievēro aizstāvības tiesības un ņem vērā katra atsevišķā gadījuma apstākļus, un vismaz pienācīgi ņem vērā:

| a) | pārkāpuma smagumu un pārkāpto noteikumu nozīmi, ņemot vērā, ka smags pārkāpums cita starpā jebkurā gadījumā ir:






  i) | atkārtoti pārkāpumi; |
| --- | --- | --- |

a)

pārkāpuma smagumu un pārkāpto noteikumu nozīmi, ņemot vērā, ka smags pārkāpums cita starpā jebkurā gadījumā ir:

i)

atkārtoti pārkāpumi;

| ii) | būtisku incidentu nepaziņošana vai neatrisināšana; |
| --- | --- |

ii)

būtisku incidentu nepaziņošana vai neatrisināšana;

| iii) | trūkumu nenovēršana pretēji kompetento iestāžu saistošiem norādījumiem; |
| --- | --- |

iii)

trūkumu nenovēršana pretēji kompetento iestāžu saistošiem norādījumiem;

| iv) | šķēršļu likšana revīzijām vai uzraudzības darbībām, ko uzdevusi kompetentā iestāde pēc pārkāpuma konstatēšanas; |
| --- | --- |

iv)

šķēršļu likšana revīzijām vai uzraudzības darbībām, ko uzdevusi kompetentā iestāde pēc pārkāpuma konstatēšanas;

| v) | nepatiesas vai ļoti neprecīzas informācijas sniegšana saistībā ar kiberdrošības risku pārvaldības pasākumiem vai ziņošanas pienākumiem, kas noteikti 21. un 23. pantā; |
| --- | --- |

v)

nepatiesas vai ļoti neprecīzas informācijas sniegšana saistībā ar kiberdrošības risku pārvaldības pasākumiem vai ziņošanas pienākumiem, kas noteikti 21. un 23. pantā;

| b) | pārkāpuma ilgumu; |
| --- | --- |

b)

pārkāpuma ilgumu;

| c) | jebkādus relevantus attiecīgās vienības iepriekšējus pārkāpumus; |
| --- | --- |

c)

jebkādus relevantus attiecīgās vienības iepriekšējus pārkāpumus;

| d) | jebkādu izraisīto materiālo vai nemateriālo kaitējumu, tostarp jebkādu finansiālo vai ekonomisko zaudējumu, ietekmi uz citiem pakalpojumiem un skarto lietotāju skaitu; |
| --- | --- |

d)

jebkādu izraisīto materiālo vai nemateriālo kaitējumu, tostarp jebkādu finansiālo vai ekonomisko zaudējumu, ietekmi uz citiem pakalpojumiem un skarto lietotāju skaitu;

| e) | pārkāpuma izdarītāja nodomu vai nolaidību; |
| --- | --- |

e)

pārkāpuma izdarītāja nodomu vai nolaidību;

| f) | jebkādus pasākumus, ko vienība veikusi, lai novērstu vai mazinātu materiālo vai nemateriālo kaitējumu; |
| --- | --- |

f)

jebkādus pasākumus, ko vienība veikusi, lai novērstu vai mazinātu materiālo vai nemateriālo kaitējumu;

| g) | jebkuru apstiprinātu rīcības kodeksu vai apstiprinātu sertifikācijas mehānismu ievērošanu; |
| --- | --- |

g)

jebkuru apstiprinātu rīcības kodeksu vai apstiprinātu sertifikācijas mehānismu ievērošanu;

| h) | to, cik lielā mērā pie atbildības sauktās fiziskās vai juridiskās personas sadarbojas ar kompetentajām iestādēm; |
| --- | --- |

h)

to, cik lielā mērā pie atbildības sauktās fiziskās vai juridiskās personas sadarbojas ar kompetentajām iestādēm;

8.   Kompetentās iestādes savus izpildes panākšanas pasākumus sīki argumentē. Pirms šādu pasākumu pieņemšanas kompetentās iestādes paziņo attiecīgajām vienībām savus sākotnējos konstatējumus. Tās arī dod minētajām vienībām saprātīgu laiku apsvērumu iesniegšanai, izņemot pienācīgi pamatotus gadījumus, kad citādi tiktu kavēta tūlītēja rīcība incidentu novēršanai vai reaģēšanai uz tiem.

9.   Dalībvalstis nodrošina, ka to kompetentās iestādes, kas minētas šajā direktīvā, īstenojot savas uzraudzības un izpildes panākšanas pilnvaras, informē attiecīgās tās pašas dalībvalsts kompetentās iestādes, kas minētas Direktīvā (ES) 2022/2557, cenšoties nodrošināt, ka vienība, kas identificēta kā kritiska vienība saskaņā ar Direktīvu (ES) 2022/2557, ievēro šo direktīvu. Attiecīgā gadījumā Direktīvā (ES) 2022/2557 minētās kompetentās iestādes var pieprasīt šajā direktīvā minētajām kompetentajām iestādēm īstenot savas uzraudzības un izpildes panākšanas pilnvaras attiecībā uz vienību, kas ir identificēta kā kritiska vienība saskaņā ar Direktīvu (ES) 2022/2557.

10.   Dalībvalstis nodrošina, ka to kompetentās iestādes, kas paredzētas šajā direktīvā, sadarbojas ar attiecīgās dalībvalsts attiecīgajām Regulā (ES) 2022/2554 minētajām kompetentajām iestādēm. Jo īpaši dalībvalstis nodrošina, ka to kompetentās iestādes, kas minētas šajā direktīvā, informē saskaņā ar Regulas (ES) 2022/2554 32. panta 1. punktu izveidoto Pārraudzības forumu, kad tās īsteno savas uzraudzības un izpildes panākšanas pilnvaras, kuru mērķis ir nodrošināt, lai būtiska vienība, kas ir identificēta kā kritiski svarīgu IKT trešo pušu pakalpojumu sniedzēja saskaņā ar Regulas (ES) 2022/2554 31. pantu, ievērotu šo direktīvu.

33. pants

Uzraudzības un izpildes panākšanas pasākumi attiecībā uz svarīgām vienībām

1.   Saņemot pierādījumus, norādes vai informāciju par to, ka svarīga vienība, iespējams, neievēro šo direktīvu, jo īpaši tās 21. un 23. pantu, dalībvalstis nodrošina, ka kompetentās iestādes rīkojas, nepieciešamības gadījumā īstenojot ex post uzraudzības pasākumus. Dalībvalstis nodrošina, ka minētie pasākumi ir iedarbīgi, samērīgi un atturoši, ņemot vērā apstākļus katrā atsevišķā gadījumā.

2.   Dalībvalstis nodrošina, ka kompetentajām iestādēm, kad tās īsteno savus uzraudzības uzdevumus attiecībā uz svarīgām vienībām, ir pilnvaras piemērot minētajām vienībām vismaz:

| a) | inspekcijas uz vietas un attālinātu ex post uzraudzību, ko veic apmācīti speciālisti; |
| --- | --- |

a)

inspekcijas uz vietas un attālinātu ex post uzraudzību, ko veic apmācīti speciālisti;

| b) | mērķtiecīgas drošības revīzijas, ko veic neatkarīga struktūra vai kompetenta iestāde; |
| --- | --- |

b)

mērķtiecīgas drošības revīzijas, ko veic neatkarīga struktūra vai kompetenta iestāde;

| c) | drošības skenēšanu, pamatojoties uz objektīviem, nediskriminējošiem, taisnīgiem un pārredzamiem riska novērtēšanas kritērijiem, vajadzības gadījumā sadarbībā ar attiecīgo vienību; |
| --- | --- |

c)

drošības skenēšanu, pamatojoties uz objektīviem, nediskriminējošiem, taisnīgiem un pārredzamiem riska novērtēšanas kritērijiem, vajadzības gadījumā sadarbībā ar attiecīgo vienību;

| d) | tādas informācijas pieprasījumus, kas nepieciešama, lai ex post novērtētu attiecīgās vienības pieņemtos kiberdrošības risku pārvaldības pasākumus, tostarp dokumentētas kiberdrošības rīcībpolitikas, kā arī atbilstību pienākumam iesniegt informāciju kompetentajām iestādēm atbilstīgi 28. pantam; |
| --- | --- |

d)

tādas informācijas pieprasījumus, kas nepieciešama, lai ex post novērtētu attiecīgās vienības pieņemtos kiberdrošības risku pārvaldības pasākumus, tostarp dokumentētas kiberdrošības rīcībpolitikas, kā arī atbilstību pienākumam iesniegt informāciju kompetentajām iestādēm atbilstīgi 28. pantam;

| e) | pieprasījumus piekļūt datiem, dokumentiem un informācijai, kas nepieciešama to uzraudzības uzdevumu izpildei; |
| --- | --- |

e)

pieprasījumus piekļūt datiem, dokumentiem un informācijai, kas nepieciešama to uzraudzības uzdevumu izpildei;

| f) | pieprasījumus par pierādījumiem, ka tiek īstenotas kiberdrošības rīcībpolitikas, piemēram, kvalificēta revidenta veikto drošības revīziju rezultātiem un attiecīgajiem pamatā esošajiem pierādījumiem. |
| --- | --- |

f)

pieprasījumus par pierādījumiem, ka tiek īstenotas kiberdrošības rīcībpolitikas, piemēram, kvalificēta revidenta veikto drošības revīziju rezultātiem un attiecīgajiem pamatā esošajiem pierādījumiem.

Šā punkta pirmās daļas b) apakšpunktā minēto mērķtiecīgo drošības revīziju pamatā ir riska novērtējumi, ko veic kompetentā iestāde vai revidētā vienība, vai cita ar risku saistīta pieejamā informācija.

Ikvienas mērķtiecīgās drošības revīzijas rezultātus dara pieejamus kompetentajai iestādei. Šādas mērķtiecīgas drošības revīzijas, ko veic neatkarīga struktūra, izmaksas sedz revidētā vienība, izņemot pienācīgi pamatotus gadījumus, kad kompetentā iestāde nolemj citādi.

3.   Īstenojot savas pilnvaras saskaņā ar 2. punkta d), e) vai f) apakšpunktu, kompetentās iestādes norāda pieprasījuma mērķi un precizē prasīto informāciju.

4.   Dalībvalstis nodrošina, ka kompetentajām iestādēm, īstenojot izpildes panākšanas procedūras attiecībā uz svarīgām vienībām, ir pilnvaras vismaz:

| a) | izdot brīdinājumus par attiecīgo vienību šīs direktīvas pārkāpumiem; |
| --- | --- |

a)

izdot brīdinājumus par attiecīgo vienību šīs direktīvas pārkāpumiem;

| b) | pieņemt saistošus norādījumus vai rīkojumu, pieprasot attiecīgajām vienībām novērst konstatētos trūkumus vai šīs direktīvas pārkāpumus; |
| --- | --- |

b)

pieņemt saistošus norādījumus vai rīkojumu, pieprasot attiecīgajām vienībām novērst konstatētos trūkumus vai šīs direktīvas pārkāpumus;

| c) | uzdot attiecīgajām iestādēm izbeigt rīcību, ar ko pārkāpj šo direktīvu, un atturēties no tādas rīcības atkārtošanas; |
| --- | --- |

c)

uzdot attiecīgajām iestādēm izbeigt rīcību, ar ko pārkāpj šo direktīvu, un atturēties no tādas rīcības atkārtošanas;

| d) | uzdot attiecīgajām vienībām konkrētā veidā un konkrētā laikposmā nodrošināt savu kiberdrošības risku pārvaldības pasākumu atbilstību 21. pantam vai izpildīt ziņošanas pienākumu, kas noteikts 23. pantā; |
| --- | --- |

d)

uzdot attiecīgajām vienībām konkrētā veidā un konkrētā laikposmā nodrošināt savu kiberdrošības risku pārvaldības pasākumu atbilstību 21. pantam vai izpildīt ziņošanas pienākumu, kas noteikts 23. pantā;

| e) | uzdot attiecīgajām vienībām informēt fiziskās vai juridiskās personas, attiecibā uz kurām tās sniedz pakalpojumus vai veic darbības, kuras var ietekmēt būtiski kiberdraudi, par draudu raksturu, kā arī par visiem iespējamajiem aizsardzības vai korektīviem pasākumiem, ko attiecīgās fiziskās vai juridiskās personas var veikt, reaģējot uz šādiem draudiem; |
| --- | --- |

e)

uzdot attiecīgajām vienībām informēt fiziskās vai juridiskās personas, attiecibā uz kurām tās sniedz pakalpojumus vai veic darbības, kuras var ietekmēt būtiski kiberdraudi, par draudu raksturu, kā arī par visiem iespējamajiem aizsardzības vai korektīviem pasākumiem, ko attiecīgās fiziskās vai juridiskās personas var veikt, reaģējot uz šādiem draudiem;

| f) | uzdot attiecīgajām vienībām saprātīgā termiņā īstenot ieteikumus, kas sniegti drošības revīzijas rezultātā; |
| --- | --- |

f)

uzdot attiecīgajām vienībām saprātīgā termiņā īstenot ieteikumus, kas sniegti drošības revīzijas rezultātā;

| g) | uzdot attiecīgajām vienībām noteiktā veidā publiskot informāciju par to, kādos aspektos tiek pārkāpta šī direktīva; |
| --- | --- |

g)

uzdot attiecīgajām vienībām noteiktā veidā publiskot informāciju par to, kādos aspektos tiek pārkāpta šī direktīva;

| h) | piemērot vai pieprasīt, lai attiecīgās struktūras, tiesas vai tribunāli saskaņā ar valsts tiesību aktiem piemēro administratīvu naudas sodu atbilstoši 34. pantam papildus jebkuriem no pasākumiem, kas minēti šā punkta a)–g) apakšpunktā. |
| --- | --- |

h)

piemērot vai pieprasīt, lai attiecīgās struktūras, tiesas vai tribunāli saskaņā ar valsts tiesību aktiem piemēro administratīvu naudas sodu atbilstoši 34. pantam papildus jebkuriem no pasākumiem, kas minēti šā punkta a)–g) apakšpunktā.

5.   Šīs direktīvas 32. panta 6., 7. un 8. punktu mutatis mutandis piemēro uzraudzības un izpildes panākšanas pasākumiem, kas paredzēti šajā pantā attiecībā uz svarīgajām vienībām.

6.   Dalībvalstis nodrošina, ka to kompetentās iestādes, kas paredzētas šajā direktīvā, sadarbojas ar attiecīgās dalībvalsts attiecīgajām Regulā (ES) 2022/2554 minētajām kompetentajām iestādēm. Jo īpaši dalībvalstis nodrošina, ka to kompetentās iestādes, kas minētas šajā direktīvā, informē saskaņā ar Regulas (ES) 2022/2554 32. panta 1. punktu izveidoto Pārraudzības forumu, kad tās īsteno savas uzraudzības un izpildes panākšanas pilnvaras, kuru mērķis ir nodrošināt, lai būtiska vienība, kas ir identificēta kā kritiski svarīgu IKT trešo pušu pakalpojumu sniedzēja saskaņā ar Regulas (ES) 2022/2554 31. pantu, ievērotu šo direktīvu.

34. pants

Vispārīgi nosacījumi administratīvo naudas sodu piemērošanai būtiskajām un svarīgajām vienībām

1.   Dalībvalstis nodrošina, ka administratīvie naudas sodi, kas par šīs direktīvas pārkāpumiem piemēroti būtiskajām un svarīgajām vienībām saskaņā ar šo pantu, ir iedarbīgi, samērīgi un atturoši, ņemot vērā katra atsevišķa gadījuma apstākļus.

2.   Administratīvos naudas sodus piemēro papildus jebkuram no pasākumiem, kas minēti 32. panta 4. punkta a)–h) apakšpunktā, 32. panta 5. punktā un 33. panta 4. punkta a)–g) apakšpunktā.

3.   Izlemjot, vai piemērot administratīvu naudas sodu, un lemjot par tā summu katrā individuālā gadījumā, pienācīgi ņem vērā vismaz 32. panta 7. punktā paredzētos elementus.

4.   Dalībvalstis nodrošina, ka tad, ja būtiskās vienības pārkāpj 21. vai 23. pantu, tām saskaņā ar šā panta 2. un 3. punktu piemēro administratīvu naudas sodu maksimāli vismaz 10 000 000 EUR vai maksimāli vismaz 2 % no tā uzņēmuma kopējā globālā apgrozījuma iepriekšējā finanšu gadā, pie kura pieder būtiskā vienība, atkarībā no tā, kura summa ir lielāka.

5.   Dalībvalstis nodrošina, ka tad, ja svarīgās vienības pārkāpj 21. vai 23. pantu, tām saskaņā ar šā panta 2. un 3. punktu piemēro administratīvu naudas sodu maksimāli vismaz 7 000 000 EUR vai maksimāli vismaz 1,4 % no tā uzņēmuma kopējā globālā apgrozījuma iepriekšējā finanšu gadā, pie kura pieder svarīgā vienība, atkarībā no tā, kura summa ir lielāka.

6.   Dalībvalstis var paredzēt pilnvaras saskaņā ar kompetentās iestādes iepriekšēju lēmumu piemērot periodiskus soda maksājumus, lai piespiestu būtisko vai svarīgo vienību izbeigt šīs direktīvas pārkāpšanu.

7.   Neskarot 32. un 33. pantā noteiktās kompetento iestāžu pilnvaras, katra dalībvalsts var pieņemt noteikumus par to, vai un līdz kādam apjomam administratīvos naudas sodus var piemērot valsts pārvaldes vienībām.

8.   Ja dalībvalsts tiesību sistēmā nav paredzēti administratīvi naudas sodi, attiecīgā dalībvalsts nodrošina, ka šo pantu piemēro tā, ka naudas sodu ierosina kompetentā iestāde un piemēro valsts kompetentās tiesas vai tribunāli, vienlaikus nodrošinot, ka minētie tiesiskās aizsardzības līdzekļi ir efektīvi un tiem ir tāda pati ietekme kā kompetento iestāžu piemērotiem administratīviem naudas sodiem. Jebkurā gadījumā uzliktie naudas sodi ir iedarbīgi, samērīgi un atturoši. Dalībvalsts līdz 2024. gada 17. oktobrim paziņo Komisijai to tiesību aktu noteikumus, ko tā pieņem saskaņā ar šo punktu, un nekavējoties paziņo par jebkuru turpmāku grozošo aktu vai noteikumu grozījumu.

35. pants

Pārkāpumi, kas ietver persondatu aizsardzības pārkāpumu

1.   Ja kompetentajām iestādēm uzraudzības vai izpildes panākšanas gaitā kļūst zināms, ka būtiskas vai svarīgas vienības izdarīts šīs direktīvas 21. un 23. pantā noteikto pienākumu pārkāpums var ietvert persondatu aizsardzības pārkāpumu, kā definēts Regulas (ES) 2016/679 4. panta 12) punktā un kas ir jāpaziņo atbilstoši minētās regulas 33. pantam, tās bez liekas kavēšanās informē uzraudzības iestādes, kā noteikts minētās regulas 55. un 56. pantā.

2.   Ja uzraudzības iestādes, kā minēts Regulas (ES) 2016/679 55. vai 56. pantā, piemēro administratīvu naudas sodu saskaņā ar minētās regulas 58. panta 2. punkta i) apakšpunktu, kompetentās iestādes nepiemēro administratīvu naudas sodu saskaņā ar šīs direktīvas 34. pantu par šā panta 1. punktā minēto pārkāpumu, kas izriet no tās pašas rīcības, par kuru ir piemērots administratīvais naudas sods saskaņā ar Regulas (ES) 2016/679 58. panta 2. punkta i) apakšpunktu. Tomēr kompetentās iestādes var noteikt izpildes panākšanas pasākumus, kas paredzēti šīs direktīvas 32. panta 4. punkta a)–h) apakšpunktā, 32. panta 5. punktā un 33. panta 4. punkta a)–g) apakšpunktā.

3.   Ja uzraudzības iestāde, kas ir kompetenta atbilstīgi Regulai (ES) 2016/679, ir iedibināta dalībvalstī, kura nav kompetentās iestādes dalībvalsts, kompetentā iestāde informē uzraudzības iestādi, kas ir iedibināta pašas dalībvalstī, par iespējamu 1. punktā minēto datu aizsardzības pārkāpumu.

36. pants

Sodi

Dalībvalstis paredz noteikumus par sodiem, kas piemērojami par to valsts noteikumu pārkāpumiem, kuri pieņemti, ievērojot šo direktīvu, un veic visus nepieciešamos pasākumus, lai nodrošinātu to piemērošanu. Paredzētie sodi ir iedarbīgi, samērīgi un atturoši. Dalībvalstis līdz 2025. gada 17. janvārim dara zināmus minētos noteikumus un pasākumus Komisijai un nekavējoties paziņo tai par jebkādiem turpmākiem grozījumiem, kas tos ietekmē.

37. pants

Savstarpēja palīdzība

1.   Ja vienība sniedz pakalpojumus vairāk nekā vienā dalībvalstī vai sniedz pakalpojumus vienā vai vairākās dalībvalstīs un tās tīklu un informācijas sistēmas atrodas vienā vai vairākās citās dalībvalstīs, attiecīgo dalībvalstu kompetentās iestādes vajadzības gadījumā sadarbojas un cita citai palīdz. Minētā sadarbība ietver vismaz turpmāk minēto:

| a) | kompetentās iestādes, kas piemēro uzraudzības vai izpildes panākšanas pasākumus dalībvalstī, ar vienotā kontaktpunkta starpniecību informē pārējo attiecīgo dalībvalstu kompetentās iestādes un apspriežas ar tām par veiktajiem uzraudzības un izpildes panākšanas pasākumiem; |
| --- | --- |

a)

kompetentās iestādes, kas piemēro uzraudzības vai izpildes panākšanas pasākumus dalībvalstī, ar vienotā kontaktpunkta starpniecību informē pārējo attiecīgo dalībvalstu kompetentās iestādes un apspriežas ar tām par veiktajiem uzraudzības un izpildes panākšanas pasākumiem;

| b) | kompetentā iestāde var pieprasīt, lai cita kompetentā iestāde veic uzraudzības vai izpildes panākšanas pasākumus; |
| --- | --- |

b)

kompetentā iestāde var pieprasīt, lai cita kompetentā iestāde veic uzraudzības vai izpildes panākšanas pasākumus;

| c) | kompetentā iestāde, saņemot pamatotu lūgumu no citas kompetentās iestādes, sniedz otrai kompetentajai iestādei savstarpēju palīdzību, kas ir proporcionāla pašas rīcībā esošajiem resursiem, lai uzraudzības vai izpildes panākšanas pasākumus varētu īstenot efektīvi, iedarbīgi un konsekventi. |
| --- | --- |

c)

kompetentā iestāde, saņemot pamatotu lūgumu no citas kompetentās iestādes, sniedz otrai kompetentajai iestādei savstarpēju palīdzību, kas ir proporcionāla pašas rīcībā esošajiem resursiem, lai uzraudzības vai izpildes panākšanas pasākumus varētu īstenot efektīvi, iedarbīgi un konsekventi.

Pirmās daļas c) apakšpunktā minētā savstarpējā palīdzība var ietvert informācijas pieprasījumus un uzraudzības pasākumus, tostarp pieprasījumus veikt inspekcijas uz vietas vai attālinātu uzraudzību, vai mērķtiecīgas drošības revīzijas. Kompetentā iestāde, kurai ir adresēts palīdzības lūgums, neatsaka minēto lūgumu, ja vien netiek konstatēts, ka tā nav kompetenta sniegt pieprasīto palīdzību, pieprasītā palīdzība nav samērīga ar kompetentās iestādes uzraudzības uzdevumiem, vai ja lūgums attiecas uz informāciju vai ir saistīts ar darbībām, kuras, ja tās tiktu izpaustas vai veiktas, būtu pretrunā attiecīgās dalībvalsts būtiskām valsts drošības, sabiedrības drošības vai aizsardzības interesēm. Pirms šāda pieprasījuma noraidīšanas kompetentā iestāde apspriežas ar citām attiecīgajām kompetentajām iestādēm, kā arī – pēc kādas no attiecīgo dalībvalstu pieprasījuma – ar Komisiju un ENISA.

2.   Attiecīgā gadījumā un pēc kopīgas vienošanās kompetentās iestādes no dažādām dalībvalstīm var veikt kopīgas uzraudzības darbības.

VIII NODAĻA

DELEĢĒTIE UN ĪSTENOŠANAS AKTI

38. pants

Deleģēšanas īstenošana

1.   Pilnvaras pieņemt deleģētos aktus Komisijai piešķir, ievērojot šajā pantā izklāstītos nosacījumus.

2.   Pilnvaras pieņemt 24. panta 2. punktā minētos deleģētos aktus Komisijai piešķir uz piecu gadu laikposmu no 2023. gada 16. janvāra.

3.   Eiropas Parlaments vai Padome jebkurā laikā var atsaukt 24. panta 2. punktā minēto pilnvaru deleģēšanu. Ar lēmumu par atsaukšanu izbeidz tajā norādīto pilnvaru deleģēšanu. Lēmums stājas spēkā nākamajā dienā pēc tā publicēšanas Eiropas Savienības Oficiālajā Vēstnesī vai vēlākā dienā, kas tajā norādīta. Tas neskar jau spēkā esošos deleģētos aktus.

4.   Pirms deleģētā akta pieņemšanas Komisija apspriežas ar ekspertiem ar katras dalībvalsts ieceltajiem ekspertiem saskaņā ar principiem, kas noteikti 2016. gada 13. aprīļa Iestāžu nolīgumā par labāku likumdošanas procesu.

5.   Tiklīdz Komisija pieņem deleģēto aktu, tā par to paziņo vienlaikus Eiropas Parlamentam un Padomei.

6.   Saskaņā ar 24. panta 2. punktu pieņemts deleģētais akts stājas spēkā tikai tad, ja divos mēnešos no dienas, kad minētais akts paziņots Eiropas Parlamentam un Padomei, ne Eiropas Parlaments, ne Padome nav izteikuši iebildumus vai ja pirms minētā laikposma beigām gan Eiropas Parlaments, gan Padome ir informējuši Komisiju par savu nodomu neizteikt iebildumus. Pēc Eiropas Parlamenta vai Padomes iniciatīvas šo laikposmu pagarina par diviem mēnešiem.

39. pants

Komiteju procedūra

1.   Komisijai palīdz komiteja. Minētā komiteja ir komiteja Regulas (ES) Nr. 182/2011 nozīmē.

2.   Ja ir atsauce uz šo punktu, piemēro Regulas (ES) Nr. 182/2011 5. pantu.

3.   Ja komitejas atzinums ir jāsaņem rakstiskā procedūrā, minēto procedūru izbeidz, nepanākot rezultātu, ja atzinuma sniegšanas termiņā tā nolemj komitejas priekšsēdētājs vai to pieprasa kāds komitejas loceklis.

IX NODAĻA

NOBEIGUMA NOTEIKUMI

40. pants

Pārskatīšana

Komisija līdz 2027. gada 17. oktobrim un pēc tam reizi 36 mēnešos pārskata šīs direktīvas darbību un sniedz ziņojumu Eiropas Parlamentam un Padomei. Ziņojumā jo īpaši novērtē minēto attiecīgo vienību lielumu un I un II pielikumā minētās vienības nozares, apakšnozares un veida nozīmīgumu ekonomikas darbībai un sabiedrībai saistībā ar kiberdrošību. Šajā nolūkā un lai turpinātu attīstīt stratēģisko un operatīvo sadarbību, Komisija ņem vērā sadarbības grupas un CSIRT tīkla ziņojumus par stratēģiskā un operatīvā līmenī gūto pieredzi. Ziņojumam vajadzības gadījumā pievieno leģislatīva akta priekšlikumu.

CSIRT

41. pants

Transponēšana

1.   Dalībvalstis līdz 2024. gada 17. oktobrim pieņem un publicē noteikumus, kas vajadzīgi, lai izpildītu šīs direktīvas prasības. Dalībvalstis par to tūlīt informē Komisiju.

Tās piemēro minētos aktus no 2024. gada 18. oktobra.

2.   Kad dalībvalstis pieņem 1. punktā minētos noteikumus, tajos ietver atsauci uz šo direktīvu vai arī šādu atsauci pievieno to oficiālajai publikācijai. Dalībvalstis nosaka paņēmienus, kā izdarāma šāda atsauce.

42. pants

Grozījums Regulā (ES) Nr. 910/2014

Regulas (ES) Nr. 910/2014 19. pantu svītro no 2024. gada 18. oktobra.

43. pants

Grozījums Direktīvā (ES) 2018/1972

Direktīvas (ES) 2018/1972 40. un 41. pantu svītro no 2024. gada 18. oktobra.

44. pants

Atcelšana

Direktīva (ES) 2016/1148 tiek atcelta no 2024. gada 18. oktobra.

Atsauces uz atcelto direktīvu uzskata par atsaucēm uz šo direktīvu, un tās lasa saskaņā ar atbilstības tabulu III pielikumā.

45. pants

Stāšanās spēkā

Šī direktīva stājas spēkā divdesmitajā dienā pēc tās publicēšanas Eiropas Savienības Oficiālajā Vēstnesī.

Eiropas Savienības Oficiālajā Vēstnesī

46. pants

Adresāti

Šī direktīva ir adresēta dalībvalstīm.

Strasbūrā, 2022. gada 14. decembrī

Eiropas Parlamenta vārdā –

priekšsēdētāja

R. METSOLA

Padomes vārdā –

priekšsēdētājs

M. BEK

---

(1)  
  OV C 233, 16.6.2022., 22. lpp.

1

(2)  
  OV C 286, 16.7.2021., 170. lpp.

2

(3)  Eiropas Parlamenta 2022. gada 10. novembra nostāja (Oficiālajā Vēstnesī vēl nav publicēta) un Padomes 2022. gada 28. novembra lēmums.

3

Oficiālajā Vēstnesī

(4)  Eiropas Parlamenta un Padomes Direktīva (ES) 2016/1148 (2016. gada 6. jūlijs) par pasākumiem nolūkā panākt vienādi augsta līmeņa tīklu un informācijas sistēmu drošību visā Savienībā (OV L 194, 19.7.2016., 1. lpp.).

4

(5)  Komisijas Ieteikums 2003/361/EK (2003. gada 6. maijs) par mikrouzņēmumu, mazo un vidējo uzņēmumu definīciju (OV L 124, 20.5.2003., 36. lpp.).

5

(6)  Eiropas Parlamenta un Padomes Regula (ES) Nr. 910/2014 (2014. gada 23. jūlijs) par elektronisko identifikāciju un uzticamības pakalpojumiem elektronisko darījumu veikšanai iekšējā tirgū un ar ko atceļ Direktīvu 1999/93/EK (OV L 257, 28.8.2014., 73. lpp.).

6

(7)  Eiropas Parlamenta un Padomes Direktīva 97/67/EK (1997. gada 15. decembris) par kopīgiem noteikumiem Kopienas pasta pakalpojumu iekšējā tirgus attīstībai un pakalpojumu kvalitātes uzlabošanai (OV L 15, 21.1.1998., 14. lpp.).

7

(8)  Eiropas Parlamenta un Padomes Regula (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (OV L 119, 4.5.2016., 1. lpp.).

8

(9)  Eiropas Parlamenta un Padomes Direktīva 2002/58/EK (2002. gada 12. jūlijs) par personas datu apstrādi un privātās dzīves aizsardzību elektronisko komunikāciju nozarē (direktīva par privāto dzīvi un elektronisko komunikāciju) (OV L 201, 31.7.2002., 37. lpp.).

9

(10)  Eiropas Parlamenta un Padomes Regula (ES) 2022/2554 (2022. gada 14. decembris) par finanšu sektora digitālās darbības noturību un ar ko groza Regulas (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 un (ES) 2016/1011 (skatīt šā Oficiālā Vēstneša 1.. lpp.).

10

Oficiālā Vēstneša

(11)  Eiropas Parlamenta un Padomes Regula (EK) Nr. 300/2008 (2008. gada 11. marts) par kopīgiem noteikumiem civilās aviācijas drošības jomā un ar ko atceļ Regulu (EK) Nr. 2320/2002 (OV L 97, 9.4.2008., 72. lpp.).

11

(12)  Eiropas Parlamenta un Padomes Regula (ES) 2018/1139 (2018. gada 4. jūlijs) par kopīgiem noteikumiem civilās aviācijas jomā un ar ko izveido Eiropas Savienības Aviācijas drošības aģentūru, un ar ko groza Eiropas Parlamenta un Padomes Regulas (EK) Nr. 2111/2005, (EK) Nr. 1008/2008, (ES) Nr. 996/2010, (ES) Nr. 376/2014 un Direktīvas 2014/30/ES un 2014/53/ES un atceļ Eiropas Parlamenta un Padomes Regulas (EK) Nr. 552/2004 un (EK) Nr. 216/2008 un Padomes Regulu (EEK) Nr. 3922/91 (OV L 212, 22.8.2018., 1. lpp.).

12

(13)  Eiropas Parlamenta un Padomes Direktīva (ES) 2022/2557 (2022. gada 14. decembris) par kritisko vienību noturību un ar ko atceļ Padomes Direktīvu 2008/114/EK (skatīt šā Oficiālā Vēstneša 164.. lpp.).

13

Oficiālā Vēstneša

(14)  Eiropas Parlamenta un Padomes Regula (ES) 2021/696 (2021. gada 28. aprīlis), ar ko izveido Savienības kosmosa programmu un Eiropas Savienības Kosmosa programmas aģentūru un atceļ Regulas (ES) Nr. 912/2010, (ES) Nr. 1285/2013 un (ES) Nr. 377/2014 un Lēmumu Nr. 541/2014/ES (OV L 170, 12.5.2021., 69. lpp.).

14

(15)  Komisijas Ieteikums (ES) 2017/1584 (2017. gada 13. septembris) par koordinētu reaģēšanu uz plašapmēra kiberdrošības incidentiem un krīzēm (OV L 239, 19.9.2017., 36. lpp.).

15

(16)  Padomes Īstenošanas lēmums (ES) 2018/1993 (2018. gada 11. decembris) par ES integrētajiem krīzes situāciju politiskās reaģēšanas mehānismiem (OV L 320, 17.12.2018., 28. lpp.).

16

(17)  Eiropas Parlamenta un Padomes Lēmums Nr. 1313/2013/ES (2013. gada 17. decembris) par Savienības civilās aizsardzības mehānismu (OV L 347, 20.12.2013., 924. lpp.).

17

(18)  Eiropas Parlamenta un Padomes Regula (ES) 2019/881 (2019. gada 17. aprīlis) par ENISA (Eiropas Savienības Kiberdrošības aģentūra) un par informācijas un komunikācijas tehnoloģiju kiberdrošības sertifikāciju, un ar ko atceļ Regulu (ES) Nr. 526/2013 (Kiberdrošības akts) (OV L 151, 7.6.2019., 15. lpp.).

18

ENISA

(19)  Komisijas Ieteikums (ES) 2019/534 (2019. gada 26. marts) par 5G tīklu kiberdrošību (OV L 88, 29.3.2019., 42. lpp.).

19

(20)  Eiropas Parlamenta un Padomes Direktīva (ES) 2018/1972 (2018. gada 11. decembris) par Eiropas Elektronisko sakaru kodeksa izveidi (OV L 321, 17.12.2018., 36. lpp.).

20

(21)  Eiropas Parlamenta un Padomes Regula (ES) 2021/694 (2021. gada 29. aprīlis), ar ko izveido programmu “Digitālā Eiropa” un atceļ Lēmumu (ES) 2015/2240 (OV L 166, 11.5.2021., 1. lpp.).

21

(22)  
  OV L 123, 12.5.2016., 1. lpp.

22

(23)  Eiropas Parlamenta un Padomes Regula (ES) Nr. 182/2011 (2011. gada 16. februāris), ar ko nosaka normas un vispārīgus principus par dalībvalstu kontroles mehānismiem, kuri attiecas uz Komisijas īstenošanas pilnvaru izmantošanu (OV L 55, 28.2.2011., 13. lpp.).

23

(24)  Eiropas Parlamenta un Padomes Regula (ES) 2022/2065 (2022. gada 19. oktobris) par digitālo pakalpojumu vienoto tirgu un ar ko groza Direktīvu 2000/31/EK (Digitālo pakalpojumu akts) (OV L 277, 27.10.2022., 1. lpp.).

24

(25)  Eiropas Parlamenta un Padomes Regula (ES) 2018/1725 (2018. gada 23. oktobris) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi Savienības iestādēs, struktūrās, birojos un aģentūrās un par šādu datu brīvu apriti un ar ko atceļ Regulu (EK) Nr. 45/2001 un Lēmumu Nr. 1247/2002/EK (OV L 295, 21.11.2018., 39. lpp.).

25

(26)  
  OV C 183, 11.5.2021., 3. lpp.

26

(27)  Eiropas Parlamenta un Padomes Direktīva 2011/93/ES (2011. gada 13. decembris) par seksuālas vardarbības pret bērniem, bērnu seksuālas izmantošanas un bērnu pornogrāfijas apkarošanu, un ar kuru aizstāj Padomes Pamatlēmumu 2004/68/TI (OV L 335, 17.12.2011., 1. lpp.).

27

(28)  Eiropas Parlamenta un Padomes Direktīva 2013/40/ES (2013. gada 12. augusts) par uzbrukumiem informācijas sistēmām, un ar kuru aizstāj Padomes Pamatlēmumu 2005/222/TI (OV L 218, 14.8.2013., 8. lpp.).

28

(29)  Eiropas Parlamenta un Padomes Regula (ES) Nr. 1025/2012 (2012. gada 25. oktobris) par Eiropas standartizāciju, ar ko groza Padomes Direktīvas 89/686/EEK un 93/15/EEK un Eiropas Parlamenta un Padomes Direktīvas 94/9/EK, 94/25/EK, 95/16/EK, 97/23/EK, 98/34/EK, 2004/22/EK, 2007/23/EK, 2009/23/EK un 2009/105/EK, un ar ko atceļ Padomes Lēmumu 87/95/EEK un Eiropas Parlamenta un Padomes Lēmumu Nr. 1673/2006/EK (OV L 316, 14.11.2012., 12. lpp.).

29

(30)  Eiropas Parlamenta un Padomes Direktīva (ES) 2015/1535 (2015. gada 9. septembris), ar ko nosaka informācijas sniegšanas kārtību tehnisko noteikumu un Informācijas sabiedrības pakalpojumu noteikumu jomā (OV L 241, 17.9.2015., 1. lpp.).

30

(31)  Eiropas Parlamenta un Padomes Direktīva 2005/29/EK (2005. gada 11. maijs), kas attiecas uz uzņēmēju negodīgu komercpraksi iekšējā tirgū attiecībā pret patērētājiem un ar ko groza Padomes Direktīvu 84/450/EEK un Eiropas Parlamenta un Padomes Direktīvas 97/7/EK, 98/27/EK un 2002/65/EK un Eiropas Parlamenta un Padomes Regulu (EK) Nr. 2006/2004 (“Negodīgas komercprakses direktīva”) (OV L 149, 11.6.2005., 22. lpp.).

31

(32)  Eiropas Parlamenta un Padomes Regula (ES) 2019/1150 (2019. gada 20. jūnijs) par taisnīguma un pārredzamības veicināšanu komerciālajiem lietotājiem paredzētos tiešsaistes starpniecības pakalpojumos (OV L 186, 11.7.2019., 57. lpp.).

32

---

I PIELIKUMS

SEVIŠĶI KRITISKĀS NOZARES

| Nozare | Apakšnozare | Vienības veids |
| --- | --- | --- |
| 1. | Enerģētika |

Nozare

Apakšnozare

Vienības veids

1.

Enerģētika

| a) | Elektroenerģija |
| --- | --- |

a)

Elektroenerģija

| — | Elektroenerģijas uzņēmumi, kā definēts Eiropas Parlamenta un Padomes Direktīvas (ES) 2019/944 (1) 2. panta 57. punktā un kas pilda piegādes funkciju, kā definēts minētās direktīvas 2. panta 12) punktā |
| --- | --- |

—

Elektroenerģijas uzņēmumi, kā definēts Eiropas Parlamenta un Padomes Direktīvas (ES) 2019/944 (1) 2. panta 57. punktā un kas pilda piegādes funkciju, kā definēts minētās direktīvas 2. panta 12) punktā

| — | Sadales sistēmu operatori, kā definēts Direktīvas (ES) 2019/944 2. panta 29) punktā |
| --- | --- |

—

Sadales sistēmu operatori, kā definēts Direktīvas (ES) 2019/944 2. panta 29) punktā

| — | Pārvades sistēmu operatori, kā definēts Direktīvas (ES) 2019/944 2. panta 35) punktā |
| --- | --- |

—

Pārvades sistēmu operatori, kā definēts Direktīvas (ES) 2019/944 2. panta 35) punktā

| — | Ražotāji, kā definēts Direktīvas (ES) 2019/944 2. panta 38) punktā |
| --- | --- |

—

Ražotāji, kā definēts Direktīvas (ES) 2019/944 2. panta 38) punktā

| — | Nominēti elektroenerģijas tirgus operatori, kā definēts Eiropas Parlamenta un Padomes Regulas (ES) 2019/943 (2) 2. panta 8) punktā; |
| --- | --- |

—

Nominēti elektroenerģijas tirgus operatori, kā definēts Eiropas Parlamenta un Padomes Regulas (ES) 2019/943 (2) 2. panta 8) punktā;

| — | Tirgus dalībnieki, kā definēts Regulas (ES) 2019/943 2. panta 25) punktā un kas sniedz agregēšanas, pieprasījumreakcijas vai enerģijas uzkrāšanas pakalpojumus, kā definēts Direktīvas (ES) 2019/944 2. panta 18), 20) un 59) punktā |
| --- | --- |

—

Tirgus dalībnieki, kā definēts Regulas (ES) 2019/943 2. panta 25) punktā un kas sniedz agregēšanas, pieprasījumreakcijas vai enerģijas uzkrāšanas pakalpojumus, kā definēts Direktīvas (ES) 2019/944 2. panta 18), 20) un 59) punktā

| — | Uzlādes punkta operatori, kas atbild par tāda uzlādes punkta pārvaldību un ekspluatāciju, kurš galalietotājiem sniedz uzlādes pakalpojumu, arī mobilitātes pakalpojuma sniedzēja vārdā un uzdevumā |
| --- | --- |

—

Uzlādes punkta operatori, kas atbild par tāda uzlādes punkta pārvaldību un ekspluatāciju, kurš galalietotājiem sniedz uzlādes pakalpojumu, arī mobilitātes pakalpojuma sniedzēja vārdā un uzdevumā

| b) | Centralizēta siltumapgāde un aukstumapgāde |
| --- | --- |

b)

Centralizēta siltumapgāde un aukstumapgāde

| — | Centralizētas siltumapgādes un aukstumapgādes operatori, kā definēts Eiropas Parlamenta un Padomes Direktīvas (ES) 2018/2001 (3) 2. panta 19) punktā |
| --- | --- |

—

Centralizētas siltumapgādes un aukstumapgādes operatori, kā definēts Eiropas Parlamenta un Padomes Direktīvas (ES) 2018/2001 (3) 2. panta 19) punktā

| c) | Nafta |
| --- | --- |

c)

Nafta

| — | Naftas pārvades cauruļvadu operatori |
| --- | --- |

—

Naftas pārvades cauruļvadu operatori

| — | Naftas ražošanas operatori, pārstrādes un attīrīšanas iekārtas, uzglabāšana un pārvade |
| --- | --- |

—

Naftas ražošanas operatori, pārstrādes un attīrīšanas iekārtas, uzglabāšana un pārvade

| — | Centrālās krājumu uzturēšanas struktūras, kā definēts Direktīvas 2009/119/EK (4) 2. panta f) punktā |
| --- | --- |

—

Centrālās krājumu uzturēšanas struktūras, kā definēts Direktīvas 2009/119/EK (4) 2. panta f) punktā

| d) | Gāze |
| --- | --- |

d)

Gāze

| — | Piegādes uzņēmumi, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2009/73/EK (5) 2. panta 8) punktā |
| --- | --- |

—

Piegādes uzņēmumi, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2009/73/EK (5) 2. panta 8) punktā

| — | Sadales sistēmu operatori, kā definēts Direktīvas 2009/73/EK 2. panta 6) punktā |
| --- | --- |

—

Sadales sistēmu operatori, kā definēts Direktīvas 2009/73/EK 2. panta 6) punktā

| — | Pārvades sistēmu operatori, kā definēts Direktīvas 2009/73/EK 2. panta 4) punktā |
| --- | --- |

—

Pārvades sistēmu operatori, kā definēts Direktīvas 2009/73/EK 2. panta 4) punktā

| — | Uzglabāšanas sistēmas operatori, kā definēts Direktīvas 2009/73/EK 2. panta 10) punktā |
| --- | --- |

—

Uzglabāšanas sistēmas operatori, kā definēts Direktīvas 2009/73/EK 2. panta 10) punktā

| — | SDG sistēmas operatori, kā definēts Direktīvas 2009/73/EK 2. panta 12) punktā |
| --- | --- |

—

SDG sistēmas operatori, kā definēts Direktīvas 2009/73/EK 2. panta 12) punktā

| — | Dabasgāzes uzņēmumi, kā definēts Direktīvas 2009/73/EK 2. panta 1) punktā |
| --- | --- |

—

Dabasgāzes uzņēmumi, kā definēts Direktīvas 2009/73/EK 2. panta 1) punktā

| — | Dabasgāzes pārstrādes un attīrīšanas iekārtu operatori |
| --- | --- |

—

Dabasgāzes pārstrādes un attīrīšanas iekārtu operatori

| e) | Ūdeņradis |
| --- | --- |

e)

Ūdeņradis

| — | Ūdeņraža ražošanas, uzglabāšanas un pārvades operatori |
| --- | --- |

—

Ūdeņraža ražošanas, uzglabāšanas un pārvades operatori

| 2. | Transports |
| --- | --- |

2.

Transports

| a) | Gaisa transports |
| --- | --- |

a)

Gaisa transports

| — | Gaisa pārvadātāji, kā definēts Regulas (EK) Nr. 300/2008 3. panta 4) punktā un ko izmanto komerciālos nolūkos |
| --- | --- |

—

Gaisa pārvadātāji, kā definēts Regulas (EK) Nr. 300/2008 3. panta 4) punktā un ko izmanto komerciālos nolūkos

| — | Lidostu pārvaldības struktūras, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2009/12/EK (6) 2. panta 2) punktā, lidostas, kā definēts minētās direktīvas 2. panta 1) punktā, tostarp galvenās lidostas, kas uzskaitītas Eiropas Parlamenta un Padomes Regulas (ES) Nr. 1315/2013 (7) II pielikuma 2. iedaļā, un vienības, kuras nodarbojas ar tādu palīgiekārtu ekspluatāciju, kas atrodas lidostās |
| --- | --- |

—

Lidostu pārvaldības struktūras, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2009/12/EK (6) 2. panta 2) punktā, lidostas, kā definēts minētās direktīvas 2. panta 1) punktā, tostarp galvenās lidostas, kas uzskaitītas Eiropas Parlamenta un Padomes Regulas (ES) Nr. 1315/2013 (7) II pielikuma 2. iedaļā, un vienības, kuras nodarbojas ar tādu palīgiekārtu ekspluatāciju, kas atrodas lidostās

| — | Satiksmes vadības kontroles operatori, kuri sniedz gaisa satiksmes vadības (ATC) pakalpojumu, kā definēts Eiropas Parlamenta un Padomes Regulas (EK) Nr. 549/2004 (8) 2. panta 1) punktā |
| --- | --- |

—

Satiksmes vadības kontroles operatori, kuri sniedz gaisa satiksmes vadības (ATC) pakalpojumu, kā definēts Eiropas Parlamenta un Padomes Regulas (EK) Nr. 549/2004 (8) 2. panta 1) punktā

| b) | Dzelzceļa transports |
| --- | --- |

b)

Dzelzceļa transports

| — | Infrastruktūras pārvaldītāji, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2012/34/ES (9) 3. panta 2) punktā |
| --- | --- |

—

Infrastruktūras pārvaldītāji, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2012/34/ES (9) 3. panta 2) punktā

| — | Dzelzceļa pārvadājumu uzņēmumi, kā definēts Direktīvas 2012/34/ES 3. panta 1) punktā, tostarp apkalpes vietas operatori, kā definēts minētās direktīvas 3. panta 12) punktā |
| --- | --- |

—

Dzelzceļa pārvadājumu uzņēmumi, kā definēts Direktīvas 2012/34/ES 3. panta 1) punktā, tostarp apkalpes vietas operatori, kā definēts minētās direktīvas 3. panta 12) punktā

| c) | Ūdens transports |
| --- | --- |

c)

Ūdens transports

| — | Iekšējo, jūras un piekrastes ūdens transporta pasažieru un kravu pārvadājumu uzņēmumi, kā attiecībā uz jūras transportu definēts Eiropas Parlamenta un Padomes Regulas (EK) Nr. 725/2004 (10) I pielikumā, neietverot atsevišķos kuģus, kurus ekspluatē minētie uzņēmumi |
| --- | --- |

—

Iekšējo, jūras un piekrastes ūdens transporta pasažieru un kravu pārvadājumu uzņēmumi, kā attiecībā uz jūras transportu definēts Eiropas Parlamenta un Padomes Regulas (EK) Nr. 725/2004 (10) I pielikumā, neietverot atsevišķos kuģus, kurus ekspluatē minētie uzņēmumi

| — | Tādu ostu pārvaldības struktūras, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2005/65/EK (11) 3. panta 1) punktā, tostarp to ostas iekārtas, kā definēts Regulas (EK) Nr. 725/2004 2. panta 11) punktā, un vienības, kas ekspluatē rūpnīcas un iekārtas, kuras atrodas ostās |
| --- | --- |

—

Tādu ostu pārvaldības struktūras, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2005/65/EK (11) 3. panta 1) punktā, tostarp to ostas iekārtas, kā definēts Regulas (EK) Nr. 725/2004 2. panta 11) punktā, un vienības, kas ekspluatē rūpnīcas un iekārtas, kuras atrodas ostās

| — | Tādu kuģu satiksmes dienestu operatori, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2002/59/EK (12) 3. panta o) punktā |
| --- | --- |

—

Tādu kuģu satiksmes dienestu operatori, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2002/59/EK (12) 3. panta o) punktā

| d) | Auto-transports |
| --- | --- |

d)

Auto-transports

| — | Par autoceļiem atbildīgās iestādes, kā definēts Komisijas Deleģētās regulas (ES) 2015/962 (13) 2. panta 12) punktā un kuras ir atbildīgas par satiksmes pārvaldības kontroli, izņemot publiskas vienības, attiecībā uz kurām satiksmes pārvaldība vai intelektisko transporta sistēmu vadība ir tikai nebūtiska to vispārējās darbības daļa |
| --- | --- |

—

Par autoceļiem atbildīgās iestādes, kā definēts Komisijas Deleģētās regulas (ES) 2015/962 (13) 2. panta 12) punktā un kuras ir atbildīgas par satiksmes pārvaldības kontroli, izņemot publiskas vienības, attiecībā uz kurām satiksmes pārvaldība vai intelektisko transporta sistēmu vadība ir tikai nebūtiska to vispārējās darbības daļa

| — | Tādu intelektisko transporta sistēmu operatori, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2010/40/ES (14) 4. panta 1) punktā |
| --- | --- |

—

Tādu intelektisko transporta sistēmu operatori, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2010/40/ES (14) 4. panta 1) punktā

| 3. | Banku pakalpojumi |
| --- | --- |

3.

Banku pakalpojumi

Kredītiestādes, kā definēts Eiropas Parlamenta un Padomes Regulas (ES) Nr. 575/2013 (15) 4. panta 1) punktā

| 4. | Finanšu tirgus infrastruktūras |
| --- | --- |

4.

Finanšu tirgus infrastruktūras

| — | Tādu tirdzniecības vietu operatori, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2014/65/ES (16) 4. panta 24) punktā |
| --- | --- |

—

Tādu tirdzniecības vietu operatori, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2014/65/ES (16) 4. panta 24) punktā

| — | Centrālie darījumu partneri (CCP), kā definēts Eiropas Parlamenta un Padomes Regulas (ES) Nr. 648/2012 (17) 2. panta 1) punktā |
| --- | --- |

—

Centrālie darījumu partneri (CCP), kā definēts Eiropas Parlamenta un Padomes Regulas (ES) Nr. 648/2012 (17) 2. panta 1) punktā

| 5. | Veselība |
| --- | --- |

5.

Veselība

| — | Veselības aprūpes sniedzēji, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2011/24/ES (18) 3. panta g) punktā |
| --- | --- |

—

Veselības aprūpes sniedzēji, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2011/24/ES (18) 3. panta g) punktā

| — | ES references laboratorijas, kas minētas Eiropas Parlamenta un Padomes Regulas (ES) 2022/2371 (19) 15. pantā |
| --- | --- |

—

ES references laboratorijas, kas minētas Eiropas Parlamenta un Padomes Regulas (ES) 2022/2371 (19) 15. pantā

| — | Vienības, kuras veic izpētes un izstrādes darbības attiecībā uz zālēm, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2001/83/EK (20) 1. panta 2) punktā; |
| --- | --- |

—

Vienības, kuras veic izpētes un izstrādes darbības attiecībā uz zālēm, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2001/83/EK (20) 1. panta 2) punktā;

| — | Vienības, kas ražo farmaceitiskās pamatvielas un farmaceitiskos preparātus, kuri minēti NACE 2. red. C sadaļas 21. nodaļā |
| --- | --- |

—

Vienības, kas ražo farmaceitiskās pamatvielas un farmaceitiskos preparātus, kuri minēti NACE 2. red. C sadaļas 21. nodaļā

| — | Vienības, kas ražo medicīniskās ierīces, kuras uzskata par kritiski svarīgām sabiedrības veselības ārkārtas situācijas laikā (sabiedrības veselības ārkārtas situācijas kritiski svarīgo ierīču saraksts) Eiropas Parlamenta un Padomes Regulas (ES) 2022/123 (21) 22. panta nozīmē |
| --- | --- |

—

Vienības, kas ražo medicīniskās ierīces, kuras uzskata par kritiski svarīgām sabiedrības veselības ārkārtas situācijas laikā (sabiedrības veselības ārkārtas situācijas kritiski svarīgo ierīču saraksts) Eiropas Parlamenta un Padomes Regulas (ES) 2022/123 (21) 22. panta nozīmē

| 6. | Dzeramais ūdens |
| --- | --- |

6.

Dzeramais ūdens

Dzeramā ūdens, kā definēts Eiropas Parlamenta un Padomes Direktīvas (ES) 2020/2184 (22) 2. panta 1. punkt a) apakšpunktā, piegādātāji un izplatītāji, izslēdzot izplatītājus, kuriem dzeramā ūdens izplatīšana ir nebūtiska daļa no to veiktās patēriņa preču un pārējo preču izplatīšanas vispārējās darbības

| 7. | Notekūdeņi |
| --- | --- |

7.

Notekūdeņi

Uzņēmumi, kas savāc, utilizē vai attīra komunālos notekūdeņus, sadzīves notekūdeņus vai rūpnieciskos notekūdeņus, kā definēts Padomes Direktīvas 91/271/EEK (23) 2. panta 1), 2) un 3) punktā, izņemot uzņēmumus, kuriem komunālo notekūdeņu, sadzīves notekūdeņu vai rūpniecisko notekūdeņu savākšana, utilizēšana vai attīrīšana ir nebūtiska to vispārējās darbības daļa

| 8. | Digitālā infrastruktūra |
| --- | --- |

8.

Digitālā infrastruktūra

| — | Interneta plūsmu apmaiņas punktu nodrošinātāji |
| --- | --- |

—

Interneta plūsmu apmaiņas punktu nodrošinātāji

| — | DNS pakalpojumu sniedzēji, izņemot saknes nosaukuma serveru operatorus |
| --- | --- |

—

DNS pakalpojumu sniedzēji, izņemot saknes nosaukuma serveru operatorus

| — | ALD nosaukumu reģistri |
| --- | --- |

—

ALD nosaukumu reģistri

| — | Mākoņpakalpojumu sniedzēji |
| --- | --- |

—

Mākoņpakalpojumu sniedzēji

| — | Datu centru pakalpojumu sniedzēji |
| --- | --- |

—

Datu centru pakalpojumu sniedzēji

| — | Satura piegādes tīklu nodrošinātāji |
| --- | --- |

—

Satura piegādes tīklu nodrošinātāji

| — | Uzticamības pakalpojuma sniedzēji |
| --- | --- |

—

Uzticamības pakalpojuma sniedzēji

| — | Publisko elektronisko sakaru tīklu nodrošinātāji |
| --- | --- |

—

Publisko elektronisko sakaru tīklu nodrošinātāji

| — | Publiski pieejamu elektronisko sakaru pakalpojumu sniedzēji |
| --- | --- |

—

Publiski pieejamu elektronisko sakaru pakalpojumu sniedzēji

| 9. | IKT pakalpojumu pārvaldība (uzņēmumu darījumi ar uzņēmumiem) |
| --- | --- |

9.

IKT pakalpojumu pārvaldība (uzņēmumu darījumi ar uzņēmumiem)

| — | Pārvaldītu pakalpojumu sniedzēji |
| --- | --- |

—

Pārvaldītu pakalpojumu sniedzēji

| — | Pārvaldītu drošības pakalpojumu sniedzēji |
| --- | --- |

—

Pārvaldītu drošības pakalpojumu sniedzēji

| 10. | Valsts pārvalde |
| --- | --- |

10.

Valsts pārvalde

| — | Centrālo valdību valsts pārvaldes vienības, ko definējusi dalībvalsts saskaņā ar valsts tiesību aktiem |
| --- | --- |

—

Centrālo valdību valsts pārvaldes vienības, ko definējusi dalībvalsts saskaņā ar valsts tiesību aktiem

| — | Reģionālā līmeņa valsts pārvaldes vienības, ko definējusi dalībvalsts saskaņā ar valsts tiesību aktiem |
| --- | --- |

—

Reģionālā līmeņa valsts pārvaldes vienības, ko definējusi dalībvalsts saskaņā ar valsts tiesību aktiem

| 11. | Kosmoss |
| --- | --- |

11.

Kosmoss

Zemes infrastruktūras, kas pieder dalībvalstīm vai privātā sektora personām vai ko pārvalda un ekspluatē dalībvalstis vai privātā sektora personas, operatori, kas atbalsta kosmosā izvietotu pakalpojumu sniegšanu, izņemot publisko elektronisko sakaru tīklu nodrošinātājus

---

(1)  Eiropas Parlamenta un Padomes Direktīva (ES) 2019/944 (2019. gada 5. jūnijs) par kopīgiem noteikumiem attiecībā uz elektroenerģijas iekšējo tirgu un ar ko groza Direktīvu 2012/27/ES (OV L 158, 14.6.2019., 125. lpp.).

(2)  Eiropas Parlamenta un Padomes Regula (ES) 2019/943 (2019. gada 5. jūnijs) par elektroenerģijas iekšējo tirgu (OV L 158, 14.6.2019., 54. lpp.).

(3)  Eiropas Parlamenta un Padomes Direktīva (ES) 2018/2001 (2018. gada 11. decembris) par no atjaunojamajiem energoresursiem iegūtas enerģijas izmantošanas veicināšanu (OV L 328, 21.12.2018., 82. lpp.).

(4)  Padomes Direktīva 2009/119/EK (2009. gada 14. septembris), ar ko dalībvalstīm uzliek pienākumu uzturēt jēlnaftas un/vai naftas produktu obligātas rezerves (OV L 265, 9.10.2009., 9. lpp.).

(5)  Eiropas Parlamenta un Padomes Direktīva 2009/73/EK (2009. gada 13. jūlijs) par kopīgiem noteikumiem attiecībā uz dabasgāzes iekšējo tirgu un par Direktīvas 2003/55/EK atcelšanu (OV L 211, 14.8.2009., 94. lpp.).

(6)  Eiropas Parlamenta un Padomes Direktīva 2009/12/EK (2009. gada 11. marts) par lidostas maksām (OV L 70, 14.3.2009., 11. lpp.).

(7)  Eiropas Parlamenta un Padomes Regula (ES) Nr. 1315/2013 (2013. gada 11. decembris) par Savienības pamatnostādnēm Eiropas transporta tīkla attīstībai un ar ko atceļ Lēmumu Nr. 661/2010/ES (OV L 348, 20.12.2013., 1. lpp.).

(8)  Eiropas Parlamenta un Padomes Regula (EK) Nr. 549/2004 (2004. gada 10. marts), ar ko nosaka pamatu Eiropas vienotās gaisa telpas izveidošanai (Pamatregula) (OV L 96, 31.3.2004., 1. lpp.).

(9)  Eiropas Parlamenta un Padomes Direktīva 2012/34/ES (2012. gada 21. novembris), ar ko izveido vienotu Eiropas dzelzceļa telpu (OV L 343, 14.12.2012., 32. lpp.).

(10)  Eiropas Parlamenta un Padomes Regula (EK) Nr. 725/2004 (2004. gada 31. marts) par kuģu un ostas iekārtu drošības pastiprināšanu (OV L 129, 29.4.2004., 6. lpp.).

(11)  Eiropas Parlamenta un Padomes Direktīva 2005/65/EK (2005. gada 26. oktobris) par ostu aizsardzības pastiprināšanu (OV L 310, 25.11.2005., 28. lpp.).

(12)  Eiropas Parlamenta un Padomes Direktīva 2002/59/EK (2002. gada 27. jūnijs), ar ko izveido Kopienas kuģu satiksmes uzraudzības un informācijas sistēmu un atceļ Padomes Direktīvu 93/75/EEK (OV L 208, 5.8.2002., 10. lpp.).

(13)  Komisijas Deleģētā regula (ES) 2015/962 (2014. gada 18. decembris), ar ko papildina Eiropas Parlamenta un Padomes Direktīvu 2010/40/ES attiecībā uz reāllaika satiksmes informācijas pakalpojumu nodrošināšanu visā ES (OV L 157, 23.6.2015., 21. lpp.).

(14)  Eiropas Parlamenta un Padomes Direktīva 2010/40/ES (2010. gada 7. jūlijs) par pamatu inteliģento transporta sistēmu ieviešanai autotransporta jomā un saskarnēm ar citiem transporta veidiem (OV L 207, 6.8.2010., 1. lpp.).

(15)  Eiropas Parlamenta un Padomes Regula (ES) Nr. 575/2013 (2013. gada 26. jūnijs) par prudenciālajām prasībām attiecībā uz kredītiestādēm un ar ko groza Regulu (ES) Nr. 648/2012 (OV L 176, 27.6.2013., 1. lpp.).

(16)  Eiropas Parlamenta un Padomes Direktīva 2014/65/ES (2014. gada 15. maijs) par finanšu instrumentu tirgiem un ar ko groza Direktīvu 2002/92/ES un Direktīvu 2011/61/ES (OV L 173, 12.6.2014., 349. lpp.).

(17)  Eiropas Parlamenta un Padomes Regula (ES) Nr. 648/2012 (2012. gada 4. jūlijs) par ārpusbiržas atvasinātajiem instrumentiem, centrālajiem darījumu partneriem un darījumu reģistriem (OV L 201, 27.7.2012., 1. lpp.).

(18)  Eiropas Parlamenta un Padomes Direktīva 2011/24/ES (2011. gada 9. marts) par pacientu tiesību piemērošanu pārrobežu veselības aprūpē (OV L 88, 4.4.2011., 45. lpp.).

(19)  Eiropas Parlamenta un Padomes Regula (ES) 2022/2371 (2022. gada 23. novembris) par nopietniem pārrobežu veselības apdraudējumiem un ar ko atceļ Lēmumu Nr. 1082/2013/ES (OV L 314, 6.12.2022., 26. lpp.).

(20)  Eiropas Parlamenta un Padomes Direktīva 2001/83/EK (2001. gada 6. novembris) par Kopienas kodeksu, kas attiecas uz cilvēkiem paredzētām zālēm (OV L 311, 28.11.2001., 67. lpp.).

(21)  Eiropas Parlamenta un Padomes Regula (ES) 2022/123 (2022. gada 25. janvāris) par pastiprinātu Eiropas Zāļu aģentūras lomu attiecībā uz zālēm un medicīniskajām ierīcēm krīžgatavības un krīžu pārvarēšanas kontekstā (OV L 20, 31.1.2022., 1. lpp.).

(22)  Eiropas Parlamenta un Padomes Direktīva (ES) 2020/2184 (2020. gada 16. decembris) par dzeramā ūdens kvalitāti (OV L 435, 23.12.2020., 1. lpp.).

(23)  Padomes Direktīva 91/271/EEK (1991. gada 21. maijs) par komunālo notekūdeņu attīrīšanu (OV L 135, 30.5.1991., 40. lpp.).

---

II PIELIKUMS

CITAS KRITISKĀS NOZARES

| Nozare | Apakšnozare | Vienības veids |
| --- | --- | --- |
| 1. | Pasta un kurjeru pakalpojumi |

Nozare

Apakšnozare

Vienības veids

1.

Pasta un kurjeru pakalpojumi

Tādu pasta pakalpojumu sniedzēji, kā definēts Direktīvas 97/67/EK 2. panta 1.a punktā, tostarp kurjeru pakalpojumu sniedzēji

| 2. | Atkritumu apsaimniekošana |
| --- | --- |

2.

Atkritumu apsaimniekošana

Uzņēmumi, kas veic atkritumu apsaimniekošanu, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2008/98/EK (1) 3. panta 9) punktā, izņemot uzņēmumus, kuriem atkritumu apsaimniekošana nav to galvenā saimnieciskā darbība

| 3. | Ķimikāliju izgatavošana, ražošana un izplatīšana |
| --- | --- |

3.

Ķimikāliju izgatavošana, ražošana un izplatīšana

Uzņēmumi, kas veic vielu ražošanu un vielu vai maisījumu izplatīšanu, kā minēts Eiropas Parlamenta un Padomes Regulas (EK) Nr. 1907/2006 (2) 3. panta 9) un 14) punktā, un uzņēmumi, kas ražo izstrādājumus no vielām vai maisījumiem, kā definēts minētās regulas 3. panta 3) punktā

| 4. | Pārtikas ražošana, pārstrāde un izplatīšana |
| --- | --- |

4.

Pārtikas ražošana, pārstrāde un izplatīšana

Pārtikas uzņēmumi, kā definēts Eiropas Parlamenta un Padomes Regulas (EK) Nr. 178/2002 (3) 3. panta 2) punktā un kas nodarbojas ar izplatīšanu vairumtirdzniecībā, rūpniecisko ražošanu un pārstrādi

| 5. | Ražošana |
| --- | --- |

5.

Ražošana

| a) | Medicīnisko ierīču un in vitro diagnostikas medicīnisko ierīču ražošana |
| --- | --- |

a)

Medicīnisko ierīču un in vitro diagnostikas medicīnisko ierīču ražošana

Vienības, kuras ražo medicīniskas ierīces, kā definēts Eiropas Parlamenta un Padomes Regulas (ES) 2017/745 (4) 2. panta 1) punktā, un vienības, kuras ražo in vitro diagnostikas medicīniskas ierīces, kā definēts Eiropas Parlamenta un Padomes Regulas (ES) 2017/746 (5) 2. panta 2) punktā, izņemot vienības, kuras ražo šīs direktīvas I pielikuma 5. punkta piektajā ievilkumā minētās medicīniskās ierīces

| b) | Datoru, elektronisko un optisko iekārtu ražošana |
| --- | --- |

b)

Datoru, elektronisko un optisko iekārtu ražošana

Uzņēmumi, kas veic kādu no saimnieciskajām darbībām, kuras minētas NACE 2. red. C sadaļas 26. nodaļā

| c) | Elektrisko iekārtu ražošana |
| --- | --- |

c)

Elektrisko iekārtu ražošana

Uzņēmumi, kas veic kādu no saimnieciskajām darbībām, kuras minētas NACE 2. red. C sadaļas 27. nodaļā

| d) | Citur neklasificētu iekārtu, mehānismu un darba mašīnu ražošana |
| --- | --- |

d)

Citur neklasificētu iekārtu, mehānismu un darba mašīnu ražošana

Uzņēmumi, kas veic kādu no saimnieciskajām darbībām, kuras minētas NACE 2. red. C sadaļas 28. nodaļā

| e) | Automobiļu, piekabju un puspiekabju ražošana |
| --- | --- |

e)

Automobiļu, piekabju un puspiekabju ražošana

Uzņēmumi, kas veic kādu no saimnieciskajām darbībām, kuras minētas NACE 2. red. C sadaļas 29. nodaļā

| f) | Citu transportlīdzekļu ražošana |
| --- | --- |

f)

Citu transportlīdzekļu ražošana

Uzņēmumi, kas veic kādu no saimnieciskajām darbībām, kuras minētas NACE 2. red. C sadaļas 30. nodaļā

| 6. | Digitālo pakalpojumu sniedzēji |
| --- | --- |

6.

Digitālo pakalpojumu sniedzēji

| — | Tiešsaistes tirdzniecības vietu nodrošinātāji |
| --- | --- |

—

Tiešsaistes tirdzniecības vietu nodrošinātāji

| — | Tiešsaistes meklētājprogrammu nodrošinātāji |
| --- | --- |

—

Tiešsaistes meklētājprogrammu nodrošinātāji

| — | Sociālās tīklošanās pakalpojumu platformu nodrošinātāji |
| --- | --- |

—

Sociālās tīklošanās pakalpojumu platformu nodrošinātāji

| 7. | Pētniecība |
| --- | --- |

7.

Pētniecība

Pētniecības organizācijas

---

(1)  Eiropas Parlamenta un Padomes Direktīva 2008/98/EK (2008. gada 19. novembris) par atkritumiem un par dažu direktīvu atcelšanu (OV L 312, 22.11.2008., 3. lpp.).

(2)  Eiropas Parlamenta un Padomes Regula (EK) Nr. 1907/2006 (2006. gada 18. decembris), kas attiecas uz ķimikāliju reģistrēšanu, vērtēšanu, licencēšanu un ierobežošanu (REACH), un ar kuru izveido Eiropas Ķimikāliju aģentūru, groza Direktīvu 1999/45/EK un atceļ Padomes Regulu (EEK) Nr. 793/93 un Komisijas Regulu (EK) Nr. 1488/94, kā arī Padomes Direktīvu 76/769/EEK un Komisijas Direktīvu 91/155/EEK, Direktīvu 93/67/EEK, Direktīvu 93/105/EK un Direktīvu 2000/21/EK (OV L 396, 30.12.2006., 1. lpp.).

(3)  Eiropas Parlamenta un Padomes Regula (EK) Nr. 178/2002 (2002. gada 28. janvāris), ar ko paredz pārtikas aprites tiesību aktu vispārīgus principus un prasības, izveido Eiropas Pārtikas nekaitīguma iestādi un paredz procedūras saistībā ar pārtikas nekaitīgumu (OV L 31, 1.2.2002., 1. lpp.).

(4)  Eiropas Parlamenta un Padomes Regula (ES) 2017/745 (2017. gada 5. aprīlis), kas attiecas uz medicīniskām ierīcēm, ar ko groza Direktīvu 2001/83/EK, Regulu (EK) Nr. 178/2002 un Regulu (EK) Nr. 1223/2009 un atceļ Padomes Direktīvas 90/385/EEK un 93/42/EEK (OV L 117, 5.5.2017., 1. lpp.).

(5)  Eiropas Parlamenta un Padomes Regula (ES) 2017/746 (2017. gada 5. aprīlis) par in vitro diagnostikas medicīniskām ierīcēm un ar ko atceļ Direktīvu 98/79/EK un Komisijas Lēmumu 2010/227/ES (OV L 117, 5.5.2017., 176. lpp.).

---

III PIELIKUMS

ATBILSTĪBAS TABULA

| Direktīva (ES) 2016/1148 | Šī direktīva |
| --- | --- |
| 1. panta 1. punkts | 1. panta 1. punkts |
| 1. panta 2. punkts | 1. panta 2. punkts |
| 1. panta 3. punkts | — |
| 1. panta 4. punkts | 2. panta 12. punkts |
| 1. panta 5. punkts | 2. panta 13. punkts |
| 1. panta 6. punkts | 2. panta 6. un 11. punkts |
| 1. panta 7. punkts | 4. pants |
| 2. pants | 2. panta 14. punkts |
| 3. pants | 5. pants |
| 4. pants | 6. pants |
| 5. pants | — |
| 6. pants | — |
| 7. panta 1. punkts | 7. panta 1. un 2. punkts |
| 7. panta 2. punkts | 7. panta 4. punkts |
| 7. panta 3. punkts | 7. panta 3. punkts |
| 8. panta 1. līdz 5. punkts | 8. panta 1. līdz 5. punkts |
| 8. panta 6. punkts | 13. panta 4. punkts |
| 8. panta 7. punkts | 8. panta 6. punkts |
| 9. panta 1., 2. un 3. punkts | 10. panta 1., 2. un 3. punkts |
| 9. panta 4. punkts | 10. panta 9. punkts |
| 9. panta 5. punkts | 10. panta 10. punkts |
| 10. panta 1., 2. punkts un 3. punkta pirmā daļa | 13. panta 1., 2. un 3. punkts |
| 10. panta 3. punkta otrā daļa | 23. panta 9. punkts |
| 11. panta 1. punkts | 14. panta 1. un 2. punkts |
| 11. panta 2. punkts | 14. panta 3. punkts |
| 11. panta 3. punkts | 14. panta 4. punkta pirmās daļas a) līdz q) apakšpunkti un s) apakšpunkts, un 7. punkts |
| 11. panta 4. punkts | 14. panta 4. punkta pirmās daļas r) apakšpunkts un otrā daļa |
| 11. panta 5. punkts | 14. panta 8. punkts |
| 12. panta 1. līdz 5. punkts | 15. panta 1. līdz 5. punkts |
| 13. pants | 17. pants |
| 14. panta 1. un 2. punkts | 21. panta 1. līdz 4. punkts |
| 14. panta 3. punkts | 23. panta 1. punkts |
| 14. panta 4. punkts | 23. panta 3. punkts |
| 14. panta 5. punkts | 23. panta 5., 6. un 8. punkts |
| 14. panta 6. punkts | 23. panta 7. punkts |
| 14. panta 7. punkts | 23. panta 11. punkts |
| 15. panta 1. punkts | 31. panta 1. punkts |
| 15. panta 2. punkta pirmās daļas a) apakšpunkts | 32. panta 2. punkta e) apakšpunkts |
| 15. panta 2. punkta pirmās daļas b) apakšpunkts | 32. panta 2. punkta g) apakšpunkts |
| 15. panta 2. punkta otrā daļa | 32. panta 3. punkts |
| 15. panta 3. punkts | 32. panta 4. punkta b) apakšpunkts |
| 15. panta 4. punkts | 31. panta 3. punkts |
| 16. panta 1.un 2. punkts | 21. panta 1. līdz 4. punkts |
| 16. panta 3. punkts | 23. panta 1. punkts |
| 16. panta 4. punkts | 23. panta 3. punkts |
| 16. panta 5. punkts | — |
| 16. panta 6. punkts | 23. panta 6. punkts |
| 16. panta 7. punkts | 23. panta 7. punkts |
| 16. panta 8. un 9. punkts | 21. panta 5. punkts un 23. panta 11. punkts |
| 16. panta 10. punkts | — |
| 16. panta 11. punkts | 2. panta 1., 2. un 3. punkts |
| 17. panta 1. punkts | 33. panta 1. punkts |
| 17. panta 2. punkta a) apakšpunkts | 32. panta 2. punkta e) apakšpunkts |
| 17. panta 2. punkta b) apakšpunkts | 32. panta 4. punkta b) apakšpunkts |
| 17. panta 3. punkts | 37. panta 1. punkta a) un b) apakšpunkts |
| 18. panta 1. punkts | 26. panta 1. punkta b) apakšpunkts un 2. punkts |
| 18. panta 2. punkts | 26. panta 3. punkts |
| 18. panta 3. punkts | 26. panta 4. punkts |
| 19. pants | 25. pants |
| 20. pants | 30. pants |
| 21. pants | 36. pants |
| 22. pants | 39. pants |
| 23. pants | 40. pants |
| 24. pants | — |
| 25. pants | 41. pants |
| 26. pants | 45. pants |
| 27. pants | 46. pants |
| I pielikuma 1. punkts | 11. panta 1. punkts |
| I pielikuma 2. punkta a) apakšpunkta i) līdz iv) punkts | 11. panta 2. punkta a) līdz d) apakšpunkts |
| I pielikuma 2. punkta a) apakšpunkta v) punkts | 11. panta 2. punkta f) apakšpunkts |
| I pielikuma 2. punkta b) apakšpunkts | 11. panta 4. punkts |
| I pielikuma 2. punkta c) apakšpunkta i) līdz ii) punkts | 11. panta 5. punkta a) apakšpunkts |
| II pielikums | I pielikums |
| III pielikuma 1. un 2. punkts | II pielikuma 6. punkts |
| III pielikuma 3. punkts | I pielikuma 8. punkts |

Direktīva (ES) 2016/1148

Šī direktīva

1. panta 1. punkts

1. panta 1. punkts

1. panta 2. punkts

1. panta 2. punkts

1. panta 3. punkts

—

1. panta 4. punkts

2. panta 12. punkts

1. panta 5. punkts

2. panta 13. punkts

1. panta 6. punkts

2. panta 6. un 11. punkts

1. panta 7. punkts

4. pants

2. pants

2. panta 14. punkts

3. pants

5. pants

4. pants

6. pants

5. pants

—

6. pants

—

7. panta 1. punkts

7. panta 1. un 2. punkts

7. panta 2. punkts

7. panta 4. punkts

7. panta 3. punkts

7. panta 3. punkts

8. panta 1. līdz 5. punkts

8. panta 1. līdz 5. punkts

8. panta 6. punkts

13. panta 4. punkts

8. panta 7. punkts

8. panta 6. punkts

9. panta 1., 2. un 3. punkts

10. panta 1., 2. un 3. punkts

9. panta 4. punkts

10. panta 9. punkts

9. panta 5. punkts

10. panta 10. punkts

10. panta 1., 2. punkts un 3. punkta pirmā daļa

13. panta 1., 2. un 3. punkts

10. panta 3. punkta otrā daļa

23. panta 9. punkts

11. panta 1. punkts

14. panta 1. un 2. punkts

11. panta 2. punkts

14. panta 3. punkts

11. panta 3. punkts

14. panta 4. punkta pirmās daļas a) līdz q) apakšpunkti un s) apakšpunkts, un 7. punkts

11. panta 4. punkts

14. panta 4. punkta pirmās daļas r) apakšpunkts un otrā daļa

11. panta 5. punkts

14. panta 8. punkts

12. panta 1. līdz 5. punkts

15. panta 1. līdz 5. punkts

13. pants

17. pants

14. panta 1. un 2. punkts

21. panta 1. līdz 4. punkts

14. panta 3. punkts

23. panta 1. punkts

14. panta 4. punkts

23. panta 3. punkts

14. panta 5. punkts

23. panta 5., 6. un 8. punkts

14. panta 6. punkts

23. panta 7. punkts

14. panta 7. punkts

23. panta 11. punkts

15. panta 1. punkts

31. panta 1. punkts

15. panta 2. punkta pirmās daļas a) apakšpunkts

32. panta 2. punkta e) apakšpunkts

15. panta 2. punkta pirmās daļas b) apakšpunkts

32. panta 2. punkta g) apakšpunkts

15. panta 2. punkta otrā daļa

32. panta 3. punkts

15. panta 3. punkts

32. panta 4. punkta b) apakšpunkts

15. panta 4. punkts

31. panta 3. punkts

16. panta 1.un 2. punkts

21. panta 1. līdz 4. punkts

16. panta 3. punkts

23. panta 1. punkts

16. panta 4. punkts

23. panta 3. punkts

16. panta 5. punkts

—

16. panta 6. punkts

23. panta 6. punkts

16. panta 7. punkts

23. panta 7. punkts

16. panta 8. un 9. punkts

21. panta 5. punkts un 23. panta 11. punkts

16. panta 10. punkts

—

16. panta 11. punkts

2. panta 1., 2. un 3. punkts

17. panta 1. punkts

33. panta 1. punkts

17. panta 2. punkta a) apakšpunkts

32. panta 2. punkta e) apakšpunkts

17. panta 2. punkta b) apakšpunkts

32. panta 4. punkta b) apakšpunkts

17. panta 3. punkts

37. panta 1. punkta a) un b) apakšpunkts

18. panta 1. punkts

26. panta 1. punkta b) apakšpunkts un 2. punkts

18. panta 2. punkts

26. panta 3. punkts

18. panta 3. punkts

26. panta 4. punkts

19. pants

25. pants

20. pants

30. pants

21. pants

36. pants

22. pants

39. pants

23. pants

40. pants

24. pants

—

25. pants

41. pants

26. pants

45. pants

27. pants

46. pants

I pielikuma 1. punkts

11. panta 1. punkts

I pielikuma 2. punkta a) apakšpunkta i) līdz iv) punkts

11. panta 2. punkta a) līdz d) apakšpunkts

I pielikuma 2. punkta a) apakšpunkta v) punkts

11. panta 2. punkta f) apakšpunkts

I pielikuma 2. punkta b) apakšpunkts

11. panta 4. punkts

I pielikuma 2. punkta c) apakšpunkta i) līdz ii) punkts

11. panta 5. punkta a) apakšpunkts

II pielikums

I pielikums

III pielikuma 1. un 2. punkts

II pielikuma 6. punkts

III pielikuma 3. punkts

I pielikuma 8. punkts

---

| 27.12.2022 | LV | Eiropas Savienības Oficiālais Vēstnesis | L 333/153 |
| --- | --- | --- | --- |

27.12.2022

LV

Eiropas Savienības Oficiālais Vēstnesis

L 333/153

---

EIROPAS PARLAMENTA UN PADOMES DIREKTĪVA (ES) 2022/2556

(2022. gada 14. decembris),

ar ko groza Direktīvas 2009/65/EK, 2009/138/EK, 2011/61/ES, 2013/36/ES, 2014/59/ES, 2014/65/ES, (ES) 2015/2366 un (ES) 2016/2341 attiecībā uz finanšu nozares digitālās darbības noturību

(Dokuments attiecas uz EEZ)

EIROPAS PARLAMENTS UN EIROPAS SAVIENĪBAS PADOME,

ņemot vērā Līgumu par Eiropas Savienības darbību un jo īpaši tā 53. panta 1. punktu un 114. pantu,

ņemot vērā Eiropas Komisijas priekšlikumu,

pēc leģislatīvā akta projekta nosūtīšanas valstu parlamentiem,

ņemot vērā Eiropas Centrālās bankas atzinumu (1),

ņemot vērā Eiropas Ekonomikas un sociālo lietu komitejas atzinumu (2),

saskaņā ar parasto likumdošanas procedūru (3),

tā kā:

| (1) | Savienībai ir pienācīgi un vispusīgi jānovērš tādi digitālie riski visām finanšu vienībām, kas izriet no informācijas un komunikācijas tehnoloģiju (IKT) plašākas izmantošanas finanšu pakalpojumu sniegšanā un patērēšanā, tādējādi palīdzot īstenot digitālo finanšu potenciālu inovācijas un konkurences veicināšanas drošā digitālā vidē ziņā. |
| --- | --- |

(1)

Savienībai ir pienācīgi un vispusīgi jānovērš tādi digitālie riski visām finanšu vienībām, kas izriet no informācijas un komunikācijas tehnoloģiju (IKT) plašākas izmantošanas finanšu pakalpojumu sniegšanā un patērēšanā, tādējādi palīdzot īstenot digitālo finanšu potenciālu inovācijas un konkurences veicināšanas drošā digitālā vidē ziņā.

| (2) | Finanšu vienības ir ļoti atkarīgas no digitālo tehnoloģiju izmantošanas savā ikdienas darbībā. Tāpēc ir ārkārtīgi svarīgi nodrošināt to digitālās darbības noturību pret IKT risku. Šī vajadzība ir kļuvusi vēl aktuālāka progresīvo tehnoloģiju tirgus izaugsmes dēļ, jo īpaši tādu tehnoloģiju, kas ļauj elektroniski pārsūtīt un uzglabāt vērtību vai tiesību digitālu attēlojumu, izmantojot sadalīto virsgrāmatu vai līdzīgu tehnoloģiju (kriptoaktīvi), kā arī ar minētajiem aktīviem saistītu pakalpojumu tirgus izaugsmes dēļ. |
| --- | --- |

(2)

Finanšu vienības ir ļoti atkarīgas no digitālo tehnoloģiju izmantošanas savā ikdienas darbībā. Tāpēc ir ārkārtīgi svarīgi nodrošināt to digitālās darbības noturību pret IKT risku. Šī vajadzība ir kļuvusi vēl aktuālāka progresīvo tehnoloģiju tirgus izaugsmes dēļ, jo īpaši tādu tehnoloģiju, kas ļauj elektroniski pārsūtīt un uzglabāt vērtību vai tiesību digitālu attēlojumu, izmantojot sadalīto virsgrāmatu vai līdzīgu tehnoloģiju (kriptoaktīvi), kā arī ar minētajiem aktīviem saistītu pakalpojumu tirgus izaugsmes dēļ.

| (3) | Savienības līmenī prasības, kas saistītas ar IKT riska pārvaldību finanšu nozarē, pašlaik ir paredzētas Eiropas Parlamenta un Padomes Direktīvās 2009/65/EK (4), 2009/138/EK (5), 2011/61/ES (6), 2013/36/ES (7), 2014/59/ES (8), 2014/65/ES (9), (ES) 2015/2366 (10) un (ES) 2016/2341 (11).
  Minētās prasības ir atšķirīgas un reizēm nepilnīgas. Dažviet IKT risks ir aplūkots tikai netieši kā operacionālā riska daļa, savukārt citviet tas vispār nav aplūkots. Minētie jautājumi ir novērsti, pieņemot Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 (12). Tādēļ minētās direktīvas jāgroza, lai nodrošinātu atbilstību minētajai regulai. Ar šo direktīvu ieviests vairāku tādu grozījumu kopums, kas ir nepieciešami, lai panāktu juridisko skaidrību un konsekvenci attiecībā uz to, kā finanšu vienības, kas ir pilnvarotas un tiek uzraudzītas saskaņā ar minētajām direktīvām, piemēro dažādas tādas prasības saistībā ar digitālās darbības noturību, kas nepieciešamas šo vienību darbību veikšanai un pakalpojumu sniegšanai, tādējādi garantējot netraucētu iekšējā tirgus darbību. Ir jānodrošina minēto prasību atbilstība tirgus attīstībai, vienlaikus veicinot samērīgumu, jo īpaši attiecībā uz finanšu vienību lielumu un īpašajiem režīmiem, kas uz tām attiecas, nolūkā samazināt atbilstības nodrošināšanas izmaksas. |
| --- | --- |

(3)

Savienības līmenī prasības, kas saistītas ar IKT riska pārvaldību finanšu nozarē, pašlaik ir paredzētas Eiropas Parlamenta un Padomes Direktīvās 2009/65/EK (4), 2009/138/EK (5), 2011/61/ES (6), 2013/36/ES (7), 2014/59/ES (8), 2014/65/ES (9), (ES) 2015/2366 (10) un (ES) 2016/2341 (11).

Minētās prasības ir atšķirīgas un reizēm nepilnīgas. Dažviet IKT risks ir aplūkots tikai netieši kā operacionālā riska daļa, savukārt citviet tas vispār nav aplūkots. Minētie jautājumi ir novērsti, pieņemot Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 (12). Tādēļ minētās direktīvas jāgroza, lai nodrošinātu atbilstību minētajai regulai. Ar šo direktīvu ieviests vairāku tādu grozījumu kopums, kas ir nepieciešami, lai panāktu juridisko skaidrību un konsekvenci attiecībā uz to, kā finanšu vienības, kas ir pilnvarotas un tiek uzraudzītas saskaņā ar minētajām direktīvām, piemēro dažādas tādas prasības saistībā ar digitālās darbības noturību, kas nepieciešamas šo vienību darbību veikšanai un pakalpojumu sniegšanai, tādējādi garantējot netraucētu iekšējā tirgus darbību. Ir jānodrošina minēto prasību atbilstība tirgus attīstībai, vienlaikus veicinot samērīgumu, jo īpaši attiecībā uz finanšu vienību lielumu un īpašajiem režīmiem, kas uz tām attiecas, nolūkā samazināt atbilstības nodrošināšanas izmaksas.

| (4) | Banku pakalpojumu jomā Direktīvā 2013/36/ES pašlaik ir paredzēti vienīgi vispārēji iekšējās pārvaldības noteikumi un noteikumi par operacionālo risku, kas ietver prasības attiecībā uz ārkārtas situāciju un darbības nepārtrauktības plāniem, kuri netieši ir pamats tam, lai pievērstos IKT riskam. Tomēr, lai IKT riskam pievērstos nepārprotami un skaidri, prasības attiecībā uz ārkārtas situāciju un darbības nepārtrauktības plāniem būtu jāgroza, lai iekļautu darbības nepārtrauktības plānus un reaģēšanas un seku novēršanas plānus arī attiecībā uz IKT risku saskaņā ar prasībām, kas noteiktas Regulā (ES) 2022/2554. Turklāt IKT risks kā daļa no operacionālā riska ir tikai netieši iekļauts uzraudzības pārbaudes un novērtēšanas procesā (SREP), ko veic kompetentās iestādes, un tā novērtēšanas kritēriji pašlaik ir noteikti Eiropas Uzraudzības iestādes (Eiropas Banku iestādes) (EBI), kas izveidota ar Eiropas Parlamenta un Padomes Regulu (ES) Nr. 1093/2010 (13), izdotajās Pamatnostādnēs par IKT riska novērtēšanu saskaņā ar Uzraudzības pārskata un novērtēšanas procesu (SREP). Lai nodrošinātu juridisko skaidrību un to, ka banku uzraudzītāji efektīvi identificē IKT risku un pārrauga, kā finanšu vienības to pārvalda, saskaņā ar jauno digitālās darbības noturības regulējumu, būtu jāgroza arī SREP darbības joma, lai skaidri atsauktos uz Regulā (ES) 2022/2554 noteiktajām prasībām un jo īpaši aptvertu riskus, kas atklāti ziņojumos par būtiskiem incidentiem, kuri saistīti ar IKT, un to digitālās darbības noturības testēšanas rezultātos, kurus finanšu vienības veikušas saskaņā ar minēto regulu. |
| --- | --- |

(4)

Banku pakalpojumu jomā Direktīvā 2013/36/ES pašlaik ir paredzēti vienīgi vispārēji iekšējās pārvaldības noteikumi un noteikumi par operacionālo risku, kas ietver prasības attiecībā uz ārkārtas situāciju un darbības nepārtrauktības plāniem, kuri netieši ir pamats tam, lai pievērstos IKT riskam. Tomēr, lai IKT riskam pievērstos nepārprotami un skaidri, prasības attiecībā uz ārkārtas situāciju un darbības nepārtrauktības plāniem būtu jāgroza, lai iekļautu darbības nepārtrauktības plānus un reaģēšanas un seku novēršanas plānus arī attiecībā uz IKT risku saskaņā ar prasībām, kas noteiktas Regulā (ES) 2022/2554. Turklāt IKT risks kā daļa no operacionālā riska ir tikai netieši iekļauts uzraudzības pārbaudes un novērtēšanas procesā (SREP), ko veic kompetentās iestādes, un tā novērtēšanas kritēriji pašlaik ir noteikti Eiropas Uzraudzības iestādes (Eiropas Banku iestādes) (EBI), kas izveidota ar Eiropas Parlamenta un Padomes Regulu (ES) Nr. 1093/2010 (13), izdotajās Pamatnostādnēs par IKT riska novērtēšanu saskaņā ar Uzraudzības pārskata un novērtēšanas procesu (SREP). Lai nodrošinātu juridisko skaidrību un to, ka banku uzraudzītāji efektīvi identificē IKT risku un pārrauga, kā finanšu vienības to pārvalda, saskaņā ar jauno digitālās darbības noturības regulējumu, būtu jāgroza arī SREP darbības joma, lai skaidri atsauktos uz Regulā (ES) 2022/2554 noteiktajām prasībām un jo īpaši aptvertu riskus, kas atklāti ziņojumos par būtiskiem incidentiem, kuri saistīti ar IKT, un to digitālās darbības noturības testēšanas rezultātos, kurus finanšu vienības veikušas saskaņā ar minēto regulu.

| (5) | Digitālās darbības noturība ir būtiska, lai saglabātu finanšu vienības kritiski svarīgās funkcijas un galvenos darbības virzienus noregulējuma gadījumā un tādējādi izvairītos no reālās ekonomikas un finanšu sistēmas traucējumiem. Būtiski operacionālie incidenti var kavēt finanšu vienības spēju turpināt darbību un var apdraudēt noregulējuma mērķu sasniegšanu. Būtiskas ir dažas līgumiskas vienošanās par IKT pakalpojumu izmantošanu, lai noregulējuma gadījumā nodrošinātu darbības nepārtrauktību un sniegtu nepieciešamos datus. Lai nodrošinātu saskaņotību ar Savienības darbības noturības regulējuma mērķiem, Direktīva 2014/59/ES būtu attiecīgi jāgroza nolūkā panākt, ka informācija par darbības noturību tiek ņemta vērā saistībā ar noregulējuma plānošanu un finanšu vienību noregulējamības novērtējumu. |
| --- | --- |

(5)

Digitālās darbības noturība ir būtiska, lai saglabātu finanšu vienības kritiski svarīgās funkcijas un galvenos darbības virzienus noregulējuma gadījumā un tādējādi izvairītos no reālās ekonomikas un finanšu sistēmas traucējumiem. Būtiski operacionālie incidenti var kavēt finanšu vienības spēju turpināt darbību un var apdraudēt noregulējuma mērķu sasniegšanu. Būtiskas ir dažas līgumiskas vienošanās par IKT pakalpojumu izmantošanu, lai noregulējuma gadījumā nodrošinātu darbības nepārtrauktību un sniegtu nepieciešamos datus. Lai nodrošinātu saskaņotību ar Savienības darbības noturības regulējuma mērķiem, Direktīva 2014/59/ES būtu attiecīgi jāgroza nolūkā panākt, ka informācija par darbības noturību tiek ņemta vērā saistībā ar noregulējuma plānošanu un finanšu vienību noregulējamības novērtējumu.

| (6) | Direktīvā 2014/65/ES attiecībā uz ieguldījumu brokeru sabiedrībām un tirdzniecības vietām, kas veic algoritmisko tirdzniecību, ir paredzēti stingrāki noteikumi saistībā ar IKT risku. Ne tik sīki izstrādātas prasības attiecas uz datu ziņošanas pakalpojumiem un darījumu reģistriem. Turklāt Direktīvā 2014/65/ES ir iekļautas tikai ierobežotas atsauces uz informācijas apstrādes sistēmu kontroles un drošības pasākumiem un uz atbilstošu sistēmu, resursu un procedūru izmantošanu, lai nodrošinātu darbības pakalpojumu nepārtrauktību un regularitāti. Bez tam minētā direktīva būtu jāsaskaņo ar Regulu (ES) 2022/2554 attiecībā uz ieguldījumu pakalpojumu sniegšanu un ieguldījumu darbību veikšanas nepārtrauktību un regularitāti, darbības noturību, tirdzniecības sistēmu veiktspēju, kā arī darbības nepārtrauktības pasākumu un riska pārvaldības efektivitāti. |
| --- | --- |

(6)

Direktīvā 2014/65/ES attiecībā uz ieguldījumu brokeru sabiedrībām un tirdzniecības vietām, kas veic algoritmisko tirdzniecību, ir paredzēti stingrāki noteikumi saistībā ar IKT risku. Ne tik sīki izstrādātas prasības attiecas uz datu ziņošanas pakalpojumiem un darījumu reģistriem. Turklāt Direktīvā 2014/65/ES ir iekļautas tikai ierobežotas atsauces uz informācijas apstrādes sistēmu kontroles un drošības pasākumiem un uz atbilstošu sistēmu, resursu un procedūru izmantošanu, lai nodrošinātu darbības pakalpojumu nepārtrauktību un regularitāti. Bez tam minētā direktīva būtu jāsaskaņo ar Regulu (ES) 2022/2554 attiecībā uz ieguldījumu pakalpojumu sniegšanu un ieguldījumu darbību veikšanas nepārtrauktību un regularitāti, darbības noturību, tirdzniecības sistēmu veiktspēju, kā arī darbības nepārtrauktības pasākumu un riska pārvaldības efektivitāti.

| (7) | Direktīvā (ES) 2015/2366 ir izklāstīti īpaši noteikumi par IKT drošības pārbaudēm un riska mazināšanas elementiem, lai saņemtu atļauju sniegt maksājumu pakalpojumus. Minētie atļauju piešķiršanas noteikumi būtu jāgroza, lai tos saskaņotu ar Regulu (ES) 2022/2554. Turklāt, lai samazinātu administratīvo slogu un izvairītos no sarežģītības un dublējošām ziņošanas prasībām, minētajā direktīvā paredzētie incidentu ziņošanas noteikumi būtu jābeidz piemērot maksājumu pakalpojumu sniedzējiem, kuri tiek regulēti saskaņā ar minēto direktīvu un uz kuriem attiecas arī Regula (ES) 2022/2554, tādejādi ļaujot minētajiem maksājumu pakalpojumu sniedzējiem gūt labumu no vienota, pilnībā saskaņota incidentu ziņošanas mehānisma attiecībā uz visiem ar maksājumiem saistītiem darbības vai drošības incidentiem neatkarīgi no tā, vai šādi incidenti ir saistīti ar IKT. |
| --- | --- |

(7)

Direktīvā (ES) 2015/2366 ir izklāstīti īpaši noteikumi par IKT drošības pārbaudēm un riska mazināšanas elementiem, lai saņemtu atļauju sniegt maksājumu pakalpojumus. Minētie atļauju piešķiršanas noteikumi būtu jāgroza, lai tos saskaņotu ar Regulu (ES) 2022/2554. Turklāt, lai samazinātu administratīvo slogu un izvairītos no sarežģītības un dublējošām ziņošanas prasībām, minētajā direktīvā paredzētie incidentu ziņošanas noteikumi būtu jābeidz piemērot maksājumu pakalpojumu sniedzējiem, kuri tiek regulēti saskaņā ar minēto direktīvu un uz kuriem attiecas arī Regula (ES) 2022/2554, tādejādi ļaujot minētajiem maksājumu pakalpojumu sniedzējiem gūt labumu no vienota, pilnībā saskaņota incidentu ziņošanas mehānisma attiecībā uz visiem ar maksājumiem saistītiem darbības vai drošības incidentiem neatkarīgi no tā, vai šādi incidenti ir saistīti ar IKT.

| (8) | Direktīvā 2009/138/EK un Direktīvā (ES) 2016/2341 IKT risks ir daļēji aptverts vispārīgajos noteikumos par pārvaldību un riska vadību, paredzot, ka dažas prasības ir jāprecizē, pieņemot deleģētos aktus ar vai bez īpašām atsaucēm uz IKT risku. Līdzīgi, tikai ļoti vispārīgi noteikumi ir piemērojami alternatīvo ieguldījumu fondu pārvaldniekiem, uz kuriem attiecas Direktīvas 2011/61/ES, un uz pārvaldības sabiedrībām, uz kurām attiecas Direktīva 2009/65/EK. Tāpēc minētās direktīvas būtu jāsaskaņo ar Regulā (ES) 2022/2554 noteiktajām prasībām attiecībā uz IKT sistēmu un rīku pārvaldību. |
| --- | --- |

(8)

Direktīvā 2009/138/EK un Direktīvā (ES) 2016/2341 IKT risks ir daļēji aptverts vispārīgajos noteikumos par pārvaldību un riska vadību, paredzot, ka dažas prasības ir jāprecizē, pieņemot deleģētos aktus ar vai bez īpašām atsaucēm uz IKT risku. Līdzīgi, tikai ļoti vispārīgi noteikumi ir piemērojami alternatīvo ieguldījumu fondu pārvaldniekiem, uz kuriem attiecas Direktīvas 2011/61/ES, un uz pārvaldības sabiedrībām, uz kurām attiecas Direktīva 2009/65/EK. Tāpēc minētās direktīvas būtu jāsaskaņo ar Regulā (ES) 2022/2554 noteiktajām prasībām attiecībā uz IKT sistēmu un rīku pārvaldību.

| (9) | Daudzos gadījumos papildu prasības attiecībā uz IKT risku jau ir noteiktas deleģētajos un īstenošanas aktos, kas pieņemti, pamatojoties uz regulatīvo tehnisko standartu projektiem un īstenošanas tehnisko standartu projektiem, kurus izstrādājusi kompetentā Eiropas Uzraudzības iestāde. Ņemot vērā to, ka turpmāk IKT riska finanšu nozarē tiesiskais regulējums ir Regulas (ES) 2022/2554 noteikumi, dažas pilnvaras pieņemt deleģētos un īstenošanas aktus Direktīvās 2009/65/EK, 2009/138/EK, 2011/61/ES un 2014/65/ES būtu jāgroza, lai minēto pilnvaru darbības jomā vairs nebūtu noteikumi attiecībā uz IKT risku. |
| --- | --- |

(9)

Daudzos gadījumos papildu prasības attiecībā uz IKT risku jau ir noteiktas deleģētajos un īstenošanas aktos, kas pieņemti, pamatojoties uz regulatīvo tehnisko standartu projektiem un īstenošanas tehnisko standartu projektiem, kurus izstrādājusi kompetentā Eiropas Uzraudzības iestāde. Ņemot vērā to, ka turpmāk IKT riska finanšu nozarē tiesiskais regulējums ir Regulas (ES) 2022/2554 noteikumi, dažas pilnvaras pieņemt deleģētos un īstenošanas aktus Direktīvās 2009/65/EK, 2009/138/EK, 2011/61/ES un 2014/65/ES būtu jāgroza, lai minēto pilnvaru darbības jomā vairs nebūtu noteikumi attiecībā uz IKT risku.

| (10) | Lai nodrošinātu jaunās digitālās darbības noturības satvara finanšu nozarē konsekventu īstenošanu, no Regulas 2022/2554 piemērošanas dienas dalībvalstīm būtu jāpiemēro to valsts tiesību aktu noteikumi, ar kuriem transponē šo direktīvu. |
| --- | --- |

(10)

Lai nodrošinātu jaunās digitālās darbības noturības satvara finanšu nozarē konsekventu īstenošanu, no Regulas 2022/2554 piemērošanas dienas dalībvalstīm būtu jāpiemēro to valsts tiesību aktu noteikumi, ar kuriem transponē šo direktīvu.

| (11) | Direktīvas 2009/65/EK, 2009/138/EK, 2011/61/ES, 2013/36/ES, 2014/59/ES, 2014/65/ES, (ES) 2015/2366 un (ES) 2016/2341 ir pieņemtas, pamatojoties uz Līguma par Eiropas Savienības darbību (LESD) 53. panta 1. punktu vai 114. pantu, vai abiem. Šajā direktīvā noteiktie grozījumi ir iekļauti vienotā leģislatīvā aktā, ņemot vērā grozījumu priekšmeta un mērķu savstarpējo saistību. Attiecīgi šī direktīva būtu jāpieņem, pamatojoties gan uz LESD 53. panta 1. punktu, gan 114. pantu. |
| --- | --- |

(11)

Direktīvas 2009/65/EK, 2009/138/EK, 2011/61/ES, 2013/36/ES, 2014/59/ES, 2014/65/ES, (ES) 2015/2366 un (ES) 2016/2341 ir pieņemtas, pamatojoties uz Līguma par Eiropas Savienības darbību (LESD) 53. panta 1. punktu vai 114. pantu, vai abiem. Šajā direktīvā noteiktie grozījumi ir iekļauti vienotā leģislatīvā aktā, ņemot vērā grozījumu priekšmeta un mērķu savstarpējo saistību. Attiecīgi šī direktīva būtu jāpieņem, pamatojoties gan uz LESD 53. panta 1. punktu, gan 114. pantu.

| (12) | Ņemot vērā to, ka šīs direktīvas mērķus nevar pietiekami labi sasniegt atsevišķās dalībvalstīs, jo tie paredz to prasību saskaņošanu, kas jau ir ietvertas direktīvās, bet gan šīs darbības mēroga un iedarbības dēļ tos var labāk sasniegt Savienības līmenī, Savienība var pieņemt pasākumus saskaņā ar Līguma par Eiropas Savienību 5. pantā noteikto subsidiaritātes principu. Saskaņā ar minētajā pantā noteikto proporcionalitātes principu šajā direktīvā paredz vienīgi tos pasākumus, kas ir vajadzīgi minēto mērķu sasniegšanai. |
| --- | --- |

(12)

Ņemot vērā to, ka šīs direktīvas mērķus nevar pietiekami labi sasniegt atsevišķās dalībvalstīs, jo tie paredz to prasību saskaņošanu, kas jau ir ietvertas direktīvās, bet gan šīs darbības mēroga un iedarbības dēļ tos var labāk sasniegt Savienības līmenī, Savienība var pieņemt pasākumus saskaņā ar Līguma par Eiropas Savienību 5. pantā noteikto subsidiaritātes principu. Saskaņā ar minētajā pantā noteikto proporcionalitātes principu šajā direktīvā paredz vienīgi tos pasākumus, kas ir vajadzīgi minēto mērķu sasniegšanai.

| (13) | Saskaņā ar Dalībvalstu un Komisijas 2011. gada 28. septembra kopīgo politisko deklarāciju par skaidrojošiem dokumentiem (14) dalībvalstis ir apņēmušās, paziņojot savus transponēšanas pasākumus, pamatotos gadījumos pievienot vienu vai vairākus dokumentus, kuros paskaidrota saikne starp direktīvas sastāvdaļām un atbilstīgajām daļām valsts transponēšanas instrumentos. Attiecībā uz šo direktīvu likumdevējs uzskata, ka šādu dokumentu nosūtīšana ir pamatota, |
| --- | --- |

(13)

Saskaņā ar Dalībvalstu un Komisijas 2011. gada 28. septembra kopīgo politisko deklarāciju par skaidrojošiem dokumentiem (14) dalībvalstis ir apņēmušās, paziņojot savus transponēšanas pasākumus, pamatotos gadījumos pievienot vienu vai vairākus dokumentus, kuros paskaidrota saikne starp direktīvas sastāvdaļām un atbilstīgajām daļām valsts transponēšanas instrumentos. Attiecībā uz šo direktīvu likumdevējs uzskata, ka šādu dokumentu nosūtīšana ir pamatota,

IR PIEŅĒMUŠI ŠO DIREKTĪVU.

1. pants

Grozījumi Direktīvā 2009/65/EK

Direktīvas 2009/65/EK 12. pantu groza šādi:

| 1) | panta 1. punkta otrās daļas a) apakšpunktu aizstāj ar šādu:






  “a) | izmantotu pareizas administratīvas un grāmatvedības procedūras, kontroles un aizsardzības pasākumus elektronisko datu apstrādei, tostarp attiecībā uz tīklu un informācijas sistēmām, kas ir ieviestas un tiek pārvaldītas saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 (*1), kā arī atbilstīgus iekšējās kontroles mehānismus, tostarp jo īpaši noteikumus attiecībā uz darbinieku personīgajiem darījumiem vai tādu glabāšanu vai pārvaldību, kas attiecas uz ieguldījumiem finanšu instrumentos, lai ieguldītu pašu kontos, un nodrošinātu vismaz to, ka katru ar PVKIU saistīto darījumu var rekonstruēt pēc tā izcelsmes, iesaistītajām pusēm, būtības, veikšanas laika un vietas un ka PVKIU aktīvus, kas ir pārvaldības sabiedrības pārvaldībā, iegulda atbilstīgi fondu nolikumiem vai dibināšanas dokumentiem un spēkā esošajām tiesību normām; |
| --- | --- | --- |

1)

panta 1. punkta otrās daļas a) apakšpunktu aizstāj ar šādu:

“a)

izmantotu pareizas administratīvas un grāmatvedības procedūras, kontroles un aizsardzības pasākumus elektronisko datu apstrādei, tostarp attiecībā uz tīklu un informācijas sistēmām, kas ir ieviestas un tiek pārvaldītas saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 (*1), kā arī atbilstīgus iekšējās kontroles mehānismus, tostarp jo īpaši noteikumus attiecībā uz darbinieku personīgajiem darījumiem vai tādu glabāšanu vai pārvaldību, kas attiecas uz ieguldījumiem finanšu instrumentos, lai ieguldītu pašu kontos, un nodrošinātu vismaz to, ka katru ar PVKIU saistīto darījumu var rekonstruēt pēc tā izcelsmes, iesaistītajām pusēm, būtības, veikšanas laika un vietas un ka PVKIU aktīvus, kas ir pārvaldības sabiedrības pārvaldībā, iegulda atbilstīgi fondu nolikumiem vai dibināšanas dokumentiem un spēkā esošajām tiesību normām;

*1

(*1)  Eiropas Parlamenta un Padomes Regula (ES) 2022/2554 (2022. gada 14. decembris) par finanšu nozares digitālās darbības noturību un ar ko groza Regulas (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 un (ES) 2016/1011 (OV L 333, 27.12.2022.1.. lpp., ).”;"

*1

| 2) | panta 3. punktu aizstāj ar šādu:

  “3.   Neskarot 116. pantu, Komisija, izmantojot deleģētus aktus saskaņā ar 112.a pantu, pieņem pasākumus, precizējot:






  a) | procedūras un kārtību, kas minētas 1. punkta otrās daļas a) apakšpunktā, izņemot tās, kas attiecas uz tīklu un informācijas sistēmām; |
| --- | --- | --- |

2)

panta 3. punktu aizstāj ar šādu:

“3.   Neskarot 116. pantu, Komisija, izmantojot deleģētus aktus saskaņā ar 112.a pantu, pieņem pasākumus, precizējot:

a)

procedūras un kārtību, kas minētas 1. punkta otrās daļas a) apakšpunktā, izņemot tās, kas attiecas uz tīklu un informācijas sistēmām;

| b) | struktūru un organizatoriskās prasības, lai līdz minimumam samazinātu interešu konfliktus, kas minēti 1. punkta otrās daļas b) apakšpunktā.” |
| --- | --- |

b)

struktūru un organizatoriskās prasības, lai līdz minimumam samazinātu interešu konfliktus, kas minēti 1. punkta otrās daļas b) apakšpunktā.”

2. pants

Grozījumi Direktīvā 2009/138/EK

Direktīvu 2009/138/EK groza šādi:

| 1) | direktīvas 41. panta 4. punktu aizstāj ar šādu:

  “4.   Apdrošināšanas vai pārapdrošināšanas sabiedrības veic vajadzīgos pasākumus darbību nepārtrauktības un regularitātes nodrošināšanai, tostarp izstrādājot ārkārtas situāciju plānus. Tālab sabiedrība izmanto atbilstīgas un samērīgas sistēmas, resursus un procedūras un jo īpaši ievieš un pārvalda tīklu un informācijas sistēmas saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 (*2).


  (*2)  Eiropas Parlamenta un Padomes Regula (ES) 2022/2554 (2022. gada 14. decembris) par finanšu nozares digitālās darbības noturību un ar ko groza Regulas (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 un (ES) 2016/1011 (OV L 333, 27.12.2022.1.. lpp., ).”;" |
| --- | --- |

1)

direktīvas 41. panta 4. punktu aizstāj ar šādu:

“4.   Apdrošināšanas vai pārapdrošināšanas sabiedrības veic vajadzīgos pasākumus darbību nepārtrauktības un regularitātes nodrošināšanai, tostarp izstrādājot ārkārtas situāciju plānus. Tālab sabiedrība izmanto atbilstīgas un samērīgas sistēmas, resursus un procedūras un jo īpaši ievieš un pārvalda tīklu un informācijas sistēmas saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 (*2).

(*2)  Eiropas Parlamenta un Padomes Regula (ES) 2022/2554 (2022. gada 14. decembris) par finanšu nozares digitālās darbības noturību un ar ko groza Regulas (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 un (ES) 2016/1011 (OV L 333, 27.12.2022.1.. lpp., ).”;"

*2

| 2) | direktīvas 50. panta 1. punkta a) un b) apakšpunktu aizstāj ar šādiem:






  “a) | sistēmu elementus, kas minēti direktīvas 41. pantā, 44. pantā, jo īpaši jomas, kas uzskaitītas 44. panta 2. punktā, un 46. un 47. pantā, izņemot tos, kas attiecas uz informācijas un komunikācijas tehnoloģiju risku vadību; |
| --- | --- | --- |

2)

direktīvas 50. panta 1. punkta a) un b) apakšpunktu aizstāj ar šādiem:

“a)

sistēmu elementus, kas minēti direktīvas 41. pantā, 44. pantā, jo īpaši jomas, kas uzskaitītas 44. panta 2. punktā, un 46. un 47. pantā, izņemot tos, kas attiecas uz informācijas un komunikācijas tehnoloģiju risku vadību;

| b) | funkcijas, kas minētas 44., 46., 47. un 48. pantā, izņemot funkcijas, kas saistītas ar informācijas un komunikācijas tehnoloģiju risku vadību.” |
| --- | --- |

b)

funkcijas, kas minētas 44., 46., 47. un 48. pantā, izņemot funkcijas, kas saistītas ar informācijas un komunikācijas tehnoloģiju risku vadību.”

3. pants

Grozījums Direktīvā 2011/61/ES

Direktīvas 2011/61/ES 18. pantu aizstāj ar šādu:

“18. pants

Vispārējie principi

1.   Dalībvalstis prasa, lai AIFP vienmēr izmanto pietiekamus un atbilstošus cilvēkresursus un tehniskos resursus, kas nepieciešami, lai pareizi pārvaldītu AIF.

Jo īpaši AIFP izcelsmes dalībvalsts kompetentās iestādes, ņemot vērā arī AIFP pārvaldītā AIF raksturu, prasa, lai AIFP izmantotu pareizas administratīvas un grāmatvedības procedūras, kontroles un aizsardzības pasākumus elektronisko datu apstrādei, tostarp attiecībā uz tīklu un informācijas sistēmām, kas ir ieviestas un tiek pārvaldītas saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 (*3), kā arī atbilstīgus iekšējās kontroles mehānismus, tostarp jo īpaši noteikumus attiecībā uz darbinieku personīgajiem darījumiem vai ieguldījumu turēšanu vai pārvaldību, lai ieguldītu savā vārdā un nodrošinātu vismaz to, ka ir iespējams iegūt informāciju par katru ar AIF saistīto darījumu pēc tā veikšanas – tā izcelsmi, iesaistītajām pusēm, raksturu, veikšanas laiku un vietu – un ka AIFP pārvaldīto AIF aktīvus iegulda atbilstīgi AIF nolikumam vai dibināšanas dokumentiem un spēkā esošajām tiesību normām.

2.   Komisija, izmantojot deleģētos aktus saskaņā ar 56. pantu un ievērojot 57. un 58. panta nosacījumus, pieņem pasākumus, nosakot šā panta 1. punktā minētās procedūras un kārtību, izņemot tās, kas attiecas uz tīklu un informācijas sistēmām.

4. pants

Grozījumi Direktīvā 2013/36/ES

Direktīvu 2013/36/ES groza šādi:

| 1) | direktīvas 65. panta 3. punkta a) apakšpunkta vi) punktu aizstāj ar šādu:






  “vi) | trešās personas, ar kurām i)–iv) apakšpunktā minētās sabiedrības ir noslēgušas ārpakalpojumu līgumus par funkciju vai darbību veikšanu, tostarp trešās personas, kas sniedz IKT pakalpojumus, kā minēts Eiropas Parlamenta un Padomes Regulas (ES) 2022/2554 (*4) V nodaļā; |
| --- | --- | --- |

1)

direktīvas 65. panta 3. punkta a) apakšpunkta vi) punktu aizstāj ar šādu:

“vi)

trešās personas, ar kurām i)–iv) apakšpunktā minētās sabiedrības ir noslēgušas ārpakalpojumu līgumus par funkciju vai darbību veikšanu, tostarp trešās personas, kas sniedz IKT pakalpojumus, kā minēts Eiropas Parlamenta un Padomes Regulas (ES) 2022/2554 (*4) V nodaļā;

*4

(*4)  Eiropas Parlamenta un Padomes Regula (ES) 2022/2554 (2022. gada 14. decembris) par finanšu nozares digitālās darbības noturību un ar ko groza Regulas (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 un (ES) 2016/1011 (OV L 333, 27.12.2022.1.. lpp., ).”;"

*4

| 2) | direktīvas 74. panta 1. punkta pirmo daļu aizstāj ar šādu:

  “Iestādēm ir noturīga pārvaldības kārtība, kas ietver skaidru organizatorisko struktūru ar precīzi definētu, pārredzamu un konsekventu atbildības sadalījumu, efektīvus procesus esošo vai varbūtējo risku identificēšanai, pārvaldībai, pārraudzībai un ziņošanai par tiem, piemērotus iekšējās kontroles mehānismus, tostarp pareizas administratīvās un grāmatvedības procedūras, tīklu un informācijas sistēmas, kas ir ieviestas un tiek pārvaldītas saskaņā ar Regulu (ES) 2022/2554, un tādu atalgojuma politiku un praksi, kas atbilst pareizai un efektīvai riska pārvaldībai un veicina to.”; |
| --- | --- |

2)

direktīvas 74. panta 1. punkta pirmo daļu aizstāj ar šādu:

“Iestādēm ir noturīga pārvaldības kārtība, kas ietver skaidru organizatorisko struktūru ar precīzi definētu, pārredzamu un konsekventu atbildības sadalījumu, efektīvus procesus esošo vai varbūtējo risku identificēšanai, pārvaldībai, pārraudzībai un ziņošanai par tiem, piemērotus iekšējās kontroles mehānismus, tostarp pareizas administratīvās un grāmatvedības procedūras, tīklu un informācijas sistēmas, kas ir ieviestas un tiek pārvaldītas saskaņā ar Regulu (ES) 2022/2554, un tādu atalgojuma politiku un praksi, kas atbilst pareizai un efektīvai riska pārvaldībai un veicina to.”;

| 3) | direktīvas 85. panta 2. punktu aizstāj ar šādu:

  “2.   Kompetentās iestādes nodrošina, ka iestādēm ir izstrādāta ārkārtas situāciju un darbības nepārtrauktības politika un plāni, tostarp IKT darbības nepārtrauktības politika un plāni un IKT reaģēšanas un seku novēršanas plāni tehnoloģijai, ko tās izmanto informācijas paziņošanai, un ka minētie plāni tiek izstrādāti, pārvaldīti un testēti saskaņā ar Regulas (ES) 2022/2554 11. pantu, lai ļautu iestādēm turpināt darboties smagu darbības traucējumu gadījumā un ierobežot zaudējumus, kas rodas šādu traucējumu rezultātā.”; |
| --- | --- |

3)

direktīvas 85. panta 2. punktu aizstāj ar šādu:

“2.   Kompetentās iestādes nodrošina, ka iestādēm ir izstrādāta ārkārtas situāciju un darbības nepārtrauktības politika un plāni, tostarp IKT darbības nepārtrauktības politika un plāni un IKT reaģēšanas un seku novēršanas plāni tehnoloģijai, ko tās izmanto informācijas paziņošanai, un ka minētie plāni tiek izstrādāti, pārvaldīti un testēti saskaņā ar Regulas (ES) 2022/2554 11. pantu, lai ļautu iestādēm turpināt darboties smagu darbības traucējumu gadījumā un ierobežot zaudējumus, kas rodas šādu traucējumu rezultātā.”;

| 4) | direktīvas 97. panta 1. punktā pievieno šādu apakšpunktu:






  “d) | riskus, kas atklājas digitālās darbības noturības testēšanā saskaņā ar Regulas (ES) 2022/2554 IV nodaļu.” |
| --- | --- | --- |

4)

direktīvas 97. panta 1. punktā pievieno šādu apakšpunktu:

“d)

riskus, kas atklājas digitālās darbības noturības testēšanā saskaņā ar Regulas (ES) 2022/2554 IV nodaļu.”

5. pants

Grozījumi Direktīvā 2014/59/ES

Direktīvu 2014/59/ES groza šādi:

| 1) | direktīvas 10. pantu groza šādi:






  a) | panta 7. punkta c) apakšpunktu aizstāj ar šādu:






  “c) | to, kādā veidā varētu nepieciešamajā apmērā juridiski un ekonomiski nodalīt kritiski svarīgās funkcijas un galvenās darbības jomas no citām funkcijām, lai nodrošinātu to nepārtrauktību un digitālās darbības noturību iestādes darbības nespējas gadījumā”; |
| --- | --- | --- | --- |

1)

direktīvas 10. pantu groza šādi:

a)

panta 7. punkta c) apakšpunktu aizstāj ar šādu:

“c)

to, kādā veidā varētu nepieciešamajā apmērā juridiski un ekonomiski nodalīt kritiski svarīgās funkcijas un galvenās darbības jomas no citām funkcijām, lai nodrošinātu to nepārtrauktību un digitālās darbības noturību iestādes darbības nespējas gadījumā”;

| b) | panta 7. punkta q) apakšpunktu aizstāj ar šādu:






  “q) | aprakstu par būtiskām darbībām un sistēmām iestādes operacionālo procesu nepārtrauktas darbības uzturēšanai, tostarp tīklu un informācijas sistēmām, kā minēts Eiropas Parlamenta un Padomes Regulā (ES) 2022/2554 (*5); |
| --- | --- | --- |

b)

panta 7. punkta q) apakšpunktu aizstāj ar šādu:

“q)

aprakstu par būtiskām darbībām un sistēmām iestādes operacionālo procesu nepārtrauktas darbības uzturēšanai, tostarp tīklu un informācijas sistēmām, kā minēts Eiropas Parlamenta un Padomes Regulā (ES) 2022/2554 (*5);

*5

(*5)  Eiropas Parlamenta un Padomes Regula (ES) 2022/2554 (2022. gada 14. decembris) par finanšu nozares digitālās darbības noturību un ar ko groza Regulas (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 un (ES) 2016/1011 (OV L 333, 27.12.2022.1.. lpp., ).”;"

*5

| c) | panta 9. punktā pievieno šādu daļu:

  “EBI saskaņā ar Regulas (ES) Nr. 1093/2010 10. pantu pārskata un attiecīgā gadījumā atjaunina regulatīvos tehniskos standartus, lai cita starpā ņemtu vērā Regulas (ES) 2022/2554 II nodaļas noteikumus.”; |
| --- | --- |

c)

panta 9. punktā pievieno šādu daļu:

“EBI saskaņā ar Regulas (ES) Nr. 1093/2010 10. pantu pārskata un attiecīgā gadījumā atjaunina regulatīvos tehniskos standartus, lai cita starpā ņemtu vērā Regulas (ES) 2022/2554 II nodaļas noteikumus.”;

| 2) | pielikumu groza šādi:






  a) | pielikuma A iedaļas 16. punktu aizstāj ar šādu:






  “16) | mehānismi un pasākumi, kas vajadzīgi, lai pastāvīgi uzturētu iestādes operacionālos procesus, tostarp tīklu un informācijas sistēmu, kas ir ieviesti un tiek pārvaldīti saskaņā ar Regulu (ES) 2022/2554, nepārtrauktu darbību;”; |
| --- | --- | --- | --- |

2)

pielikumu groza šādi:

a)

pielikuma A iedaļas 16. punktu aizstāj ar šādu:

“16)

mehānismi un pasākumi, kas vajadzīgi, lai pastāvīgi uzturētu iestādes operacionālos procesus, tostarp tīklu un informācijas sistēmu, kas ir ieviesti un tiek pārvaldīti saskaņā ar Regulu (ES) 2022/2554, nepārtrauktu darbību;”;

| b) | pielikuma B iedaļu groza šādi:






  i) | iedaļas 14. punktu aizstāj ar šādu:






  “14) | 13) punktā norādīto sistēmu īpašnieku identificēšana, ar tām saistīto pakalpojumu līmeņa līgumu un programmatūras un sistēmu vai licenču identificēšana, tostarp to juridisko personu, kritiski svarīgo darbību un galveno darbības jomu kartēšana, kā arī Regulas (ES) 2022/2554 3. panta 23) punktā definēto kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, identificēšana;”; |
| --- | --- | --- | --- |

b)

pielikuma B iedaļu groza šādi:

i)

iedaļas 14. punktu aizstāj ar šādu:

“14)

13) punktā norādīto sistēmu īpašnieku identificēšana, ar tām saistīto pakalpojumu līmeņa līgumu un programmatūras un sistēmu vai licenču identificēšana, tostarp to juridisko personu, kritiski svarīgo darbību un galveno darbības jomu kartēšana, kā arī Regulas (ES) 2022/2554 3. panta 23) punktā definēto kritiski svarīgu trešo personu, kas sniedz IKT pakalpojumus, identificēšana;”;

| ii) | iekļauj šādu punktu:






  “14.a) | iestāžu digitālās darbības noturības testēšanas rezultāti saskaņā ar Regulu (ES) 2022/2554;”; |
| --- | --- | --- |

ii)

iekļauj šādu punktu:

“14.a)

iestāžu digitālās darbības noturības testēšanas rezultāti saskaņā ar Regulu (ES) 2022/2554;”;

| c) | pielikuma C iedaļu groza šādi:






  i) | iedaļas 4. punktu aizstāj ar šādu:






  “4) | to, ciktāl iestādes uzturētie pakalpojumu līgumi, tostarp līgumiskas vienošanās par IKT pakalpojumu izmantošanu, ir stingri un pilnībā izpildāmi iestādes noregulējuma gadījumā;”; |
| --- | --- | --- | --- |

c)

pielikuma C iedaļu groza šādi:

i)

iedaļas 4. punktu aizstāj ar šādu:

“4)

to, ciktāl iestādes uzturētie pakalpojumu līgumi, tostarp līgumiskas vienošanās par IKT pakalpojumu izmantošanu, ir stingri un pilnībā izpildāmi iestādes noregulējuma gadījumā;”;

| ii) | iekļauj šādu punktu:






  “4.a) | to tīklu un informācijas sistēmu digitālā darbības noturība, kas atbalsta iestādes kritiski svarīgās funkcijas un galvenos darbības virzienus, ņemot vērā ziņojumus par būtiskiem incidentiem, kas saistīti ar IKT, un digitālās darbības noturības testēšanas rezultātus saskaņā ar Regulu (ES) 2022/2554;”. |
| --- | --- | --- |

ii)

iekļauj šādu punktu:

“4.a)

to tīklu un informācijas sistēmu digitālā darbības noturība, kas atbalsta iestādes kritiski svarīgās funkcijas un galvenos darbības virzienus, ņemot vērā ziņojumus par būtiskiem incidentiem, kas saistīti ar IKT, un digitālās darbības noturības testēšanas rezultātus saskaņā ar Regulu (ES) 2022/2554;”.

6. pants

Grozījumi Direktīvā 2014/65/ES

Direktīvu 2014/65/ES groza šādi:

| 1) | direktīvas 16. pantu groza šādi:






  a) | panta 4. punktu aizstāj ar šādu:

  “4.   Ieguldījumu brokeru sabiedrība veic pamatotas darbības, kas vajadzīgas, lai nodrošinātu tās ieguldījumu pakalpojumu un darbību nepārtrauktību un regularitāti. Tālab ieguldījumu brokeru sabiedrība izmanto atbilstošas un samērīgas sistēmas, tostarp informācijas un komunikācijas tehnoloģiju (IKT) sistēmas, kas ir ieviestas un tiek pārvaldītas saskaņā ar Eiropas Parlamenta un Padomes Regulas (ES) 2022/2554 (*6) 7. pantu, kā arī atbilstošus un samērīgus resursus un procedūras.


  (*6)  Eiropas Parlamenta un Padomes Regula (ES) 2022/2554 (2022. gada 14. decembris) par finanšu nozares digitālās darbības noturību un ar ko groza Regulas (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 un (ES) 2016/1011 (OV L 333, 27.12.2022.1.. lpp., ).”;" |
| --- | --- | --- |

1)

direktīvas 16. pantu groza šādi:

a)

panta 4. punktu aizstāj ar šādu:

“4.   Ieguldījumu brokeru sabiedrība veic pamatotas darbības, kas vajadzīgas, lai nodrošinātu tās ieguldījumu pakalpojumu un darbību nepārtrauktību un regularitāti. Tālab ieguldījumu brokeru sabiedrība izmanto atbilstošas un samērīgas sistēmas, tostarp informācijas un komunikācijas tehnoloģiju (IKT) sistēmas, kas ir ieviestas un tiek pārvaldītas saskaņā ar Eiropas Parlamenta un Padomes Regulas (ES) 2022/2554 (*6) 7. pantu, kā arī atbilstošus un samērīgus resursus un procedūras.

(*6)  Eiropas Parlamenta un Padomes Regula (ES) 2022/2554 (2022. gada 14. decembris) par finanšu nozares digitālās darbības noturību un ar ko groza Regulas (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 un (ES) 2016/1011 (OV L 333, 27.12.2022.1.. lpp., ).”;"

*6

| b) | panta 5. punkta otro un trešo daļu aizstāj ar šādām:

  “Ieguldījumu brokeru sabiedrībai ir atbilstīgas administratīvās un grāmatvedības procedūras, iekšējās kontroles mehānismi un efektīvas riska novērtēšanas procedūras.
  Neskarot kompetento iestāžu spēju pieprasīt piekļuvi paziņojumiem saskaņā ar šo direktīvu un Regulu (ES) Nr. 600/2014, ieguldījumu brokeru sabiedrība izveido saprātīgus drošības mehānismus, lai saskaņā ar Regulā (ES) 2022/2554 noteiktajām prasībām nodrošinātu informācijas pārsūtīšanas līdzekļu drošību un autentifikāciju, līdz minimumam samazinātu datu sagrozīšanas un neatļautas piekļuves risku un nepieļautu informācijas noplūdi, tādejādi vienmēr saglabājot datu konfidencialitāti.”; |
| --- | --- |

b)

panta 5. punkta otro un trešo daļu aizstāj ar šādām:

“Ieguldījumu brokeru sabiedrībai ir atbilstīgas administratīvās un grāmatvedības procedūras, iekšējās kontroles mehānismi un efektīvas riska novērtēšanas procedūras.

Neskarot kompetento iestāžu spēju pieprasīt piekļuvi paziņojumiem saskaņā ar šo direktīvu un Regulu (ES) Nr. 600/2014, ieguldījumu brokeru sabiedrība izveido saprātīgus drošības mehānismus, lai saskaņā ar Regulā (ES) 2022/2554 noteiktajām prasībām nodrošinātu informācijas pārsūtīšanas līdzekļu drošību un autentifikāciju, līdz minimumam samazinātu datu sagrozīšanas un neatļautas piekļuves risku un nepieļautu informācijas noplūdi, tādejādi vienmēr saglabājot datu konfidencialitāti.”;

| 2) | direktīvas 17. pantu groza šādi:






  a) | panta 1. punktu aizstāj ar šādu:

  “1.   Ieguldījumu brokeru sabiedrībai, kas veic algoritmisko tirdzniecību, ir izveidotas tās uzņēmējdarbībai piemērotas efektīvas sistēmas un riska kontroles pasākumi, lai nodrošinātu savas tirdzniecības sistēmas izturētspēju un pietiekamu jaudu saskaņā ar Regulas (ES) 2022/2554 II nodaļā noteiktajām prasībām, tā piemēro atbilstošas tirdzniecības robežvērtības un ierobežojumus un aizsardzību pret kļūdainu rīkojumu nosūtīšanu vai citādu sistēmu darbību, kas var apdraudēt vai iespējami apdraudēt pienācīgu tirgus darbību.
  Šādai ieguldījumu brokeru sabiedrībai ir arī efektīvas sistēmas un riska kontroles, lai nodrošinātu, ka tirdzniecības sistēmas nevar izmantot jebkādā nolūkā, kas neatbilst Regulas (ES) Nr. 596/2014 noteikumiem vai ar to saistītās tirdzniecības vietas noteikumiem.
  Ieguldījumu brokeru sabiedrība ir ieviesusi efektīvus uzņēmējdarbības nepārtrauktības pasākumus, lai novērstu jebkādas savas tirdzniecības sistēmas kļūmes, tostarp IKT darbības nepārtrauktības politiku un plānus un IKT reaģēšanas un seku novēršanas plānus, kas izveidoti saskaņā ar Regulas (ES) 2022/2554 11. pantu, un nodrošina, ka tās sistēmas ir pilnībā pārbaudītas un tiek atbilstoši uzraudzītas, lai nodrošinātu to atbilstību šajā punktā izklāstītajām vispārīgajām prasībām un īpašajām prasībām, kas noteiktas Regulas (ES) 2022/2554 II un IV nodaļā.”; |
| --- | --- | --- |

2)

direktīvas 17. pantu groza šādi:

a)

panta 1. punktu aizstāj ar šādu:

“1.   Ieguldījumu brokeru sabiedrībai, kas veic algoritmisko tirdzniecību, ir izveidotas tās uzņēmējdarbībai piemērotas efektīvas sistēmas un riska kontroles pasākumi, lai nodrošinātu savas tirdzniecības sistēmas izturētspēju un pietiekamu jaudu saskaņā ar Regulas (ES) 2022/2554 II nodaļā noteiktajām prasībām, tā piemēro atbilstošas tirdzniecības robežvērtības un ierobežojumus un aizsardzību pret kļūdainu rīkojumu nosūtīšanu vai citādu sistēmu darbību, kas var apdraudēt vai iespējami apdraudēt pienācīgu tirgus darbību.

Šādai ieguldījumu brokeru sabiedrībai ir arī efektīvas sistēmas un riska kontroles, lai nodrošinātu, ka tirdzniecības sistēmas nevar izmantot jebkādā nolūkā, kas neatbilst Regulas (ES) Nr. 596/2014 noteikumiem vai ar to saistītās tirdzniecības vietas noteikumiem.

Ieguldījumu brokeru sabiedrība ir ieviesusi efektīvus uzņēmējdarbības nepārtrauktības pasākumus, lai novērstu jebkādas savas tirdzniecības sistēmas kļūmes, tostarp IKT darbības nepārtrauktības politiku un plānus un IKT reaģēšanas un seku novēršanas plānus, kas izveidoti saskaņā ar Regulas (ES) 2022/2554 11. pantu, un nodrošina, ka tās sistēmas ir pilnībā pārbaudītas un tiek atbilstoši uzraudzītas, lai nodrošinātu to atbilstību šajā punktā izklāstītajām vispārīgajām prasībām un īpašajām prasībām, kas noteiktas Regulas (ES) 2022/2554 II un IV nodaļā.”;

| b) | panta 7. punkta a) apakšpunktu aizstāj ar šādu:






  “a) | vēl sīkāk to organizatorisko prasību konkrētos parametrus, kuras noteiktas 1.–6. punktā, izņemot tās, kas saistītas ar IKT riska vadību, un kuras ir jāpiemēro attiecībā uz ieguldījumu brokeru sabiedrībām, kas sniedz dažādus ieguldījumu pakalpojumus, veic ieguldījumu darbības un sniedz papildpakalpojumus vai to kombinācijas, paredzot konkrētus parametrus attiecībā uz 5. punktā noteiktajām organizācijas prasībām, nosaka tiešās piekļuves un garantētās piekļuves tirgum īpašas prasības, nodrošinot to, lai garantētajai piekļuvei piemērotie kontroles mehānismi būtu vismaz līdzvērtīgi tiem, kurus piemēro tiešai piekļuvei tirgum;”; |
| --- | --- | --- |

b)

panta 7. punkta a) apakšpunktu aizstāj ar šādu:

“a)

vēl sīkāk to organizatorisko prasību konkrētos parametrus, kuras noteiktas 1.–6. punktā, izņemot tās, kas saistītas ar IKT riska vadību, un kuras ir jāpiemēro attiecībā uz ieguldījumu brokeru sabiedrībām, kas sniedz dažādus ieguldījumu pakalpojumus, veic ieguldījumu darbības un sniedz papildpakalpojumus vai to kombinācijas, paredzot konkrētus parametrus attiecībā uz 5. punktā noteiktajām organizācijas prasībām, nosaka tiešās piekļuves un garantētās piekļuves tirgum īpašas prasības, nodrošinot to, lai garantētajai piekļuvei piemērotie kontroles mehānismi būtu vismaz līdzvērtīgi tiem, kurus piemēro tiešai piekļuvei tirgum;”;

| 3) | direktīvas 47. panta 1. punktu groza šādi:






  a) | punkta b) apakšpunktu aizstāj ar šādu:






  “b) | lai tas ir atbilstoši aprīkots, lai pārvaldītu riskus, kam tas pakļauts, tostarp IKT risku saskaņā ar Regulas (ES) 2022/2554 II nodaļu, ieviestu attiecīgus pasākumus un sistēmas, lai identificētu būtiskos riskus tā darbībai, un ieviestu efektīvus pasākumus minēto risku mazināšanai;”; |
| --- | --- | --- | --- |

3)

direktīvas 47. panta 1. punktu groza šādi:

a)

punkta b) apakšpunktu aizstāj ar šādu:

“b)

lai tas ir atbilstoši aprīkots, lai pārvaldītu riskus, kam tas pakļauts, tostarp IKT risku saskaņā ar Regulas (ES) 2022/2554 II nodaļu, ieviestu attiecīgus pasākumus un sistēmas, lai identificētu būtiskos riskus tā darbībai, un ieviestu efektīvus pasākumus minēto risku mazināšanai;”;

| b) | punkta c) apakšpunktu svītro; |
| --- | --- |

b)

punkta c) apakšpunktu svītro;

| 4) | direktīvas 48. pantu groza šādi:






  a) | panta 1. punktu aizstāj ar šādu:

  “1.   Dalībvalstis nosaka prasību regulētajam tirgum izveidot un uzturēt savu darbības noturību saskaņā ar Regulas (ES) 2022/2554 II nodaļā noteiktajām prasībām, lai nodrošinātu, ka tā tirdzniecības sistēmas ir noturīgas, tām ir pietiekama jauda apstrādāt rīkojumu un ziņojumu maksimuma apjomu, tās var nodrošināt pienācīgu tirdzniecību smagas tirgus spriedzes apstākļos, ir pilnībā pārbaudītas, lai nodrošinātu šo nosacījumu izpildi, un tām ir efektīvi uzņēmējdarbības nepārtrauktības noteikumi, tostarp IKT darbības nepārtrauktības politika un plāni un IKT reaģēšanas un seku novēršanas plāni, kas izveidoti saskaņā ar Regulas (ES) 2022/2554 11. pantu, lai nodrošinātu savu pakalpojumu nepārtrauktību jebkādu savas tirdzniecības sistēmas darbības kļūmju gadījumā.”; |
| --- | --- | --- |

4)

direktīvas 48. pantu groza šādi:

a)

panta 1. punktu aizstāj ar šādu:

“1.   Dalībvalstis nosaka prasību regulētajam tirgum izveidot un uzturēt savu darbības noturību saskaņā ar Regulas (ES) 2022/2554 II nodaļā noteiktajām prasībām, lai nodrošinātu, ka tā tirdzniecības sistēmas ir noturīgas, tām ir pietiekama jauda apstrādāt rīkojumu un ziņojumu maksimuma apjomu, tās var nodrošināt pienācīgu tirdzniecību smagas tirgus spriedzes apstākļos, ir pilnībā pārbaudītas, lai nodrošinātu šo nosacījumu izpildi, un tām ir efektīvi uzņēmējdarbības nepārtrauktības noteikumi, tostarp IKT darbības nepārtrauktības politika un plāni un IKT reaģēšanas un seku novēršanas plāni, kas izveidoti saskaņā ar Regulas (ES) 2022/2554 11. pantu, lai nodrošinātu savu pakalpojumu nepārtrauktību jebkādu savas tirdzniecības sistēmas darbības kļūmju gadījumā.”;

| b) | panta 6. punktu aizstāj ar šādu:

  “6.   Dalībvalstis pieprasa, lai regulētais tirgus ieviestu efektīvas sistēmas, procedūras un noteikumus, tostarp pieņemtu locekļiem vai dalībniekiem paredzētas prasības pienācīgi pārbaudīt algoritmus un nodrošinātu šādu pārbaužu sekmēšanas apstākļus saskaņā ar Regulas (ES) 2022/2554 II un IV nodaļā noteiktajām prasībām, nodrošinātu, ka algoritmiskās tirdzniecības sistēmas nevar kaitēt tirdzniecības apstākļiem vai nevar veicināt šādu apstākļu pasliktināšanos, un pārvaldītu visus nesakārtotus tirdzniecības apstākļus, ko rada šādas algoritmiskās tirdzniecības sistēmas, ierobežotu neizpildīto rīkojumu attiecību pret darījumiem, ko tā loceklis vai dalībnieks var ievadīt sistēmā, lai varētu palēnināt rīkojumu plūsmu, ja ir risks, ka varētu tikt pārsniegta tā sistēmas jauda, un ierobežot un piemērot cenas izmaiņas minimālo soli, ko iespējams panākt tirgū.”; |
| --- | --- |

b)

panta 6. punktu aizstāj ar šādu:

“6.   Dalībvalstis pieprasa, lai regulētais tirgus ieviestu efektīvas sistēmas, procedūras un noteikumus, tostarp pieņemtu locekļiem vai dalībniekiem paredzētas prasības pienācīgi pārbaudīt algoritmus un nodrošinātu šādu pārbaužu sekmēšanas apstākļus saskaņā ar Regulas (ES) 2022/2554 II un IV nodaļā noteiktajām prasībām, nodrošinātu, ka algoritmiskās tirdzniecības sistēmas nevar kaitēt tirdzniecības apstākļiem vai nevar veicināt šādu apstākļu pasliktināšanos, un pārvaldītu visus nesakārtotus tirdzniecības apstākļus, ko rada šādas algoritmiskās tirdzniecības sistēmas, ierobežotu neizpildīto rīkojumu attiecību pret darījumiem, ko tā loceklis vai dalībnieks var ievadīt sistēmā, lai varētu palēnināt rīkojumu plūsmu, ja ir risks, ka varētu tikt pārsniegta tā sistēmas jauda, un ierobežot un piemērot cenas izmaiņas minimālo soli, ko iespējams panākt tirgū.”;

| c) | panta 12. punktu groza šādi:






  i) | punkta a) apakšpunktu aizstāj ar šādu:






  “a) | prasības nodrošināt regulēto tirgu tirdzniecības sistēmu noturību un atbilstošu kapacitāti, izņemot prasības, kas saistītas ar digitālās darbības noturību;”; |
| --- | --- | --- | --- |

c)

panta 12. punktu groza šādi:

i)

punkta a) apakšpunktu aizstāj ar šādu:

“a)

prasības nodrošināt regulēto tirgu tirdzniecības sistēmu noturību un atbilstošu kapacitāti, izņemot prasības, kas saistītas ar digitālās darbības noturību;”;

| ii) | punkta g) apakšpunktu aizstāj ar šādu:






  “g) | prasības, kā nodrošināt algoritmu pienācīgu pārbaudi, izņemot prasības par digitālās darbības noturības testēšanu, lai panāktu, ka algoritmiskās tirdzniecības sistēmas, tostarp augstas intensitātes algoritmisko darījumu tirdzniecības sistēmas, nevar radīt neatbilstošus tirdzniecības apstākļus tirgū vai nevar šādus apstākļus pastiprināt.” |
| --- | --- | --- |

ii)

punkta g) apakšpunktu aizstāj ar šādu:

“g)

prasības, kā nodrošināt algoritmu pienācīgu pārbaudi, izņemot prasības par digitālās darbības noturības testēšanu, lai panāktu, ka algoritmiskās tirdzniecības sistēmas, tostarp augstas intensitātes algoritmisko darījumu tirdzniecības sistēmas, nevar radīt neatbilstošus tirdzniecības apstākļus tirgū vai nevar šādus apstākļus pastiprināt.”

7. pants

Grozījumi Direktīvā (ES) 2015/2366

Direktīvu (ES) 2015/2366 groza šādi:

| 1) | direktīvas 3. panta j) punktu aizstāj ar šādu:






  “j) | tehnisko pakalpojumu sniedzēju sniegtajiem pakalpojumiem, kas atbalsta maksājumu pakalpojumu sniegšanu, ja to īpašumā nevienu brīdi nenonāk pārskaitāmie naudas līdzekļi, tostarp datu apstrādei un uzglabāšanai, uzticēšanās un privātuma aizsardzības pakalpojumiem, datu un subjektu autentificēšanai, informācijas un komunikācijas tehnoloģiju (IKT) un komunikāciju tīklu nodrošināšanai, termināļu un maksājumu pakalpojumiem izmantojamo ierīču nodrošināšanai un uzturēšanai, izņemot maksājumu iniciēšanas pakalpojumus un konta informācijas pakalpojumus;”; |
| --- | --- | --- |

1)

direktīvas 3. panta j) punktu aizstāj ar šādu:

“j)

tehnisko pakalpojumu sniedzēju sniegtajiem pakalpojumiem, kas atbalsta maksājumu pakalpojumu sniegšanu, ja to īpašumā nevienu brīdi nenonāk pārskaitāmie naudas līdzekļi, tostarp datu apstrādei un uzglabāšanai, uzticēšanās un privātuma aizsardzības pakalpojumiem, datu un subjektu autentificēšanai, informācijas un komunikācijas tehnoloģiju (IKT) un komunikāciju tīklu nodrošināšanai, termināļu un maksājumu pakalpojumiem izmantojamo ierīču nodrošināšanai un uzturēšanai, izņemot maksājumu iniciēšanas pakalpojumus un konta informācijas pakalpojumus;”;

| 2) | direktīvas 5. panta 1. punktu groza šādi:






  a) | punkta pirmo daļu groza šādi:






  i) | daļas e) apakšpunktu aizstāj ar šādu:






  “e) | aprakstu par pieteikuma iesniedzēja pārvaldības pasākumiem un iekšējās kontroles mehānismiem, tostarp administratīvām, riska pārvaldības un grāmatvedības procedūrām, kā arī kārtību, kādā tiek izmantoti IKT pakalpojumi saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 (*7), kas apliecina, ka minētie pārvaldības pasākumi un iekšējās kontroles mehānismi ir samērīgi, piemēroti, pareizi un pietiekami; |
| --- | --- | --- | --- | --- |

2)

direktīvas 5. panta 1. punktu groza šādi:

a)

punkta pirmo daļu groza šādi:

i)

daļas e) apakšpunktu aizstāj ar šādu:

“e)

aprakstu par pieteikuma iesniedzēja pārvaldības pasākumiem un iekšējās kontroles mehānismiem, tostarp administratīvām, riska pārvaldības un grāmatvedības procedūrām, kā arī kārtību, kādā tiek izmantoti IKT pakalpojumi saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 (*7), kas apliecina, ka minētie pārvaldības pasākumi un iekšējās kontroles mehānismi ir samērīgi, piemēroti, pareizi un pietiekami;

*7

(*7)  Eiropas Parlamenta un Padomes Regula (ES) 2022/2554 (2022. gada 14. decembris) par finanšu nozares digitālās darbības noturību un ar ko groza Regulas (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 un (ES) 2016/1011 (OV L 333, 27.12.2022.1.. lpp., ).”;"

*7

| ii) | daļas f) apakšpunktu aizstāj ar šādu:






  “f) | aprakstu par ieviesto procedūru, lai uzraudzītu, izskatītu un turpmāk pārraudzītu drošības incidentus un klientu sūdzības, kas saistītas ar drošību, tostarp ziņošanas mehānismu par incidentiem, kurā ņemti vērā Regulas (ES) 2022/2554 III nodaļā noteiktie maksājumu iestāžu ziņošanas pienākumi;”; |
| --- | --- | --- |

ii)

daļas f) apakšpunktu aizstāj ar šādu:

“f)

aprakstu par ieviesto procedūru, lai uzraudzītu, izskatītu un turpmāk pārraudzītu drošības incidentus un klientu sūdzības, kas saistītas ar drošību, tostarp ziņošanas mehānismu par incidentiem, kurā ņemti vērā Regulas (ES) 2022/2554 III nodaļā noteiktie maksājumu iestāžu ziņošanas pienākumi;”;

| iii) | daļas h) apakšpunktu aizstāj ar šādu:






  “h) | aprakstu par darbības nepārtrauktības kārtību, tostarp skaidri identificētas kritiski svarīgas darbības, efektīvu IKT darbības nepārtrauktības politiku un plānus un IKT reaģēšanas un seku novēršanas plānus un procedūru šādu plānu regulārai atbilstības un efektivitātes pārbaudei un pārskatīšanai saskaņā ar Regulu (ES) 2022/2554;”; |
| --- | --- | --- |

iii)

daļas h) apakšpunktu aizstāj ar šādu:

“h)

aprakstu par darbības nepārtrauktības kārtību, tostarp skaidri identificētas kritiski svarīgas darbības, efektīvu IKT darbības nepārtrauktības politiku un plānus un IKT reaģēšanas un seku novēršanas plānus un procedūru šādu plānu regulārai atbilstības un efektivitātes pārbaudei un pārskatīšanai saskaņā ar Regulu (ES) 2022/2554;”;

| b) | punkta trešo daļu aizstāj ar šādu:

  “Drošības kontroles un riska mazināšanas pasākumos, kas minēti pirmās daļas j) apakšpunktā, norāda, kā tie nodrošina augstu digitālās darbības noturības līmeni saskaņā ar Regulas (ES) 2022/2554 II nodaļu, jo īpaši attiecībā uz tehnisko drošību un datu aizsardzību, tostarp attiecībā uz programmatūru un IKT sistēmām, ko izmanto pieteikuma iesniedzējs vai apakšuzņēmumi, kurus tas nolīdzis visām darbībām vai to daļai. Minētie pasākumi ietver arī šīs direktīvas 95. panta 1. punktā noteiktos drošības pasākumus. Minētajos pasākumos ņem vērā arī šīs direktīvas 95. panta 3. punktā minētās EBI pamatnostādnes par drošības pasākumiem (kad tās tiks pieņemtas).”; |
| --- | --- |

b)

punkta trešo daļu aizstāj ar šādu:

“Drošības kontroles un riska mazināšanas pasākumos, kas minēti pirmās daļas j) apakšpunktā, norāda, kā tie nodrošina augstu digitālās darbības noturības līmeni saskaņā ar Regulas (ES) 2022/2554 II nodaļu, jo īpaši attiecībā uz tehnisko drošību un datu aizsardzību, tostarp attiecībā uz programmatūru un IKT sistēmām, ko izmanto pieteikuma iesniedzējs vai apakšuzņēmumi, kurus tas nolīdzis visām darbībām vai to daļai. Minētie pasākumi ietver arī šīs direktīvas 95. panta 1. punktā noteiktos drošības pasākumus. Minētajos pasākumos ņem vērā arī šīs direktīvas 95. panta 3. punktā minētās EBI pamatnostādnes par drošības pasākumiem (kad tās tiks pieņemtas).”;

| 3) | direktīvas 19. panta 6. punkta otro daļu aizstāj ar šādu:

  “Svarīgu darbības funkciju, tostarp IKT sistēmu, uzticēšanu ārpakalpojumu sniedzējiem neveic veidā, kas var būtiski pasliktināt maksājumu iestādes iekšējās kontroles kvalitāti un kompetento iestāžu spēju uzraudzīt maksājumu iestādes atbilstību visiem šajā direktīvā noteiktajiem pienākumiem un izsekot tai.”; |
| --- | --- |

3)

direktīvas 19. panta 6. punkta otro daļu aizstāj ar šādu:

“Svarīgu darbības funkciju, tostarp IKT sistēmu, uzticēšanu ārpakalpojumu sniedzējiem neveic veidā, kas var būtiski pasliktināt maksājumu iestādes iekšējās kontroles kvalitāti un kompetento iestāžu spēju uzraudzīt maksājumu iestādes atbilstību visiem šajā direktīvā noteiktajiem pienākumiem un izsekot tai.”;

| 4) | direktīvas 95. panta 1. punktam pievieno šādu daļu:

  “Pirmā daļa neskar Regulas (ES) 2022/2554 II nodaļas piemērošanu:






  a) | maksājumu pakalpojumu sniedzējiem, kas minēti šīs direktīvas 1. panta 1. punkta a), b) un d) apakšpunktā; |
| --- | --- | --- |

4)

direktīvas 95. panta 1. punktam pievieno šādu daļu:

“Pirmā daļa neskar Regulas (ES) 2022/2554 II nodaļas piemērošanu:

a)

maksājumu pakalpojumu sniedzējiem, kas minēti šīs direktīvas 1. panta 1. punkta a), b) un d) apakšpunktā;

| b) | konta informācijas pakalpojumu sniedzējiem, kas minēti šīs direktīvas 33. panta 1. punktā; |
| --- | --- |

b)

konta informācijas pakalpojumu sniedzējiem, kas minēti šīs direktīvas 33. panta 1. punktā;

| c) | maksājumu iestādēm, kam piemēro atbrīvojumu, ievērojot šīs direktīvas 32. panta 1. punktu; un |
| --- | --- |

c)

maksājumu iestādēm, kam piemēro atbrīvojumu, ievērojot šīs direktīvas 32. panta 1. punktu; un

| d) | elektroniskās naudas iestādēm, kam piemēro atbrīvojumu, ievērojot Direktīvas 2009/110/EK 9. panta 1. punktu;”; |
| --- | --- |

d)

elektroniskās naudas iestādēm, kam piemēro atbrīvojumu, ievērojot Direktīvas 2009/110/EK 9. panta 1. punktu;”;

| 5) | direktīvas 96. pantā pievieno šādu punktu:

  “7.   Dalībvalstis nodrošina, ka šā panta 1.–5. punktu nepiemēro:






  a) | maksājumu pakalpojumu sniedzējiem, kas minēti šīs direktīvas 1. panta 1. punkta a), b) un d) apakšpunktā; |
| --- | --- | --- |

5)

direktīvas 96. pantā pievieno šādu punktu:

“7.   Dalībvalstis nodrošina, ka šā panta 1.–5. punktu nepiemēro:

a)

maksājumu pakalpojumu sniedzējiem, kas minēti šīs direktīvas 1. panta 1. punkta a), b) un d) apakšpunktā;

| b) | konta informācijas pakalpojumu sniedzējiem, kas minēti šīs direktīvas 33. panta 1. punktā; |
| --- | --- |

b)

konta informācijas pakalpojumu sniedzējiem, kas minēti šīs direktīvas 33. panta 1. punktā;

| c) | maksājumu iestādēm, kam piemēro atbrīvojumu, ievērojot šīs direktīvas 32. panta 1. punktu; un |
| --- | --- |

c)

maksājumu iestādēm, kam piemēro atbrīvojumu, ievērojot šīs direktīvas 32. panta 1. punktu; un

| d) | elektroniskās naudas iestādēm, kam piemēro atbrīvojumu, ievērojot Direktīvu 2009/110/EK, kā definēts minētās regulas 9. panta 1. punktā.”; |
| --- | --- |

d)

elektroniskās naudas iestādēm, kam piemēro atbrīvojumu, ievērojot Direktīvu 2009/110/EK, kā definēts minētās regulas 9. panta 1. punktā.”;

| 6) | direktīvas 98. panta 5. punktu aizstāj ar šādu:

  “5.   EBI saskaņā ar Regulas (ES) Nr. 1093/2010 10. pantu regulāri pārskata un vajadzības gadījumā atjaunina regulatīvos tehniskos standartus, lai cita starpā ņemtu vērā inovāciju un tehnoloģiju attīstību un Regulas (ES) 2022/2554 II nodaļas noteikumus.” |
| --- | --- |

6)

direktīvas 98. panta 5. punktu aizstāj ar šādu:

“5.   EBI saskaņā ar Regulas (ES) Nr. 1093/2010 10. pantu regulāri pārskata un vajadzības gadījumā atjaunina regulatīvos tehniskos standartus, lai cita starpā ņemtu vērā inovāciju un tehnoloģiju attīstību un Regulas (ES) 2022/2554 II nodaļas noteikumus.”

8. pants

Grozījums Direktīvā (ES) 2016/2341

Direktīvas (ES) 2016/2341 21. panta 5. punktu aizstāj ar šādu:

“5.   Dalībvalstis nodrošina, ka AKUI veic pārdomātus pasākumus, lai nodrošinātu savu darbību nepārtrauktību un regularitāti, tostarp izstrādā ārkārtas situāciju plānus. Šajā sakarā AKUI izmanto atbilstīgas un samērīgas sistēmas, resursus un procedūras, kā arī attiecīgā gadījumā jo īpaši ievieš un pārvalda tīklu un informācijas sistēmas saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 (*8).

9. pants

Transponēšana

1.   Dalībvalstis līdz 2025. gada 17. janvārim pieņem un publicē noteikumus, kas vajadzīgi, lai izpildītu šīs direktīvas prasības. Dalībvalstis par to tūlīt informē Komisiju.

Tās piemēro minētos noteikumus no 2025. gada 17. janvāra.

Kad dalībvalstis pieņem minētos noteikumus, tajos ietver atsauci uz šo direktīvu vai arī šādu atsauci pievieno to oficiālajai publikācijai. Dalībvalstis nosaka paņēmienus, kā izdarāma šāda atsauce.

2.   Dalībvalstis dara Komisijai zināmus to valsts tiesību aktu galvenos noteikumus, ko tās pieņem jomā, uz ko attiecas šī direktīva.

10. pants

Stāšanās spēkā

Šī direktīva stājas spēkā divdesmitajā dienā pēc tās publicēšanas Eiropas Savienības Oficiālajā Vēstnesī.

Eiropas Savienības Oficiālajā Vēstnesī

11. pants

Adresāti

Šī direktīva ir adresēta dalībvalstīm.

Strasbūrā, 2022. gada 14. decembrī

Eiropas Parlamenta vārdā –

priekšsēdētāja

R. METSOLA

Padomes vārdā –

priekšsēdētājs

M. BEK

---

(1)  
  OV C 343, 26.8.2021., 1. lpp.

1

(2)  
  OV C 155, 30.4.2021., 38. lpp.

2

(3)  Eiropas Parlamenta 2022. gada 10. novembra nostāja (Oficiālajā Vēstnesī vēl nav publicēta) un Padomes 2022. gada 28. novembra lēmums.

3

Oficiālajā Vēstnesī

(4)  Eiropas Parlamenta un Padomes Direktīva 2009/65/EK (2009. gada 13. jūlijs) par normatīvo un administratīvo aktu koordināciju attiecībā uz pārvedamu vērtspapīru kolektīvo ieguldījumu uzņēmumiem (PVKIU) (OV L 302, 17.11.2009., 32. lpp.).

4

(5)  Eiropas Parlamenta un Padomes Direktīva 2009/138/EK (2009. gada 25. novembris) par uzņēmējdarbības uzsākšanu un veikšanu apdrošināšanas un pārapdrošināšanas jomā (Maksātspēja II) (OV L 335, 17.12.2009., 1. lpp.).

5

(6)  Eiropas Parlamenta un Padomes Direktīva 2011/61/ES (2011. gada 8. jūnijs) par alternatīvo ieguldījumu fondu pārvaldniekiem un par grozījumiem Direktīvā 2003/41/EK, Direktīvā 2009/65/EK, Regulā (EK) Nr. 1060/2009 un Regulā (ES) Nr. 1095/2010 (OV L 174, 1.7.2011., 1. lpp.).

6

(7)  Eiropas Parlamenta un Padomes Direktīva 2013/36/ES (2013. gada 26. jūnijs) par piekļuvi kredītiestāžu darbībai un kredītiestāžu prudenciālo uzraudzību, ar ko groza Direktīvu 2002/87/EK un atceļ Direktīvas 2006/48/EK un 2006/49/EK (OV L 176, 27.6.2013., 338. lpp.).

7

(8)  Eiropas Parlamenta un Padomes Direktīva 2014/59/ES (2014. gada 15. maijs), ar ko izveido kredītiestāžu un ieguldījumu brokeru sabiedrību atveseļošanas un noregulējuma režīmu un groza Padomes Direktīvu 82/891/EEK un Eiropas Parlamenta un Padomes Direktīvas 2001/24/EK, 2002/47/EK, 2004/25/EK, 2005/56/EK, 2007/36/EK, 2011/35/ES, 2012/30/ES un 2013/36/ES, un Eiropas Parlamenta un Padomes Regulas (ES) Nr. 1093/2010 un (ES) Nr. 648/2012 (OV L 173, 12.6.2014., 190. lpp.).

8

(9)  Eiropas Parlamenta un Padomes Direktīva 2014/65/ES (2014. gada 15. maijs) par finanšu instrumentu tirgiem un ar ko groza Direktīvu 2002/92/EK un Direktīvu 2011/61/ES (OV L 173, 12.6.2014., 349. lpp.).

9

(10)  Eiropas Parlamenta un Padomes Direktīva (ES) 2015/2366 (2015. gada 25. novembris) par maksājumu pakalpojumiem iekšējā tirgū, ar ko groza Direktīvas 2002/65/EK, 2009/110/EK un 2013/36/ES un Regulu (ES) Nr. 1093/2010 un atceļ Direktīvu 2007/64/EK (OV L 337, 23.12.2015., 35. lpp.).

10

(11)  Eiropas Parlamenta un Padomes Direktīva (ES) 2016/2341 (2016. gada 14. decembris) par arodpensijas kapitāla uzkrāšanas institūciju (AKUI) darbību un uzraudzību (OV L 354, 23.12.2016., 37. lpp.).

11

(12)  Eiropas Parlamenta un Padomes Regula (ES) 2022/2554 (2022. gada 14. decembris) par finanšu nozares digitālās darbības noturību un ar ko groza Regulas (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 un (ES) 2016/1011 (skatīt šā Oficiālā Vēstneša 1.. lpp.).

12

Oficiālā Vēstneša

(13)  Eiropas Parlamenta un Padomes Regula (ES) Nr. 1093/2010 (2010. gada 24. novembris), ar ko izveido Eiropas Uzraudzības iestādi (Eiropas Banku iestādi), groza Lēmumu Nr. 716/2009/EK un atceļ Komisijas Lēmumu 2009/78/EK (OV L 331, 15.12.2010., 12. lpp.).

13

(14)  
  OV C 369, 17.12.2011., 14. lpp.

14

---

| 27.12.2022 | LV | Eiropas Savienības Oficiālais Vēstnesis | L 333/164 |
| --- | --- | --- | --- |

27.12.2022

LV

Eiropas Savienības Oficiālais Vēstnesis

L 333/164

---

EIROPAS PARLAMENTA UN PADOMES DIREKTĪVA (ES) 2022/2557

(2022. gada 14. decembris)

par kritisko vienību noturību un Padomes Direktīvas 2008/114/EK atcelšanu

(Dokuments attiecas uz EEZ)

EIROPAS PARLAMENTS UN EIROPAS SAVIENĪBAS PADOME,

ņemot vērā Līgumu par Eiropas Savienības darbību un jo īpaši tā 114. pantu,

ņemot vērā Eiropas Komisijas priekšlikumu,

pēc leģislatīvā akta projekta nosūtīšanas valstu parlamentiem,

ņemot vērā Eiropas Ekonomikas un sociālo lietu komitejas atzinumu (1),

ņemot vērā Reģionu komitejas atzinumu (2),

saskaņā ar parasto likumdošanas procedūru (3),

tā kā:

| (1) | Kritiskajām vienībām kā pamatpakalpojumu sniedzējām ir neaizstājama loma svarīgu sabiedrības funkciju vai saimniecisko darbību uzturēšanā iekšējā tirgū Savienībā, kurā ekonomikas savstarpējā atkarība kļūst aizvien lielāka. Tāpēc ir būtiski izveidot Savienības satvaru, kura mērķis ir gan uzlabot kritisko vienību noturību iekšējā tirgū, nosakot saskaņotus minimālos noteikumus, gan palīdzēt tām ar saskaņotiem specializētiem atbalsta un uzraudzības pasākumiem. |
| --- | --- |

(1)

Kritiskajām vienībām kā pamatpakalpojumu sniedzējām ir neaizstājama loma svarīgu sabiedrības funkciju vai saimniecisko darbību uzturēšanā iekšējā tirgū Savienībā, kurā ekonomikas savstarpējā atkarība kļūst aizvien lielāka. Tāpēc ir būtiski izveidot Savienības satvaru, kura mērķis ir gan uzlabot kritisko vienību noturību iekšējā tirgū, nosakot saskaņotus minimālos noteikumus, gan palīdzēt tām ar saskaņotiem specializētiem atbalsta un uzraudzības pasākumiem.

| (2) | Padomes Direktīvā 2008/114/EK (4) paredzēta procedūra Eiropas kritisko infrastruktūru noteikšanai enerģētikas un transporta nozarē, kuru darbības traucēšanai vai iznīcināšanai būtu būtiska pārrobežu ietekme vismaz uz divām dalībvalstīm. Minētajā direktīvā uzmanība tiek pievērsta tikai šādu infrastruktūru aizsardzībai. Tomēr 2019. gadā veiktajā Direktīvas 2008/114/EK izvērtējumā tika konstatēts, ka, tā kā darbības, kurās izmanto kritisko infrastruktūru, ir arvien vairāk savstarpēji saistītas un tās ir pārrobežu darbības, aizsardzības pasākumi, kas attiecas tikai uz atsevišķiem aktīviem, nav pietiekami, lai novērstu jebkādus traucējumus. Tādēļ pieeja ir jāpārorientē uz to, lai nodrošinātu, ka riski tiek labāk ņemti vērā, ka kritisko vienību kā iekšējā tirgus darbībai būtiski svarīgu pakalpojumu sniedzēju loma un pienākumi ir labāk definēti un saskaņoti un ka tiek pieņemti Savienības noteikumi nolūkā palielināt kritisko vienību noturību. Kritiskajām vienībām vajadzētu spēt stiprināt savu spēju izvairīties no incidentiem, aizsargāties pret tiem, reaģēt uz tiem, pretoties tiem, mazināt vai absorbēt tos, pielāgoties tiem un pārvarēt incidentus, kas var traucēt pamatpakalpojumu sniegšanu. |
| --- | --- |

(2)

Padomes Direktīvā 2008/114/EK (4) paredzēta procedūra Eiropas kritisko infrastruktūru noteikšanai enerģētikas un transporta nozarē, kuru darbības traucēšanai vai iznīcināšanai būtu būtiska pārrobežu ietekme vismaz uz divām dalībvalstīm. Minētajā direktīvā uzmanība tiek pievērsta tikai šādu infrastruktūru aizsardzībai. Tomēr 2019. gadā veiktajā Direktīvas 2008/114/EK izvērtējumā tika konstatēts, ka, tā kā darbības, kurās izmanto kritisko infrastruktūru, ir arvien vairāk savstarpēji saistītas un tās ir pārrobežu darbības, aizsardzības pasākumi, kas attiecas tikai uz atsevišķiem aktīviem, nav pietiekami, lai novērstu jebkādus traucējumus. Tādēļ pieeja ir jāpārorientē uz to, lai nodrošinātu, ka riski tiek labāk ņemti vērā, ka kritisko vienību kā iekšējā tirgus darbībai būtiski svarīgu pakalpojumu sniedzēju loma un pienākumi ir labāk definēti un saskaņoti un ka tiek pieņemti Savienības noteikumi nolūkā palielināt kritisko vienību noturību. Kritiskajām vienībām vajadzētu spēt stiprināt savu spēju izvairīties no incidentiem, aizsargāties pret tiem, reaģēt uz tiem, pretoties tiem, mazināt vai absorbēt tos, pielāgoties tiem un pārvarēt incidentus, kas var traucēt pamatpakalpojumu sniegšanu.

| (3) | Lai arī ir virkne tādu pasākumu Savienības līmenī, kā, piemēram, Eiropas programma kritiskās infrastruktūras aizsardzībai, un valstu līmenī, kuru mērķis ir atbalstīt kritiskās infrastruktūras aizsardzību Savienībā, būtu jādara vairāk, lai labāk aprīkotu vienības, kas apsaimnieko šādu infrastruktūru, nolūkā novērst tādus riskus to darbībām, kuri varētu radīt traucējumus pamatpakalpojumu sniegšanā. Tāpat būtu jādara vairāk, lai labāk aprīkotu šādas vienības, jo pastāv dinamisku apdraudējumu vide, kas aptver pieaugošus hibrīddraudus un terorisma draudus, un aizvien lielāku savstarpējo atkarību starp infrastruktūru un nozarēm. Turklāt pastāv paaugstināts fiziskais risks dabas katastrofu un klimata pārmaiņu dēļ, kas palielina ekstremālu laikapstākļu biežumu un mērogu un rada ilgtermiņa izmaiņas ierastajos klimatiskajos apstākļos, kuras var samazināt konkrētu infrastruktūras veidu jaudu, efektivitāti un ekspluatācijas ilgumu, ja netiek īstenoti pasākumi, lai pielāgotos klimata pārmaiņām. Pie tam iekšējam tirgum ir raksturīga sadrumstalotība attiecībā uz kritisko vienību identificēšanu, jo attiecīgās nozares un vienību kategorijas netiek konsekventi atzītas par kritiskām vienībām visās dalībvalstīs. Tādēļ ar šo direktīvu būtu jāievieš minimālie noteikumi, ar kuriem jāpanāk stabils saskaņotības līmenis attiecībā uz nozarēm un vienību kategorijām, kas ietilpst tās darbības jomā. |
| --- | --- |

(3)

Lai arī ir virkne tādu pasākumu Savienības līmenī, kā, piemēram, Eiropas programma kritiskās infrastruktūras aizsardzībai, un valstu līmenī, kuru mērķis ir atbalstīt kritiskās infrastruktūras aizsardzību Savienībā, būtu jādara vairāk, lai labāk aprīkotu vienības, kas apsaimnieko šādu infrastruktūru, nolūkā novērst tādus riskus to darbībām, kuri varētu radīt traucējumus pamatpakalpojumu sniegšanā. Tāpat būtu jādara vairāk, lai labāk aprīkotu šādas vienības, jo pastāv dinamisku apdraudējumu vide, kas aptver pieaugošus hibrīddraudus un terorisma draudus, un aizvien lielāku savstarpējo atkarību starp infrastruktūru un nozarēm. Turklāt pastāv paaugstināts fiziskais risks dabas katastrofu un klimata pārmaiņu dēļ, kas palielina ekstremālu laikapstākļu biežumu un mērogu un rada ilgtermiņa izmaiņas ierastajos klimatiskajos apstākļos, kuras var samazināt konkrētu infrastruktūras veidu jaudu, efektivitāti un ekspluatācijas ilgumu, ja netiek īstenoti pasākumi, lai pielāgotos klimata pārmaiņām. Pie tam iekšējam tirgum ir raksturīga sadrumstalotība attiecībā uz kritisko vienību identificēšanu, jo attiecīgās nozares un vienību kategorijas netiek konsekventi atzītas par kritiskām vienībām visās dalībvalstīs. Tādēļ ar šo direktīvu būtu jāievieš minimālie noteikumi, ar kuriem jāpanāk stabils saskaņotības līmenis attiecībā uz nozarēm un vienību kategorijām, kas ietilpst tās darbības jomā.

| (4) | Lai gan dažas ekonomikas nozares, piemēram, enerģētikas un transporta nozares, jau tiek regulētas ar Savienības nozaru tiesību aktiem, minētajos tiesību aktos ir noteikumi, kas attiecas tikai uz konkrētiem to vienību noturības aspektiem, kuras darbojas minētajās nozarēs. Lai visaptveroši risinātu jautājumu par pienācīgai iekšējā tirgus darbībai vajadzīgo minēto vienību noturību, šajā direktīvā tiek izveidots visaptverošs satvars, kas pievēršas kritisko vienību noturībai pret visiem apdraudējumiem, gan dabas un cilvēka radītiem, gan nejaušiem un tīšiem apdraudējumiem. |
| --- | --- |

(4)

Lai gan dažas ekonomikas nozares, piemēram, enerģētikas un transporta nozares, jau tiek regulētas ar Savienības nozaru tiesību aktiem, minētajos tiesību aktos ir noteikumi, kas attiecas tikai uz konkrētiem to vienību noturības aspektiem, kuras darbojas minētajās nozarēs. Lai visaptveroši risinātu jautājumu par pienācīgai iekšējā tirgus darbībai vajadzīgo minēto vienību noturību, šajā direktīvā tiek izveidots visaptverošs satvars, kas pievēršas kritisko vienību noturībai pret visiem apdraudējumiem, gan dabas un cilvēka radītiem, gan nejaušiem un tīšiem apdraudējumiem.

| (5) | Pieaugošās savstarpējās atkarības starp infrastruktūru un nozarēm pamatā ir pakalpojumu sniegšanas tīkls, kas arvien vairāk kļūst par pārrobežu un savstarpēji atkarīgāku tīklu, kas izmanto būtiskas infrastruktūras visā Savienībā enerģētikas, transporta, banku, dzeramā ūdens, notekūdeņu, pārtikas ražošanas, pārstrādes un izplatīšanas, veselības, kosmosa, finanšu tirgus infrastruktūras un digitālās infrastruktūras nozarēs un dažus aspektus valsts pārvaldes nozarē. Šī direktīva attiecas uz kosmosa nozari attiecībā uz konkrētu pakalpojumu sniegšanu, kuros izmanto uz zemes izvietotu infrastruktūru, kura pieder dalībvalstīm vai privātpersonām vai kuru tās pārvalda vai apsaimnieko; tāpēc šī direktīva neattiecas uz infrastruktūru, kas pieder Savienībai vai ko tā pārvalda vai apsaimnieko, vai kas tiek pārvaldīta vai apsaimniekota tās vārdā Savienības kosmosa programmas ietvaros.
  Enerģētikas nozares un jo īpaši elektroenerģijas ražošanas un pārvades metožu jomā (attiecībā uz elektroenerģijas piegādēm) saprot, ka gadījumos, kad tas uzskatāms par lietderīgu, elektroenerģijas ražošana var ietvert kodolelektrostaciju elektroenerģijas pārvades daļas, bet neietver pašus kodolelementus, uz kuriem attiecas nolīgumi un Savienības tiesības, tostarp attiecīgi Savienības tiesību akti par kodolenerģiju. Pārtikas nozares kritisko vienību identificēšanas procesā būtu pienācīgi jāatspoguļo tas, kāds minētajā nozarē ir iekšējais tirgus, un plašie Savienības noteikumi, kas attiecas uz pārtikas aprites tiesību aktu un pārtikas nekaitīguma vispārējiem principiem un prasībām. Tādēļ, lai nodrošinātu samērīgu pieeju un pienācīgi atspoguļotu šo vienību lomu un nozīmīgumu valsts līmenī, kritiskās vienības būtu jāidentificē tikai starp tiem pārtikas uzņēmumiem – neatkarīgi no tā, vai tie gūst peļņu vai ne, un neatkarīgi no tā, vai tie ir publiski vai privāti uzņēmumi–, kuri iesaistījušies tikai loģistikā un izplatīšanā vairumtirdzniecībā un liela mēroga rūpnieciskajā ražošanā un pārstrādē un kuriem ir ievērojama tirgus daļa, kā konstatēts valsts līmenī. Minētā savstarpējā atkarība nozīmē, ka jebkuriem pamatpakalpojumu traucējumiem, pat tādiem, kas sākotnēji attiecas tikai uz vienu vienību vai vienu nozari, var būt kaskādes efekts plašākā mērogā, iespējams, radot tālejošu un ilgtermiņā negatīvu ietekmi uz pakalpojumu sniegšanu visā iekšējā tirgū. Lielas krīzes kā, piemēram, Covid-19 pandēmija, ir parādījušas, ka mūsu arvien vairāk savstarpēji atkarīgā sabiedrība ir neaizsargāta, kad tā saskaras ar lielas ietekmes riskiem ar zemu iespējamību. |
| --- | --- |

(5)

Pieaugošās savstarpējās atkarības starp infrastruktūru un nozarēm pamatā ir pakalpojumu sniegšanas tīkls, kas arvien vairāk kļūst par pārrobežu un savstarpēji atkarīgāku tīklu, kas izmanto būtiskas infrastruktūras visā Savienībā enerģētikas, transporta, banku, dzeramā ūdens, notekūdeņu, pārtikas ražošanas, pārstrādes un izplatīšanas, veselības, kosmosa, finanšu tirgus infrastruktūras un digitālās infrastruktūras nozarēs un dažus aspektus valsts pārvaldes nozarē. Šī direktīva attiecas uz kosmosa nozari attiecībā uz konkrētu pakalpojumu sniegšanu, kuros izmanto uz zemes izvietotu infrastruktūru, kura pieder dalībvalstīm vai privātpersonām vai kuru tās pārvalda vai apsaimnieko; tāpēc šī direktīva neattiecas uz infrastruktūru, kas pieder Savienībai vai ko tā pārvalda vai apsaimnieko, vai kas tiek pārvaldīta vai apsaimniekota tās vārdā Savienības kosmosa programmas ietvaros.

Enerģētikas nozares un jo īpaši elektroenerģijas ražošanas un pārvades metožu jomā (attiecībā uz elektroenerģijas piegādēm) saprot, ka gadījumos, kad tas uzskatāms par lietderīgu, elektroenerģijas ražošana var ietvert kodolelektrostaciju elektroenerģijas pārvades daļas, bet neietver pašus kodolelementus, uz kuriem attiecas nolīgumi un Savienības tiesības, tostarp attiecīgi Savienības tiesību akti par kodolenerģiju. Pārtikas nozares kritisko vienību identificēšanas procesā būtu pienācīgi jāatspoguļo tas, kāds minētajā nozarē ir iekšējais tirgus, un plašie Savienības noteikumi, kas attiecas uz pārtikas aprites tiesību aktu un pārtikas nekaitīguma vispārējiem principiem un prasībām. Tādēļ, lai nodrošinātu samērīgu pieeju un pienācīgi atspoguļotu šo vienību lomu un nozīmīgumu valsts līmenī, kritiskās vienības būtu jāidentificē tikai starp tiem pārtikas uzņēmumiem – neatkarīgi no tā, vai tie gūst peļņu vai ne, un neatkarīgi no tā, vai tie ir publiski vai privāti uzņēmumi–, kuri iesaistījušies tikai loģistikā un izplatīšanā vairumtirdzniecībā un liela mēroga rūpnieciskajā ražošanā un pārstrādē un kuriem ir ievērojama tirgus daļa, kā konstatēts valsts līmenī. Minētā savstarpējā atkarība nozīmē, ka jebkuriem pamatpakalpojumu traucējumiem, pat tādiem, kas sākotnēji attiecas tikai uz vienu vienību vai vienu nozari, var būt kaskādes efekts plašākā mērogā, iespējams, radot tālejošu un ilgtermiņā negatīvu ietekmi uz pakalpojumu sniegšanu visā iekšējā tirgū. Lielas krīzes kā, piemēram, Covid-19 pandēmija, ir parādījušas, ka mūsu arvien vairāk savstarpēji atkarīgā sabiedrība ir neaizsargāta, kad tā saskaras ar lielas ietekmes riskiem ar zemu iespējamību.

| (6) | Uz vienībām, kas iesaistītas pamatpakalpojumu sniegšanā, arvien biežāk attiecas atšķirīgas prasības, kas noteiktas valsts tiesību aktos. Tas, ka dažām dalībvalstīm ir mazāk stingras drošības prasības attiecībā uz minētajām vienībām, ne tikai rada dažādus noturības līmeņus, bet arī var negatīvi ietekmēt svarīgu sabiedrības funkciju un saimniecisko darbību uzturēšanu visā Savienībā, un rada šķēršļus pienācīgai iekšējā tirgus darbībai. Ieguldītāji un uzņēmumi var paļauties uz noturīgām kritiskām vienībām un uzticēties tām, un paļāvība un uzticēšanās ir labi funkcionējoša iekšējā tirgus stūrakmeņi. Līdzīga veida vienības dažās dalībvalstīs tiek uzskatītas par kritiskām, bet citās netiek, un uz tām vienībām, kas identificētas par kritiskām, dažādās dalībvalstīs attiecas atšķirīgas prasības. Tas rada papildu un nevajadzīgu administratīvo slogu uzņēmumiem, kas darbojas pāri robežām, jo īpaši uzņēmumiem, kuri darbojas dalībvalstīs ar stingrākām prasībām. Līdz ar to Savienības regulējums arī veicinātu vienlīdzīgus konkurences apstākļus kritiskajām vienībām visā Savienībā. |
| --- | --- |

(6)

Uz vienībām, kas iesaistītas pamatpakalpojumu sniegšanā, arvien biežāk attiecas atšķirīgas prasības, kas noteiktas valsts tiesību aktos. Tas, ka dažām dalībvalstīm ir mazāk stingras drošības prasības attiecībā uz minētajām vienībām, ne tikai rada dažādus noturības līmeņus, bet arī var negatīvi ietekmēt svarīgu sabiedrības funkciju un saimniecisko darbību uzturēšanu visā Savienībā, un rada šķēršļus pienācīgai iekšējā tirgus darbībai. Ieguldītāji un uzņēmumi var paļauties uz noturīgām kritiskām vienībām un uzticēties tām, un paļāvība un uzticēšanās ir labi funkcionējoša iekšējā tirgus stūrakmeņi. Līdzīga veida vienības dažās dalībvalstīs tiek uzskatītas par kritiskām, bet citās netiek, un uz tām vienībām, kas identificētas par kritiskām, dažādās dalībvalstīs attiecas atšķirīgas prasības. Tas rada papildu un nevajadzīgu administratīvo slogu uzņēmumiem, kas darbojas pāri robežām, jo īpaši uzņēmumiem, kuri darbojas dalībvalstīs ar stingrākām prasībām. Līdz ar to Savienības regulējums arī veicinātu vienlīdzīgus konkurences apstākļus kritiskajām vienībām visā Savienībā.

| (7) | Ir nepieciešams noteikt saskaņotus minimālos noteikumus, lai nodrošinātu pamatpakalpojumu sniegšanu iekšējā tirgū, stiprinātu kritisko vienību noturību un uzlabotu pārrobežu sadarbību starp kompetentajām iestādēm. Ir svarīgi, lai šie noteikumi atbilstu nākotnes prasībām attiecībā uz to izstrādi un īstenošanu, vienlaicīgi nodrošinot vajadzīgo elastību. Ir arī būtiski uzlabot kritisko vienību spēju sniegt pamatpakalpojumus, saskaroties ar dažāda spektra riskiem. |
| --- | --- |

(7)

Ir nepieciešams noteikt saskaņotus minimālos noteikumus, lai nodrošinātu pamatpakalpojumu sniegšanu iekšējā tirgū, stiprinātu kritisko vienību noturību un uzlabotu pārrobežu sadarbību starp kompetentajām iestādēm. Ir svarīgi, lai šie noteikumi atbilstu nākotnes prasībām attiecībā uz to izstrādi un īstenošanu, vienlaicīgi nodrošinot vajadzīgo elastību. Ir arī būtiski uzlabot kritisko vienību spēju sniegt pamatpakalpojumus, saskaroties ar dažāda spektra riskiem.

| (8) | Lai sasniegtu augstu noturības līmeni, dalībvalstīm būtu jāidentificē kritiskās vienības, uz kurām tiks attiecinātas konkrētas prasības un uzraudzība un kurām tiks nodrošināts īpašs atbalsts un vadlīnijas, saskaroties ar visiem attiecīgajiem riskiem. |
| --- | --- |

(8)

Lai sasniegtu augstu noturības līmeni, dalībvalstīm būtu jāidentificē kritiskās vienības, uz kurām tiks attiecinātas konkrētas prasības un uzraudzība un kurām tiks nodrošināts īpašs atbalsts un vadlīnijas, saskaroties ar visiem attiecīgajiem riskiem.

| (9) | Ņemot vērā kiberdrošības nozīmi kritisko vienību noturībā un ievērojot konsekvenci, kur vien iespējams, būtu jānodrošina saskaņota pieeja starp šo direktīvu un Eiropas Parlamenta un Padomes Direktīvu (ES) 2022/2555 (5). Tā kā kiberriski ir biežāki un tiem ir īpašas iezīmes, Direktīvā (ES) 2022/2555 ir noteiktas visaptverošas prasības lielam skaitam vienību, lai nodrošinātu to kiberdrošību. Ņemot vērā to, ka kiberdrošība ir pietiekami aplūkota Direktīvā (ES) 2022/2555, jautājumi, uz kuriem attiecas minētā direktīva, būtu jāizslēdz no šīs direktīvas darbības jomas, neskarot īpašo režīmu, kas attiecas uz vienībām digitālās infrastruktūras nozarē. |
| --- | --- |

(9)

Ņemot vērā kiberdrošības nozīmi kritisko vienību noturībā un ievērojot konsekvenci, kur vien iespējams, būtu jānodrošina saskaņota pieeja starp šo direktīvu un Eiropas Parlamenta un Padomes Direktīvu (ES) 2022/2555 (5). Tā kā kiberriski ir biežāki un tiem ir īpašas iezīmes, Direktīvā (ES) 2022/2555 ir noteiktas visaptverošas prasības lielam skaitam vienību, lai nodrošinātu to kiberdrošību. Ņemot vērā to, ka kiberdrošība ir pietiekami aplūkota Direktīvā (ES) 2022/2555, jautājumi, uz kuriem attiecas minētā direktīva, būtu jāizslēdz no šīs direktīvas darbības jomas, neskarot īpašo režīmu, kas attiecas uz vienībām digitālās infrastruktūras nozarē.

| (10) | Ja Savienības nozaru tiesību aktu noteikumi nosaka prasību kritiskajām vienībām veikt pasākumus, lai uzlabotu savu noturību, un ja dalībvalstis atzīst minēto prasību vismaz par līdzvērtīgu attiecīgajiem šajā direktīvā noteiktajiem pienākumiem, attiecīgie šīs direktīvas noteikumi nebūtu jāpiemēro, lai izvairītos no dublēšanās un nevajadzīga sloga. Minētajā gadījumā būtu jāpiemēro attiecīgie šādu Savienības tiesību aktu noteikumi. Ja attiecīgos šīs direktīvas noteikumus nepiemēro, nebūtu jāpiemēro arī šajā direktīvā paredzētie noteikumi par uzraudzību un izpildes nodrošināšanu. |
| --- | --- |

(10)

Ja Savienības nozaru tiesību aktu noteikumi nosaka prasību kritiskajām vienībām veikt pasākumus, lai uzlabotu savu noturību, un ja dalībvalstis atzīst minēto prasību vismaz par līdzvērtīgu attiecīgajiem šajā direktīvā noteiktajiem pienākumiem, attiecīgie šīs direktīvas noteikumi nebūtu jāpiemēro, lai izvairītos no dublēšanās un nevajadzīga sloga. Minētajā gadījumā būtu jāpiemēro attiecīgie šādu Savienības tiesību aktu noteikumi. Ja attiecīgos šīs direktīvas noteikumus nepiemēro, nebūtu jāpiemēro arī šajā direktīvā paredzētie noteikumi par uzraudzību un izpildes nodrošināšanu.

| (11) | Šī direktīva neietekmē dalībvalstu un to iestāžu kompetenci attiecībā uz administratīvo autonomiju un neietekmē to pienākumu nodrošināt valsts drošību un aizsardzību vai to pilnvaras aizsargāt citas valsts pamatfunkcijas, jo īpaši attiecībā uz sabiedrisko drošību, teritoriālo integritāti un likumības un kārtības uzturēšanu. Valsts pārvaldes vienību izslēgšana no šīs direktīvas darbības jomas būtu jāattiecina uz vienībām, kuras darbojas galvenokārt valsts drošības, sabiedriskās drošības, aizsardzības vai tiesībaizsardzības jomā, tostarp veic noziedzīgu nodarījumu izmeklēšanu, atklāšanu un kriminālvajāšanu. Tomēr valsts pārvaldes vienībām, kuru darbības ir tikai maznozīmīgi saistītas ar minētajām jomām būtu jāietilpst šīs direktīvas darbības jomā. Šajā direktīvā vienības, kam ir regulatīvas kompetences, neuzskata par tādām, kas veic darbības tiesībaizsardzības jomā, un tāpēc šā iemesla dēļ tās nav izslēgtas no šīs direktīvas darbības jomas. Valsts pārvaldes vienības, kas saskaņā ar starptautisku nolīgumu ir izveidotas kopīgi ar kādu trešo valsti, ir izslēgtas no šīs direktīvas darbības jomas. Šī direktīva neattiecas uz dalībvalstu diplomātiskajām un konsulārajām pārstāvniecībām trešās valstīs.
  Dažas kritiskās vienības veic darbības valsts drošības, sabiedriskās drošības, aizsardzības vai tiesībaizsardzības jomā, tostarp noziedzīgu nodarījumu izmeklēšanu, atklāšanu un kriminālvajāšanu, vai sniedz pakalpojumus tikai valsts pārvaldes vienībām, kas veic darbības galvenokārt minētajās jomās. Ņemot vērā dalībvalstu atbildību par valsts drošības un aizsardzības nodrošināšanu, dalībvalstīm vajadzētu būt iespējai nolemt, ka pienākumi, kas kritiskajām vienībām noteikti šajā direktīvā, pilnībā vai daļēji netiek piemēroti minētajām kritiskajām vienībām, ja to sniegtie pakalpojumi vai to veiktās darbības galvenokārt ir saistītas ar valsts drošības, sabiedriskās drošības, aizsardzības vai tiesībaizsardzības jomām, tostarp noziedzīgu nodarījumu izmeklēšanu, atklāšanu un kriminālvajāšanu. Kritiskajām vienībām, kuru pakalpojumi vai darbības ir tikai maznozīmīgi saistītas ar minētajām jomām būtu jāietilpst šīs direktīvas darbības jomā. Nevienai dalībvalstij nevajadzētu būt pienākumam sniegt informāciju, kuras izpaušana būtu pretrunā tās būtiskajām valsts drošības interesēm. Svarīgi ir Savienības vai valstu noteikumi par klasificētas informācijas aizsardzību un vienošanās par informācijas neizpaušanu. |
| --- | --- |

(11)

Šī direktīva neietekmē dalībvalstu un to iestāžu kompetenci attiecībā uz administratīvo autonomiju un neietekmē to pienākumu nodrošināt valsts drošību un aizsardzību vai to pilnvaras aizsargāt citas valsts pamatfunkcijas, jo īpaši attiecībā uz sabiedrisko drošību, teritoriālo integritāti un likumības un kārtības uzturēšanu. Valsts pārvaldes vienību izslēgšana no šīs direktīvas darbības jomas būtu jāattiecina uz vienībām, kuras darbojas galvenokārt valsts drošības, sabiedriskās drošības, aizsardzības vai tiesībaizsardzības jomā, tostarp veic noziedzīgu nodarījumu izmeklēšanu, atklāšanu un kriminālvajāšanu. Tomēr valsts pārvaldes vienībām, kuru darbības ir tikai maznozīmīgi saistītas ar minētajām jomām būtu jāietilpst šīs direktīvas darbības jomā. Šajā direktīvā vienības, kam ir regulatīvas kompetences, neuzskata par tādām, kas veic darbības tiesībaizsardzības jomā, un tāpēc šā iemesla dēļ tās nav izslēgtas no šīs direktīvas darbības jomas. Valsts pārvaldes vienības, kas saskaņā ar starptautisku nolīgumu ir izveidotas kopīgi ar kādu trešo valsti, ir izslēgtas no šīs direktīvas darbības jomas. Šī direktīva neattiecas uz dalībvalstu diplomātiskajām un konsulārajām pārstāvniecībām trešās valstīs.

Dažas kritiskās vienības veic darbības valsts drošības, sabiedriskās drošības, aizsardzības vai tiesībaizsardzības jomā, tostarp noziedzīgu nodarījumu izmeklēšanu, atklāšanu un kriminālvajāšanu, vai sniedz pakalpojumus tikai valsts pārvaldes vienībām, kas veic darbības galvenokārt minētajās jomās. Ņemot vērā dalībvalstu atbildību par valsts drošības un aizsardzības nodrošināšanu, dalībvalstīm vajadzētu būt iespējai nolemt, ka pienākumi, kas kritiskajām vienībām noteikti šajā direktīvā, pilnībā vai daļēji netiek piemēroti minētajām kritiskajām vienībām, ja to sniegtie pakalpojumi vai to veiktās darbības galvenokārt ir saistītas ar valsts drošības, sabiedriskās drošības, aizsardzības vai tiesībaizsardzības jomām, tostarp noziedzīgu nodarījumu izmeklēšanu, atklāšanu un kriminālvajāšanu. Kritiskajām vienībām, kuru pakalpojumi vai darbības ir tikai maznozīmīgi saistītas ar minētajām jomām būtu jāietilpst šīs direktīvas darbības jomā. Nevienai dalībvalstij nevajadzētu būt pienākumam sniegt informāciju, kuras izpaušana būtu pretrunā tās būtiskajām valsts drošības interesēm. Svarīgi ir Savienības vai valstu noteikumi par klasificētas informācijas aizsardzību un vienošanās par informācijas neizpaušanu.

| (12) | Lai neapdraudētu valsts drošību vai kritisko vienību drošību un komerciālās intereses, piekļuve sensitīvai informācijai, tās apmaiņa un apstrāde būtu jāīsteno piesardzīgi un īpašu uzmanību pievēršot izmantotajiem pārraides kanāliem un uzglabāšanas jaudām. |
| --- | --- |

(12)

Lai neapdraudētu valsts drošību vai kritisko vienību drošību un komerciālās intereses, piekļuve sensitīvai informācijai, tās apmaiņa un apstrāde būtu jāīsteno piesardzīgi un īpašu uzmanību pievēršot izmantotajiem pārraides kanāliem un uzglabāšanas jaudām.

| (13) | Lai nodrošinātu visaptverošu pieeju kritisko vienību noturībai, katrā dalībvalstī vajadzētu būt ieviestai kritisko vienību noturības palielināšanas stratēģijai (“stratēģija”). Stratēģijā būtu jāizklāsta īstenojamie stratēģiskie mērķi un politikas pasākumi. Saskaņotības un efektivitātes nodrošināšanas nolūkā stratēģija būtu jāizstrādā tā, lai tajā vienmērīgi integrētu esošo politiku, pēc iespējas balstoties uz attiecīgām esošām valstu un nozaru stratēģijām, plāniem vai līdzīgiem dokumentiem. Lai panāktu visaptverošu pieeju, dalībvalstīm būtu jānodrošina, ka to stratēģijās ir paredzēts politikas satvars pastiprinātai koordinācijai starp šīs direktīvas kompetentajām iestādēm un Direktīvas (ES) 2022/2555 kompetentajām iestādēm saistībā ar informācijas apmaiņu par kiberdrošības riskiem, kiberdraudiem un kiberincidentiem un ar kiberdrošību nesaistītiem riskiem, apdraudējumiem un incidentiem un saistībā ar uzraudzības uzdevumu veikšanu. Īstenojot savas stratēģijas, dalībvalstīm būtu pienācīgi jāņem vērā kritisko vienību apdraudējumu hibrīdums. |
| --- | --- |

(13)

Lai nodrošinātu visaptverošu pieeju kritisko vienību noturībai, katrā dalībvalstī vajadzētu būt ieviestai kritisko vienību noturības palielināšanas stratēģijai (“stratēģija”). Stratēģijā būtu jāizklāsta īstenojamie stratēģiskie mērķi un politikas pasākumi. Saskaņotības un efektivitātes nodrošināšanas nolūkā stratēģija būtu jāizstrādā tā, lai tajā vienmērīgi integrētu esošo politiku, pēc iespējas balstoties uz attiecīgām esošām valstu un nozaru stratēģijām, plāniem vai līdzīgiem dokumentiem. Lai panāktu visaptverošu pieeju, dalībvalstīm būtu jānodrošina, ka to stratēģijās ir paredzēts politikas satvars pastiprinātai koordinācijai starp šīs direktīvas kompetentajām iestādēm un Direktīvas (ES) 2022/2555 kompetentajām iestādēm saistībā ar informācijas apmaiņu par kiberdrošības riskiem, kiberdraudiem un kiberincidentiem un ar kiberdrošību nesaistītiem riskiem, apdraudējumiem un incidentiem un saistībā ar uzraudzības uzdevumu veikšanu. Īstenojot savas stratēģijas, dalībvalstīm būtu pienācīgi jāņem vērā kritisko vienību apdraudējumu hibrīdums.

| (14) | Dalībvalstīm būtu jādara zināmas Komisijai savas stratēģijas un būtiski to atjauninājumi, konkrēti, lai nodrošinātu to, ka Komisija var novērtēt pareizu šīs direktīvas piemērošanu attiecībā uz politikas pieeju kritisko vienību noturībai valsts līmenī. Vajadzības gadījumā stratēģijas varētu darīt zināmas kā klasificētu informāciju. Komisijai būtu jāsagatavo kopsavilkuma ziņojums par stratēģijām, kuras dalībvalstis ir darījušas zināmas, kas kalpotu par pamatu apmaiņai nolūkā apzināt paraugpraksi un kopīgu interešu jautājumus Kritisko vienību noturības grupā. Ņemot vērā kopsavilkuma ziņojumā iekļautās apkopotās informācijas sensitīvumu, neatkarīgi no tā, vai klasificētā vai neklasificētā veidā, Komisijai vajadzētu apieties ar kopsavilkuma ziņojumu, pienācīgā mērā apzinoties kritisko vienību, dalībvalstu un Savienības drošības aspektus. Kopsavilkuma ziņojums un stratēģijas būt jāaizsargā pret nelikumīgām vai ļaunprātīgām darbībām, un tiem vajadzētu būt pieejamiem tikai pilnvarotām personām šīs direktīvas mērķu sasniegšanas nolūkā. Tam, ka tiek darītas zināmas stratēģijas un to būtiski atjauninājumi, būtu arī jāpalīdz Komisijai izprast, kā attīstās pieejas kritisko vienību noturībai, un tas būtu jāņem vērā šīs direktīvas ietekmes un pievienotās vērtības uzraudzībā, kas Komisijai ir periodiski jāpārskata. |
| --- | --- |

(14)

Dalībvalstīm būtu jādara zināmas Komisijai savas stratēģijas un būtiski to atjauninājumi, konkrēti, lai nodrošinātu to, ka Komisija var novērtēt pareizu šīs direktīvas piemērošanu attiecībā uz politikas pieeju kritisko vienību noturībai valsts līmenī. Vajadzības gadījumā stratēģijas varētu darīt zināmas kā klasificētu informāciju. Komisijai būtu jāsagatavo kopsavilkuma ziņojums par stratēģijām, kuras dalībvalstis ir darījušas zināmas, kas kalpotu par pamatu apmaiņai nolūkā apzināt paraugpraksi un kopīgu interešu jautājumus Kritisko vienību noturības grupā. Ņemot vērā kopsavilkuma ziņojumā iekļautās apkopotās informācijas sensitīvumu, neatkarīgi no tā, vai klasificētā vai neklasificētā veidā, Komisijai vajadzētu apieties ar kopsavilkuma ziņojumu, pienācīgā mērā apzinoties kritisko vienību, dalībvalstu un Savienības drošības aspektus. Kopsavilkuma ziņojums un stratēģijas būt jāaizsargā pret nelikumīgām vai ļaunprātīgām darbībām, un tiem vajadzētu būt pieejamiem tikai pilnvarotām personām šīs direktīvas mērķu sasniegšanas nolūkā. Tam, ka tiek darītas zināmas stratēģijas un to būtiski atjauninājumi, būtu arī jāpalīdz Komisijai izprast, kā attīstās pieejas kritisko vienību noturībai, un tas būtu jāņem vērā šīs direktīvas ietekmes un pievienotās vērtības uzraudzībā, kas Komisijai ir periodiski jāpārskata.

| (15) | Dalībvalstu darbībās, kuru mērķis ir identificēt kritiskās vienības un palīdzēt nodrošināt to noturību, būtu jāievēro uz risku balstīta pieeja, kas īpaši vērsta uz vienībām, kuras ir visbūtiskākās svarīgu sabiedrības funkciju vai saimniecisko darbību veikšanai. Lai nodrošinātu šādu mērķtiecīgu pieeju, katrai dalībvalstij saskaņotā satvarā būtu jāveic novērtējums par attiecīgajiem dabas un cilvēka radītajiem riskiem, tostarp par starpnozaru un pārrobežu riskiem, kuri varētu ietekmēt pamatpakalpojumu sniegšanu, tostarp nelaimes gadījumiem, dabas katastrofām, ārkārtas situācijām sabiedrības veselības jomā, piemēram, pandēmijām un hibrīddraudiem vai citiem antagonistiskiem draudiem, tostarp teroristu nodarījumiem, noziedzīgo aprindu iefiltrēšanos un sabotāžu (“dalībvalsts riska novērtējums”). Veicot dalībvalstu riska novērtējumus, dalībvalstīm būtu jāņem vērā citi vispārēji vai nozarei specifiski riska novērtējumi, kas veikti saskaņā ar citiem Savienības tiesību aktiem, un būtu jāņem vērā tas, cik lielā mērā nozares ir atkarīgas cita no citas, tostarp cik lielā mērā tās ir atkarīgas no nozarēm citās dalībvalstīs un trešās valstīs. Dalībvalstu riska novērtējumu rezultāti būtu jāizmanto kritisko vienību identificēšanai, un lai palīdzētu minētajām vienībām izpildīt to noturības prasības. Šī direktīva attiecas tikai uz dalībvalstīm un kritiskajām vienībām, kas darbojas Savienībā. Tomēr zinātību un zināšanas, ko guvušas kompetentās iestādes, jo īpaši, izmantojot riska novērtējumus, un Komisija, jo īpaši, izmantojot dažādus atbalsta un sadarbības veidus, attiecīgos gadījumos un saskaņā ar piemērojamajiem tiesību instrumentiem varētu izmantot trešo valstu, sevišķi Savienības kaimiņvalstu, labā, minēto zinātību un zināšanas iekļaujot esošajā sadarbībā noturības jomā. |
| --- | --- |

(15)

Dalībvalstu darbībās, kuru mērķis ir identificēt kritiskās vienības un palīdzēt nodrošināt to noturību, būtu jāievēro uz risku balstīta pieeja, kas īpaši vērsta uz vienībām, kuras ir visbūtiskākās svarīgu sabiedrības funkciju vai saimniecisko darbību veikšanai. Lai nodrošinātu šādu mērķtiecīgu pieeju, katrai dalībvalstij saskaņotā satvarā būtu jāveic novērtējums par attiecīgajiem dabas un cilvēka radītajiem riskiem, tostarp par starpnozaru un pārrobežu riskiem, kuri varētu ietekmēt pamatpakalpojumu sniegšanu, tostarp nelaimes gadījumiem, dabas katastrofām, ārkārtas situācijām sabiedrības veselības jomā, piemēram, pandēmijām un hibrīddraudiem vai citiem antagonistiskiem draudiem, tostarp teroristu nodarījumiem, noziedzīgo aprindu iefiltrēšanos un sabotāžu (“dalībvalsts riska novērtējums”). Veicot dalībvalstu riska novērtējumus, dalībvalstīm būtu jāņem vērā citi vispārēji vai nozarei specifiski riska novērtējumi, kas veikti saskaņā ar citiem Savienības tiesību aktiem, un būtu jāņem vērā tas, cik lielā mērā nozares ir atkarīgas cita no citas, tostarp cik lielā mērā tās ir atkarīgas no nozarēm citās dalībvalstīs un trešās valstīs. Dalībvalstu riska novērtējumu rezultāti būtu jāizmanto kritisko vienību identificēšanai, un lai palīdzētu minētajām vienībām izpildīt to noturības prasības. Šī direktīva attiecas tikai uz dalībvalstīm un kritiskajām vienībām, kas darbojas Savienībā. Tomēr zinātību un zināšanas, ko guvušas kompetentās iestādes, jo īpaši, izmantojot riska novērtējumus, un Komisija, jo īpaši, izmantojot dažādus atbalsta un sadarbības veidus, attiecīgos gadījumos un saskaņā ar piemērojamajiem tiesību instrumentiem varētu izmantot trešo valstu, sevišķi Savienības kaimiņvalstu, labā, minēto zinātību un zināšanas iekļaujot esošajā sadarbībā noturības jomā.

| (16) | Lai nodrošinātu, ka šīs direktīvas noturības prasības attiecas uz visām attiecīgajām vienībām, un lai samazinātu atšķirības šajā ziņā, ir svarīgi noteikt saskaņotus noteikumus, kas ļautu konsekventi identificēt kritiskās vienības visā Savienībā, vienlaikus arī ļaujot dalībvalstīm pienācīgi atspoguļot šo vienību lomu un nozīmīgumu valsts līmenī. Piemērojot šajā direktīvā noteiktos kritērijus, katrai dalībvalstij būtu jāidentificē vienības, kuras sniedz vienu vai vairākus pamatpakalpojumus un kuras darbojas tās teritorijā un kuru kritiskā infrastruktūra atrodas tās teritorijā. Būtu jāuzskata, ka vienība darbojas tās dalībvalsts teritorijā, kurā tā veic darbības, kas nepieciešamas attiecīgajam pamatpakalpojumam vai pamatpakalpojumiem, un kurā atrodas minētās vienības kritiskā infrastruktūra, ko izmanto minētā pakalpojuma vai minēto pakalpojumu sniegšanai. Ja kādā dalībvalstī nav nevienas vienības, kas atbilstu minētajiem kritērijiem, šai dalībvalstij nevajadzētu būt pienākumam identificēt kritisko vienību attiecīgajā nozarē vai apakšnozarē. Efektivitātes, lietderības, konsekvences un juridiskās noteiktības labad būtu jānosaka atbilstīgi noteikumi par to, kā vienības tiek informētas par to identificēšanu par kritiskām vienībām. |
| --- | --- |

(16)

Lai nodrošinātu, ka šīs direktīvas noturības prasības attiecas uz visām attiecīgajām vienībām, un lai samazinātu atšķirības šajā ziņā, ir svarīgi noteikt saskaņotus noteikumus, kas ļautu konsekventi identificēt kritiskās vienības visā Savienībā, vienlaikus arī ļaujot dalībvalstīm pienācīgi atspoguļot šo vienību lomu un nozīmīgumu valsts līmenī. Piemērojot šajā direktīvā noteiktos kritērijus, katrai dalībvalstij būtu jāidentificē vienības, kuras sniedz vienu vai vairākus pamatpakalpojumus un kuras darbojas tās teritorijā un kuru kritiskā infrastruktūra atrodas tās teritorijā. Būtu jāuzskata, ka vienība darbojas tās dalībvalsts teritorijā, kurā tā veic darbības, kas nepieciešamas attiecīgajam pamatpakalpojumam vai pamatpakalpojumiem, un kurā atrodas minētās vienības kritiskā infrastruktūra, ko izmanto minētā pakalpojuma vai minēto pakalpojumu sniegšanai. Ja kādā dalībvalstī nav nevienas vienības, kas atbilstu minētajiem kritērijiem, šai dalībvalstij nevajadzētu būt pienākumam identificēt kritisko vienību attiecīgajā nozarē vai apakšnozarē. Efektivitātes, lietderības, konsekvences un juridiskās noteiktības labad būtu jānosaka atbilstīgi noteikumi par to, kā vienības tiek informētas par to identificēšanu par kritiskām vienībām.

| (17) | Dalībvalstīm šīs direktīvas mērķiem atbilstošā veidā būtu jāiesniedz Komisijai pamatpakalpojumu saraksts, kritisko vienību skaits, kuras identificētas katrā nozarē un apakšnozarē, kas uzskaitītas pielikumā, un attiecībā uz katras vienības sniegto pamatpakalpojumu vai pakalpojumiem un robežvērtībām, ja tādas piemēro. Vajadzētu būt iespējai parādīt robežvērtības atsevišķi vai apkopotā veidā, proti, lai informāciju var izteikt kā vidējo vērtību attiecīgā ģeogrāfiskā teritorijā, attiecīgā gadā, nozarē, apakšnozarē vai citādi, un var ietvert informāciju par dažādajiem sniegtajiem rādītājiem. |
| --- | --- |

(17)

Dalībvalstīm šīs direktīvas mērķiem atbilstošā veidā būtu jāiesniedz Komisijai pamatpakalpojumu saraksts, kritisko vienību skaits, kuras identificētas katrā nozarē un apakšnozarē, kas uzskaitītas pielikumā, un attiecībā uz katras vienības sniegto pamatpakalpojumu vai pakalpojumiem un robežvērtībām, ja tādas piemēro. Vajadzētu būt iespējai parādīt robežvērtības atsevišķi vai apkopotā veidā, proti, lai informāciju var izteikt kā vidējo vērtību attiecīgā ģeogrāfiskā teritorijā, attiecīgā gadā, nozarē, apakšnozarē vai citādi, un var ietvert informāciju par dažādajiem sniegtajiem rādītājiem.

| (18) | Būtu jānosaka kritēriji, lai konstatētu, cik būtiska ir incidenta radītā traucējošā ietekme. Šiem kritērijiem būtu jābalstās uz kritērijiem, kas paredzēti Eiropas Parlamenta un Padomes Direktīvā (ES) 2016/1148 (6), lai izmantotu jau veikto dalībvalstu darbu identificējot minētajā direktīvā definētos pamatpakalpojumu operatorus un šajā sakarā gūto pieredzi. Lielas krīzes kā, piemēram, Covid-19 pandēmija, ir parādījušas, cik svarīgi ir nodrošināt piegādes ķēdes drošību, un ir apliecinājušas, kā traucējumi tajā var negatīvi ietekmēt ekonomiku un sabiedrību daudzās nozarēs un pāri robežām. Tāpēc, nosakot to, cik lielā mērā citas nozares un apakšnozares ir atkarīgas no kritiskās vienības sniegta pamatpakalpojuma, dalībvalstīm, ciktāl iespējams, būtu jāņem vērā arī ietekme uz piegādes ķēdi. |
| --- | --- |

(18)

Būtu jānosaka kritēriji, lai konstatētu, cik būtiska ir incidenta radītā traucējošā ietekme. Šiem kritērijiem būtu jābalstās uz kritērijiem, kas paredzēti Eiropas Parlamenta un Padomes Direktīvā (ES) 2016/1148 (6), lai izmantotu jau veikto dalībvalstu darbu identificējot minētajā direktīvā definētos pamatpakalpojumu operatorus un šajā sakarā gūto pieredzi. Lielas krīzes kā, piemēram, Covid-19 pandēmija, ir parādījušas, cik svarīgi ir nodrošināt piegādes ķēdes drošību, un ir apliecinājušas, kā traucējumi tajā var negatīvi ietekmēt ekonomiku un sabiedrību daudzās nozarēs un pāri robežām. Tāpēc, nosakot to, cik lielā mērā citas nozares un apakšnozares ir atkarīgas no kritiskās vienības sniegta pamatpakalpojuma, dalībvalstīm, ciktāl iespējams, būtu jāņem vērā arī ietekme uz piegādes ķēdi.

| (19) | Saskaņā ar piemērojamajiem Savienības un dalībvalstu tiesību aktiem, tostarp Eiropas Parlamenta un Padomes Regulu (ES) 2019/452 (7), ar ko izveido regulējumu ārvalstu tiešo ieguldījumu Savienībā izvērtēšanai, ir jāatzīst draudi, ko var radīt tas, ka kritiskā infrastruktūra Savienībā ir ārvalstu īpašumā, jo pakalpojumi, ekonomika un brīva Savienības iedzīvotāju pārvietošanās un drošība ir atkarīga no pienācīgas kritiskās infrastruktūras darbības. |
| --- | --- |

(19)

Saskaņā ar piemērojamajiem Savienības un dalībvalstu tiesību aktiem, tostarp Eiropas Parlamenta un Padomes Regulu (ES) 2019/452 (7), ar ko izveido regulējumu ārvalstu tiešo ieguldījumu Savienībā izvērtēšanai, ir jāatzīst draudi, ko var radīt tas, ka kritiskā infrastruktūra Savienībā ir ārvalstu īpašumā, jo pakalpojumi, ekonomika un brīva Savienības iedzīvotāju pārvietošanās un drošība ir atkarīga no pienācīgas kritiskās infrastruktūras darbības.

| (20) | Direktīvā (ES) 2022/2555 ir paredzēts, ka vienībām, kas pieder pie digitālās infrastruktūras nozares, kuras saskaņā ar šo direktīvu varētu identificēt kā kritiskās vienības, ir jāveic atbilstoši un samērīgi tehniskie, operatīvie un organizatoriskie pasākumi, lai pārvaldītu riskus, kas apdraud tīklu un informācijas sistēmu drošību, un jāpaziņo par būtiskiem incidentiem un kiberdraudiem. Tā kā tīklu un informācijas sistēmu drošības apdraudējumam var būt atšķirīga izcelsme, Direktīvā (ES) 2022/2555 piemēro visu apdraudējumu pieeju, kurā ir ietverta tīklu un informācijas sistēmu, kā arī minēto sistēmu fizisko komponentu un vides noturība.
  Tā kā Direktīvā (ES) 2022/2555 noteiktās prasības šajā sakarā ir vismaz līdzvērtīgas attiecīgajiem pienākumiem, kas noteikti šajā direktīvā, šīs direktīvas 11. pantā un III, IV un VI nodaļā noteiktie pienākumi nebūtu jāpiemēro vienībām, kas pieder pie digitālās infrastruktūras nozares, lai izvairītos no dublēšanās un nevajadzīga administratīvā sloga. Tomēr, ņemot vērā to, cik svarīgi ir pakalpojumi, ko vienības, kuras pieder pie digitālās infrastruktūras nozares, sniedz kritiskajām vienībām, kas pieder pie visām citām nozarēm, dalībvalstīm, pamatojoties uz kritērijiem un izmantojot šajā direktīvā paredzēto procedūru, būtu jāidentificē vienības, kuras pieder pie digitālās infrastruktūras nozares, kā kritiskās vienības. Līdz ar to būtu jāpiemēro šīs direktīvas II nodaļā izklāstītās stratēģijas, dalībvalstu riska novērtējumi un atbalsta pasākumi. Dalībvalstīm vajadzētu būt iespējai pieņemt vai paturēt spēkā valsts tiesību aktu noteikumus nolūkā panākt augstāku minēto kritisko vienību noturības līmeni ar noteikumu, ka minētie valsts noteikumi ir saderīgi ar piemērojamiem Savienības tiesību aktiem. |
| --- | --- |

(20)

Direktīvā (ES) 2022/2555 ir paredzēts, ka vienībām, kas pieder pie digitālās infrastruktūras nozares, kuras saskaņā ar šo direktīvu varētu identificēt kā kritiskās vienības, ir jāveic atbilstoši un samērīgi tehniskie, operatīvie un organizatoriskie pasākumi, lai pārvaldītu riskus, kas apdraud tīklu un informācijas sistēmu drošību, un jāpaziņo par būtiskiem incidentiem un kiberdraudiem. Tā kā tīklu un informācijas sistēmu drošības apdraudējumam var būt atšķirīga izcelsme, Direktīvā (ES) 2022/2555 piemēro visu apdraudējumu pieeju, kurā ir ietverta tīklu un informācijas sistēmu, kā arī minēto sistēmu fizisko komponentu un vides noturība.

Tā kā Direktīvā (ES) 2022/2555 noteiktās prasības šajā sakarā ir vismaz līdzvērtīgas attiecīgajiem pienākumiem, kas noteikti šajā direktīvā, šīs direktīvas 11. pantā un III, IV un VI nodaļā noteiktie pienākumi nebūtu jāpiemēro vienībām, kas pieder pie digitālās infrastruktūras nozares, lai izvairītos no dublēšanās un nevajadzīga administratīvā sloga. Tomēr, ņemot vērā to, cik svarīgi ir pakalpojumi, ko vienības, kuras pieder pie digitālās infrastruktūras nozares, sniedz kritiskajām vienībām, kas pieder pie visām citām nozarēm, dalībvalstīm, pamatojoties uz kritērijiem un izmantojot šajā direktīvā paredzēto procedūru, būtu jāidentificē vienības, kuras pieder pie digitālās infrastruktūras nozares, kā kritiskās vienības. Līdz ar to būtu jāpiemēro šīs direktīvas II nodaļā izklāstītās stratēģijas, dalībvalstu riska novērtējumi un atbalsta pasākumi. Dalībvalstīm vajadzētu būt iespējai pieņemt vai paturēt spēkā valsts tiesību aktu noteikumus nolūkā panākt augstāku minēto kritisko vienību noturības līmeni ar noteikumu, ka minētie valsts noteikumi ir saderīgi ar piemērojamiem Savienības tiesību aktiem.

| (21) | Savienības finanšu pakalpojumu tiesību akti nosaka visaptverošas prasības finanšu vienībām, lai pārvaldītu visus riskus, ar kuriem tās saskaras, tostarp darbības riskus, un nodrošinātu darbības nepārtrauktību. Pie tādiem tiesību aktiem pieder Eiropas Parlamenta un Padomes Regulas (ES) Nr. 648/2012 (8), (ES) Nr. 575/2013 (9) un (ES) Nr. 600/2014 (10) un Eiropas Parlamenta un Padomes Direktīvas 2013/36/ES (11) un 2014/65/ES (12). Minēto tiesisko regulējumu papildina Eiropas Parlamenta un Padomes Regula (ES) 2022/2554 (13), kurā noteiktas prasības, kas piemērojamas finanšu vienībām attiecībā uz informācijas un komunikācijas tehnoloģijas (IKT) risku pārvaldību, tostarp attiecībā uz IKT infrastruktūras fizisko aizsardzību. Tā kā minēto vienību noturība līdz ar to ir visaptveroši reglamentēta, šīs direktīvas 11. pants un III, IV un VI nodaļa minētajām vienībām nebūtu jāpiemēro, lai izvairītos no dublēšanās un nevajadzīga administratīvā sloga.
  Tomēr, ņemot vērā to, cik svarīgi ir pakalpojumi, ko finanšu nozares vienības sniedz tām kritiskajām vienībām, kuras pieder pie visām citām nozarēm, dalībvalstīm, pamatojoties uz kritērijiem un izmantojot šajā direktīvā paredzēto procedūru, būtu jāidentificē finanšu nozares vienības kā kritiskās vienības. Līdz ar to būtu jāpiemēro šīs direktīvas II nodaļā noteiktās stratēģijas, dalībvalstu riska novērtējumi un atbalsta pasākumi. Dalībvalstīm vajadzētu būt iespējai pieņemt vai paturēt spēkā valsts tiesību aktu noteikumus nolūkā panākt augstāku minēto kritisko vienību noturības līmeni ar noteikumu, ka minētie noteikumi ir saskanīgi ar piemērojamiem Savienības tiesību aktiem. |
| --- | --- |

(21)

Savienības finanšu pakalpojumu tiesību akti nosaka visaptverošas prasības finanšu vienībām, lai pārvaldītu visus riskus, ar kuriem tās saskaras, tostarp darbības riskus, un nodrošinātu darbības nepārtrauktību. Pie tādiem tiesību aktiem pieder Eiropas Parlamenta un Padomes Regulas (ES) Nr. 648/2012 (8), (ES) Nr. 575/2013 (9) un (ES) Nr. 600/2014 (10) un Eiropas Parlamenta un Padomes Direktīvas 2013/36/ES (11) un 2014/65/ES (12). Minēto tiesisko regulējumu papildina Eiropas Parlamenta un Padomes Regula (ES) 2022/2554 (13), kurā noteiktas prasības, kas piemērojamas finanšu vienībām attiecībā uz informācijas un komunikācijas tehnoloģijas (IKT) risku pārvaldību, tostarp attiecībā uz IKT infrastruktūras fizisko aizsardzību. Tā kā minēto vienību noturība līdz ar to ir visaptveroši reglamentēta, šīs direktīvas 11. pants un III, IV un VI nodaļa minētajām vienībām nebūtu jāpiemēro, lai izvairītos no dublēšanās un nevajadzīga administratīvā sloga.

Tomēr, ņemot vērā to, cik svarīgi ir pakalpojumi, ko finanšu nozares vienības sniedz tām kritiskajām vienībām, kuras pieder pie visām citām nozarēm, dalībvalstīm, pamatojoties uz kritērijiem un izmantojot šajā direktīvā paredzēto procedūru, būtu jāidentificē finanšu nozares vienības kā kritiskās vienības. Līdz ar to būtu jāpiemēro šīs direktīvas II nodaļā noteiktās stratēģijas, dalībvalstu riska novērtējumi un atbalsta pasākumi. Dalībvalstīm vajadzētu būt iespējai pieņemt vai paturēt spēkā valsts tiesību aktu noteikumus nolūkā panākt augstāku minēto kritisko vienību noturības līmeni ar noteikumu, ka minētie noteikumi ir saskanīgi ar piemērojamiem Savienības tiesību aktiem.

| (22) | Dalībvalstīm būtu jāizraugās vai jāizveido iestādes, kas ir kompetentas uzraudzīt šīs direktīvas noteikumu piemērošanu un vajadzības gadījumā nodrošināt to izpildi, un būtu jānodrošina, ka šīm iestādēm ir pienācīgas pilnvaras un resursi. Ņemot vērā atšķirības valstu pārvaldības struktūrās, lai neskartu pastāvošos nozaru pasākumus vai Savienības uzraudzības un regulatīvās iestādes, un lai izvairītos no dublēšanās, dalībvalstīm vajadzētu būt iespējai izraudzīties vai izveidot vairāk nekā vienu kompetento iestādi. Ja dalībvalstis izraugās vai izveido vairāk nekā vienu kompetento iestādi, tām būtu skaidri jānodala konkrēto iestāžu attiecīgie uzdevumi un jānodrošina to netraucēta un efektīva sadarbība. Visām kompetentajām iestādēm būtu arī plašāk jāsadarbojas ar citām attiecīgajām iestādēm gan Savienības, gan valstu līmenī. |
| --- | --- |

(22)

Dalībvalstīm būtu jāizraugās vai jāizveido iestādes, kas ir kompetentas uzraudzīt šīs direktīvas noteikumu piemērošanu un vajadzības gadījumā nodrošināt to izpildi, un būtu jānodrošina, ka šīm iestādēm ir pienācīgas pilnvaras un resursi. Ņemot vērā atšķirības valstu pārvaldības struktūrās, lai neskartu pastāvošos nozaru pasākumus vai Savienības uzraudzības un regulatīvās iestādes, un lai izvairītos no dublēšanās, dalībvalstīm vajadzētu būt iespējai izraudzīties vai izveidot vairāk nekā vienu kompetento iestādi. Ja dalībvalstis izraugās vai izveido vairāk nekā vienu kompetento iestādi, tām būtu skaidri jānodala konkrēto iestāžu attiecīgie uzdevumi un jānodrošina to netraucēta un efektīva sadarbība. Visām kompetentajām iestādēm būtu arī plašāk jāsadarbojas ar citām attiecīgajām iestādēm gan Savienības, gan valstu līmenī.

| (23) | Lai veicinātu pārrobežu sadarbību un saziņu un nodrošinātu efektīvu šīs direktīvas īstenošanu, katrai dalībvalstij, neskarot nozarei specifisku Savienības tiesību aktu prasības, būtu jāizraugās viens vienotais kontaktpunkts, kurš ir atbildīgs par tādu jautājumu koordinēšanu, kas saistīti ar kritisko vienību noturību un pārrobežu sadarbību Savienības līmenī (“vienotais kontaktpunkts”) – attiecīgā gadījumā kompetentajā iestādē. Katram vienotajam kontaktpunktam būtu jāsadarbojas un jākoordinē saziņa – attiecīgā gadījumā – ar savas dalībvalsts kompetentajām iestādēm, ar citu dalībvalstu vienotajiem kontaktpunktiem un ar Kritisko vienību noturības grupu. |
| --- | --- |

(23)

Lai veicinātu pārrobežu sadarbību un saziņu un nodrošinātu efektīvu šīs direktīvas īstenošanu, katrai dalībvalstij, neskarot nozarei specifisku Savienības tiesību aktu prasības, būtu jāizraugās viens vienotais kontaktpunkts, kurš ir atbildīgs par tādu jautājumu koordinēšanu, kas saistīti ar kritisko vienību noturību un pārrobežu sadarbību Savienības līmenī (“vienotais kontaktpunkts”) – attiecīgā gadījumā kompetentajā iestādē. Katram vienotajam kontaktpunktam būtu jāsadarbojas un jākoordinē saziņa – attiecīgā gadījumā – ar savas dalībvalsts kompetentajām iestādēm, ar citu dalībvalstu vienotajiem kontaktpunktiem un ar Kritisko vienību noturības grupu.

| (24) | Kompetentajām iestādēm saskaņā ar šo direktīvu un kompetentajām iestādēm saskaņā ar Direktīvu (ES) 2022/2555 būtu jāsadarbojas un jāapmainās ar informāciju attiecībā uz kiberdrošības riskiem, kiberdraudiem un kiberincidentiem un ar kiberdrošību nesaistītiem riskiem, apdraudējumiem un incidentiem, kas skar kritiskās vienības, kā arī saistībā ar attiecīgiem pasākumiem, ko veic kompetentās iestādes saskaņā ar šo direktīvu un kompetentās iestādes saskaņā ar Direktīvu (ES) 2022/2555. Ir svarīgi, ka dalībvalstis nodrošina to, ka šajā direktīvā un Direktīvā (ES) 2022/2555 paredzētās prasības tiek īstenotas papildinošā veidā un ka kritiskās vienības nav pakļautas administratīvajam slogam, kas pārsniedz to, kas ir nepieciešams šīs direktīvas un minētās direktīvas mērķu sasniegšanai. |
| --- | --- |

(24)

Kompetentajām iestādēm saskaņā ar šo direktīvu un kompetentajām iestādēm saskaņā ar Direktīvu (ES) 2022/2555 būtu jāsadarbojas un jāapmainās ar informāciju attiecībā uz kiberdrošības riskiem, kiberdraudiem un kiberincidentiem un ar kiberdrošību nesaistītiem riskiem, apdraudējumiem un incidentiem, kas skar kritiskās vienības, kā arī saistībā ar attiecīgiem pasākumiem, ko veic kompetentās iestādes saskaņā ar šo direktīvu un kompetentās iestādes saskaņā ar Direktīvu (ES) 2022/2555. Ir svarīgi, ka dalībvalstis nodrošina to, ka šajā direktīvā un Direktīvā (ES) 2022/2555 paredzētās prasības tiek īstenotas papildinošā veidā un ka kritiskās vienības nav pakļautas administratīvajam slogam, kas pārsniedz to, kas ir nepieciešams šīs direktīvas un minētās direktīvas mērķu sasniegšanai.

| (25) | Dalībvalstīm būtu jāatbalsta kritiskās vienības, tostarp tās, kas kvalificējamas kā mazie vai vidējie uzņēmumi, to noturības stiprināšanā atbilstīgi šajā direktīvā noteiktajiem dalībvalstu pienākumiem, neskarot pašu kritisko vienību juridisko atbildību nodrošināt šo atbilstību, un šajā procesā būtu jāizvairās no pārmērīga administratīvā sloga. Dalībvalstis jo īpaši varētu izstrādāt vadlīniju materiālus un metodes, atbalstīt praktisko nodarbību organizēšanu, lai pārbaudītu kritisko vienību noturību, un nodrošināt konsultācijas un apmācības kritisko vienību personālam. Ja tas ir nepieciešams un pamatots ar sabiedrības interešu mērķiem, dalībvalstis varētu nodrošināt finanšu resursus un tām būtu jāveicina brīvprātīga informācijas un labas prakses apmaiņa starp kritiskajām vienībām, neskarot Līgumā par Eiropas Savienības darbību (LESD) paredzēto konkurences noteikumu piemērošanu. |
| --- | --- |

(25)

Dalībvalstīm būtu jāatbalsta kritiskās vienības, tostarp tās, kas kvalificējamas kā mazie vai vidējie uzņēmumi, to noturības stiprināšanā atbilstīgi šajā direktīvā noteiktajiem dalībvalstu pienākumiem, neskarot pašu kritisko vienību juridisko atbildību nodrošināt šo atbilstību, un šajā procesā būtu jāizvairās no pārmērīga administratīvā sloga. Dalībvalstis jo īpaši varētu izstrādāt vadlīniju materiālus un metodes, atbalstīt praktisko nodarbību organizēšanu, lai pārbaudītu kritisko vienību noturību, un nodrošināt konsultācijas un apmācības kritisko vienību personālam. Ja tas ir nepieciešams un pamatots ar sabiedrības interešu mērķiem, dalībvalstis varētu nodrošināt finanšu resursus un tām būtu jāveicina brīvprātīga informācijas un labas prakses apmaiņa starp kritiskajām vienībām, neskarot Līgumā par Eiropas Savienības darbību (LESD) paredzēto konkurences noteikumu piemērošanu.

| (26) | Lai uzlabotu dalībvalstu identificēto kritisko vienību noturību un samazinātu administratīvo slogu minētajām kritiskajām vienībām, kompetentajām iestādēm vajadzības gadījumā būtu jāapspriežas savā starpā, lai nodrošinātu šīs direktīvas konsekventu piemērošanu. Minētā apspriešanās būtu jāuzsāk pēc jebkuras ieinteresētās kompetentās iestādes pieprasījuma, un galvenā uzmanība tajā būtu jāpievērš konverģentas pieejas nodrošināšanai attiecībā uz tādām savstarpēji saistītām kritiskajām vienībām, kuras izmanto kritisko infrastruktūru, kas ir fiziski savienota starp divām vai vairākām dalībvalstīm, un kuras pieder pie tām pašām grupām vai korporatīvajām struktūrām, vai kuras ir identificētas vienā dalībvalstī un sniedz pamatpakalpojumus uz citām dalībvalstīm vai citās dalībvalstīs. |
| --- | --- |

(26)

Lai uzlabotu dalībvalstu identificēto kritisko vienību noturību un samazinātu administratīvo slogu minētajām kritiskajām vienībām, kompetentajām iestādēm vajadzības gadījumā būtu jāapspriežas savā starpā, lai nodrošinātu šīs direktīvas konsekventu piemērošanu. Minētā apspriešanās būtu jāuzsāk pēc jebkuras ieinteresētās kompetentās iestādes pieprasījuma, un galvenā uzmanība tajā būtu jāpievērš konverģentas pieejas nodrošināšanai attiecībā uz tādām savstarpēji saistītām kritiskajām vienībām, kuras izmanto kritisko infrastruktūru, kas ir fiziski savienota starp divām vai vairākām dalībvalstīm, un kuras pieder pie tām pašām grupām vai korporatīvajām struktūrām, vai kuras ir identificētas vienā dalībvalstī un sniedz pamatpakalpojumus uz citām dalībvalstīm vai citās dalībvalstīs.

| (27) | Ja Savienības vai valsts tiesību aktu noteikumos paredzēta prasība kritiskajām vienībām novērtēt riskus, kas ir relevanti šīs direktīvas kontekstā, un veikt pasākumus savas noturības nodrošināšanai, minētās prasības būtu pienācīgi jāņem vērā nolūkā uzraudzīt kritisko vienību atbilstību šai direktīvai. |
| --- | --- |

(27)

Ja Savienības vai valsts tiesību aktu noteikumos paredzēta prasība kritiskajām vienībām novērtēt riskus, kas ir relevanti šīs direktīvas kontekstā, un veikt pasākumus savas noturības nodrošināšanai, minētās prasības būtu pienācīgi jāņem vērā nolūkā uzraudzīt kritisko vienību atbilstību šai direktīvai.

| (28) | Kritiskajām vienībām vajadzētu būt visaptverošai izpratnei par attiecīgajiem riskiem, kuriem tās ir pakļautas, un pienākumam analizēt minētos riskus. Šajā nolūkā tām būtu jāveic riska novērtējumi, kad vien tas ir nepieciešams, ņemot vērā to īpašos apstākļus un minēto risku attīstību, un jebkurā gadījumā reizi četros gados, lai novērtētu visus attiecīgos riskus, kas varētu traucēt to pamatpakalpojumu sniegšanu (“kritiskās vienības riska novērtējums”). Ja kritiskās vienības ir veikušas citus riska novērtējumus vai izstrādājušas dokumentus, ievērojot citos tiesību aktos noteiktus pienākumus, kuri attiecas uz to kritiskās vienības riska novērtējumu, tām vajadzētu būt iespējai izmantot minētos novērtējumus un dokumentus, lai izpildītu šajā direktīvā noteiktās prasības attiecībā uz kritiskās vienības riska novērtējumiem. Kompetentai iestādei vajadzētu būt iespējai paziņot, ka esošs riska novērtējums, kuru veikusi kritiska vienība un kurā aplūkoti attiecīgie riski un attiecīgā atkarības pakāpe, pilnībā vai daļēji atbilst šajā direktīvā noteiktajiem pienākumiem. |
| --- | --- |

(28)

Kritiskajām vienībām vajadzētu būt visaptverošai izpratnei par attiecīgajiem riskiem, kuriem tās ir pakļautas, un pienākumam analizēt minētos riskus. Šajā nolūkā tām būtu jāveic riska novērtējumi, kad vien tas ir nepieciešams, ņemot vērā to īpašos apstākļus un minēto risku attīstību, un jebkurā gadījumā reizi četros gados, lai novērtētu visus attiecīgos riskus, kas varētu traucēt to pamatpakalpojumu sniegšanu (“kritiskās vienības riska novērtējums”). Ja kritiskās vienības ir veikušas citus riska novērtējumus vai izstrādājušas dokumentus, ievērojot citos tiesību aktos noteiktus pienākumus, kuri attiecas uz to kritiskās vienības riska novērtējumu, tām vajadzētu būt iespējai izmantot minētos novērtējumus un dokumentus, lai izpildītu šajā direktīvā noteiktās prasības attiecībā uz kritiskās vienības riska novērtējumiem. Kompetentai iestādei vajadzētu būt iespējai paziņot, ka esošs riska novērtējums, kuru veikusi kritiska vienība un kurā aplūkoti attiecīgie riski un attiecīgā atkarības pakāpe, pilnībā vai daļēji atbilst šajā direktīvā noteiktajiem pienākumiem.

| (29) | Kritiskajām vienībām būtu jāveic tehniski, drošības un organizatoriski pasākumi, kas ir piemēroti un samērīgi ar riskiem, ar kuriem tās saskaras, lai izvairītos no incidentiem, aizsargātos pret tiem, reaģētu uz tiem, pretotos tiem, mazinātu vai absorbētu tos, pielāgotos tiem un pārvarētu tos. Kamēr kritiskajām vienībām būtu jāveic minētie pasākumi saskaņā ar šo direktīvu, šādu pasākumu detalizācijai un apjomam būtu pienācīgi un samērīgi jāatspoguļo dažādie riski, ko katra kritiskā vienība ir identificējusi savā kritiskās vienības riska novērtējumā, un šādas vienības īpatnības. Lai veicinātu saskaņotu Savienības pieeju, Komisijai pēc apspriešanās ar Kritisko vienību noturības grupu būtu jāpieņem nesaistošas pamatnostādnes, lai sīkāk precizētu minētos tehniskos, drošības un organizatoriskos pasākumus. Dalībvalstīm būtu jānodrošina, ka katra kritiskā vienība izraugās sadarbības koordinatoru vai tam līdzvērtīgu kontaktpunktu saziņai ar kompetentajām iestādēm. |
| --- | --- |

(29)

Kritiskajām vienībām būtu jāveic tehniski, drošības un organizatoriski pasākumi, kas ir piemēroti un samērīgi ar riskiem, ar kuriem tās saskaras, lai izvairītos no incidentiem, aizsargātos pret tiem, reaģētu uz tiem, pretotos tiem, mazinātu vai absorbētu tos, pielāgotos tiem un pārvarētu tos. Kamēr kritiskajām vienībām būtu jāveic minētie pasākumi saskaņā ar šo direktīvu, šādu pasākumu detalizācijai un apjomam būtu pienācīgi un samērīgi jāatspoguļo dažādie riski, ko katra kritiskā vienība ir identificējusi savā kritiskās vienības riska novērtējumā, un šādas vienības īpatnības. Lai veicinātu saskaņotu Savienības pieeju, Komisijai pēc apspriešanās ar Kritisko vienību noturības grupu būtu jāpieņem nesaistošas pamatnostādnes, lai sīkāk precizētu minētos tehniskos, drošības un organizatoriskos pasākumus. Dalībvalstīm būtu jānodrošina, ka katra kritiskā vienība izraugās sadarbības koordinatoru vai tam līdzvērtīgu kontaktpunktu saziņai ar kompetentajām iestādēm.

| (30) | Efektivitātes un pārskatatbildības labad kritiskajām vienībām noturības plānā vai dokumentā, vai dokumentos, kas ir līdzvērtīgi noturības plānam, būtu jāapraksta pasākumi, ko tās veic, tik detalizēti, cik tas ir pietiekami, lai sasniegtu minētos efektivitātes un pārskatatbildības mērķus, ņemot vērā apzinātos riskus un minētais plāns būtu jāpiemēro praksē. Ja kritiskā vienība jau ir veikusi tehniskus, drošības un organizatoriskus pasākumus un izstrādājusi dokumentus, ievērojot citus tiesību aktus, kas attiecas uz noturību veicinošiem pasākumiem saskaņā ar šo direktīvu, nolūkā izvairīties no nevajadzīgas dublēšanās tai vajadzētu būt iespējai izmantot minētos pasākumus un dokumentus, lai izpildītu prasības attiecībā uz noturības pasākumiem saskaņā ar šo direktīvu. Lai izvairītos no dublēšanās, kompetentajai iestādei vajadzētu būt iespējai paziņot, ka esošie noturības pasākumi, kurus veikusi kritiskā vienība un kuri izpilda tās pienākumu veikt tehniskus, drošības un organizatoriskus pasākumus, ievērojot šo direktīvu, pilnībā vai daļēji atbilst šīs direktīvas prasībām. |
| --- | --- |

(30)

Efektivitātes un pārskatatbildības labad kritiskajām vienībām noturības plānā vai dokumentā, vai dokumentos, kas ir līdzvērtīgi noturības plānam, būtu jāapraksta pasākumi, ko tās veic, tik detalizēti, cik tas ir pietiekami, lai sasniegtu minētos efektivitātes un pārskatatbildības mērķus, ņemot vērā apzinātos riskus un minētais plāns būtu jāpiemēro praksē. Ja kritiskā vienība jau ir veikusi tehniskus, drošības un organizatoriskus pasākumus un izstrādājusi dokumentus, ievērojot citus tiesību aktus, kas attiecas uz noturību veicinošiem pasākumiem saskaņā ar šo direktīvu, nolūkā izvairīties no nevajadzīgas dublēšanās tai vajadzētu būt iespējai izmantot minētos pasākumus un dokumentus, lai izpildītu prasības attiecībā uz noturības pasākumiem saskaņā ar šo direktīvu. Lai izvairītos no dublēšanās, kompetentajai iestādei vajadzētu būt iespējai paziņot, ka esošie noturības pasākumi, kurus veikusi kritiskā vienība un kuri izpilda tās pienākumu veikt tehniskus, drošības un organizatoriskus pasākumus, ievērojot šo direktīvu, pilnībā vai daļēji atbilst šīs direktīvas prasībām.

| (31) | Eiropas Parlamenta un Padomes Regulās (EK) Nr. 725/2004 (14) un (EK) Nr. 300/2008 (15) un Eiropas Parlamenta un Padomes Direktīvā 2005/65/EK (16) ir noteiktas prasības, kas piemērojamas vienībām aviācijas un jūras transporta nozarē, lai novērstu nelikumīgu darbību izraisītus incidentus un lai pretotos šādu incidentu sekām un mazinātu tās. Lai gan šajā direktīvā prasītie pasākumi ir plašāki aptverto risku un veicamo pasākumu veidu ziņā, šo nozaru kritiskajām vienībām savā noturības plānā vai līdzvērtīgos dokumentos būtu jāatspoguļo pasākumi, kas veikti saskaņā ar minētajiem citiem Savienības tiesību aktiem. Kritiskajām vienībām jāņem vērā arī Eiropas Parlamenta un Padomes Direktīva 2008/96/EK (17), ar ko tiek ieviests tīkla mēroga ceļu novērtējums, nolūkā izstrādāt negadījumu riska karti un veikt mērķtiecīgu ceļu satiksmes drošības inspekciju, kuras pamatā ir esošo ceļu vai ceļu posmu apmeklējumi, lai apzinātu bīstamus apstākļus, defektus un problēmas, kas palielina negadījumu un ievainojumu gūšanas risku. Kritisko vienību aizsardzības un noturības nodrošināšana ir ārkārtīgi svarīga dzelzceļa transportam, un, īstenojot noturības pasākumus saskaņā ar šo direktīvu, kritiskās vienības tiek mudinātas iepazīties ar nozaru darbplūsmās izstrādātām nesaistošām pamatnostādnēm un labas prakses dokumentiem, piemēram, ES Dzelzceļa pasažieru drošības platformu, kas izveidota ar Komisijas Lēmumu 2018/C 232/03 (18). |
| --- | --- |

(31)

Eiropas Parlamenta un Padomes Regulās (EK) Nr. 725/2004 (14) un (EK) Nr. 300/2008 (15) un Eiropas Parlamenta un Padomes Direktīvā 2005/65/EK (16) ir noteiktas prasības, kas piemērojamas vienībām aviācijas un jūras transporta nozarē, lai novērstu nelikumīgu darbību izraisītus incidentus un lai pretotos šādu incidentu sekām un mazinātu tās. Lai gan šajā direktīvā prasītie pasākumi ir plašāki aptverto risku un veicamo pasākumu veidu ziņā, šo nozaru kritiskajām vienībām savā noturības plānā vai līdzvērtīgos dokumentos būtu jāatspoguļo pasākumi, kas veikti saskaņā ar minētajiem citiem Savienības tiesību aktiem. Kritiskajām vienībām jāņem vērā arī Eiropas Parlamenta un Padomes Direktīva 2008/96/EK (17), ar ko tiek ieviests tīkla mēroga ceļu novērtējums, nolūkā izstrādāt negadījumu riska karti un veikt mērķtiecīgu ceļu satiksmes drošības inspekciju, kuras pamatā ir esošo ceļu vai ceļu posmu apmeklējumi, lai apzinātu bīstamus apstākļus, defektus un problēmas, kas palielina negadījumu un ievainojumu gūšanas risku. Kritisko vienību aizsardzības un noturības nodrošināšana ir ārkārtīgi svarīga dzelzceļa transportam, un, īstenojot noturības pasākumus saskaņā ar šo direktīvu, kritiskās vienības tiek mudinātas iepazīties ar nozaru darbplūsmās izstrādātām nesaistošām pamatnostādnēm un labas prakses dokumentiem, piemēram, ES Dzelzceļa pasažieru drošības platformu, kas izveidota ar Komisijas Lēmumu 2018/C 232/03 (18).

| (32) | Aizvien biežāk rodas bažas, ka kritisko vienību darbinieki vai to darbuzņēmēji varētu ļaunprātīgi izmantot, piemēram, savas piekļuves tiesības kādā kritiskajā vienībā, lai nodarītu kaitējumu vai bojājumus. Tāpēc dalībvalstīm būtu jāprecizē nosacījumi, saskaņā ar kuriem kritiskajām vienībām ir atļauts pienācīgi pamatotos gadījumos un ņemot vērā dalībvalsts riska novērtējumus iesniegt pieprasījumus veikt iepriekšējās darbības pārbaudi attiecībā uz personām, kas ietilpst konkrētās to personāla kategorijās. Būtu jānodrošina, ka attiecīgās iestādes šādus pieprasījumus izvērtē saprātīgā termiņā un tos apstrādā saskaņā ar valsts tiesību aktiem un procedūrām un attiecīgiem un piemērojamiem Savienības tiesību aktiem, tostarp par personas datu aizsardzību. Lai apstiprinātu tādas personas identitāti, uz kuru attiecas iepriekšējās darbības pārbaude, ir lietderīgi, ka dalībvalstis saskaņā ar piemērojamiem tiesību aktiem pieprasa identitātes apliecinājumu, piemēram, pasi, valsts personas apliecību vai digitālas identifikācijas formu.
  Iepriekšējās darbības pārbaudēm būtu jāiever attiecīgās personas sodāmības reģistru pārbaude. Dalībvalstīm nolūkā iegūt informāciju no citu dalībvalstu sodāmības reģistriem būtu jāizmanto Eiropas Sodāmības reģistru informācijas sistēma saskaņā ar procedūrām, kuras noteiktas Padomes Pamatlēmumā 2009/315/TI (19) un attiecīgā un piemērojamā gadījumā Eiropas Parlamenta un Padomes Regulā (ES) 2019/816 (20). Dalībvalstis attiecīgā un piemērojamā gadījumā varētu izmantot arī otrās paaudzes Šengenas Informācijas sistēmu (SIS II), kas izveidota ar Eiropas Parlamenta un Padomes Regulu (ES) 2018/1862 (21), izlūkdatus, un jebkādu citu pieejamu objektīvu informāciju, kas varētu būt nepieciešama, lai noteiktu attiecīgās personas piemērotību darbam amatā, attiecībā uz kuru kritiskā vienība ir pieprasījusi iepriekšējās darbības pārbaudi. |
| --- | --- |

(32)

Aizvien biežāk rodas bažas, ka kritisko vienību darbinieki vai to darbuzņēmēji varētu ļaunprātīgi izmantot, piemēram, savas piekļuves tiesības kādā kritiskajā vienībā, lai nodarītu kaitējumu vai bojājumus. Tāpēc dalībvalstīm būtu jāprecizē nosacījumi, saskaņā ar kuriem kritiskajām vienībām ir atļauts pienācīgi pamatotos gadījumos un ņemot vērā dalībvalsts riska novērtējumus iesniegt pieprasījumus veikt iepriekšējās darbības pārbaudi attiecībā uz personām, kas ietilpst konkrētās to personāla kategorijās. Būtu jānodrošina, ka attiecīgās iestādes šādus pieprasījumus izvērtē saprātīgā termiņā un tos apstrādā saskaņā ar valsts tiesību aktiem un procedūrām un attiecīgiem un piemērojamiem Savienības tiesību aktiem, tostarp par personas datu aizsardzību. Lai apstiprinātu tādas personas identitāti, uz kuru attiecas iepriekšējās darbības pārbaude, ir lietderīgi, ka dalībvalstis saskaņā ar piemērojamiem tiesību aktiem pieprasa identitātes apliecinājumu, piemēram, pasi, valsts personas apliecību vai digitālas identifikācijas formu.

Iepriekšējās darbības pārbaudēm būtu jāiever attiecīgās personas sodāmības reģistru pārbaude. Dalībvalstīm nolūkā iegūt informāciju no citu dalībvalstu sodāmības reģistriem būtu jāizmanto Eiropas Sodāmības reģistru informācijas sistēma saskaņā ar procedūrām, kuras noteiktas Padomes Pamatlēmumā 2009/315/TI (19) un attiecīgā un piemērojamā gadījumā Eiropas Parlamenta un Padomes Regulā (ES) 2019/816 (20). Dalībvalstis attiecīgā un piemērojamā gadījumā varētu izmantot arī otrās paaudzes Šengenas Informācijas sistēmu (SIS II), kas izveidota ar Eiropas Parlamenta un Padomes Regulu (ES) 2018/1862 (21), izlūkdatus, un jebkādu citu pieejamu objektīvu informāciju, kas varētu būt nepieciešama, lai noteiktu attiecīgās personas piemērotību darbam amatā, attiecībā uz kuru kritiskā vienība ir pieprasījusi iepriekšējās darbības pārbaudi.

| (33) | Būtu jāizveido mehānisms konkrētu incidentu paziņošanai, lai kompetentās iestādes varētu ātri un pienācīgi reaģēt uz incidentiem un gūt visaptverošu pārskatu par to incidentu ietekmi, veidu, cēloni un iespējamām sekām, ar ko saskaras kritiskās vienības. Kritiskajām vienībām bez liekas kavēšanās būtu jāpaziņo kompetentajām iestādēm par incidentiem, kas būtiski traucē vai var būtiski traucēt pamatpakalpojumu sniegšanu. Izņemot gadījumus, kad tas nav operacionāli iespējams, kritiskajām vienībām ne vēlāk kā 24 stundas pēc tam, kad tās ir uzzinājušas par incidentu, būtu jāiesniedz sākotnējs paziņojums. Sākotnējā paziņojumā būtu jāiekļauj tikai informācija, kas ir obligāti nepieciešama, lai informētu kompetento iestādi par incidentu un vajadzības gadījumā ļautu kritiskajai vienībai lūgt palīdzību. Šādā paziņojumā, ja iespējams, būtu jānorāda iespējamais incidenta cēlonis. Dalībvalstīm būtu jānodrošina, ka prasība iesniegt šo sākotnējo paziņojumu nenovirza kritiskās vienības resursus no darbībām, kas saistītas ar incidentu risināšanu un kas būtu jānosaka par prioritārām. Pēc sākotnējā paziņojuma, ne vēlāk kā vienu mēnesi pēc incidenta, attiecīgā gadījumā būtu jāiesniedz detalizēts ziņojums. Detalizētajam ziņojumam būtu jāpapildina sākotnējais paziņojums, un tajā būtu jāsniedz pilnīgāks pārskats par incidentu. |
| --- | --- |

(33)

Būtu jāizveido mehānisms konkrētu incidentu paziņošanai, lai kompetentās iestādes varētu ātri un pienācīgi reaģēt uz incidentiem un gūt visaptverošu pārskatu par to incidentu ietekmi, veidu, cēloni un iespējamām sekām, ar ko saskaras kritiskās vienības. Kritiskajām vienībām bez liekas kavēšanās būtu jāpaziņo kompetentajām iestādēm par incidentiem, kas būtiski traucē vai var būtiski traucēt pamatpakalpojumu sniegšanu. Izņemot gadījumus, kad tas nav operacionāli iespējams, kritiskajām vienībām ne vēlāk kā 24 stundas pēc tam, kad tās ir uzzinājušas par incidentu, būtu jāiesniedz sākotnējs paziņojums. Sākotnējā paziņojumā būtu jāiekļauj tikai informācija, kas ir obligāti nepieciešama, lai informētu kompetento iestādi par incidentu un vajadzības gadījumā ļautu kritiskajai vienībai lūgt palīdzību. Šādā paziņojumā, ja iespējams, būtu jānorāda iespējamais incidenta cēlonis. Dalībvalstīm būtu jānodrošina, ka prasība iesniegt šo sākotnējo paziņojumu nenovirza kritiskās vienības resursus no darbībām, kas saistītas ar incidentu risināšanu un kas būtu jānosaka par prioritārām. Pēc sākotnējā paziņojuma, ne vēlāk kā vienu mēnesi pēc incidenta, attiecīgā gadījumā būtu jāiesniedz detalizēts ziņojums. Detalizētajam ziņojumam būtu jāpapildina sākotnējais paziņojums, un tajā būtu jāsniedz pilnīgāks pārskats par incidentu.

| (34) | Standartizācijai arī turpmāk vajadzētu būt galvenokārt tirgus virzītam procesam. Tomēr vēl varētu pastāvēt situācijas, kurās ir lietderīgi pieprasīt konkrētu standartu ievērošanu. Dalībvalstīm, ja tas ir lietderīgi, būtu jāmudina izmantot Eiropas un starptautiskus standartus un tehniskas specifikācijas, kas attiecas uz kritiskām vienībām piemērojamiem drošības un noturības pasākumiem. |
| --- | --- |

(34)

Standartizācijai arī turpmāk vajadzētu būt galvenokārt tirgus virzītam procesam. Tomēr vēl varētu pastāvēt situācijas, kurās ir lietderīgi pieprasīt konkrētu standartu ievērošanu. Dalībvalstīm, ja tas ir lietderīgi, būtu jāmudina izmantot Eiropas un starptautiskus standartus un tehniskas specifikācijas, kas attiecas uz kritiskām vienībām piemērojamiem drošības un noturības pasākumiem.

| (35) | Lai gan kritiskās vienības parasti darbojas arvien vairāk savstarpēji savienotā pakalpojumu sniegšanas un infrastruktūru tīklā un bieži sniedz pamatpakalpojumus vairāk nekā vienā dalībvalstī, dažas no minētajām kritiskajām vienībām Savienībai un tās iekšējam tirgum ir īpaši nozīmīgas, jo tās sniedz pamatpakalpojumus uz sešām vai vairākām dalībvalstīm vai sešās vai vairākās dalībvalstīs, un tādēļ tās varētu gūt labumu no īpaša atbalsta Savienības līmenī. Tādēļ būtu jānosaka noteikumi par padomdevējām misijām attiecībā uz šādām Eiropas mērogā īpaši nozīmīgām kritiskajām vienībām. Minētie noteikumi neskar šajā direktīvā izklāstītos noteikumus par uzraudzību un izpildes nodrošināšanu. |
| --- | --- |

(35)

Lai gan kritiskās vienības parasti darbojas arvien vairāk savstarpēji savienotā pakalpojumu sniegšanas un infrastruktūru tīklā un bieži sniedz pamatpakalpojumus vairāk nekā vienā dalībvalstī, dažas no minētajām kritiskajām vienībām Savienībai un tās iekšējam tirgum ir īpaši nozīmīgas, jo tās sniedz pamatpakalpojumus uz sešām vai vairākām dalībvalstīm vai sešās vai vairākās dalībvalstīs, un tādēļ tās varētu gūt labumu no īpaša atbalsta Savienības līmenī. Tādēļ būtu jānosaka noteikumi par padomdevējām misijām attiecībā uz šādām Eiropas mērogā īpaši nozīmīgām kritiskajām vienībām. Minētie noteikumi neskar šajā direktīvā izklāstītos noteikumus par uzraudzību un izpildes nodrošināšanu.

| (36) | Pēc Komisijas vai vienas vai vairāku dalībvalstu, uz kurām vai kurās tiek sniegts pamatpakalpojums, pamatota pieprasījuma, ja ir vajadzīga papildu informācija, lai varētu konsultēt kritisko vienību par tās saskaņā ar šo direktīvu noteikto pienākumu izpildi vai novērtēt Eiropas mērogā īpaši nozīmīgas kritiskās vienības atbilstību minētajām saistībām, dalībvalstij, kas Eiropas mērogā īpaši nozīmīgu kritisko vienību identificējusi kā kritisko vienību, būtu jāsniedz Komisijai konkrēta informācija, kā noteikts šajās direktīvā. Vienojoties ar dalībvalsti, kas Eiropas mērogā īpaši nozīmīgu kritisko vienību identificējusi kā kritisko vienību, Komisijai vajadzētu būt iespējai organizēt padomdevēju misiju, lai novērtētu minētās vienības ieviestos pasākumus. Lai nodrošinātu, ka šādas padomdevējas misijas tiek pienācīgi īstenotas, būtu jānosaka papildu noteikumi, it īpaši par padomdevēju misiju organizēšanu un norisi, veicamajiem turpmākajiem pasākumiem un attiecīgo Eiropas mērogā īpaši nozīmīgo kritisko vienību pienākumiem. Neskarot to, ka dalībvalstij, kurā notiek padomdevēja misija, un attiecīgajai kritiskajai vienībai ir jāievēro šajā direktīvā paredzētie noteikumi, padomdevēja misija būtu jāveic, ievērojot sīki izstrādātus minētās dalībvalsts tiesību aktu noteikumus, piemēram, par precīziem nosacījumiem, kas jāizpilda, lai iegūtu piekļuvi attiecīgajām telpām vai dokumentiem, un par tiesisko aizsardzību. Vajadzības gadījumā ar Ārkārtas reaģēšanas koordinēšanas centra, kas izveidots ar Eiropas Parlamenta un Padomes Lēmumu Nr. 1313/2013/ES (22) starpniecību var lūgt īpašas speciālās zināšanas, kas vajadzīgas šādām padomdevējām misijām. |
| --- | --- |

(36)

Pēc Komisijas vai vienas vai vairāku dalībvalstu, uz kurām vai kurās tiek sniegts pamatpakalpojums, pamatota pieprasījuma, ja ir vajadzīga papildu informācija, lai varētu konsultēt kritisko vienību par tās saskaņā ar šo direktīvu noteikto pienākumu izpildi vai novērtēt Eiropas mērogā īpaši nozīmīgas kritiskās vienības atbilstību minētajām saistībām, dalībvalstij, kas Eiropas mērogā īpaši nozīmīgu kritisko vienību identificējusi kā kritisko vienību, būtu jāsniedz Komisijai konkrēta informācija, kā noteikts šajās direktīvā. Vienojoties ar dalībvalsti, kas Eiropas mērogā īpaši nozīmīgu kritisko vienību identificējusi kā kritisko vienību, Komisijai vajadzētu būt iespējai organizēt padomdevēju misiju, lai novērtētu minētās vienības ieviestos pasākumus. Lai nodrošinātu, ka šādas padomdevējas misijas tiek pienācīgi īstenotas, būtu jānosaka papildu noteikumi, it īpaši par padomdevēju misiju organizēšanu un norisi, veicamajiem turpmākajiem pasākumiem un attiecīgo Eiropas mērogā īpaši nozīmīgo kritisko vienību pienākumiem. Neskarot to, ka dalībvalstij, kurā notiek padomdevēja misija, un attiecīgajai kritiskajai vienībai ir jāievēro šajā direktīvā paredzētie noteikumi, padomdevēja misija būtu jāveic, ievērojot sīki izstrādātus minētās dalībvalsts tiesību aktu noteikumus, piemēram, par precīziem nosacījumiem, kas jāizpilda, lai iegūtu piekļuvi attiecīgajām telpām vai dokumentiem, un par tiesisko aizsardzību. Vajadzības gadījumā ar Ārkārtas reaģēšanas koordinēšanas centra, kas izveidots ar Eiropas Parlamenta un Padomes Lēmumu Nr. 1313/2013/ES (22) starpniecību var lūgt īpašas speciālās zināšanas, kas vajadzīgas šādām padomdevējām misijām.

| (37) | Lai atbalstītu Komisiju un veicinātu sadarbību starp dalībvalstīm un informācijas, tostarp paraugprakses, apmaiņu jautājumos, kas saistīti ar šo direktīvu, būtu jāizveido Kritisko vienību noturības grupa kā Komisijas ekspertu grupa. Dalībvalstīm būtu jācenšas nodrošināt, ka to kompetento iestāžu izraudzītie pārstāvji Kritisko vienību noturības grupā sadarbojas efektīvi un lietderīgi, tostarp, attiecīgā gadījumā izraugoties pārstāvjus, kuriem ir drošības pielaide. Kritisko vienību noturības grupai būtu jāsāk pildīt savi uzdevumi cik vien drīz iespējams, lai nodrošinātu papildu iespējas pienācīgai sadarbībai šīs direktīvas transponēšanas laikposmā. Kritisko vienību noturības grupai būtu jāsadarbojas ar citām attiecīgām nozaru ekspertu darba grupām. |
| --- | --- |

(37)

Lai atbalstītu Komisiju un veicinātu sadarbību starp dalībvalstīm un informācijas, tostarp paraugprakses, apmaiņu jautājumos, kas saistīti ar šo direktīvu, būtu jāizveido Kritisko vienību noturības grupa kā Komisijas ekspertu grupa. Dalībvalstīm būtu jācenšas nodrošināt, ka to kompetento iestāžu izraudzītie pārstāvji Kritisko vienību noturības grupā sadarbojas efektīvi un lietderīgi, tostarp, attiecīgā gadījumā izraugoties pārstāvjus, kuriem ir drošības pielaide. Kritisko vienību noturības grupai būtu jāsāk pildīt savi uzdevumi cik vien drīz iespējams, lai nodrošinātu papildu iespējas pienācīgai sadarbībai šīs direktīvas transponēšanas laikposmā. Kritisko vienību noturības grupai būtu jāsadarbojas ar citām attiecīgām nozaru ekspertu darba grupām.

| (38) | Kritisko vienību noturības grupai būtu jāsadarbojas ar Sadarbības grupu, kas izveidota saskaņā ar Direktīvu (ES) 2022/2555, lai atbalstītu visaptverošu satvaru kritisko vienību kibernoturībai un ar kiberdrošību nesaistītai noturībai. Kritisko vienību noturības grupai un sadarbības grupai, kas izveidota saskaņā ar Direktīvu (ES) 2022/2555, būtu jāiesaistās regulārā dialogā, lai veicinātu sadarbību starp kompetentajām iestādēm saskaņā ar šo direktīvu un kompetentajām iestādēm saskaņā ar Direktīvu (ES) 2022/2555, un lai veicinātu informācijas apmaiņu, it īpaši par abām grupām svarīgiem jautājumiem. |
| --- | --- |

(38)

Kritisko vienību noturības grupai būtu jāsadarbojas ar Sadarbības grupu, kas izveidota saskaņā ar Direktīvu (ES) 2022/2555, lai atbalstītu visaptverošu satvaru kritisko vienību kibernoturībai un ar kiberdrošību nesaistītai noturībai. Kritisko vienību noturības grupai un sadarbības grupai, kas izveidota saskaņā ar Direktīvu (ES) 2022/2555, būtu jāiesaistās regulārā dialogā, lai veicinātu sadarbību starp kompetentajām iestādēm saskaņā ar šo direktīvu un kompetentajām iestādēm saskaņā ar Direktīvu (ES) 2022/2555, un lai veicinātu informācijas apmaiņu, it īpaši par abām grupām svarīgiem jautājumiem.

| (39) | Lai sasniegtu šīs direktīvas mērķus un neskarot dalībvalstu un kritisko vienību juridisko atbildību nodrošināt šajā direktīvā noteikto attiecīgo pienākumu izpildi, Komisijai, ja tā uzskata to par lietderīgu, būtu jāatbalsta kompetentās iestādes un kritiskās vienības ar mērķi veicināt to attiecīgo pienākumu izpildi. Sniedzot atbalstu dalībvalstīm un kritiskajām vienībām šajā direktīvā noteikto pienākumu īstenošanā, Komisijai būtu jābalstās uz pašreizējām struktūrām un instrumentiem, piemēram, tiem, kas paredzēti Savienības civilās aizsardzības mehānismā, kas izveidots ar Lēmumu Nr. 1313/2013/ES, un Eiropas references tīklā kritiskās infrastruktūras aizsardzībai. Turklāt tai būtu jāinformē dalībvalstis par resursiem, kas pieejami Savienības līmenī, piemēram, no Iekšējās drošības fonda, kas izveidots ar Eiropas Parlamenta un Padomes Regulu (ES) 2021/1149 (23), pamatprogrammas “Apvārsnis Eiropa”, kas izveidota ar Eiropas Parlamenta un Padomes Regulu (ES) 2021/695 (24), vai citiem instrumentiem, kuri attiecas uz kritisko vienību noturību. |
| --- | --- |

(39)

Lai sasniegtu šīs direktīvas mērķus un neskarot dalībvalstu un kritisko vienību juridisko atbildību nodrošināt šajā direktīvā noteikto attiecīgo pienākumu izpildi, Komisijai, ja tā uzskata to par lietderīgu, būtu jāatbalsta kompetentās iestādes un kritiskās vienības ar mērķi veicināt to attiecīgo pienākumu izpildi. Sniedzot atbalstu dalībvalstīm un kritiskajām vienībām šajā direktīvā noteikto pienākumu īstenošanā, Komisijai būtu jābalstās uz pašreizējām struktūrām un instrumentiem, piemēram, tiem, kas paredzēti Savienības civilās aizsardzības mehānismā, kas izveidots ar Lēmumu Nr. 1313/2013/ES, un Eiropas references tīklā kritiskās infrastruktūras aizsardzībai. Turklāt tai būtu jāinformē dalībvalstis par resursiem, kas pieejami Savienības līmenī, piemēram, no Iekšējās drošības fonda, kas izveidots ar Eiropas Parlamenta un Padomes Regulu (ES) 2021/1149 (23), pamatprogrammas “Apvārsnis Eiropa”, kas izveidota ar Eiropas Parlamenta un Padomes Regulu (ES) 2021/695 (24), vai citiem instrumentiem, kuri attiecas uz kritisko vienību noturību.

| (40) | Dalībvalstīm būtu jānodrošina, ka to kompetentajām iestādēm ir konkrētas īpašas pilnvaras pareizai šīs direktīvas piemērošanai un izpildes nodrošināšanai attiecībā uz kritiskajām vienībām, ja šīs vienības ir to jurisdikcijā, kā noteikts šajā direktīvā. Šajās pilnvarās jo īpaši būtu jāiekļauj pilnvaras veikt inspekcijas un revīzijas, uzraudzības pilnvaras, pilnvaras pieprasīt kritiskajām vienībām sniegt informāciju un apliecinājumus par pasākumiem, ko tās veikušas, lai izpildītu savus pienākumus, un vajadzības gadījumā pilnvaras izdot rīkojumus, lai novērstu konstatētos pārkāpumus. Izdodot šādus rīkojumus, dalībvalstīm nebūtu jāpieprasa pasākumi, kuri pārsniedz to, kas ir nepieciešams un samērīgs, lai nodrošinātu attiecīgās kritiskās vienības atbilstību, it īpaši ņemot vērā pārkāpuma smagumu un attiecīgās kritiskās vienības ekonomiskās iespējas. Kopumā šīs pilnvaras būtu jāpapildina ar atbilstošām un efektīvām garantijām, kas jāprecizē valsts tiesību aktos, saskaņā ar Eiropas Savienības Pamattiesību hartu. Novērtējot, vai kritiskā vienība ir izpildījusi savus pienākumus, kā noteikts šajā direktīvā, kompetentajām iestādēm saskaņā ar šo direktīvu, vajadzētu būt iespējai pieprasīt kompetentajām iestādēm saskaņā ar Direktīvu (ES) 2022/2555, īstenot savas uzraudzības un izpildes nodrošināšanas pilnvaras attiecībā uz minētās direktīvas vienību, kas ir identificēta kā kritiska vienība saskaņā ar šo direktīvu. Šīs direktīvas kompetentajām iestādēm un Direktīvas (ES) 2022/2555 kompetentajām iestādēm šajā nolūkā būtu jāsadarbojas un jāapmainās ar informāciju. |
| --- | --- |

(40)

Dalībvalstīm būtu jānodrošina, ka to kompetentajām iestādēm ir konkrētas īpašas pilnvaras pareizai šīs direktīvas piemērošanai un izpildes nodrošināšanai attiecībā uz kritiskajām vienībām, ja šīs vienības ir to jurisdikcijā, kā noteikts šajā direktīvā. Šajās pilnvarās jo īpaši būtu jāiekļauj pilnvaras veikt inspekcijas un revīzijas, uzraudzības pilnvaras, pilnvaras pieprasīt kritiskajām vienībām sniegt informāciju un apliecinājumus par pasākumiem, ko tās veikušas, lai izpildītu savus pienākumus, un vajadzības gadījumā pilnvaras izdot rīkojumus, lai novērstu konstatētos pārkāpumus. Izdodot šādus rīkojumus, dalībvalstīm nebūtu jāpieprasa pasākumi, kuri pārsniedz to, kas ir nepieciešams un samērīgs, lai nodrošinātu attiecīgās kritiskās vienības atbilstību, it īpaši ņemot vērā pārkāpuma smagumu un attiecīgās kritiskās vienības ekonomiskās iespējas. Kopumā šīs pilnvaras būtu jāpapildina ar atbilstošām un efektīvām garantijām, kas jāprecizē valsts tiesību aktos, saskaņā ar Eiropas Savienības Pamattiesību hartu. Novērtējot, vai kritiskā vienība ir izpildījusi savus pienākumus, kā noteikts šajā direktīvā, kompetentajām iestādēm saskaņā ar šo direktīvu, vajadzētu būt iespējai pieprasīt kompetentajām iestādēm saskaņā ar Direktīvu (ES) 2022/2555, īstenot savas uzraudzības un izpildes nodrošināšanas pilnvaras attiecībā uz minētās direktīvas vienību, kas ir identificēta kā kritiska vienība saskaņā ar šo direktīvu. Šīs direktīvas kompetentajām iestādēm un Direktīvas (ES) 2022/2555 kompetentajām iestādēm šajā nolūkā būtu jāsadarbojas un jāapmainās ar informāciju.

| (41) | Lai šo direktīvu piemērotu efektīvi un konsekventi, būtu jādeleģē Komisijai pilnvaras pieņemt aktus saskaņā ar Līguma par Eiropas Savienības darbību 290. pantu, lai papildinātu šo direktīvu, sastādot pamatpakalpojumu sarakstu. Minētais saraksts kompetentajām iestādēm būtu jāizmanto, lai veiktu dalībvalsts riska novērtējumus un lai identificētu kritiskās vienības, ievērojot šo direktīvu. Ņemot vērā šajā direktīvā paredzēto minimālās saskaņošanas pieeju, minētais saraksts nav izsmeļošs, un dalībvalstis to varētu papildināt ar papildu pamatpakalpojumiem valsts līmenī, lai ņemtu vērā valstu īpatnības pamatpakalpojumu sniegšanā. Ir īpaši būtiski, lai Komisija, veicot sagatavošanas darbus, rīkotu atbilstīgas apspriešanās, tostarp ekspertu līmenī, un lai minētās apspriešanās tiktu rīkotas saskaņā ar principiem, kas noteikti 2016. gada 13. aprīļa Iestāžu nolīgumā par labāku likumdošanas procesu (25). Jo īpaši, lai deleģēto aktu sagatavošanā nodrošinātu vienādu dalību, Eiropas Parlaments un Padome visus dokumentus saņem vienlaicīgi ar dalībvalstu ekspertiem, un minēto iestāžu ekspertiem ir sistemātiska piekļuve Komisijas ekspertu grupu sanāksmēm, kurās notiek deleģēto aktu sagatavošana. |
| --- | --- |

(41)

Lai šo direktīvu piemērotu efektīvi un konsekventi, būtu jādeleģē Komisijai pilnvaras pieņemt aktus saskaņā ar Līguma par Eiropas Savienības darbību 290. pantu, lai papildinātu šo direktīvu, sastādot pamatpakalpojumu sarakstu. Minētais saraksts kompetentajām iestādēm būtu jāizmanto, lai veiktu dalībvalsts riska novērtējumus un lai identificētu kritiskās vienības, ievērojot šo direktīvu. Ņemot vērā šajā direktīvā paredzēto minimālās saskaņošanas pieeju, minētais saraksts nav izsmeļošs, un dalībvalstis to varētu papildināt ar papildu pamatpakalpojumiem valsts līmenī, lai ņemtu vērā valstu īpatnības pamatpakalpojumu sniegšanā. Ir īpaši būtiski, lai Komisija, veicot sagatavošanas darbus, rīkotu atbilstīgas apspriešanās, tostarp ekspertu līmenī, un lai minētās apspriešanās tiktu rīkotas saskaņā ar principiem, kas noteikti 2016. gada 13. aprīļa Iestāžu nolīgumā par labāku likumdošanas procesu (25). Jo īpaši, lai deleģēto aktu sagatavošanā nodrošinātu vienādu dalību, Eiropas Parlaments un Padome visus dokumentus saņem vienlaicīgi ar dalībvalstu ekspertiem, un minēto iestāžu ekspertiem ir sistemātiska piekļuve Komisijas ekspertu grupu sanāksmēm, kurās notiek deleģēto aktu sagatavošana.

| (42) | Lai nodrošinātu vienādus nosacījumus šīs direktīvas īstenošanai, būtu jāpiešķir īstenošanas pilnvaras Komisijai. Minētās pilnvaras būtu jāizmanto saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) Nr. 182/2011 (26). |
| --- | --- |

(42)

Lai nodrošinātu vienādus nosacījumus šīs direktīvas īstenošanai, būtu jāpiešķir īstenošanas pilnvaras Komisijai. Minētās pilnvaras būtu jāizmanto saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) Nr. 182/2011 (26).

| (43) | Ņemot vērā to, ka šīs direktīvas mērķus, proti, nodrošināt to, ka pakalpojumi, kas ir būtiski svarīgi sabiedrības funkciju vai saimniecisko darbību uzturēšanai, tiek netraucēti sniegti iekšējā tirgū, un palielināt šādus pakalpojumus sniedzošo kritisko vienību noturību, nevar pietiekami labi sasniegt atsevišķās dalībvalstīs, bet rīcības ietekmes dēļ tos var labāk sasniegt Savienības līmenī, Savienība var pieņemt pasākumus saskaņā ar Līguma par Eiropas Savienību 5. pantā noteikto subsidiaritātes principu. Saskaņā ar minētajā 5. pantā noteikto proporcionalitātes principu šajā direktīvā paredz vienīgi tos pasākumus, kas ir vajadzīgi minēto mērķu sasniegšanai. |
| --- | --- |

(43)

Ņemot vērā to, ka šīs direktīvas mērķus, proti, nodrošināt to, ka pakalpojumi, kas ir būtiski svarīgi sabiedrības funkciju vai saimniecisko darbību uzturēšanai, tiek netraucēti sniegti iekšējā tirgū, un palielināt šādus pakalpojumus sniedzošo kritisko vienību noturību, nevar pietiekami labi sasniegt atsevišķās dalībvalstīs, bet rīcības ietekmes dēļ tos var labāk sasniegt Savienības līmenī, Savienība var pieņemt pasākumus saskaņā ar Līguma par Eiropas Savienību 5. pantā noteikto subsidiaritātes principu. Saskaņā ar minētajā 5. pantā noteikto proporcionalitātes principu šajā direktīvā paredz vienīgi tos pasākumus, kas ir vajadzīgi minēto mērķu sasniegšanai.

| (44) | Saskaņā ar Eiropas Parlamenta un Padomes Regulas (ES) 2018/1725 (27) 42. panta 1. punktu ir notikusi apspriešanās ar Eiropas Datu aizsardzības uzraudzītāju, kas sniedza atzinumu 2021. gada 11. augustā. |
| --- | --- |

(44)

Saskaņā ar Eiropas Parlamenta un Padomes Regulas (ES) 2018/1725 (27) 42. panta 1. punktu ir notikusi apspriešanās ar Eiropas Datu aizsardzības uzraudzītāju, kas sniedza atzinumu 2021. gada 11. augustā.

| (45) | Tāpēc Direktīva 2008/114/EK būtu jāatceļ, |
| --- | --- |

(45)

Tāpēc Direktīva 2008/114/EK būtu jāatceļ,

IR PIEŅĒMUŠI ŠO DIREKTĪVU.

I NODAĻA

VISPĀRĪGI NOTEIKUMI

1. pants

Priekšmets un darbības joma

1.   Ar šo direktīvu:

| a) | tiek noteikti dalībvalstu pienākumi veikt konkrētus pasākumus, kuru mērķis ir nodrošināt to, ka pakalpojumi, kas ir nozīmīgi būtiski svarīgu sabiedrības funkciju vai saimniecisko darbību uzturēšanai LESD 114. panta darbības jomā, tiek netraucēti sniegti iekšējā tirgū, jo īpaši pienākumi identificēt kritiskās vienības un atbalstīt kritiskās vienības tām noteikto pienākumu izpildē; |
| --- | --- |

a)

tiek noteikti dalībvalstu pienākumi veikt konkrētus pasākumus, kuru mērķis ir nodrošināt to, ka pakalpojumi, kas ir nozīmīgi būtiski svarīgu sabiedrības funkciju vai saimniecisko darbību uzturēšanai LESD 114. panta darbības jomā, tiek netraucēti sniegti iekšējā tirgū, jo īpaši pienākumi identificēt kritiskās vienības un atbalstīt kritiskās vienības tām noteikto pienākumu izpildē;

| b) | tiek noteikti pienākumi kritiskajām vienībām ar mērķi palielināt to noturību un spēju sniegt a) apakšpunktā minētos pakalpojumus iekšējā tirgū; |
| --- | --- |

b)

tiek noteikti pienākumi kritiskajām vienībām ar mērķi palielināt to noturību un spēju sniegt a) apakšpunktā minētos pakalpojumus iekšējā tirgū;

| c) | tiek paredzēti noteikumi par:






  i) | kritisko vienību uzraudzību; |
| --- | --- | --- |

c)

tiek paredzēti noteikumi par:

i)

kritisko vienību uzraudzību;

| ii) | izpildes nodrošināšanu; |
| --- | --- |

ii)

izpildes nodrošināšanu;

| iii) | Eiropas mērogā īpaši nozīmīgu kritisko vienību identificēšanu un padomdevējām misijām nolūkā novērtēt pasākumus, ko šādas vienības ir ieviesušas, lai izpildītu savus III nodaļā noteiktos pienākumus; |
| --- | --- |

iii)

Eiropas mērogā īpaši nozīmīgu kritisko vienību identificēšanu un padomdevējām misijām nolūkā novērtēt pasākumus, ko šādas vienības ir ieviesušas, lai izpildītu savus III nodaļā noteiktos pienākumus;

| d) | tiek noteiktas kopīgas procedūras, kas vajadzīgas, lai sadarbotos un ziņotu par šīs direktīvas piemērošanu; |
| --- | --- |

d)

tiek noteiktas kopīgas procedūras, kas vajadzīgas, lai sadarbotos un ziņotu par šīs direktīvas piemērošanu;

| e) | tiek noteikti pasākumi nolūkā panākt kritisko vienību noturību augstā līmenī, lai nodrošinātu pamatpakalpojumu sniegšanu Savienībā un uzlabotu iekšējā tirgus darbību. |
| --- | --- |

e)

tiek noteikti pasākumi nolūkā panākt kritisko vienību noturību augstā līmenī, lai nodrošinātu pamatpakalpojumu sniegšanu Savienībā un uzlabotu iekšējā tirgus darbību.

2.   Šo direktīvu nepiemēro jautājumiem, uz kuriem attiecas Direktīva (ES) 2022/2555, neskarot šīs direktīvas 8. pantu. Ņemot vērā saikni starp kritisko vienību fizisko drošību un kiberdrošību, dalībvalstis nodrošina, ka šo direktīvu un Direktīvu (ES) 2022/2555 īsteno saskaņoti.

3.   Attiecīgos šīs direktīvas noteikumus, tostarp noteikumus par uzraudzību un izpildes nodrošināšanu, kas paredzēti VI nodaļā, nepiemēro, ja konkrētu nozaru Savienības tiesību aktu noteikumi prasa kritiskajām vienībām veikt pasākumus, lai palielinātu to noturību, un ja minētās prasības dalībvalstis atzīst par vismaz līdzvērtīgām šajā direktīvā noteiktajiem atbilstīgajiem pienākumiem.

4.   Neskarot LESD 346. pantu, informācijas, kas ir konfidenciāla saskaņā ar Savienības vai valstu tiesību normām, piemēram, normām par uzņēmējdarbības konfidencialitāti, apmaiņa ar Komisiju un citām attiecīgajām iestādēm saskaņā ar šo direktīvu notiek tikai tad, ja šāda apmaiņa ir nepieciešama šīs direktīvas piemērošanai. Apmainās tikai ar to informāciju, kas ir atbilstīga un samērīga minētās apmaiņas nolūkam. Informācijas apmaiņā ievēro minētās informācijas konfidencialitāti un kritisko vienību drošību un komerciālās intereses, vienlaikus ievērojot dalībvalstu drošību.

5.   Šī direktīva neskar dalībvalstu pienākumu garantēt valsts drošību un aizsardzību un to pilnvaras aizsargāt citas valsts pamatfunkcijas, tostarp nodrošināt valsts teritoriālo integritāti un uzturēt likumību un kārtību.

6.   Šo direktīvu nepiemēro valsts pārvaldes vienībām, kas veic darbības valsts drošības, sabiedriskās drošības, aizsardzības vai tiesībaizsardzības jomā, tostarp noziedzīgu nodarījumu izmeklēšanu, atklāšanu un kriminālvajāšanu.

7.   Dalībvalstis var nolemt, ka 11. pantu un III, IV un VI nodaļu pilnībā vai daļēji nepiemēro konkrētām kritiskajām vienībām, kas veic darbības valsts drošības, sabiedriskās drošības, aizsardzības vai tiesībaizsardzības jomā, tostarp noziedzīgu nodarījumu izmeklēšanu, atklāšanu un kriminālvajāšanu, vai kas sniedz pakalpojumus vienīgi šā panta 6. punktā minētajām valsts pārvaldes vienībām.

8.   Šajā direktīvā noteiktajos pienākumos nav ietverta tādas informācijas sniegšana, kuras izpaušana būtu pretrunā dalībvalstu valsts drošības, sabiedrības drošības vai aizsardzības pamatinteresēm.

9.   Šī direktīva neskar Savienības tiesību aktus par personas datu aizsardzību, jo īpaši Eiropas Parlamenta un Padomes Regulu (ES) 2016/679 (28) un Eiropas Parlamenta un Padomes Direktīvu 2002/58/EK (29).

2. pants

Definīcijas

Šajā direktīvā piemēro šādas definīcijas:

| 1) | “kritiskā vienība” ir tāda publiska vai privāta vienība, kuru dalībvalsts saskaņā ar 6. pantu ir atzinusi par piederīgu pie kādas no pielikumā esošās tabulas trešajā slejā noteiktajām kategorijām; |
| --- | --- |

1)

“kritiskā vienība” ir tāda publiska vai privāta vienība, kuru dalībvalsts saskaņā ar 6. pantu ir atzinusi par piederīgu pie kādas no pielikumā esošās tabulas trešajā slejā noteiktajām kategorijām;

| 2) | “noturība” ir kritiskās vienības spēja izvairīties no incidentiem, aizsargāties pret tiem, reaģēt uz tiem, pretoties tiem, mazināt vai absorbēt tos, pielāgoties tiem un pārvarēt tos; |
| --- | --- |

2)

“noturība” ir kritiskās vienības spēja izvairīties no incidentiem, aizsargāties pret tiem, reaģēt uz tiem, pretoties tiem, mazināt vai absorbēt tos, pielāgoties tiem un pārvarēt tos;

| 3) | “incidents” ir jebkurš notikums, kas var būtiski traucēt vai traucē pamatpakalpojuma sniegšanu, tostarp, ja tas ietekmē valsts sistēmas, kas nodrošina tiesiskumu; |
| --- | --- |

3)

“incidents” ir jebkurš notikums, kas var būtiski traucēt vai traucē pamatpakalpojuma sniegšanu, tostarp, ja tas ietekmē valsts sistēmas, kas nodrošina tiesiskumu;

| 4) | “kritiskā infrastruktūra” ir aktīvs, iekārta, aprīkojums, tīkls vai sistēma vai aktīva, iekārtas, aprīkojuma, tīkla vai sistēmas daļa, kas vajadzīga pamatpakalpojuma sniegšanai; |
| --- | --- |

4)

“kritiskā infrastruktūra” ir aktīvs, iekārta, aprīkojums, tīkls vai sistēma vai aktīva, iekārtas, aprīkojuma, tīkla vai sistēmas daļa, kas vajadzīga pamatpakalpojuma sniegšanai;

| 5) | “pamatpakalpojums” ir pakalpojums, kas ir būtisks svarīgu sabiedrības funkciju, saimniecisko darbību, sabiedrības veselības un drošības vai vides uzturēšanai; |
| --- | --- |

5)

“pamatpakalpojums” ir pakalpojums, kas ir būtisks svarīgu sabiedrības funkciju, saimniecisko darbību, sabiedrības veselības un drošības vai vides uzturēšanai;

| 6) | “risks” ir incidenta izraisītu zaudējumu vai traucējumu iespējamība, un to izsaka kā šādu zaudējumu vai traucējumu apjoma un incidenta varbūtības apvienojumu; |
| --- | --- |

6)

“risks” ir incidenta izraisītu zaudējumu vai traucējumu iespējamība, un to izsaka kā šādu zaudējumu vai traucējumu apjoma un incidenta varbūtības apvienojumu;

| 7) | “riska novērtējums” ir viss process, ko veic, lai noteiktu riska veidu un apmēru, identificējot un analizējot iespējamus attiecīgos draudus, neaizsargātību un apdraudējumus, kas varētu novest pie incidenta, un novērtējot potenciālos attiecīgā incidenta izraisītos zaudējumus vai traucējumus pamatpakalpojuma sniegšanā; |
| --- | --- |

7)

“riska novērtējums” ir viss process, ko veic, lai noteiktu riska veidu un apmēru, identificējot un analizējot iespējamus attiecīgos draudus, neaizsargātību un apdraudējumus, kas varētu novest pie incidenta, un novērtējot potenciālos attiecīgā incidenta izraisītos zaudējumus vai traucējumus pamatpakalpojuma sniegšanā;

| 8) | “standarts” ir standarts, kā definēts Eiropas Parlamenta un Padomes Regulas (ES) Nr. 1025/2012 (30) 2. panta 1. punktā; |
| --- | --- |

8)

“standarts” ir standarts, kā definēts Eiropas Parlamenta un Padomes Regulas (ES) Nr. 1025/2012 (30) 2. panta 1. punktā;

30

| 9) | “tehniskā specifikācija” ir tehniskā specifikācija, kā definēts Regulas (ES) Nr. 1025/2012 2. panta 4. punktā; |
| --- | --- |

9)

“tehniskā specifikācija” ir tehniskā specifikācija, kā definēts Regulas (ES) Nr. 1025/2012 2. panta 4. punktā;

| 10) | “valsts pārvaldes vienība” ir vienība, kas dalībvalstī par tādu ir atzīta saskaņā ar valsts tiesību aktiem, izņemot tiesu iestādes, parlamentus un centrālās bankas, un kas atbilst šādiem kritērijiem:






  a) | tā ir izveidota ar mērķi apmierināt vispārējas vajadzības, un tā nav rūpnieciska vai komerciāla; |
| --- | --- | --- |

10)

“valsts pārvaldes vienība” ir vienība, kas dalībvalstī par tādu ir atzīta saskaņā ar valsts tiesību aktiem, izņemot tiesu iestādes, parlamentus un centrālās bankas, un kas atbilst šādiem kritērijiem:

a)

tā ir izveidota ar mērķi apmierināt vispārējas vajadzības, un tā nav rūpnieciska vai komerciāla;

| b) | tai ir juridiskas personas statuss vai ar likumu noteiktas tiesības rīkoties citas vienības vārdā, kurai ir juridiskas personas statuss; |
| --- | --- |

b)

tai ir juridiskas personas statuss vai ar likumu noteiktas tiesības rīkoties citas vienības vārdā, kurai ir juridiskas personas statuss;

| c) | to galvenokārt finansē valsts iestādes vai citi centrālā līmeņa publisko tiesību subjekti; tās pārvaldību uzrauga minētās iestādes vai subjekti; vai tās vadībā, valdē vai uzraudzības padomē vairāk nekā pusi locekļu ieceļ valsts iestādes vai citi centrālā līmeņa publisko tiesību subjekti; |
| --- | --- |

c)

to galvenokārt finansē valsts iestādes vai citi centrālā līmeņa publisko tiesību subjekti; tās pārvaldību uzrauga minētās iestādes vai subjekti; vai tās vadībā, valdē vai uzraudzības padomē vairāk nekā pusi locekļu ieceļ valsts iestādes vai citi centrālā līmeņa publisko tiesību subjekti;

| d) | tai ir pilnvaras adresēt fiziskām vai juridiskām personām administratīvus vai regulatīvus lēmumus, kas skar to tiesības saistībā ar personu pārvietošanos vai preču, pakalpojumu vai kapitāla apriti pāri robežām. |
| --- | --- |

d)

tai ir pilnvaras adresēt fiziskām vai juridiskām personām administratīvus vai regulatīvus lēmumus, kas skar to tiesības saistībā ar personu pārvietošanos vai preču, pakalpojumu vai kapitāla apriti pāri robežām.

3. pants

Minimālā saskaņošana

Šī direktīva neliedz dalībvalstīm pieņemt vai paturēt spēkā valsts tiesību aktu noteikumus nolūkā panākt augstāku kritisko vienību noturības līmeni, ar noteikumu, ka šādi noteikumi ir saderīgi ar Savienības tiesību aktos noteiktajiem dalībvalstu pienākumiem.

II NODAĻA

VALSTU TIESISKAIS REGULĒJUMS KRITISKO VIENĪBU NOTURĪBAS JOMĀ

4. pants

Kritisko vienību noturības stratēģija

1.   Pēc apspriešanās, kas, cik vien tas praktiski iespējams, ir pieejama attiecīgajām ieinteresētajām personām, katra dalībvalsts līdz 2026. gada 17. janvārim pieņem kritisko vienību noturības palielināšanas stratēģiju (“stratēģija”). Stratēģijās, pamatojoties uz attiecīgām esošām valsts un nozaru stratēģijām, plāniem vai līdzīgiem dokumentiem, nosaka stratēģiskos mērķus un politikas pasākumus, lai sasniegtu un uzturētu augstu kritisko vienību noturības līmeni un aptvertu vismaz pielikumā noteiktās nozares.

2.   Katrā stratēģijā iekļauj vismaz šādus elementus:

| a) | stratēģiskos mērķus un prioritātes nolūkā palielināt kritisko vienību vispārējo noturību, ņemot vērā pārrobežu un starpnozaru atkarību un savstarpējo atkarību; |
| --- | --- |

a)

stratēģiskos mērķus un prioritātes nolūkā palielināt kritisko vienību vispārējo noturību, ņemot vērā pārrobežu un starpnozaru atkarību un savstarpējo atkarību;

| b) | pārvaldības sistēmu, lai sasniegtu stratēģiskos mērķus un prioritātes, tostarp aprakstu par dažādo stratēģijas īstenošanā iesaistīto iestāžu, kritisko vienību un citu personu uzdevumiem un pienākumiem; |
| --- | --- |

b)

pārvaldības sistēmu, lai sasniegtu stratēģiskos mērķus un prioritātes, tostarp aprakstu par dažādo stratēģijas īstenošanā iesaistīto iestāžu, kritisko vienību un citu personu uzdevumiem un pienākumiem;

| c) | to pasākumu aprakstu, kas vajadzīgi, lai palielinātu kritisko vienību vispārējo noturību, tostarp 5. pantā minētā riska novērtējuma aprakstu; |
| --- | --- |

c)

to pasākumu aprakstu, kas vajadzīgi, lai palielinātu kritisko vienību vispārējo noturību, tostarp 5. pantā minētā riska novērtējuma aprakstu;

| d) | kritisko vienību identificēšanas procesa aprakstu; |
| --- | --- |

d)

kritisko vienību identificēšanas procesa aprakstu;

| e) | tā procesa aprakstu, ar kuru atbalsta kritiskās vienības saskaņā ar šo nodaļu, tostarp pasākumus, kas vērsti uz sadarbības stiprināšanu starp publisko sektoru, no vienas puses, un privāto sektoru un publiskām un privātām vienībām, no otras puses; |
| --- | --- |

e)

tā procesa aprakstu, ar kuru atbalsta kritiskās vienības saskaņā ar šo nodaļu, tostarp pasākumus, kas vērsti uz sadarbības stiprināšanu starp publisko sektoru, no vienas puses, un privāto sektoru un publiskām un privātām vienībām, no otras puses;

| f) | sarakstu ar stratēģijas īstenošanā iesaistītajām galvenajām iestādēm un attiecīgajām ieinteresētajām personām, kas nav kritiskās vienības; |
| --- | --- |

f)

sarakstu ar stratēģijas īstenošanā iesaistītajām galvenajām iestādēm un attiecīgajām ieinteresētajām personām, kas nav kritiskās vienības;

| g) | politikas plānu par to, kā notiks koordinācija starp šīs direktīvas kompetentajām iestādēm (“kompetentās iestādes”) un Direktīvas (ES) 2022/2555 kompetentajām iestādēm, lai apmainītos ar informāciju par kiberdrošības riskiem, kiberdraudiem un kiberincidentiem un ar kiberdrošību nesaistītiem riskiem, apdraudējumiem un incidentiem un veiktu uzraudzības uzdevumus; |
| --- | --- |

g)

politikas plānu par to, kā notiks koordinācija starp šīs direktīvas kompetentajām iestādēm (“kompetentās iestādes”) un Direktīvas (ES) 2022/2555 kompetentajām iestādēm, lai apmainītos ar informāciju par kiberdrošības riskiem, kiberdraudiem un kiberincidentiem un ar kiberdrošību nesaistītiem riskiem, apdraudējumiem un incidentiem un veiktu uzraudzības uzdevumus;

| h) | jau ieviesto tādu pasākumu apraksts, kuru mērķis ir sekmēt, lai mazie un vidējie uzņēmumi Komisijas Ieteikuma 2003/361/EK (31) pielikuma nozīmē, kurus attiecīgā dalībvalsts ir identificējusi kā kritiskās vienības, īstenotu pienākumus saskaņā ar šīs direktīvas III nodaļu. |
| --- | --- |

h)

jau ieviesto tādu pasākumu apraksts, kuru mērķis ir sekmēt, lai mazie un vidējie uzņēmumi Komisijas Ieteikuma 2003/361/EK (31) pielikuma nozīmē, kurus attiecīgā dalībvalsts ir identificējusi kā kritiskās vienības, īstenotu pienākumus saskaņā ar šīs direktīvas III nodaļu.

Pēc apspriešanās, kas, cik vien tas praktiski iespējams, ir pieejama attiecīgajām ieinteresētajām personām, dalībvalstis atjaunina savas stratēģijas vismaz reizi četros gados.

3.   Savas stratēģijas un to būtiskus atjauninājumus dalībvalstis paziņo Komisijai trīs mēnešu laikā no to pieņemšanas.

5. pants

Dalībvalstu veikts riska novērtējums

1.   Komisija tiek pilnvarota līdz 2023. gada 17. novembrim saskaņā ar 23. pantu pieņemt deleģēto aktu, lai papildinātu šo direktīvu, izveidojot neizsmeļošu sarakstu ar pamatpakalpojumiem pielikumā noteiktajās nozarēs un apakšnozarēs. Kompetentās iestādes izmanto minēto sarakstu, lai līdz 2026. gada 17. janvārim veiktu riska novērtējumu (“dalībvalstu riska novērtējums”), un pēc tam to veic pēc vajadzības un vismaz reizi četros gados. Kompetentās iestādes izmanto dalībvalstu riska novērtējumus, lai identificētu kritiskās vienības saskaņā ar 6. pantu un palīdzētu minētajām kritiskajām vienībām veikt pasākumus, ievērojot 13. pantu.

Dalībvalsts riska novērtējumos ņem vērā attiecīgos dabas un cilvēka radītos riskus, tostarp starpnozaru vai pārrobežu riskus, nelaimes gadījumus, dabas katastrofas, ārkārtas situācijas sabiedrības veselības jomā un hibrīddraudus vai citus antagonistiskus draudus, tostarp teroristu nodarījumus, kā paredzēts Eiropas Parlamenta un Padomes Direktīvā (ES) 2017/541 (32).

2.   Veicot dalībvalstu riska novērtējumus, dalībvalstis ņem vērā vismaz:

| a) | vispārējo riska novērtējumu, kas veikts saskaņā ar Lēmuma Nr. 1313/2013/ES 6. panta 1. punktu; |
| --- | --- |

a)

vispārējo riska novērtējumu, kas veikts saskaņā ar Lēmuma Nr. 1313/2013/ES 6. panta 1. punktu;

| b) | citus attiecīgus riska novērtējumus, kas veikti saskaņā ar attiecīgo nozaru Savienības tiesību aktu prasībām, tostarp Eiropas Parlamenta un Padomes Regulām (ES) 2017/1938 (33) un (ES) 2019/941 (34), un Eiropas Parlamenta un Padomes Direktīvām 2007/60/EK (35) un 2012/18/ES (36); |
| --- | --- |

b)

citus attiecīgus riska novērtējumus, kas veikti saskaņā ar attiecīgo nozaru Savienības tiesību aktu prasībām, tostarp Eiropas Parlamenta un Padomes Regulām (ES) 2017/1938 (33) un (ES) 2019/941 (34), un Eiropas Parlamenta un Padomes Direktīvām 2007/60/EK (35) un 2012/18/ES (36);

| c) | attiecīgos riskus, kas rodas no apmēra, kādā nozares, kuras noteiktas pielikumā, ir atkarīgas viena no otras, tostarp no tā, cik lielā mērā tās ir atkarīgas no vienībām, kas atrodas citās dalībvalstīs un trešās valstīs, un ietekmi, kuru būtiski traucējumi vienā nozarē var radīt citās nozarēs, tostarp visus būtiskos riskus iedzīvotājiem un iekšējam tirgum; |
| --- | --- |

c)

attiecīgos riskus, kas rodas no apmēra, kādā nozares, kuras noteiktas pielikumā, ir atkarīgas viena no otras, tostarp no tā, cik lielā mērā tās ir atkarīgas no vienībām, kas atrodas citās dalībvalstīs un trešās valstīs, un ietekmi, kuru būtiski traucējumi vienā nozarē var radīt citās nozarēs, tostarp visus būtiskos riskus iedzīvotājiem un iekšējam tirgum;

| d) | visu informāciju par incidentiem, kas paziņoti saskaņā ar 15. pantu. |
| --- | --- |

d)

visu informāciju par incidentiem, kas paziņoti saskaņā ar 15. pantu.

Pirmās daļas c) punkta nolūkā dalībvalstis attiecīgi sadarbojas ar citu dalībvalstu kompetentajām iestādēm un trešo valstu kompetentajām iestādēm.

3.   Attiecīgos dalībvalstu riska novērtējumu elementus dalībvalstis dara pieejamus kritiskajām vienībām, kas identificētas saskaņā ar 6. pantu, attiecīgā gadījumā izmantojot savus vienotos kontaktpunktus. Dalībvalstis nodrošina, ka kritiskajām vienībām sniegtā informācija palīdz tām veikt savus riska novērtējumus, ievērojot 12. pantu, un veikt pasākumus savas noturības nodrošināšanai, ievērojot 13. pantu.

4.   Trīs mēnešu laikā no dalībvalsts riska novērtējuma veikšanas dalībvalsts sniedz Komisijai attiecīgu informāciju par dalībvalsts riska novērtējumā identificēto risku veidiem un tā rezultātus par katru pielikumā noteikto nozari un apakšnozari.

5.   Lai izpildītu 4. punkta prasības, Komisija sadarbībā ar dalībvalstīm izstrādā brīvprātīgu kopēju ziņošanas veidni.

6. pants

Kritisko vienību identificēšana

1.   Līdz 2026. gada 17. jūlijam katra dalībvalsts identificē kritiskās vienības pielikumā noteiktajās nozarēs un apakšnozarēs.

2.   Kad dalībvalsts identificē kritiskās vienības, ievērojot 1. punktu, tā ņem vērā sava dalībvalsts riska novērtējuma un stratēģijas rezultātus un piemēro visus turpmāk minētos kritērijus:

| a) | vienība sniedz vienu vai vairākus pamatpakalpojumus; |
| --- | --- |

a)

vienība sniedz vienu vai vairākus pamatpakalpojumus;

| b) | vienība darbojas un tās kritiskā infrastruktūra atrodas attiecīgās dalībvalsts teritorijā; un |
| --- | --- |

b)

vienība darbojas un tās kritiskā infrastruktūra atrodas attiecīgās dalībvalsts teritorijā; un

| c) | incidentam būtu būtiska traucējoša ietekme, kas noteikta saskaņā ar 7. panta 1. punktu, uz viena vai vairāku pamatpakalpojumu sniegšanu, ko veic vienība, vai uz citu pamatpakalpojumu sniegšanu pielikumā noteiktajā nozarēs, kuras ir atkarīgas no attiecīgā pamatpakalpojuma vai attiecīgajiem pamatpakalpojumiem. |
| --- | --- |

c)

incidentam būtu būtiska traucējoša ietekme, kas noteikta saskaņā ar 7. panta 1. punktu, uz viena vai vairāku pamatpakalpojumu sniegšanu, ko veic vienība, vai uz citu pamatpakalpojumu sniegšanu pielikumā noteiktajā nozarēs, kuras ir atkarīgas no attiecīgā pamatpakalpojuma vai attiecīgajiem pamatpakalpojumiem.

3.   Katra dalībvalsts izveido saskaņā ar 2. punktu identificēto kritisko vienību sarakstu un nodrošina, ka attiecīgajām kritiskajām vienībām viena mēneša laikā pēc minētās identificēšanas tiek paziņots par to, ka tās ir identificētas par kritiskajām vienībām. Neskarot 8. pantu, dalībvalstis informē minētās kritiskās vienības par pienākumiem, kas tām noteikti III un IV nodaļā, un par datumu, no kura minētie pienākumi uz tām attiecas. Dalībvalstis informē pielikumā esošās tabulas 3., 4. un 8. punktā noteikto nozaru kritiskās vienības par to, ka uz tām neattiecas III un IV nodaļā noteiktie pienākumi, ja vien valsts pasākumi neparedz citādi.

Attiecīgajām kritiskajām vienībām III nodaļu sāk piemērot pēc 10 mēnešiem no šā punkta pirmajā daļā minētā paziņošanas datuma.

4.   Dalībvalstis nodrošina, ka šīs direktīvas kompetentās iestādes paziņo Direktīvas (ES) 2022/2555 kompetentajām iestādēm to kritisko vienību identitāti, kuras tās ir identificējušas saskaņā ar šo pantu, un to dara viena mēneša laikā pēc minētās identificēšanas. Minētajā paziņojumā attiecīgā gadījumā norāda, ka attiecīgās kritiskās vienības ir vienības šīs direktīvas pielikumā esošās tabulas 3., 4. un 8. punktā noteiktajās nozarēs un uz tām neattiecas III un IV nodaļā noteiktie pienākumi.

5.   Dalībvalstis pēc vajadzības un jebkurā gadījumā vismaz reizi četros gados pārskata un attiecīgā gadījumā atjaunina 3. punktā minēto identificēto kritisko vienību sarakstu. Ja šo atjauninājumu rezultātā tiek identificētas papildu kritiskās vienības, attiecīgajām papildu kritiskajām vienībām piemēro 3. un 4. punktu. Turklāt dalībvalstis nodrošina, ka vienībām, kas šādos atjauninājumos vairs netiek identificētas par kritiskajām vienībām, tiek savlaicīgi paziņots par šo faktu un to, ka uz tām no attiecīgā paziņojuma saņemšanas dienas vairs neattiecas III nodaļā noteiktie pienākumi.

6.   Komisija sadarbībā ar dalībvalstīm izstrādā ieteikumus un nesaistošas pamatnostādnes, lai palīdzētu dalībvalstīm identificēt kritiskās vienības.

7. pants

Būtiska traucējoša ietekme

1.   Nosakot 6. panta 2. punkta c) apakšpunktā minētās traucējošās ietekmes būtiskumu, dalībvalstis ņem vērā šādus kritērijus:

| a) | to lietotāju skaits, kuri izmanto attiecīgās vienības sniegto pamatpakalpojumu; |
| --- | --- |

a)

to lietotāju skaits, kuri izmanto attiecīgās vienības sniegto pamatpakalpojumu;

| b) | apmērs, kādā citas pielikumā noteiktās nozares un apakšnozares ir atkarīgas no attiecīgā pamatpakalpojuma; |
| --- | --- |

b)

apmērs, kādā citas pielikumā noteiktās nozares un apakšnozares ir atkarīgas no attiecīgā pamatpakalpojuma;

| c) | ietekme, ko pakāpes un ilguma ziņā varētu radīt incidenti uz ekonomiskām un sabiedriskām darbībām, vidi, sabiedrības drošumu un drošību vai iedzīvotāju veselību; |
| --- | --- |

c)

ietekme, ko pakāpes un ilguma ziņā varētu radīt incidenti uz ekonomiskām un sabiedriskām darbībām, vidi, sabiedrības drošumu un drošību vai iedzīvotāju veselību;

| d) | vienības tirgus daļa attiecīgā pamatpakalpojuma vai attiecīgo pamatpakalpojumu tirgū; |
| --- | --- |

d)

vienības tirgus daļa attiecīgā pamatpakalpojuma vai attiecīgo pamatpakalpojumu tirgū;

| e) | ģeogrāfiskā teritorija, ko incidents varētu ietekmēt, tostarp jebkāda pārrobežu ietekme, ņemot vērā neaizsargātību, kas izriet no dažu ģeogrāfisko teritoriju, piemēram, salu reģionu, attālo reģionu vai kalnu apvidu, izolācijas pakāpes; |
| --- | --- |

e)

ģeogrāfiskā teritorija, ko incidents varētu ietekmēt, tostarp jebkāda pārrobežu ietekme, ņemot vērā neaizsargātību, kas izriet no dažu ģeogrāfisko teritoriju, piemēram, salu reģionu, attālo reģionu vai kalnu apvidu, izolācijas pakāpes;

| f) | vienības nozīmīgums pietiekama pamatpakalpojuma līmeņa uzturēšanai, ņemot vērā alternatīvu līdzekļu pieejamību minētā pamatpakalpojuma sniegšanai. |
| --- | --- |

f)

vienības nozīmīgums pietiekama pamatpakalpojuma līmeņa uzturēšanai, ņemot vērā alternatīvu līdzekļu pieejamību minētā pamatpakalpojuma sniegšanai.

2.   Pēc kritisko vienību identificēšanas, ievērojot 6. panta 1. punktu, katra dalībvalsts bez liekas kavēšanās iesniedz Komisijai šādu informāciju:

| a) | saraksts ar pamatpakalpojumiem, kas tiek sniegti attiecīgajā dalībvalstī, ja ir kādi papildu pamatpakalpojumi, ko neaptver 5. panta 1. punktā minētais pamatpaklpojumu saraksts; |
| --- | --- |

a)

saraksts ar pamatpakalpojumiem, kas tiek sniegti attiecīgajā dalībvalstī, ja ir kādi papildu pamatpakalpojumi, ko neaptver 5. panta 1. punktā minētais pamatpaklpojumu saraksts;

| b) | to kritisko vienību skaits, kuras identificētas katrā pielikumā noteiktajā nozarē un apakšnozarē un attiecībā uz katru pamatpakalpojumu; |
| --- | --- |

b)

to kritisko vienību skaits, kuras identificētas katrā pielikumā noteiktajā nozarē un apakšnozarē un attiecībā uz katru pamatpakalpojumu;

| c) | visas robežvērtības, ko piemēro, lai precizētu vienu vai vairākus 1. punktā noteiktos kritērijus. |
| --- | --- |

c)

visas robežvērtības, ko piemēro, lai precizētu vienu vai vairākus 1. punktā noteiktos kritērijus.

Pirmās daļas c) apakšpunktā minētās robežvērtības var atspoguļot katru atsevišķi vai apkopotā veidā.

Pēc tam dalībvalstis pirmajā daļā minēto informāciju iesniedz pēc vajadzības, bet vismaz reizi četros gados.

3.   Komisija pēc apspriešanās ar 19. pantā minēto Kritisko vienību noturības grupu, ņemot vērā šā panta 2. punktā minēto informāciju, pieņem nesaistošas pamatnostādnes, lai atvieglotu šā panta 1. punktā minēto kritēriju piemērošanu.

8. pants

Kritiskās vienības banku, finanšu tirgus infrastruktūras un digitālās infrastruktūras nozarēs

Dalībvalstis nodrošina, ka 11. pantu un III, IV un VI nodaļu nepiemēro kritiskajām vienībām, kuras tās ir identificējušas pielikumā esošās tabulas 3., 4. un 8. punktā noteiktajās nozarēs. Dalībvalstis var pieņemt vai paturēt spēkā valsts tiesību aktu noteikumus nolūkā panākt augstāku minēto kritisko vienību noturības līmeni ar noteikumu, ka minētie valsts noteikumi ir saskanīgi ar piemērojamiem Savienības tiesību aktiem.

9. pants

Kompetentās iestādes un vienotais kontaktpunkts

1.   Katra dalībvalsts izraugās vai izveido vienu vai vairākas kompetentās iestādes, kas ir atbildīgas par pareizu šajā direktīvā noteikto noteikumu piemērošanu un vajadzības gadījumā izpildes nodrošināšanu valsts līmenī.

Attiecībā uz kritiskajām vienībām šīs direktīvas pielikumā esošās tabulas 3. un 4. punktā noteiktajās nozarēs kompetentās iestādes principā ir kompetentās iestādes, kas minētas Regulas (ES) 2022/2554 46. pantā. Attiecībā uz šīs direktīvas pielikumā esošās tabulas 8. punktā noteiktajām kritiskajām vienībām kompetentās iestādes principā ir Direktīvas (ES) 2022/2555 kompetentās iestādes. Dalībvalstis var izraudzīties citu kompetento iestādi šīs direktīvas pielikuma esošās tabulas 3., 4. un 8. punktā noteiktajās nozarēs saskaņā ar esošo valsts tiesisko regulējumu.

Ja dalībvalstis izraugās vai izveido vairāk nekā vienu kompetento iestādi, tās skaidri nosaka katras attiecīgās iestādes uzdevumus un nodrošina, ka tās efektīvi sadarbojas, lai izpildītu savus uzdevumus saskaņā ar šo direktīvu, tostarp attiecībā uz 2. punktā minētā vienotā kontaktpunkta izraudzīšanos un darbībām.

2.   Katra dalībvalsts izraugās vai izveido vienu vienoto kontaktpunktu, kas pilda koordinācijas funkciju, lai nodrošinātu pārrobežu sadarbību ar citu dalībvalstu vienotajiem kontaktpunktiem un 19. pantā minēto Kritisko vienību noturības grupu (“vienotais kontaktpunkts”). Attiecīgā gadījumā dalībvalsts izraugās savu vienoto kontaktpunktu kompetentā iestādē. Attiecīgā gadījumā dalībvalsts var noteikt, ka tās vienotais kontaktpunkts pilda arī koordinācijas funkciju sadarbībai ar Komisiju un nodrošina sadarbību ar trešām valstīm.

3.   Līdz 2028. gada 17. jūlijam un pēc tam reizi divos gados vienotie kontaktpunkti iesniedz Komisijai un 19. pantā minētajai Kritisko vienību noturības grupai kopsavilkuma ziņojumu par saņemtajiem paziņojumiem, tostarp par paziņojumu skaitu, paziņoto incidentu būtību un par darbībām, kas veiktas saskaņā ar 15. panta 3. punktu.

Komisija sadarbībā ar Kritisko vienību noturības grupu izstrādā kopēju ziņošanas veidni. Kompetentās iestādes minēto ziņošanas veidni var brīvprātīgi izmantot, lai iesniegtu pirmajā daļā minētos kopsavilkuma ziņojumus.

4.   Katra dalībvalsts nodrošina, ka tās kompetentajai iestādei un vienotajam kontaktpunktam ir pilnvaras un atbilstoši finanšu, cilvēku un tehniskie resursi, lai efektīvi un rezultatīvi veiktu tiem uzticētos uzdevumus.

5.   Katra dalībvalstis nodrošina, ka tās kompetentā iestāde vajadzības gadījumā un saskaņā ar Savienības un valsts tiesību aktiem apspriežas un sadarbojas ar citām attiecīgajām valsts iestādēm, tostarp tām, kas atbild par civilo aizsardzību, tiesībaizsardzību un personas datu aizsardzību, un ar kritiskajām vienībām un attiecīgajām ieinteresētajām personām.

6.   Katra dalībvalsts nodrošina, ka šīs direktīvas kompetentā iestāde sadarbojas ar Direktīvas (ES) 2022/2555 kompetentajām iestādēm un apmainās ar tām ar informāciju attiecībā uz kiberdrošības riskiem, kiberdraudiem un kiberincidentiem un ar kiberdrošību nesaistītiem riskiem, apdraudējumiem un incidentiem, kas skar kritiskās vienības, tostarp attiecībā uz attiecīgiem pasākumiem, kurus veikusi tās kompetentā iestāde un Direktīvas (ES) 2022/2555 kompetentās iestādes.

7.   Katra dalībvalsts trīs mēnešu laikā pēc kompetentās iestādes un vienotā kontaktpunkta izraudzīšanas vai izveidošanas paziņo Komisijai to identitāti un to uzdevumus un pienākumus saskaņā ar šo direktīvu, to kontaktinformāciju un jebkādas turpmākas izmaiņas tajā. Dalībvalstis informē Komisiju, ja attiecībā uz kritiskajām vienībām pielikumā esošās tabulas 3., 4. un 8. punktā noteiktajās nozarēs tās nolemj par kompetento iestādi izraudzīties kādu citu iestādi, nevis tās, kas minētas 1. punkta otrajā daļā. Katra dalībvalsts publisko savas kompetentās iestādes un vienotā kontaktpunkta identitāti.

8.   Komisija vienoto kontaktpunktu sarakstu dara publiski pieejamu.

10. pants

Dalībvalstu atbalsts kritiskajām vienībām

1.   Dalībvalstis atbalsta kritiskās vienības to noturības palielināšanā. Šis atbalsts var iekļaut vadlīniju materiālu un metožu izstrādi, atbalstu tādu praktisko nodarbību organizēšanā, kas paredzētas, lai pārbaudītu to noturību, un konsultāciju un apmācību nodrošināšanu kritisko vienību personālam. Neskarot piemērojamos noteikumus par valsts atbalstu, dalībvalstis var nodrošināt finanšu resursus kritiskajām vienībām, ja tas ir nepieciešams un pamatots ar sabiedrības interešu mērķiem.

2.   Katra dalībvalsts nodrošina, ka tās kompetentās iestāde sadarbojas un apmainās ar informāciju un labu praksi ar pielikumā noteikto nozaru kritiskajām vienībām.

3.   Dalībvalstis veicina brīvprātīgu informācijas apmaiņu starp kritiskajām vienībām saistībā ar jautājumiem, uz kuriem attiecas šī direktīva, saskaņā ar Savienības un valstu tiesību aktiem, jo īpaši par klasificētu un sensitīvu informāciju, konkurenci un personas datu aizsardzību.

11. pants

Sadarbība starp dalībvalstīm

1.   Kad vien tas ir lietderīgi, dalībvalstis apspriežas savā starpā par kritiskajām vienībām, lai nodrošinātu to, ka šī direktīva tiek konsekventi piemērota. Šāda apspriešanās jo īpaši notiek par kritiskajām vienībām, kuras:

| a) | izmanto kritisko infrastruktūru, kas ir fiziski savienota starp divām vai vairāk dalībvalstīm; |
| --- | --- |

a)

izmanto kritisko infrastruktūru, kas ir fiziski savienota starp divām vai vairāk dalībvalstīm;

| b) | ir daļa no korporatīvām struktūrām, kas ir savienotas ar kritiskajām vienībām citās dalībvalstīs vai ir ar tām saistītas; |
| --- | --- |

b)

ir daļa no korporatīvām struktūrām, kas ir savienotas ar kritiskajām vienībām citās dalībvalstīs vai ir ar tām saistītas;

| c) | ir identificētas kā kritiskās vienības vienā dalībvalstī un sniedz pamatpakalpojumus uz citām dalībvalstīm vai citās dalībvalstīs. |
| --- | --- |

c)

ir identificētas kā kritiskās vienības vienā dalībvalstī un sniedz pamatpakalpojumus uz citām dalībvalstīm vai citās dalībvalstīs.

2.   Šā panta 1. punktā minētās apspriešanās mērķis ir palielināt kritisko vienību noturību un, ja iespējams, samazināt to administratīvo slogu.

III NODAĻA

KRITISKO VIENĪBU NOTURĪBA

12. pants

Kritisko vienību veikts riska novērtējums

1.   Neatkarīgi no 6. panta 3. punkta otrajā daļā noteiktā termiņa dalībvalstis nodrošina, ka kritiskās vienības deviņu mēnešu laikā no 6. panta 3. punktā minētā paziņojuma saņemšanas un pēc tam, kad vien tas ir vajadzīgs, bet vismaz reizi četros gados, pamatojoties uz dalībvalstu riska novērtējumiem un citiem attiecīgiem informācijas avotiem veic riska novērtējumu, lai novērtētu visus attiecīgos riskus, kas varētu traucēt to pamatpakalpojumu sniegšanu (“kritiskās vienības riska novērtējums”).

2.   Kritisko vienību riska novērtējumos ņem vērā visus attiecīgos dabas un cilvēka radītos riskus kas varētu izraisīt incidentu, tostarp starpnozaru vai pārrobežu riskus, nelaimes gadījumus, dabas katastrofas, ārkārtas situācijas sabiedrības veselības jomā un hibrīddraudus un citus antagonistiskus draudus, tostarp teroristu nodarījumus, kā paredzēts Direktīvā (ES) 2017/541. Kritiskās vienības riska novērtējumā ņem vērā to, cik lielā mērā pielikumā noteiktās citas nozares ir atkarīgas no kritiskās vienības sniegtā pamatpakalpojuma, un to, cik lielā mērā attiecīgā kritiskā vienība ir atkarīga no pamatpakalpojumiem, ko sniedz citas vienības šādās citās nozarēs, tostarp attiecīgā gadījumā kaimiņos esošajās dalībvalstīs un trešās valstīs.

Ja kritiskā vienība ir veikusi citus riska novērtējumus vai izstrādājusi dokumentus, ievērojot pienākumus, kas noteikti citos tiesību aktos, kuri attiecas uz tās kritiskās vienības riska novērtējumu, tā var izmantot minētos novērtējumus un dokumentus, lai izpildītu šajā pantā noteiktās prasības. Pildot savas uzraudzības funkcijas, kompetentā iestāde var paziņot, ka esošais kritiskās vienības veiktais riska novērtējums, kurā pievēršas šā punkta pirmajā daļā minētajiem riskiem un atkarības apmēram, pilnībā vai daļēji izpilda šā panta pienākumus.

13. pants

Kritisko vienību noturības pasākumi

1.   Dalībvalstis nodrošina, ka, pamatojoties uz attiecīgo informāciju, ko dalībvalstis sniegušas par dalībvalsts riska novērtējumu un par kritiskās vienības riska novērtējuma rezultātiem, kritiskās vienības veic atbilstīgus un samērīgus tehniskus, drošības, un organizatoriskus pasākumus, lai nodrošinātu to noturību, tostarp pasākumus, kas vajadzīgi, lai:

| a) | novērstu incidentus, pienācīgi ņemot vērā pasākumus, kuri nepieciešami katastrofu riska mazināšanai un tam, lai pielāgotos klimata pārmaiņām; |
| --- | --- |

a)

novērstu incidentus, pienācīgi ņemot vērā pasākumus, kuri nepieciešami katastrofu riska mazināšanai un tam, lai pielāgotos klimata pārmaiņām;

| b) | nodrošinātu to telpām un kritiskajai infrastruktūrai atbilstošu fizisko aizsardzību, pienācīgi ņemot vērā, piemēram, nožogojumus, barjeras, perimetra novērošanas rīkus un rutīnas, atklāšanas aprīkojumu un piekļuves kontroli; |
| --- | --- |

b)

nodrošinātu to telpām un kritiskajai infrastruktūrai atbilstošu fizisko aizsardzību, pienācīgi ņemot vērā, piemēram, nožogojumus, barjeras, perimetra novērošanas rīkus un rutīnas, atklāšanas aprīkojumu un piekļuves kontroli;

| c) | reaģētu uz incidentu sekām, pretotos tām un mazinātu tās, pienācīgi ņemot vērā riska un krīzes pārvaldības procedūru un protokolu un standarta rīcības trauksmes gadījumā īstenošanu; |
| --- | --- |

c)

reaģētu uz incidentu sekām, pretotos tām un mazinātu tās, pienācīgi ņemot vērā riska un krīzes pārvaldības procedūru un protokolu un standarta rīcības trauksmes gadījumā īstenošanu;

| d) | atkoptos no incidentiem, pienācīgi ņemot vērā darbības nepārtrauktības pasākumus un alternatīvu piegādes ķēžu apzināšanu, lai atsāktu pamatpakalpojumu sniegšanu; |
| --- | --- |

d)

atkoptos no incidentiem, pienācīgi ņemot vērā darbības nepārtrauktības pasākumus un alternatīvu piegādes ķēžu apzināšanu, lai atsāktu pamatpakalpojumu sniegšanu;

| e) | nodrošinātu pienācīgu darbinieku drošības pārvaldību, pienācīgi ņemot vērā tādus pasākumus kā to darbinieku kategoriju noteikšana, kuri pilda kritiskas funkcijas, piekļuves tiesību noteikšana telpām, kritiskajai infrastruktūrai un sensitīvai informācijai, procedūru ieviešana iepriekšējās darbības pārbaudes veikšanai saskaņā ar 14. pantu un to personu kategoriju noteikšana, attiecībā uz kurām ir jāveic iepriekšējās darbības pārbaude, un pienācīgu apmācības prasību un kvalifikāciju noteikšanai; |
| --- | --- |

e)

nodrošinātu pienācīgu darbinieku drošības pārvaldību, pienācīgi ņemot vērā tādus pasākumus kā to darbinieku kategoriju noteikšana, kuri pilda kritiskas funkcijas, piekļuves tiesību noteikšana telpām, kritiskajai infrastruktūrai un sensitīvai informācijai, procedūru ieviešana iepriekšējās darbības pārbaudes veikšanai saskaņā ar 14. pantu un to personu kategoriju noteikšana, attiecībā uz kurām ir jāveic iepriekšējās darbības pārbaude, un pienācīgu apmācības prasību un kvalifikāciju noteikšanai;

| f) | palielinātu attiecīgā personāla informētību par a)–e) apakšpunktā minētajiem pasākumiem, pienācīgi ņemot vērā mācību kursus, informatīvus materiālus un mācības. |
| --- | --- |

f)

palielinātu attiecīgā personāla informētību par a)–e) apakšpunktā minētajiem pasākumiem, pienācīgi ņemot vērā mācību kursus, informatīvus materiālus un mācības.

Piemērojot pirmās daļas e) apakšpunktu, dalībvalstis nodrošina, ka kritiskās vienības, nosakot to darbinieku kategorijas, kuri pilda kritiskas funkcijas, ņem vērā ārpakalpojumu sniedzēju personālu.

2.   Dalībvalstis nodrošina, ka kritiskās vienības ir ieviesušas un piemēro noturības plānu vai līdzvērtīgu dokumentu vai dokumentus, kurā(-os) aprakstīti pasākumi, kas veikti ievērojot 1. punktu. Ja kritiskās vienības ir izstrādājušas dokumentus vai veikušas pasākumus, ievērojot citos tiesību aktos noteiktus pienākumus, kuri attiecas uz 1. punktā minētajiem pasākumiem, tās var izmantot minētos dokumentus un pasākumus, lai izpildītu šajā pantā noteiktās prasības. Pildot uzraudzības funkcijas, kompetentā iestāde var paziņot, ka esošie kritiskās vienības veiktie noturības palielināšanas pasākumi, ar kuriem pienācīgā un samērīgā veidā pievēršas 1. punktā minētajiem tehniskajiem, drošības un organizatoriskajiem pasākumiem, pilnībā vai daļēji izpilda šā panta prasības.

3.   Dalībvalstis nodrošina, ka katra kritiskā vienība izraugās sadarbības koordinatoru vai tā ekvivalentu par kontaktpunktu saziņai ar kompetentajām iestādēm.

4.   Pēc tās dalībvalsts pieprasījuma, kura identificējusi kritisko vienību, un ar attiecīgās kritiskās vienības piekrišanu Komisija saskaņā ar 18. panta 6., 8. un 9. punktā izklāstīto kārtību organizē padomdevējas misijas, lai konsultētu attiecīgo kritisko vienību par III nodaļā noteikto pienākumu izpildi. Padomdevēja misija par saviem konstatējumiem ziņo Komisijai, attiecīgajai dalībvalstij un attiecīgajai kritiskajai vienībai.

5.   Komisija, apspriedusies ar 19. pantā minēto Kritisko vienību noturības grupu, pieņem nesaistošas pamatnostādnes, lai sīkāk precizētu tehniskos, drošības un organizatoriskos pasākumus, ko var veikt, ievērojot šā panta 1. punktu.

6.   Komisija pieņem īstenošanas aktus, lai noteiktu vajadzīgās tehniskās un metodoloģiskās specifikācijas attiecībā uz šā panta 1. punktā minēto pasākumu piemērošanu. Minētos īstenošanas aktus pieņem saskaņā ar pārbaudes procedūru, kas minēta 24. panta 2. punktā.

14. pants

Iepriekšējās darbības pārbaudes

1.   Dalībvalstis precizē nosacījumus, ar kuriem kritiskajai vienībai ir atļauts pienācīgi pamatotos gadījumos un ņemot vērā dalībvalsts riska novērtējumu, iesniegt pieprasījumus veikt iepriekšējās darbības pārbaudi attiecībā uz personām, kas:

| a) | veic sensitīvas funkcijas kritiskajā vienībā vai kritiskās vienības labā, jo īpaši saistībā ar kritiskās vienības noturību; |
| --- | --- |

a)

veic sensitīvas funkcijas kritiskajā vienībā vai kritiskās vienības labā, jo īpaši saistībā ar kritiskās vienības noturību;

| b) | ir pilnvarotas tieši vai attālināti piekļūt tās telpām, informācijas vai kontroles sistēmām, tostarp saistībā ar kritiskās vienības drošību; |
| --- | --- |

b)

ir pilnvarotas tieši vai attālināti piekļūt tās telpām, informācijas vai kontroles sistēmām, tostarp saistībā ar kritiskās vienības drošību;

| c) | tiek apsvērtas pieņemšanai darbā amatos, uz kuriem attiecas a) un b) apakšpunktā noteiktie kritēriji. |
| --- | --- |

c)

tiek apsvērtas pieņemšanai darbā amatos, uz kuriem attiecas a) un b) apakšpunktā noteiktie kritēriji.

2.   Šā panta 1. punktā minētos pieprasījumus izvērtē saprātīgā termiņā un apstrādā saskaņā ar valsts tiesību aktiem un procedūrām un attiecīgajiem un piemērojamajiem Savienības tiesību aktiem, tostarp Regulu (ES) 2016/679 un Eiropas Parlamenta un Padomes Direktīvu (ES) 2016/680 (37). Iepriekšējās darbības pārbaudes ir samērīgas un stingri aprobežojas ar to, kas ir nepieciešams. Tās veic vienīgi nolūkā izvērtēt iespējamu drošības risku attiecīgajai kritiskajai vienībai.

3.   Šā panta 1. punktā minētajā iepriekšējās darbības pārbaudē vismaz:

| a) | apstiprina tās personas identitāti, uz kuru attiecas iepriekšējās darbības pārbaude; |
| --- | --- |

a)

apstiprina tās personas identitāti, uz kuru attiecas iepriekšējās darbības pārbaude;

| b) | pārbauda sodāmības reģistrā ierakstus par attiecīgo personu attiecībā uz noziedzīgiem nodarījumiem, kas ir relevanti saistībā ar konkrēto amatu. |
| --- | --- |

b)

pārbauda sodāmības reģistrā ierakstus par attiecīgo personu attiecībā uz noziedzīgiem nodarījumiem, kas ir relevanti saistībā ar konkrēto amatu.

Veicot iepriekšējās darbības pārbaudes, dalībvalstis nolūkā iegūt informāciju no citu dalībvalstu sodāmības reģistriem, izmanto Eiropas Sodāmības reģistru informācijas sistēmu saskaņā ar procedūrām, kuras noteiktas Pamatlēmumā 2009/315/TI un attiecīgā un piemērojamā gadījumā, Regulā (ES) 2019/816. Pamatlēmuma 2009/315/TI 3. panta 1. punktā un Regulas (ES) 2019/816 3. panta 5) punktā minētās centrālās iestādes saskaņā ar Pamatlēmuma 2009/315/TI 8. panta 1. punktu sniedz atbildes uz šādas informācijas pieprasījumiem 10 darba dienu laikā no pieprasījuma saņemšanas dienas.

15. pants

Incidentu paziņošana

1.   Dalībvalstis nodrošina, ka kritiskās vienības bez liekas kavēšanās paziņo kompetentajai iestādei par incidentiem, kuri būtiski traucē vai var būtiski traucēt pamatpakalpojumu sniegšanu. Dalībvalstis nodrošina, ka, ja vien tas nav operacionāli neiespējams, kritiskās vienības iesniedz sākotnēju paziņojumu ne vēlāk kā 24 stundu laikā pēc tam, kad kritiskā vienība ir uzzinājusi par incidentu, un, attiecīgā gadījumā, ne vēlāk kā vienu mēnesi pēc tam iesniedz detalizētu ziņojumu. Lai noteiktu traucējuma būtiskumu, jo īpaši ņem vērā šādus parametrus:

| a) | traucējuma skarto lietotāju skaits un īpatsvars; |
| --- | --- |

a)

traucējuma skarto lietotāju skaits un īpatsvars;

| b) | traucējuma ilgums; |
| --- | --- |

b)

traucējuma ilgums;

| c) | traucējuma skartā ģeogrāfiskā teritorija, ņemot vērā to, vai šis apgabals ir ģeogrāfiski izolēts. |
| --- | --- |

c)

traucējuma skartā ģeogrāfiskā teritorija, ņemot vērā to, vai šis apgabals ir ģeogrāfiski izolēts.

Ja incidentam ir vai varētu būt būtiska ietekme uz pamatpakalpojumu sniegšanas nepārtrauktību uz sešām vai vairāk dalībvalstīm vai sešās vai vairāk dalībvalstīs, to dalībvalstu, ko skāris incidents, kompetentās iestādes par šo incidentu paziņo Komisijai.

2.   Šā panta 1. punkta pirmajā daļā minētajos paziņojumos iekļauj visu pieejamo informāciju, kas vajadzīga, lai kompetentā iestāde varētu izprast incidenta veidu, cēloni un iespējamās sekas, tostarp, jebkādu pieejamo informāciju, kas vajadzīga, lai noteiktu incidenta pārrobežu ietekmi. Šādi paziņojumi neuzliek kritiskajām vienībām lielāku atbildību.

3.   Pamatojoties uz informāciju, ko kritiskā vienība sniegusi 1. punktā minētajā paziņojumā, attiecīgā kompetentā iestāde ar vienotā kontaktpunkta starpniecību informē citu skarto dalībvalstu vienotos kontaktpunktus, ja incidents būtiski ietekmē vai varētu būtiski ietekmēt kritiskās vienības un pamatpakalpojumu sniegšanas nepārtrauktību vienai vai vairākām citām dalībvalstīm vai vienā vai vairākās citās dalībvalstīs.

Sūtot un saņemot informāciju, ievērojot pirmo daļu, vienotie kontaktpunkti saskaņā ar Savienības tiesību aktiem vai valsts tiesību aktiem apstrādā minēto informāciju tā, lai tiktu ievērota tās konfidencialitāte un aizsargāta attiecīgās kritiskās vienības drošība un komerciālās intereses.

4.   Cik drīz vien iespējams pēc 1. punktā minētā paziņojuma, attiecīgā kompetentā iestāde nodrošina attiecīgajai kritiskajai vienībai attiecīgu papildu informāciju, tostarp informāciju, kura varētu palīdzēt minētajai kritiskajai vienībai efektīvi reaģēt uz attiecīgo incidentu. Dalībvalstis informē sabiedrību, ja tās uzskata, ka tas ir sabiedrības interesēs.

16. pants

Standarti

Lai veicinātu konverģentu šīs direktīvas īstenošanu, dalībvalstis, ja tas ir lietderīgi, un neuzspiežot izmantot kādu konkrētu tehnoloģiju un neliekot to izvēlēties ar diskriminējošiem pasākumiem, mudina izmantot Eiropas un starptautiskus standartus un tehniskas specifikācijas, kas attiecas uz kritiskajām vienībām piemērojamajiem drošības un noturības pasākumiem.

IV NODAĻA

EIROPAS MĒROGĀ ĪPAŠI NOZĪMĪGAS KRITISKĀS VIENĪBAS

17. pants

Eiropas mērogā īpaši nozīmīgu kritisko vienību identifikācija

1.   Vienību uzskata par Eiropas mērogā īpaši nozīmīgu kritisko vienību, ja:

| a) | tā ir identificēta par kritisku vienību, ievērojot 6. panta 1. punktu; |
| --- | --- |

a)

tā ir identificēta par kritisku vienību, ievērojot 6. panta 1. punktu;

| b) | tā sniedz vienādus vai līdzīgus pamatpakalpojumus sešās vai vairāk dalībvalstīs vai uz sešām vai vairāk dalībvalstīm; un |
| --- | --- |

b)

tā sniedz vienādus vai līdzīgus pamatpakalpojumus sešās vai vairāk dalībvalstīs vai uz sešām vai vairāk dalībvalstīm; un

| c) | par to ir paziņots, ievērojot šā panta 3. punktu. |
| --- | --- |

c)

par to ir paziņots, ievērojot šā panta 3. punktu.

2.   Dalībvalstis nodrošina, ka kritiskā vienība pēc 6. panta 3. punktā minētā paziņojuma informē savu kompetento iestādi, ja tā sniedz pamatpakalpojumus uz sešām vai vairāk dalībvalstīm vai sešās vai vairāk dalībvalstīs. Šādā gadījumā dalībvalstis nodrošina, ka kritiskā vienība informē savu kompetento iestādi par tiem pamatpakalpojumiem, ko tā sniedz attiecīgajām dalībvalstīm vai attiecīgajās dalībvalstīs un par tām dalībvalstīm, uz kurām vai kurās tā sniedz šādus pamatpakalpojumus. Dalībvalstis bez liekas kavēšanās paziņo Komisijai šādu kritisko vienību identitāti un informāciju, kuru tās sniegušas saskaņā ar šo punktu.

Komisija apspriežas ar tās dalībvalsts kompetento iestādi, kura identificējusi kritisko vienību, kā minēts pirmajā daļā, ar citu attiecīgo dalībvalstu kompetentajām iestādēm un ar attiecīgo kritisko vienību. Šajās apspriedēs katra dalībvalsts informē Komisiju, vai tā uzskata, ka pakalpojumi, ko kritiskā vienība sniedz attiecīgajai dalībvalstij, ir pamatpakalpojumi.

3.   Ja Komisija, pamatojoties uz šā panta 2. punktā minēto apspriešanos, konstatē, ka attiecīgā kritiskā vienība sniedz pamatpakalpojumus uz sešām vai vairāk dalībvalstīm vai sešās vai vairāk dalībvalstīs, Komisija attiecīgajai kritiskajai vienībai ar tās kompetentās iestādes starpniecību paziņo, ka tā tiek uzskatīta par Eiropas mērogā īpaši nozīmīgu kritisko vienību un informē šo kritisko vienību par tās pienākumiem saskaņā ar šo nodaļu un par datumu, no kura šie pienākumi tai piemērojami. Tiklīdz Komisija informē kompetento iestādi par savu lēmumu uzskatīt kādu kritisko vienību par Eiropas mērogā īpaši nozīmīgu kritisko vienību, kompetentā iestāde bez liekas kavēšanās pārsūta minēto paziņojumu attiecīgajai kritiskajai vienībai.

4.   Šo nodaļu attiecīgajai Eiropas mērogā īpaši nozīmīgajai kritiskajai vienībai piemēro no šā panta 3. punktā minētā paziņojuma saņemšanas dienas.

18. pants

Padomdevējas misijas

1.   Pēc dalībvalsts, kura Eiropas mērogā īpaši nozīmīgu kritisko vienību ir identificējusi par kritisku vienību, ievērojot 6. panta 1. punktu, pieprasījuma Komisija organizē padomdevēju misiju nolūkā novērtēt pasākumus, ko attiecīgā kritiskā vienība ir ieviesusi, lai izpildītu savus III nodaļā noteiktos pienākumus.

2.   Pēc savas iniciatīvas vai pēc vienas vai vairāku tādu dalībvalstu lūguma, uz kurām vai kurās sniedz pamatpakalpojumu, un ar noteikumu, ka dalībvalsts, kura, ievērojot 6. panta 1. punktu, par kritisku vienību ir identificējusi Eiropas mērogā īpaši nozīmīgu kritisko vienību, tam piekrīt, Komisija organizē padomdevēju misiju, kā minēts šā panta 1. punktā.

3.   Pēc Komisijas vai vienas vai vairāku dalībvalstu, uz kurām vai kurās sniedz pamatpakalpojumu, pamatota pieprasījuma dalībvalsts, kura, ievērojot 6. panta 1. punktu, par kritisku vienību ir identificējusi Eiropas mērogā īpaši nozīmīgu kritisko vienību, sniedz Komisijai šādu informāciju:

| a) | kritiskās vienības riska novērtējuma attiecīgās daļas; |
| --- | --- |

a)

kritiskās vienības riska novērtējuma attiecīgās daļas;

| b) | sarakstu ar attiecīgajiem pasākumiem, kas veikti saskaņā ar 13. pantu; |
| --- | --- |

b)

sarakstu ar attiecīgajiem pasākumiem, kas veikti saskaņā ar 13. pantu;

| c) | uzraudzības vai izpildes nodrošināšanas darbības, tostarp izdotus atbilstības novērtējumus vai rīkojumus, ko tās kompetentā iestāde ir veikusi attiecībā uz minēto kritisko vienību saskaņā ar 21. un 22. pantu. |
| --- | --- |

c)

uzraudzības vai izpildes nodrošināšanas darbības, tostarp izdotus atbilstības novērtējumus vai rīkojumus, ko tās kompetentā iestāde ir veikusi attiecībā uz minēto kritisko vienību saskaņā ar 21. un 22. pantu.

4.   Padomdevēja misija trīs mēnešu laikā pēc padomdevējas misijas pabeigšanas ziņo par saviem konstatējumiem Komisijai, dalībvalstij, kura, ievērojot 6. panta 1. punktu, par kritisku vienību ir identificējusi Eiropas mērogā īpaši nozīmīgu kritisko vienību, dalībvalstīm, uz kurām vai kurās sniedz pamatpakalpojumu, un attiecīgajai kritiskajai vienībai.

Dalībvalstis, uz kurām vai kurās sniedz pamatpakalpojumu, analizē pirmajā daļā minēto ziņojumu un vajadzības gadījumā konsultē Komisiju par to, vai attiecīgā Eiropas mērogā īpaši nozīmīgā kritiskā vienība pilda savus III nodaļā noteiktos pienākumus un, attiecīgā gadījumā par to, kādus pasākumus varētu veikt, lai uzlabotu minētās kritiskās vienības noturību.

Komisija, pamatojoties uz šā punkta otrajā daļā minēto konsultāciju, paziņo dalībvalstij, kura, ievērojot 6. panta 1. punktu, par kritisku vienību ir identificējusi Eiropas mērogā īpaši nozīmīgu kritisko vienību, dalībvalstīm, uz kurām vai kurās sniedz pamatpakalpojumu, un minētajai kritiskajai vienībai savu atzinumu par to, vai minētā kritiskā vienība pilda savus III nodaļā noteiktos pienākumus un attiecīgā gadījumā par to, kādus pasākumus varētu veikt, lai uzlabotu minētās kritiskās vienības noturību.

Dalībvalsts kura, ievērojot 6. panta 1. punktu, par kritisku vienību ir identificējusi Eiropas mērogā īpaši nozīmīgu kritisko vienību, nodrošina, ka tās kompetentā iestāde un attiecīgā kritiskā vienība pienācīgi ņem vērā šā punkta trešajā daļā minēto atzinumu un sniedz informāciju Komisijai un dalībvalstīm, uz kurām vai kurās sniedz pamatpakalpojumu, par pasākumiem, ko tā veikusi, ievērojot minēto atzinumu.

5.   Katras padomdevējas misijas sastāvā ir eksperti no dalībvalsts, kurā atrodas Eiropas mērogā īpaši nozīmīgā kritiskā vienība, eksperti no dalībvalstīm, uz kurām vai kurās sniedz pamatpakalpojumu, un Komisijas pārstāvji. Attiecīgās dalībvalstis var izvirzīt kandidātus dalībai padomdevējā misijā. Komisija pēc apspriešanās ar dalībvalsti, kura, ievērojot 6. panta 1. punktu, par kritisku vienību ir identificējusi Eiropas mērogā īpaši nozīmīgu kritisko vienību, atlasa un ieceļ katras padomdevējas misijas locekļus saskaņā ar viņu profesionālajām spējām un, ja iespējams, nodrošinot ģeogrāfiski līdzsvarotu pārstāvību no visām attiecīgajām dalībvalstīm. Vajadzības gadījumā padomdevējas misijas locekļiem ir derīga un atbilstoša drošības pielaide. Komisija sedz izmaksas, kas saistītas ar dalību padomdevējās misijās.

Komisija sastāda katras padomdevējas misijas programmu, apspriežoties ar attiecīgās padomdevējas misijas locekļiem un vienojoties ar dalībvalsti, kura, ievērojot 6. panta 1. punktu, par kritisku vienību ir identificējusi Eiropas mērogā īpaši nozīmīgu kritisko vienību.

6.   Komisija pieņem īstenošanas aktu, kurā paredz noteikumus par procedūrām attiecībā uz pieprasījumiem organizēt padomdevējas misijas, šādu pieprasījumu izskatīšanu, attiecībā uz padomdevēju misiju veikšanu un to ziņojumiem un attiecībā uz to, kā tiek paziņots par šā panta 4. punkta trešajā daļā minēto Komisijas atzinumu un par veiktajiem pasākumiem, pienācīgi ņemot vērā attiecīgās informācijas konfidencialitāti un komerciālo sensitivitāti. Šo īstenošanas aktu pieņem saskaņā ar pārbaudes procedūru, kas minēta 24. panta 2. punktā.

7.   Dalībvalstis nodrošina, ka Eiropas mērogā īpaši nozīmīgās kritiskās vienības sniedz padomdevējām misijām piekļuvi informācijai, sistēmām un iekārtām, kas ir saistītas ar to pamatpakalpojumu sniegšanu, kas nepieciešami, lai veiktu attiecīgo padomdevēju misiju.

8.   Padomdevējas misijas veic saskaņā ar piemērojamajiem tās dalībvalsts tiesību aktiem, kurā tās tiek veiktas, ievērojot minētās dalībvalsts atbildību par valsts drošību un savu drošības interešu aizsardzību.

9.   Organizējot padomdevējas misijas, Komisija ņem vērā ziņojumus par visām pārbaudēm, ko Komisija veikusi saskaņā ar Regulu (EK) Nr. 725/2004 un (EK) Nr. 300/2008, kā arī ziņojumus par uzraudzību, kuru Komisija veikusi saskaņā ar Direktīvu 2005/65/EK attiecībā uz attiecīgo kritisko vienību.

10.   Ikreiz, kad tiek organizēta padomdevēja misija, Komisija par to informē 19. pantā minēto Kritisko vienību noturības grupu. Dalībvalsts, kurā norisinājās padomdevēja misija, un Komisija arī informē Kritisko vienību noturības grupu par galvenajiem padomdevējas misijas konstatējumiem un gūto pieredzi nolūkā veicināt savstarpēju mācīšanos.

V NODAĻA

SADARBĪBA UN ZIŅOŠANA

19. pants

Kritisko vienību noturības grupa

1.   Ar šo tiek izveidota Kritisko vienību noturības grupa. Kritisko vienību noturības grupa atbalsta Komisiju un veicina sadarbību starp dalībvalstīm un informācijas apmaiņu par jautājumiem, kas saistīti ar šo direktīvu.

2.   Kritisko vienību noturības grupas sastāvā ir dalībvalstu un Komisijas pārstāvji, kuriem vajadzības gadījumā ir drošības pielaide. Ja tas ir relevanti tās uzdevumu veikšanai, Kritisko vienību noturības grupa var uzaicināt attiecīgas ieinteresētās personas piedalīties tās darbā. Ja Eiropas Parlaments to pieprasa, Komisija var uzaicināt ekspertus no Eiropas Parlamenta piedalīties Kritisko vienību noturības grupas sanāksmēs.

Kritisko vienību noturības grupu vada Komisijas pārstāvis.

3.   Kritisko vienību noturības grupai ir šādi uzdevumi:

| a) | atbalstīt Komisiju, kad tā palīdz dalībvalstīm stiprināt to spēju palīdzēt nodrošināt kritisko vienību noturību saskaņā ar šo direktīvu; |
| --- | --- |

a)

atbalstīt Komisiju, kad tā palīdz dalībvalstīm stiprināt to spēju palīdzēt nodrošināt kritisko vienību noturību saskaņā ar šo direktīvu;

| b) | analizēt stratēģijas, lai apzinātu paraugpraksi attiecībā uz minētajām stratēģijām; |
| --- | --- |

b)

analizēt stratēģijas, lai apzinātu paraugpraksi attiecībā uz minētajām stratēģijām;

| c) | veicināt paraugprakses apmaiņu attiecībā uz to, kā dalībvalstis identificē kritiskās vienības, ievērojot 6. panta 1. punktu, tostarp attiecībā uz pārrobežu un starpnozaru atkarību un attiecībā uz riskiem un incidentiem; |
| --- | --- |

c)

veicināt paraugprakses apmaiņu attiecībā uz to, kā dalībvalstis identificē kritiskās vienības, ievērojot 6. panta 1. punktu, tostarp attiecībā uz pārrobežu un starpnozaru atkarību un attiecībā uz riskiem un incidentiem;

| d) | attiecīgā gadījumā jautājumos, kas saistīti ar šo direktīvu, sniegt ieguldījumu dokumentos par noturību Savienības līmenī; |
| --- | --- |

d)

attiecīgā gadījumā jautājumos, kas saistīti ar šo direktīvu, sniegt ieguldījumu dokumentos par noturību Savienības līmenī;

| e) | palīdzēt sagatavot 7. panta 3. punktā un 13. panta 5. punktā minētās pamatnostādnes un pēc pieprasījuma – jebkādus deleģētos vai īstenošanas aktus, kas pieņemti ievērojot šo direktīvu; |
| --- | --- |

e)

palīdzēt sagatavot 7. panta 3. punktā un 13. panta 5. punktā minētās pamatnostādnes un pēc pieprasījuma – jebkādus deleģētos vai īstenošanas aktus, kas pieņemti ievērojot šo direktīvu;

| f) | analizēt 9. panta 3. punktā minētos kopsavilkuma ziņojumus, lai veicinātu paraugprakses apmaiņu par darbībām, kas veiktas saskaņā ar 15. panta 3. punktu; |
| --- | --- |

f)

analizēt 9. panta 3. punktā minētos kopsavilkuma ziņojumus, lai veicinātu paraugprakses apmaiņu par darbībām, kas veiktas saskaņā ar 15. panta 3. punktu;

| g) | apmainīties ar paraugpraksi attiecībā uz 15. pantā minēto incidentu paziņošanu; |
| --- | --- |

g)

apmainīties ar paraugpraksi attiecībā uz 15. pantā minēto incidentu paziņošanu;

| h) | apspriest padomdevēju misiju kopsavilkuma ziņojumus un gūto pieredzi saskaņā ar 18. panta 10. punktu; |
| --- | --- |

h)

apspriest padomdevēju misiju kopsavilkuma ziņojumus un gūto pieredzi saskaņā ar 18. panta 10. punktu;

| i) | apmainīties ar informāciju un paraugpraksi inovācijas, pētniecības un izstrādes jomā saistībā ar kritisko vienību noturību saskaņā ar šo direktīvu; |
| --- | --- |

i)

apmainīties ar informāciju un paraugpraksi inovācijas, pētniecības un izstrādes jomā saistībā ar kritisko vienību noturību saskaņā ar šo direktīvu;

| j) | attiecīgā gadījumā apmainīties ar informāciju jautājumos, kas attiecas uz kritisko vienību noturību, ar attiecīgajām Savienības iestādēm, struktūrām, birojiem un aģentūrām. |
| --- | --- |

j)

attiecīgā gadījumā apmainīties ar informāciju jautājumos, kas attiecas uz kritisko vienību noturību, ar attiecīgajām Savienības iestādēm, struktūrām, birojiem un aģentūrām.

4.   Līdz 2025. gada 17. janvārim un pēc tam reizi divos gados Kritisko vienību noturības grupa izstrādā darba programmu par pasākumiem, kas jāveic, lai īstenotu tai noteiktos mērķus un uzdevumus. Minētā darba programma ir saderīga ar šīs direktīvas prasībām un mērķiem.

5.   Kritisko vienību noturības grupa regulāri un jebkurā gadījumā vismaz reizi gadā tiekas ar Sadarbības grupu, kas izveidota saskaņā ar Direktīvu (ES) 2022/2555, veicinātu un atvieglotu sadarbību un informācijas apmaiņu.

6.   Komisija var pieņemt īstenošanas aktus, ar kuriem nosaka Kritisko vienību noturības grupas darbības procedūras, ievērojot 1. panta 4. punktu. Minētos īstenošanas aktus pieņem saskaņā ar pārbaudes procedūru, kas minēta 24. panta 2. punktā.

7.   Komisija iesniedz Kritisko vienību noturības grupai kopsavilkuma ziņojumu par informāciju, ko dalībvalstis sniegušas saskaņā ar 4. panta 3. punktu un 5. panta 4. punktu, līdz 2027. gada 17. janvārim, pēc tam pēc vajadzības un vismaz reizi četros gados.

20. pants

Komisijas atbalsts kompetentajām iestādēm un kritiskajām vienībām

1.   Komisija attiecīgā gadījumā atbalsta dalībvalstis un kritiskās vienības to pienākumu izpildē saskaņā ar šo direktīvu. Komisija sagatavo Savienības līmeņa pārskatu par pārrobežu un starpnozaru riskiem pamatpakalpojumu sniegšanai, organizē 13. panta 4. punktā un 18. pantā minētās padomdevējas misijas un sekmē informācijas apmaiņu starp dalībvalstīm un ekspertiem visā Savienībā.

2.   Komisija papildina 10. pantā minētās dalībvalstu darbības, izstrādājot paraugpraksi, vadlīniju materiālus un metodes, izstrādājot pārrobežu apmācības pasākumus un praktiskās nodarbības, lai pārbaudītu kritisko vienību noturību.

3.   Komisija informē dalībvalstis par finanšu resursiem Savienības līmenī, kas tām pieejami kritisko vienību noturības uzlabošanai.

VI NODAĻA

UZRAUDZĪBA UN IZPILDES NODROŠINĀŠANA

21. pants

Uzraudzība un izpildes nodrošināšana

1.   Lai novērtētu, vai vienības, kuras dalībvalstis, ievērojot 6. panta 1. punktu, ir identificējušas par kritiskajām vienībām, izpilda šajā direktīvā noteiktos pienākumus, dalībvalstis nodrošina, ka kompetentajām iestādēm ir pilnvaras un līdzekļi, lai:

| a) | veiktu kritiskās infrastruktūras pārbaudes uz vietas un telpās, ko kritiskā vienība izmanto, lai sniegtu savus pamatpakalpojumus, un neklātienē uzraudzītu pasākumus, ko kritiskās vienības veic saskaņā ar 13. pantu; |
| --- | --- |

a)

veiktu kritiskās infrastruktūras pārbaudes uz vietas un telpās, ko kritiskā vienība izmanto, lai sniegtu savus pamatpakalpojumus, un neklātienē uzraudzītu pasākumus, ko kritiskās vienības veic saskaņā ar 13. pantu;

| b) | veiktu vai uzdotu veikt revīzijas attiecībā uz kritiskajām vienībām. |
| --- | --- |

b)

veiktu vai uzdotu veikt revīzijas attiecībā uz kritiskajām vienībām.

2.   Dalībvalstis nodrošina, ka kompetentajām iestādēm ir pilnvaras un līdzekļi, ja tas nepieciešams šajā direktīvā minēto uzdevumu veikšanai, pieprasīt, lai Direktīvas (ES) 2022/2555 vienības, ko dalībvalstis ir identificējušas par šīs direktīvas kritiskajām vienībām, minēto iestāžu noteiktā samērīgā termiņā sniegtu:

| a) | informāciju, kas vajadzīga, lai novērtētu, vai pasākumi, kurus minētās vienības veic savas noturības nodrošināšanai, atbilst 13. pantā noteiktajām prasībām; |
| --- | --- |

a)

informāciju, kas vajadzīga, lai novērtētu, vai pasākumi, kurus minētās vienības veic savas noturības nodrošināšanai, atbilst 13. pantā noteiktajām prasībām;

| b) | pierādījumus par efektīvu šo pasākumu īstenošanu, tostarp tādas revīzijas rezultātus, kuru veicis minētās vienības izvēlēts neatkarīgs un kvalificēts revidents un kura veikta par tās līdzekļiem. |
| --- | --- |

b)

pierādījumus par efektīvu šo pasākumu īstenošanu, tostarp tādas revīzijas rezultātus, kuru veicis minētās vienības izvēlēts neatkarīgs un kvalificēts revidents un kura veikta par tās līdzekļiem.

Pieprasot šādu informāciju, kompetentās iestādes norāda pieprasījuma nolūku un precizē, kāda informācija tiek prasīta.

3.   Neskarot iespēju piemērot sankcijas saskaņā ar 22. pantu, kompetentās iestādes pēc šā panta 1. punktā minētajām uzraudzības darbībām vai pēc šā panta 2. punktā minētās informācijas novērtēšanas var dot rīkojumu attiecīgajām kritiskajām vienībām veikt nepieciešamus un samērīgus pasākumus, lai minēto iestāžu noteiktā samērīgā termiņā novērstu visus konstatētos šīs direktīvas pārkāpumus, un sniegt minētajām iestādēm informāciju par veiktajiem pasākumiem. Minētajos rīkojumos jo īpaši ņem vērā pārkāpuma smagumu.

4.   Dalībvalsts nodrošina, ka 1., 2. un 3. punktā paredzētās pilnvaras var īstenot, tikai ievērojot atbilstīgus aizsardzības pasākumus. Minētie aizsardzības pasākumi jo īpaši garantē, ka šāda īstenošana notiek objektīvi, pārredzami un samērīgi un ka tiek pienācīgi aizsargātas skarto kritisko vienību tiesības un leģitīmās intereses, piemēram, aizsargāts tirdzniecības noslēpums un komercnoslēpums, tostarp to tiesības tikt uzklausītām, tiesības uz aizstāvību un tiesības uz efektīviem tiesiskās aizsardzības līdzekļiem neatkarīgā tiesā.

5.   Dalībvalstis nodrošina, ka tad, kad šīs direktīvas kompetentā iestāde, ievērojot šo pantu, novērtē kādas kritiskās vienības atbilstību, attiecīgā kompetentā iestāde informē attiecīgo dalībvalstu Direktīvas (ES) 2022/2555 kompetentās iestādes. Šajā nolūkā dalībvalstis nodrošina to, ka šīs direktīvas kompetentās iestādes var lūgt Direktīvas (ES) 2022/2555 kompetentās iestādes īstenot savas uzraudzības un izpildes nodrošināšanas pilnvaras attiecībā uz minētajā direktīvā noteikto nozīmīgu vienību, kas ir identificēta kā kritiskā vienība saskaņā ar šo direktīvu. Šajā nolūkā dalībvalstis nodrošina, ka šīs direktīvas kompetentās iestādes sadarbojas un apmainās ar informāciju ar Direktīvas (ES) 2022/2555 kompetentajām iestādēm.

22. pants

Sankcijas

Dalībvalstis paredz noteikumus par sankcijām, ko piemēro par to valsts pasākumu pārkāpumiem, kuri pieņemti saskaņā ar šo direktīvu, un veic visus vajadzīgos pasākumus, lai nodrošinātu to piemērošanu. Paredzētās sankcijas ir efektīvas, samērīgas un atturošas. Dalībvalstis minētos noteikumus un pasākumus līdz 2024. gada 17. oktobrim dara zināmus Komisijai un nekavējoties paziņo tai par jebkādiem turpmākiem grozījumiem, kas tos ietekmē.

VII NODAĻA

DELEĢĒTIE UN ĪSTENOŠANAS AKTI

23. pants

Deleģēšanas īstenošana

1.   Pilnvaras pieņemt deleģētos aktus Komisijai piešķir, ievērojot šajā pantā izklāstītos nosacījumus.

2.   Pilnvaras pieņemt 5. panta 1. punktā minētos deleģētos aktus Komisijai piešķir uz piecu gadu laikposmu no 2023. gada 16. janvāra.

3.   Eiropas Parlaments vai Padome jebkurā laikā var atsaukt 5. panta 1. punktā minēto pilnvaru deleģēšanu. Ar lēmumu par atsaukšanu izbeidz tajā norādīto pilnvaru deleģēšanu. Lēmums stājas spēkā nākamajā dienā pēc tā publicēšanas Eiropas Savienības Oficiālajā Vēstnesī vai vēlākā dienā, kas tajā norādīta. Tas neskar jau spēkā esošos deleģētos aktus.

4.   Pirms deleģētā akta pieņemšanas Komisija apspriežas ar katras dalībvalsts ieceltajiem ekspertiem saskaņā ar principiem, kas noteikti 2016. gada 13. aprīļa Iestāžu nolīgumā par labāku likumdošanas procesu.

5.   Tiklīdz Komisija pieņem deleģēto aktu, tā par to paziņo vienlaikus Eiropas Parlamentam un Padomei.

6.   Saskaņā ar 5. panta 1. punktu pieņemts deleģētais akts stājas spēkā tikai tad, ja divos mēnešos no dienas, kad minētais akts paziņots Eiropas Parlamentam un Padomei, ne Eiropas Parlaments, ne Padome nav izteikuši iebildumus vai ja pirms minētā laikposma beigām gan Eiropas Parlaments, gan Padome ir informējuši Komisiju par savu nodomu neizteikt iebildumus. Pēc Eiropas Parlamenta vai Padomes iniciatīvas šo laikposmu pagarina par diviem mēnešiem.

24. pants

Komiteju procedūra

1.   Komisijai palīdz komiteja. Minētā komiteja ir komiteja Regulas (ES) Nr. 182/2011 nozīmē.

2.   Ja ir atsauce uz šo punktu, piemēro Regulas (ES) Nr. 182/2011 5. pantu.

VIII NODAĻA

NOBEIGUMA NOTEIKUMI

25. pants

Ziņošana un pārskatīšana

Komisija līdz 2027. gada 17. jūlijam iesniedz Eiropas Parlamentam un Padomei ziņojumu, kurā novērtē, kādā mērā katra dalībvalsts ir veikusi vajadzīgos pasākumus, lai izpildītu šīs direktīvas prasības.

Komisija periodiski pārskata šīs direktīvas darbību un iesniedz ziņojumu Eiropas Parlamentam un Padomei. Minētajā ziņojumā jo īpaši izvērtē šīs direktīvas pievienoto vērtību, tās ietekmi attiecībā uz kritisko vienību noturības nodrošināšanu un to, vai šīs direktīvas pielikumā būtu jāveic grozījumi. Komisija iesniedz pirmo šādu ziņojumu līdz 2029. gada 17. jūnijam. Šajā pantā minētās ziņošanas nolūkā Komisija ņem vērā Kritisko vienību noturības grupas attiecīgos dokumentus.

26. pants

Transponēšana

1.   Dalībvalstis līdz 2024. gada 17. oktobrim pieņem un publicē noteikumus, kas vajadzīgi, lai izpildītu šīs direktīvas prasības. Dalībvalstis par to tūlīt informē Komisiju.

Tās piemēro minētos noteikumus no 2024. gada 18. oktobra.

2.   Kad dalībvalstis pieņem 1. punktā minētos noteikumus, tajos ietver atsauci uz šo direktīvu vai arī šādu atsauci pievieno to oficiālai publikācijai. Dalībvalstis nosaka paņēmienus, kā izdarāma šāda atsauce.

27. pants

Direktīvas 2008/114/EK atcelšana

Direktīvu 2008/114/EK atceļ no 2024. gada 18. oktobra.

Atsauces uz atcelto direktīvu uzskata par atsaucēm uz šo direktīvu.

28. pants

Stāšanās spēkā

Šī direktīva stājas spēkā divdesmitajā dienā pēc tās publicēšanas Eiropas Savienības Oficiālajā Vēstnesī.

Eiropas Savienības Oficiālajā Vēstnesī

29. pants

Adresāti

Šī direktīva ir adresēta dalībvalstīm.

Strasbūrā, 2022. gada 14. decembrī

Eiropas Parlamenta vārdā –

priekšsēdētāja

R. METSOLA

Padomes vārdā –

priekšsēdētājs

M. BEK

---

(1)  
  OV C 286, 16.7.2021., 170. lpp.

1

(2)  
  OV C 440, 29.10.2021., 99. lpp.

2

(3)  Eiropas Parlamenta 2022. gada 22. novembra nostāja (Oficiālajā Vēstnesī vēl nav publicēta) un Padomes 2022. gada 8. decembra lēmums.

3

Oficiālajā Vēstnesī

(4)  Padomes Direktīva 2008/114/EK (2008. gada 8. decembris) par to, lai apzinātu un noteiktu Eiropas kritiskās infrastruktūras un novērtētu vajadzību uzlabot to aizsardzību (OV L 345, 23.12.2008., 75. lpp.).

4

(5)  Eiropas Parlamenta un Padomes Direktīva (ES) 2022/2555 (2022. gada 14. decembris) par pasākumiem nolūkā panākt vienādi augsta līmeņa kiberdrošību visā Savienībā un ar ko groza Regulu (ES) Nr. 910/2014 un Direktīvu (ES) 2018/1972 un atceļ Direktīvu (ES) 2016/1148 (TID 2 direktīva) (skatīt šā Oficiālā Vēstneša 80. lpp.).

5

Oficiālā Vēstneša

(6)  Eiropas Parlamenta un Padomes Direktīva (ES) 2016/1148 (2016. gada 6. jūlijs) par pasākumiem nolūkā panākt vienādi augsta līmeņa tīklu un informācijas sistēmu drošību visā Savienībā (OV L 194, 19.7.2016., 1. lpp.).

6

(7)  Eiropas Parlamenta un Padomes Regula (ES) 2019/452 (2019. gada 19. marts), ar ko izveido regulējumu ārvalstu tiešo ieguldījumu Savienībā izvērtēšanai (OV L 79I, 21.3.2019., 1. lpp.).

7

(8)  Eiropas Parlamenta un Padomes Regula (ES) Nr. 648/2012 (2012. gada 4. jūlijs) par ārpusbiržas atvasinātajiem instrumentiem, centrālajiem darījumu partneriem un darījumu reģistriem (OV L 201, 27.7.2012., 1. lpp.).

8

(9)  Eiropas Parlamenta un Padomes Regula (ES) Nr. 575/2013 (2013. gada 26. jūnijs) par prudenciālajām prasībām attiecībā uz kredītiestādēm un ieguldījumu brokeru sabiedrībām, un ar ko groza Regulu (ES) Nr. 648/2012 (OV L 176, 27.6.2013., 1. lpp.).

9

(10)  Eiropas Parlamenta un Padomes Regula (ES) Nr. 600/2014 (2014. gada 15. maijs) par finanšu instrumentu tirgiem un ar ko groza Regulu (ES) Nr. 648/2012 (OV L 173, 12.6.2014., 84. lpp.).

10

(11)  Eiropas Parlamenta un Padomes Direktīva 2013/36/ES (2013. gada 26. jūnijs) par piekļuvi kredītiestāžu darbībai un kredītiestāžu un ieguldījumu brokeru sabiedrību prudenciālo uzraudzību, ar ko groza Direktīvu 2002/87/EK un atceļ Direktīvas 2006/48/EK un 2006/49/EK (OV L 176, 27.6.2013., 338. lpp.).

11

(12)  Eiropas Parlamenta un Padomes Direktīva 2014/65/ES (2014. gada 15. maijs) par finanšu instrumentu tirgiem un ar ko groza Direktīvu 2002/92/EK un Direktīvu 2011/61/ES (OV L 173, 12.6.2014., 349. lpp.).

12

(13)  Eiropas Parlamenta un Padomes Regula (ES) 2022/2554 (2022. gada 14. decembris) par finanšu sektora digitālās darbības noturību un ar ko groza Regulas (EK) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 un (ES) 2016/1011 (skatīt šā Oficiālā Vēstneša 1. lpp.).

13

Oficiālā Vēstneša

(14)  Eiropas Parlamenta un Padomes Regula (EK) Nr. 725/2004 (2004. gada 31. marts) par kuģu un ostas iekārtu drošības pastiprināšanu (OV L 129, 29.4.2004., 6. lpp.).

14

(15)  Eiropas Parlamenta un Padomes Regula (EK) Nr. 300/2008 (2008. gada 11. marts) par kopīgiem noteikumiem civilās aviācijas drošības jomā un ar ko atceļ Regulu (EK) Nr. 2320/2002 (OV L 97, 9.4.2008., 72. lpp.).

15

(16)  Eiropas Parlamenta un Padomes Direktīva 2005/65/EK (2005. gada 26. oktobris) par ostu aizsardzības pastiprināšanu (OV L 310, 25.11.2005., 28. lpp.).

16

(17)  Eiropas Parlamenta un Padomes Direktīva 2008/96/EK (2008. gada 19. novembris) par ceļu infrastruktūras drošības pārvaldību (OV L 319, 29.11.2008., 59. lpp.).

17

(18)  Komisijas Lēmums (2018. gada 29. jūnijs), ar ko izveido ES Dzelzceļa pasažieru drošības platformu, 2018/C 232/03 (OV C 232, 3.7.2018., 10. lpp.).

18

(19)  Padomes Pamatlēmums 2009/315/TI (2009. gada 26. februāris) par organizatoriskiem pasākumiem un saturu no sodāmības reģistra iegūtas informācijas apmaiņai starp dalībvalstīm (OV L 93, 7.4. 2009., 23. lpp.).

19

(20)  Eiropas Parlamenta un Padomes Regula (ES) 2019/816 (2019. gada 17. aprīlis), ar ko Eiropas Sodāmības reģistru informācijas sistēmas papildināšanai izveido centralizētu sistēmu (ECRIS-TCN) tādu dalībvalstu identificēšanai, kurām ir informācija par notiesājošiem spriedumiem par trešo valstu valstspiederīgajiem un bezvalstniekiem, un ar ko groza Regulu (ES) 2018/1726 (OV L 135, 22.5.2019., 1. lpp.).

20

ECRIS-TCN

(21)  Eiropas Parlamenta un Padomes Regula (ES) 2018/1862 (2018. gada 28. novembris) par Šengenas Informācijas sistēmas (SIS) izveidi, darbību un izmantošanu policijas sadarbībā un tiesu iestāžu sadarbībā krimināllietās un ar ko groza un atceļ Padomes Lēmumu 2007/533/TI un atceļ Eiropas Parlamenta un Padomes Regulu (EK) Nr. 1986/2006 un Komisijas Lēmumu 2010/261/ES (OV L 312, 7.12.2018., 56. lpp.).

21

SIS

(22)  Eiropas Parlamenta un Padomes Lēmums Nr. 1313/2013/ES (2013. gada 17. decembris) par Savienības civilās aizsardzības mehānismu (OV L 347, 20.12.2013., 924. lpp.).

22

(23)  Eiropas Parlamenta un Padomes Regula (ES) 2021/1149 (2021. gada 7. jūlijs) par Iekšējās drošības fonda izveidi (OV L 251, 15.7.2021., 94. lpp.).

23

(24)  Eiropas Parlamenta un Padomes Regula (ES) 2021/695 (2021. gada 28. aprīlis), ar ko izveido pētniecības un inovācijas pamatprogrammu “Apvārsnis Eiropa”, nosaka tās dalības un rezultātu izplatīšanas noteikumus un atceļ Regulas (ES) Nr. 1290/2013 un (ES) Nr. 1291/2013 (OV L 170, 12.5.2021., 1. lpp.).

24

(25)  
  OV L 123, 12.5.2016., 1. lpp.

25

(26)  Eiropas Parlamenta un Padomes Regula (ES) Nr. 182/2011 (2011. gada 16. februāris), ar ko nosaka normas un vispārīgus principus par dalībvalstu kontroles mehānismiem, kuri attiecas uz Komisijas īstenošanas pilnvaru izmantošanu (OV L 55, 28.2.2011., 13. lpp.).

26

(27)  Eiropas Parlamenta un Padomes Regula (ES) 2018/1725 (2018. gada 23. oktobris) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi Savienības iestādēs, struktūrās, birojos un aģentūrās un par šādu datu brīvu apriti un ar ko atceļ Regulu (EK) Nr. 45/2001 un Lēmumu Nr. 1247/2002/EK (OV L 295, 21.11.2018., 39. lpp.).

27

(28)  Eiropas Parlamenta un Padomes Regula (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (OV L 119, 4.5.2016., 1. lpp.).

28

(29)  Eiropas Parlamenta un Padomes Direktīva 2002/58/EK (2002. gada 12. jūlijs) par personas datu apstrādi un privātās dzīves aizsardzību elektronisko komunikāciju nozarē (Direktīva par privāto dzīvi un elektronisko komunikāciju) (OV L 201, 31.7.2002., 37. lpp.).

29

(30)  Eiropas Parlamenta un Padomes Regula (ES) Nr. 1025/2012 (2012. gada 25. oktobris) par Eiropas standartizāciju, ar ko groza Padomes Direktīvas 89/686/EEK un 93/15/EEK un Eiropas Parlamenta un Padomes Direktīvas 94/9/EK, 94/25/EK, 95/16/EK, 97/23/EK, 98/34/EK, 2004/22/EK, 2007/23/EK, 2009/23/EK un 2009/105/EK, un ar ko atceļ Padomes Lēmumu 87/95/EEK un Eiropas Parlamenta un Padomes Lēmumu Nr. 1673/2006/EK (OV L 316, 14.11.2012., 12. lpp.).

30

(31)  Komisijas Ieteikums 2003/361/EK (2003. gada 6. maijs) par mikrouzņēmumu, mazo un vidējo uzņēmumu definīciju (OV L 124, 20.5.2003., 36. lpp.).

31

(32)  Eiropas Parlamenta un Padomes Direktīva (ES) 2017/541 (2017. gada 15. marts) par terorisma apkarošanu un ar ko aizstāj Padomes Pamatlēmumu 2002/475/TI un groza Padomes Lēmumu 2005/671/TI (OV L 88, 31.3.2017., 6. lpp.).

32

(33)  Eiropas Parlamenta un Padomes Regula (ES) 2017/1938 (2017. gada 25. oktobris) par gāzes piegādes drošības aizsardzības pasākumiem un ar ko atceļ Regulu (ES) Nr. 994/2010 (OV L 280, 28.10.2017., 1. lpp.).

33

(34)  Eiropas Parlamenta un Padomes Regula (ES) 2019/941 (2019. gada 5. jūnijs) par riskgatavību elektroenerģijas sektorā un ar ko atceļ Direktīvu 2005/89/EK (OV L 158, 14.6.2019., 1. lpp.).

34

(35)  Eiropas Parlamenta un Padomes Direktīva 2007/60/EK (2007. gada 23. oktobris) par ostu aizsardzības pastiprināšanu (OV L 288, 6.11.2007., 27. lpp.).

35

(36)  Eiropas Parlamenta un Padomes Direktīva 2012/18/ES (2012. gada 4. jūlijs) par lielu ar bīstamām vielām saistītu avāriju risku pārvaldību, ar kuru groza un vēlāk atceļ Padomes Direktīvu 96/82/EK (OV L 197, 24.7.2012., 1. lpp.).

36

(37)  Eiropas Parlamenta un Padomes Direktīva (ES) 2016/680 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi, ko veic kompetentās iestādes, lai novērstu, izmeklētu, atklātu noziedzīgus nodarījumus vai sauktu pie atbildības par tiem vai izpildītu kriminālsodus, un par šādu datu brīvu apriti, ar ko atceļ Padomes Pamatlēmumu 2008/977/TI (OV L 119, 4.5.2016., 89. lpp.).

37

---

PIELIKUMS

NOZARES, APAKŠNOZARES UN VIENĪBU KATEGORIJAS

| Nozares | Apakšnozares | Vienību kategorijas |
| --- | --- | --- |
| 1. | Enerģētika |

Nozares

Apakšnozares

Vienību kategorijas

1.

Enerģētika

| a) | Elektroenerģija |
| --- | --- |

a)

Elektroenerģija

| — | elektroenerģijas uzņēmumi, kā definēts Eiropas Parlamenta un Padomes Direktīvas (ES) 2019/944 (1) 2. panta 57. punktā un kas veic “piegādes” funkciju, kā definēts minētās direktīvas 2. panta 12. punktā |
| --- | --- |

—

elektroenerģijas uzņēmumi, kā definēts Eiropas Parlamenta un Padomes Direktīvas (ES) 2019/944 (1) 2. panta 57. punktā un kas veic “piegādes” funkciju, kā definēts minētās direktīvas 2. panta 12. punktā

| — | sadales sistēmas operatori, kā definēts Direktīvas (ES) 2019/944 2. panta 29. punktā |
| --- | --- |

—

sadales sistēmas operatori, kā definēts Direktīvas (ES) 2019/944 2. panta 29. punktā

| — | pārvades sistēmas operatori, kā definēts Direktīvas (ES) 2019/944 2. panta 35. punktā |
| --- | --- |

—

pārvades sistēmas operatori, kā definēts Direktīvas (ES) 2019/944 2. panta 35. punktā

| — | ražotāji, kā definēts Direktīvas (ES) 2019/944 2. panta 38. punktā |
| --- | --- |

—

ražotāji, kā definēts Direktīvas (ES) 2019/944 2. panta 38. punktā

| — | nominēti elektroenerģijas tirgus operatori, kā definēts Eiropas Parlamenta un Padomes Regulas (ES) 2019/943 (2) 2. panta 8. punktā |
| --- | --- |

—

nominēti elektroenerģijas tirgus operatori, kā definēts Eiropas Parlamenta un Padomes Regulas (ES) 2019/943 (2) 2. panta 8. punktā

| — | tirgus dalībnieki, kā definēts Regulas (ES) 2019/943 2. panta 25. punktā un kas sniedz agregēšanas, pieprasījumreakcijas vai enerģijas uzkrāšanas pakalpojumus, kā definēts Direktīvas (ES) 2019/944 2. panta 18., 20. un 59. punktā |
| --- | --- |

—

tirgus dalībnieki, kā definēts Regulas (ES) 2019/943 2. panta 25. punktā un kas sniedz agregēšanas, pieprasījumreakcijas vai enerģijas uzkrāšanas pakalpojumus, kā definēts Direktīvas (ES) 2019/944 2. panta 18., 20. un 59. punktā

| b) | Centralizētā siltumapgāde un aukstumapgāde |
| --- | --- |

b)

Centralizētā siltumapgāde un aukstumapgāde

| — | centralizētas siltumapgādes vai centralizētas aukstumapgādes, kā definēts Eiropas Parlamenta un Padomes Direktīvas (ES) 2018/2001 (3) 2. panta 19. punktā, operatori |
| --- | --- |

—

centralizētas siltumapgādes vai centralizētas aukstumapgādes, kā definēts Eiropas Parlamenta un Padomes Direktīvas (ES) 2018/2001 (3) 2. panta 19. punktā, operatori

| c) | Nafta |
| --- | --- |

c)

Nafta

| — | naftas pārvades cauruļvadu operatori |
| --- | --- |

—

naftas pārvades cauruļvadu operatori

| — | naftas ražošanas, pārstrādes un attīrīšanas iekārtu, kā arī uzglabāšanas un pārvades operatori |
| --- | --- |

—

naftas ražošanas, pārstrādes un attīrīšanas iekārtu, kā arī uzglabāšanas un pārvades operatori

| — | centrālās krājumu uzturēšanas struktūras, kā definēts Padomes Direktīvas 2009/119/EK (4) 2. panta f) punktā |
| --- | --- |

—

centrālās krājumu uzturēšanas struktūras, kā definēts Padomes Direktīvas 2009/119/EK (4) 2. panta f) punktā

| d) | Gāze |
| --- | --- |

d)

Gāze

| — | piegādes uzņēmumi, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2009/73/EK (5) 2. panta 8. punktā |
| --- | --- |

—

piegādes uzņēmumi, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2009/73/EK (5) 2. panta 8. punktā

| — | sadales sistēmas operatori, kā definēts Direktīvas 2009/73/EK 2. panta 6. punktā |
| --- | --- |

—

sadales sistēmas operatori, kā definēts Direktīvas 2009/73/EK 2. panta 6. punktā

| — | pārvades sistēmas operatori, kā definēts Direktīvas 2009/73/EK 2. panta 4. punktā |
| --- | --- |

—

pārvades sistēmas operatori, kā definēts Direktīvas 2009/73/EK 2. panta 4. punktā

| — | uzglabāšanas sistēmas operatori, kā definēts Direktīvas 2009/73/EK 2. panta 10. punktā |
| --- | --- |

—

uzglabāšanas sistēmas operatori, kā definēts Direktīvas 2009/73/EK 2. panta 10. punktā

| — | SDG sistēmas operatori, kā definēts Direktīvas 2009/73/EK 2. panta 12. punktā |
| --- | --- |

—

SDG sistēmas operatori, kā definēts Direktīvas 2009/73/EK 2. panta 12. punktā

| — | dabasgāzes uzņēmumi, kā definēts Direktīvas 2009/73/EK 2. panta 1. punktā |
| --- | --- |

—

dabasgāzes uzņēmumi, kā definēts Direktīvas 2009/73/EK 2. panta 1. punktā

| — | dabasgāzes pārstrādes un attīrīšanas iekārtu operatori |
| --- | --- |

—

dabasgāzes pārstrādes un attīrīšanas iekārtu operatori

| e) | Ūdeņradis |
| --- | --- |

e)

Ūdeņradis

| — | Ūdeņraža ražošanas, uzglabāšanas un pārvades operatori |
| --- | --- |

—

Ūdeņraža ražošanas, uzglabāšanas un pārvades operatori

| 2. | Transports |
| --- | --- |

2.

Transports

| a) | Gaisa transports |
| --- | --- |

a)

Gaisa transports

| — | gaisa pārvadātāji, kā definēts Regulas (EK) Nr. 300/2008 3. panta 4. punktā un ko izmanto komerciālos nolūkos |
| --- | --- |

—

gaisa pārvadātāji, kā definēts Regulas (EK) Nr. 300/2008 3. panta 4. punktā un ko izmanto komerciālos nolūkos

| — | lidostu administrācijas, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2009/12/EK (6) 2. panta 2. punktā, lidostas, kā definēts minētās direktīvas 2. panta 1. punktā, tostarp pamattīkla lidostas, kas uzskaitītas Eiropas Parlamenta un Padomes Regulas (ES) Nr. 1315/2013 (7) II pielikuma 2. iedaļā; un vienības, kuras nodarbojas ar tādu palīgiekārtu ekspluatāciju, kuras atrodas lidostās |
| --- | --- |

—

lidostu administrācijas, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2009/12/EK (6) 2. panta 2. punktā, lidostas, kā definēts minētās direktīvas 2. panta 1. punktā, tostarp pamattīkla lidostas, kas uzskaitītas Eiropas Parlamenta un Padomes Regulas (ES) Nr. 1315/2013 (7) II pielikuma 2. iedaļā; un vienības, kuras nodarbojas ar tādu palīgiekārtu ekspluatāciju, kuras atrodas lidostās

| — | satiksmes vadības kontroles operatori, kas sniedz gaisa satiksmes vadības (ATC) pakalpojumus, kā definēts Eiropas Parlamenta un Padomes Regulas (EK) Nr. 549/2004 (8) 2. panta 1. punktā |
| --- | --- |

—

satiksmes vadības kontroles operatori, kas sniedz gaisa satiksmes vadības (ATC) pakalpojumus, kā definēts Eiropas Parlamenta un Padomes Regulas (EK) Nr. 549/2004 (8) 2. panta 1. punktā

| b) | Dzelzceļa transports |
| --- | --- |

b)

Dzelzceļa transports

| — | infrastruktūras pārvaldītāji, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2012/34/ES (9) 3. panta 2. punktā |
| --- | --- |

—

infrastruktūras pārvaldītāji, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2012/34/ES (9) 3. panta 2. punktā

| — | dzelzceļa pārvadājumu uzņēmumi, kā definēts Direktīvas 2012/34/ES 3. panta 1. punktā, un apkalpes vietas operatori, kā definēts minētās direktīvas 3. panta 12. punktā |
| --- | --- |

—

dzelzceļa pārvadājumu uzņēmumi, kā definēts Direktīvas 2012/34/ES 3. panta 1. punktā, un apkalpes vietas operatori, kā definēts minētās direktīvas 3. panta 12. punktā

| c) | Ūdens transports |
| --- | --- |

c)

Ūdens transports

| — | iekšējo, jūras un piekrastes ūdens transporta pasažieru un kravu pārvadājumu sabiedrības, kā attiecībā uz jūras transportu definēts Regulas (EK) Nr. 725/2004 I pielikumā, neietverot atsevišķus kuģus, kurus ekspluatē minētās sabiedrības |
| --- | --- |

—

iekšējo, jūras un piekrastes ūdens transporta pasažieru un kravu pārvadājumu sabiedrības, kā attiecībā uz jūras transportu definēts Regulas (EK) Nr. 725/2004 I pielikumā, neietverot atsevišķus kuģus, kurus ekspluatē minētās sabiedrības

| — | ostu pārvaldības struktūras, kā definēts Direktīvas 2005/65/EK 3. panta 1. punktā, tostarp to ostas iekārtas, kā definēts Regulas (EK) Nr. 725/2004 2. panta 11. punktā, un vienības, kas ekspluatē ēkas un iekārtas, kuras atrodas ostās |
| --- | --- |

—

ostu pārvaldības struktūras, kā definēts Direktīvas 2005/65/EK 3. panta 1. punktā, tostarp to ostas iekārtas, kā definēts Regulas (EK) Nr. 725/2004 2. panta 11. punktā, un vienības, kas ekspluatē ēkas un iekārtas, kuras atrodas ostās

| — | kuģu satiksmes dienestu operatori (VTS), kā definēts Eiropas Parlamenta un Padomes Direktīvas 2002/59/EK (10) 3. panta o) punktā |
| --- | --- |

—

kuģu satiksmes dienestu operatori (VTS), kā definēts Eiropas Parlamenta un Padomes Direktīvas 2002/59/EK (10) 3. panta o) punktā

| d) | Autotransports |
| --- | --- |

d)

Autotransports

| — | par autoceļiem atbildīgās iestādes, kā definēts Komisijas Deleģētās regulas (ES) 2015/962 (11) 2. panta 12. punktā, kuras ir atbildīgas par satiksmes pārvaldības kontroli, izņemot publiskas vienības, attiecībā uz kurām satiksmes pārvaldība vai intelektisko transporta sistēmu vadība ir nebūtiska to vispārējās darbības daļa |
| --- | --- |

—

par autoceļiem atbildīgās iestādes, kā definēts Komisijas Deleģētās regulas (ES) 2015/962 (11) 2. panta 12. punktā, kuras ir atbildīgas par satiksmes pārvaldības kontroli, izņemot publiskas vienības, attiecībā uz kurām satiksmes pārvaldība vai intelektisko transporta sistēmu vadība ir nebūtiska to vispārējās darbības daļa

| — | tādu inteliģento transporta sistēmu operatori, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2010/40/ES (12) 4. panta 1. punktā |
| --- | --- |

—

tādu inteliģento transporta sistēmu operatori, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2010/40/ES (12) 4. panta 1. punktā

| e) | Sabiedriskais transports |
| --- | --- |

e)

Sabiedriskais transports

| — | sabiedrisko pakalpojumu sniedzēji, kā definēts Eiropas Parlamenta un Padomes Regulas (EK) Nr. 1370/2007 (13) 2. panta d) punktā |
| --- | --- |

—

sabiedrisko pakalpojumu sniedzēji, kā definēts Eiropas Parlamenta un Padomes Regulas (EK) Nr. 1370/2007 (13) 2. panta d) punktā

| 3. | Banku nozare |
| --- | --- |

3.

Banku nozare

| — | kredītiestādes, kā definēts Regulas (ES) Nr. 575/2013 4. panta 1. punktā |
| --- | --- |

—

kredītiestādes, kā definēts Regulas (ES) Nr. 575/2013 4. panta 1. punktā

| 4. | Finanšu tirgus infrastruktūra |
| --- | --- |

4.

Finanšu tirgus infrastruktūra

| — | tādu tirdzniecības vietu operatori, kā definēts Direktīvas 2014/65/ES 4. panta 24. punktā |
| --- | --- |

—

tādu tirdzniecības vietu operatori, kā definēts Direktīvas 2014/65/ES 4. panta 24. punktā

| — | centrālie darījumu partneri (CCP), kā definēts Regulas (ES) Nr. 648/2012 2. panta 1. punktā |
| --- | --- |

—

centrālie darījumu partneri (CCP), kā definēts Regulas (ES) Nr. 648/2012 2. panta 1. punktā

| 5. | Veselība |
| --- | --- |

5.

Veselība

| — | veselības aprūpes sniedzēji, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2011/24/ES (14) 3. panta g) punktā |
| --- | --- |

—

veselības aprūpes sniedzēji, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2011/24/ES (14) 3. panta g) punktā

| — | ES references laboratorijas, kā definēts Eiropas Parlamenta un Padomes Regulas (ES) 2022/2371 (15) 15. pantā |
| --- | --- |

—

ES references laboratorijas, kā definēts Eiropas Parlamenta un Padomes Regulas (ES) 2022/2371 (15) 15. pantā

| — | vienības, kas veic zāļu pētniecības un izstrādes darbības, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2001/83/EK (16) 1. panta 2. punktā |
| --- | --- |

—

vienības, kas veic zāļu pētniecības un izstrādes darbības, kā definēts Eiropas Parlamenta un Padomes Direktīvas 2001/83/EK (16) 1. panta 2. punktā

| — | vienības, kas ražo farmaceitiskās pamatvielas un farmaceitiskos preparātus, kas minēti NACE 2. red. C iedaļas 21. nodaļā |
| --- | --- |

—

vienības, kas ražo farmaceitiskās pamatvielas un farmaceitiskos preparātus, kas minēti NACE 2. red. C iedaļas 21. nodaļā

| — | vienības, kas ražo medicīniskās ierīces, kuras uzskata par kritiskām sabiedrības veselības ārkārtas situācijā (“sabiedrības veselības ārkārtas situācijā kritiski svarīgo ierīču saraksts”) Eiropas Parlamenta un Padomes Regulas (ES) 2022/123 (17) 22. panta nozīmē |
| --- | --- |

—

vienības, kas ražo medicīniskās ierīces, kuras uzskata par kritiskām sabiedrības veselības ārkārtas situācijā (“sabiedrības veselības ārkārtas situācijā kritiski svarīgo ierīču saraksts”) Eiropas Parlamenta un Padomes Regulas (ES) 2022/123 (17) 22. panta nozīmē

| — | vienības, kurām ir Direktīvas 2001/83/EK 79. pantā minētā izplatīšanas atļauja |
| --- | --- |

—

vienības, kurām ir Direktīvas 2001/83/EK 79. pantā minētā izplatīšanas atļauja

| 6. | Dzeramais ūdens |
| --- | --- |

6.

Dzeramais ūdens

| — | dzeramā ūdens piegādātāji un izplatītāji, kā definēts Eiropas Parlamenta un Padomes Direktīvas (ES) 2020/2184 (18) 2. panta 1. punkta a) apakšpunktā, izņemot izplatītājus, kuriem dzeramā ūdens izplatīšana ir nebūtiska daļa no to veiktās patēriņa preču un pārējo preču izplatīšanas vispārējās darbības |
| --- | --- |

—

dzeramā ūdens piegādātāji un izplatītāji, kā definēts Eiropas Parlamenta un Padomes Direktīvas (ES) 2020/2184 (18) 2. panta 1. punkta a) apakšpunktā, izņemot izplatītājus, kuriem dzeramā ūdens izplatīšana ir nebūtiska daļa no to veiktās patēriņa preču un pārējo preču izplatīšanas vispārējās darbības

| 7. | Notekūdeņi |
| --- | --- |

7.

Notekūdeņi

| — | uzņēmumi, kas savāc, utilizē vai attīra komunālos notekūdeņus, sadzīves notekūdeņus un rūpnieciskos notekūdeņus, kā definēts Padomes Direktīvas 91/271/EEK (19) 2. panta 1), 2) un 3) punktā, izņemot uzņēmumus, kuriem komunālo notekūdeņu, sadzīves notekūdeņu vai rūpniecisko notekūdeņu savākšana, utilizēšana vai attīrīšana ir nebūtiska to vispārējās darbības daļa |
| --- | --- |

—

uzņēmumi, kas savāc, utilizē vai attīra komunālos notekūdeņus, sadzīves notekūdeņus un rūpnieciskos notekūdeņus, kā definēts Padomes Direktīvas 91/271/EEK (19) 2. panta 1), 2) un 3) punktā, izņemot uzņēmumus, kuriem komunālo notekūdeņu, sadzīves notekūdeņu vai rūpniecisko notekūdeņu savākšana, utilizēšana vai attīrīšana ir nebūtiska to vispārējās darbības daļa

| 8. | Digitālā infrastruktūra |
| --- | --- |

8.

Digitālā infrastruktūra

| — | interneta plūsmu apmaiņas punkta pakalpojumu sniedzēji, kā definēts Direktīvas (ES) 2022/2555 6. panta 18) punktā |
| --- | --- |

—

interneta plūsmu apmaiņas punkta pakalpojumu sniedzēji, kā definēts Direktīvas (ES) 2022/2555 6. panta 18) punktā

| — | DNS pakalpojumu sniedzēji, kā definēts Direktīvas (ES) 2022/2555 6. panta 20) punktā, izņemot saknes nosaukuma serveru operatorus |
| --- | --- |

—

DNS pakalpojumu sniedzēji, kā definēts Direktīvas (ES) 2022/2555 6. panta 20) punktā, izņemot saknes nosaukuma serveru operatorus

| — | augstākā līmeņa domēnu nosaukumu reģistri, kā definēts Direktīvas (ES) 2022/2555 6. panta 21) punktā |
| --- | --- |

—

augstākā līmeņa domēnu nosaukumu reģistri, kā definēts Direktīvas (ES) 2022/2555 6. panta 21) punktā

| — | mākoņdatošanas pakalpojuma sniedzēji, kā definēts Direktīvas (ES) 2022/2555 6. panta 30) punktā |
| --- | --- |

—

mākoņdatošanas pakalpojuma sniedzēji, kā definēts Direktīvas (ES) 2022/2555 6. panta 30) punktā

| — | datu centru pakalpojumu sniedzēji, kā definēts Direktīvas (ES) 2022/2555 6. panta 31) punktā |
| --- | --- |

—

datu centru pakalpojumu sniedzēji, kā definēts Direktīvas (ES) 2022/2555 6. panta 31) punktā

| — | satura piegādes tīkla nodrošinātāji, kā definēts Direktīvas (ES) 2022/2555 6. panta 32) punktā |
| --- | --- |

—

satura piegādes tīkla nodrošinātāji, kā definēts Direktīvas (ES) 2022/2555 6. panta 32) punktā

| — | uzticamības pakalpojumu sniedzēji, kā definēts Eiropas Parlamenta un Padomes Regulas (ES) Nr. 910/2014 (20) 3. panta 19. punktā |
| --- | --- |

—

uzticamības pakalpojumu sniedzēji, kā definēts Eiropas Parlamenta un Padomes Regulas (ES) Nr. 910/2014 (20) 3. panta 19. punktā

| — | publisko elektronisko sakaru tīklu nodrošinātāji, kā definēts Eiropas Parlamenta un Padomes Direktīvas (ES) 2018/1972 (21) 2. panta 8. punktā, |
| --- | --- |

—

publisko elektronisko sakaru tīklu nodrošinātāji, kā definēts Eiropas Parlamenta un Padomes Direktīvas (ES) 2018/1972 (21) 2. panta 8. punktā,

| — | elektronisko sakaru pakalpojumu sniedzēji, kā definēts Direktīvas (ES) 2018/1972 2. panta 4. punktā, ciktāl to pakalpojumi ir publiski pieejami |
| --- | --- |

—

elektronisko sakaru pakalpojumu sniedzēji, kā definēts Direktīvas (ES) 2018/1972 2. panta 4. punktā, ciktāl to pakalpojumi ir publiski pieejami

| 9. | Valsts pārvaldes vienības |
| --- | --- |

9.

Valsts pārvaldes vienības

| — | centrālo valdību valsts pārvaldes vienības, ko definējušas dalībvalstis saskaņā ar valsts tiesību aktiem |
| --- | --- |

—

centrālo valdību valsts pārvaldes vienības, ko definējušas dalībvalstis saskaņā ar valsts tiesību aktiem

| 10. | Kosmoss |
| --- | --- |

10.

Kosmoss

| — | zemes infrastruktūras, kas pieder dalībvalstīm vai privātpersonām vai ko pārvalda un ekspluatē dalībvalstis vai privātpersonas, operatori, kuri atbalsta kosmosā izvietotu pakalpojumu sniegšanu, izņemot publisko elektronisko sakaru tīklu nodrošinātājus, kā definēts Direktīvas (ES) 2018/1972 2. panta 8. punktā |
| --- | --- |

—

zemes infrastruktūras, kas pieder dalībvalstīm vai privātpersonām vai ko pārvalda un ekspluatē dalībvalstis vai privātpersonas, operatori, kuri atbalsta kosmosā izvietotu pakalpojumu sniegšanu, izņemot publisko elektronisko sakaru tīklu nodrošinātājus, kā definēts Direktīvas (ES) 2018/1972 2. panta 8. punktā

| 11. | Pārtikas ražošana, pārstrāde un izplatīšana |
| --- | --- |

11.

Pārtikas ražošana, pārstrāde un izplatīšana

| — | pārtikas uzņēmumi, kā definēts Eiropas Parlamenta un Padomes Regulas (EK) Nr. 178/2002 (22) 3. panta 2. punktā un kuri nodarbojas tikai ar loģistiku un izplatīšanu vairumtirdzniecībā un liela mēroga rūpniecisko ražošanu un pārstrādi |
| --- | --- |

—

pārtikas uzņēmumi, kā definēts Eiropas Parlamenta un Padomes Regulas (EK) Nr. 178/2002 (22) 3. panta 2. punktā un kuri nodarbojas tikai ar loģistiku un izplatīšanu vairumtirdzniecībā un liela mēroga rūpniecisko ražošanu un pārstrādi

---

(1)  Eiropas Parlamenta un Padomes Direktīva (ES) 2019/944 (2019. gada 5. jūnijs) par kopīgiem noteikumiem attiecībā uz elektroenerģijas iekšējo tirgu un ar ko groza Direktīvu 2012/27/ES (OV L 158, 14.6.2019., 125. lpp.).

(2)  Eiropas Parlamenta un Padomes Regula (ES) 2019/943 (2019. gada 5. jūnijs) par elektroenerģijas iekšējo tirgu (OV L 158, 14.6.2019., 54. lpp.).

(3)  Eiropas Parlamenta un Padomes Direktīva (ES) 2018/2001 (2018. gada 11. decembris) par no atjaunojamajiem energoresursiem iegūtas enerģijas izmantošanas veicināšanu (OV L 328, 21.12.2018., 82. lpp.).

(4)  Padomes Direktīva 2009/119/EK (2009. gada 14. septembris), ar ko dalībvalstīm uzliek pienākumu uzturēt jēlnaftas un/vai naftas produktu obligātas rezerves (OV L 265, 9.10.2009., 9. lpp.).

(5)  Eiropas Parlamenta un Padomes Direktīva 2009/73/EK (2009. gada 13. jūlijs) par kopīgiem noteikumiem attiecībā uz dabasgāzes iekšējo tirgu un par Direktīvas 2003/55/EK atcelšanu (OV L 211, 14.8.2009., 94. lpp.).

(6)  Eiropas Parlamenta un Padomes Direktīva 2009/12/EK (2009. gada 11. marts) par lidostas maksām (OV L 70, 14.3.2009., 11. lpp.).

(7)  Eiropas Parlamenta un Padomes Regula (ES) Nr. 1315/2013 (2013. gada 11. decembris) par Savienības pamatnostādnēm Eiropas transporta tīkla attīstībai un ar ko atceļ Lēmumu Nr. 661/2010/ES (OV L 348, 20.12.2013., 1. lpp.).

(8)  Eiropas Parlamenta un Padomes Regula (EK) Nr. 549/2004 (2004. gada 10. marts), ar ko nosaka pamatu Eiropas vienotās gaisa telpas izveidošanai (pamatregula) (OV L 96, 31.3.2004., 1. lpp.).

(9)  Eiropas Parlamenta un Padomes Direktīva 2012/34/ES (2012. gada 21. novembris), ar ko izveido vienotu Eiropas dzelzceļa telpu (OV L 343, 14.12.2012., 32. lpp.).

(10)  Eiropas Parlamenta un Padomes Direktīva 2002/59/EK (2002. gada 27. jūnijs), ar ko izveido Kopienas kuģu satiksmes uzraudzības un informācijas sistēmu un atceļ Padomes Direktīvu 93/75/EEK (OV L 208, 5.8.2002., 10. lpp.).

(11)  Komisijas Deleģētā regula (ES) 2015/962 (2014. gada 18. decembris), ar ko papildina Eiropas Parlamenta un Padomes Direktīvu 2010/40/ES attiecībā uz reāllaika satiksmes informācijas pakalpojumu nodrošināšanu visā ES (OV L 157, 23.6.2015., 21. lpp.).

(12)  Eiropas Parlamenta un Padomes Direktīva 2010/40/ES (2010. gada 7. jūlijs) par pamatu inteliģento transporta sistēmu ieviešanai autotransporta jomā un saskarnēm ar citiem transporta veidiem (OV L 207, 6.8.2010., 1. lpp.).

(13)  Eiropas Parlamenta un Padomes Regula (EK) Nr. 1370/2007 (2007. gada 23. oktobris) par sabiedriskā pasažieru transporta pakalpojumiem, izmantojot dzelzceļu un autoceļus, un ar ko atceļ Padomes Regulu (EEK) Nr. 1191/69 un Padomes Regulu (EEK) Nr. 1107/70 (OV L 315, 3.12.2007., 1. lpp.).

(14)  Eiropas Parlamenta un Padomes Direktīva 2011/24/ES (2011. gada 9. marts) par pacientu tiesību piemērošanu pārrobežu veselības aprūpē (OV L 88, 4.4.2011., 45. lpp.).

(15)  Eiropas Parlamenta un Padomes Regula (ES) 2022/2371 (2022. gada 23. novembris) par nopietniem pārrobežu veselības apdraudējumiem un ar ko atceļ Lēmumu Nr. 1082/2013/ES (OV L 314, 6.12.2022., 26. lpp.).

(16)  Eiropas Parlamenta un Padomes Direktīva 2001/83/EK (2001. gada 6. novembris) par Kopienas kodeksu, kas attiecas uz cilvēkiem paredzētām zālēm (OV L 311, 28.11.2001., 67. lpp.).

(17)  Eiropas Parlamenta un Padomes Regula (ES) 2022/123 (2022. gada 25. janvāris) par pastiprinātu Eiropas Zāļu aģentūras lomu attiecībā uz zālēm un medicīniskajām ierīcēm krīžgatavības un krīžu pārvarēšanas kontekstā (OV L 20, 31.1.2022., 1. lpp.).

(18)  Eiropas Parlamenta un Padomes Direktīva (ES) 2020/2184 (2020. gada 16. decembris) par dzeramā ūdens kvalitāti (OV L 435, 23.12.2020., 1. lpp.).

(19)  Padomes Direktīva 91/271/EEK (1991. gada 21. maijs) par komunālo notekūdeņu attīrīšanu (OV L 135, 30.5.1991., 40. lpp.).

(20)  Eiropas Parlamenta un Padomes Regula (ES) Nr. 910/2014 (2014. gada 23. jūlijs) par elektronisko identifikāciju un uzticamības pakalpojumiem elektronisko darījumu veikšanai iekšējā tirgū un ar ko atceļ Direktīvu 1999/93/EK (OV L 257, 28.8.2014., 73. lpp.).

(21)  Eiropas Parlamenta un Padomes Direktīva (ES) 2018/1972 (2018. gada 11. decembris) par Eiropas Elektronisko sakaru kodeksa izveidi (OV L 321, 17.12.2018., 36. lpp.).

(22)  Eiropas Parlamenta un Padomes Regula (EK) Nr. 178/2002 (2002. gada 28. janvāris), ar ko paredz pārtikas aprites tiesību aktu vispārīgus principus un prasības, izveido Eiropas Pārtikas nekaitīguma iestādi un paredz procedūras saistībā ar pārtikas nekaitīgumu (OV L 31, 1.2.2002., 1. lpp.).

---